FR 2888890 A1 20070126 FR 0653056 A 20060721 Domaine de l'invention La présente invention concerne un procédé de gestion d'un véhicule automobile comportant un moteur à combustion pour lequel au moins un paramètre de fonctionnement du véhicule et/ou du moteur à combustion libère le démarrage et/ou l'arrêt du moteur à combustion. L'invention concerne également un programme d'ordinateur pour la mise en oeuvre du procédé ainsi qu'une mémoire électrique dans laquelle est enregistré un tel programme pour l'exécution du procédé, et enfin une installation de commande et/ou de régulation d'un véhicule automobile. On connaît un procédé du type défini ci-dessus. Ce procédé est principalement utilisé dans des véhicules automobiles équipés de la fonction automatique stop / marche ( stop and go ). Il s'agit de l'arrêt et du démarrage automatiques du moteur à combustion suivant l'état de cir-culation actuel du véhicule. Cette fonction a pour but de réduire la con-sommation de carburant et l'émission de matières polluantes. On réalise un tel automatisme stop / marche en saisissant au moins un paramètre de fonctionnement du véhicule automobile tel que par exemple sa vitesse, son état de freinage, etc. et/ou un paramètre de fonctionnement du mo- teur à combustion tel que par exemple sa vitesse de rotation et en fonction de ces paramètres de fonctionnement on libère l'arrêt automatique ou le démarrage automatique du moteur à combustion. But de l'invention La présente invention a pour but d'améliorer la sécurité de 25 fonctionnement d'un véhicule automobile équipé de la fonction stop / marche automatique. Exposé et avantages de l'invention A cet effet l'invention concerne un procédé du type défini ci-dessus caractérisé en ce qu'on vérifie l'existence de la condition de libéra-30 tion de manière redondantes. L'invention concerne également un programme d'ordinateur ainsi qu'une mémoire électrique contenant un programme d'ordinateur pour la mise en oeuvre du procédé et une installation de commande et/ou de régulation. Le contrôle redondant selon l'invention de l'existence de la condition de libération augmente considérablement la sécurité du système. Ce moyen associe la fonction démarrage du moteur à combustion et la fonction arrêt du moteur à combustion dans la surveillance fonc-tionnelle dite de plan 2 . Une telle surveillance de fonction garantit que les actions correspondantes ne pourront être exécutées que si elles sont contrôlées suivant un chemin supplémentaire, indépendant. Le coeur de l'invention est d'éviter de manière fiable tout démarrage ou arrêt non ac- ceptable. La fiabilité ou la non fiabilité de l'arrêt ou du démarrage du moteur à combustion se déduit finalement du comportement du conducteur qui influence les paramètres de fonctionnement du véhicule automobile et du moteur à combustion. Il est important de reconnaître une situation dans laquelle le moteur à combustion peut démarrer sans risque même en dehors du souhait du conducteur. Le contrôle redondant se fait de préférence selon un principe de surveillance dans trois plans. Selon ce principe, on prédéfinit la libération de démarrage dans un premier plan appelé plan fonctionnel. La surveillance continue de l'existence de la condition de libération est prévue dans le second plan dit plan de surveillance. Ce second plan est fréquemment protégé par exemple par un double enregistrement de toutes les variables, par un contrôle cyclique des mémoires RAM et ROM, par un contrôle du déroulement du programme, par des test d'ordre, etc... Le troisième plan sert à protéger les calculs. Un tel concept de surveillance dans trois plans permet de conserver par exemple l'utilisation d'algorithmes de vérification indépendants et différents. On augmente encore plus la sécurité par un contrôle de plausibilité qui vérifie la condition de libération ou les paramètres de fonctionnement à la base de cette con- dition de libération pour en déterminer le sens physique. Si après l'actionnement de la clé de contact, il y a conver- sion du démarrage du moteur à combustion par la commande du moteur à combustion, on peut également avoir pour un tel démarrage à la clé de contact, une surveillance fonctionnelle qui comprend au moins une con-dition de libération exigeant que la serrure de contact dispose d'un signal de demande de démarrage. En option, on peut exiger en plus que la ligne de transmission soit ouverte ce qui est par exemple le cas si l'embrayage est ouvert et/ou si une transmission est en position de ralenti ou de mar- che à vide. La condition ici et ci-après est que le paramètre de fonctionnement fondamental repose sur des signaux d'entrée qui sont certainement une surveillance de fonction redondante prévue par l'invention. Cela signifie que les capteurs correspondants fonctionnent selon deux canaux et qu'il faut garantir la sécurité de la transmission des signaux. Au contraire du démarrage par clé de contact décrit ci-dessus, le démarrage automatique est en général autorisé si les signaux d'entrée et les paramètres de fonctionnement correspondants permettent de déduire sans équivoque le souhait correspondant du conducteur et si aucune autre condition ne s'oppose à un démarrage du moteur à combustion. En outre, il existe également des situations dans lesquelles le démarrage du moteur à combustion est libéré même sans souhait de conducteur perceptible, si un tel démarrage est possible sans risque. Une telle situation peut exister par exemple si la gestion du réseau embarqué du véhicule automobile demande de l'énergie électrique. A un démarrage automatique s'oppose notamment le fait que la ligne de transmission soit fermée car il y a risque de déplacement intempestif. Dans le cas d'un véhicule automobile à boîte de vitesses automatique et convertisseur de couple hydraulique, le démarrage automatique du moteur à combustion sera autorisé si l'une des conditions de libération suivantes existe: la position de la pédale d'accélérateur est égale ou supérieure à une valeur limite; le couple de freinage est égal ou supérieur à une valeur limite (la valeur limite est telle qu'au démarrage du moteur à combustion, le véhicule ne peut rouler; le couple de freinage est fourni soit par le frein à pédale ou par la fonction dite de maintien en pente) ; la transmission se trouve en position neutre. Une condition dans ce cas pour le concept de sécurité selon l'invention est que les signaux d'entrée à la base des paramètres de fonctionnement sont garantis dans le sens de la surveillance du fonctionnement. Un cas particulier sera possible pour un convertisseur hydraulique: pour un véhicule équipé d'un tel convertisseur hydraulique, il peut être souhaitable d'assurer le mode d'arrêt / démarrage automatique du moteur à combustion même lorsque le rapport de vitesse est engagé. Pour raccourcir le temps de démarrage, on peut démarrer le moteur à combustion dès la libération du frein et non seulement une fois que la pédale d'accélérateur est actionnée. Cette libération du frein permet en effet de déduire que le conducteur souhaite un déplacement vers l'avant du vé- hicule et ainsi le démarrage du moteur à combustion. En plus, on peut également introduire dans ce cas la condition de libération selon laquelle un temps depuis la libération d'un frein est inférieure ou égale à une va-leur limite. La même remarque s'applique à un véhicule équipé d'une boîte de vitesses manuelle ou d'une boîte de vitesses automatisée. Ainsi dans chacun de ces cas, on pourra libérer le démarrage automatique du moteur à combustion si la ligne de transmission est ouverte c'est-à-dire si l'embrayage est ouvert ou si la boîte de vitesses est au ralenti. Dans ce cas également, il faut considérer en plus le cas particulier suivant: il peut arriver lors d'une opération de démarrage que le conducteur du véhicule automobile ait actionné la transmission pour la mettre en position de ralenti dès avant la terminaison du programme de démarrage du moteur à combustion ou qu'il ait actionné l'embrayage pour démarrer (phase d'embrayage). Dans ces deux cas, la ligne de transmission serait fermée. Pour éviter que le démarrage du moteur à combustion ne soit arrêté prématurément, comme autre condition de libération supplémentaire, possible pour ce cas, on définit que le temps depuis la fermeture de la ligne de transmission est inférieure ou égale à une valeur limite. Pour cela on peut le cas échéant exploiter en plus également le mouvement de la pédale de frein et de la pédale d'accélérateur de manière à détecter en toute sécurité la phase de démarrage. On augmente la sécurité de fonctionnement du véhicule en plus si après la libération de l'opération de démarrage on forme un couple maximum autorisé pour le démarrage du moteur à combustion et si on lui compare le couple réel du démarreur. Cela permet de bloquer le démarrage du moteur à combustion en cas de défaut. Les mesures évoquées ci-dessus s'appliquent de manière correspondante à l'arrêt du moteur à combustion. Les conditions de libération déterminantes sont par exemple le fait que la vitesse de déplace-ment est égale ou inférieure à une valeur limite ou que le couple de freinage est égal ou supérieur à une valeur limite. Pour une réalisation efficace de la philosophie de sur- veillante selon l'invention, il est intéressant que la fonction de surveillance puisse accéder indépendamment à la commande du démarreur par exemple par un bus CAN ou par un composant d'étage, de puissance, de commutation et/ ou par le chemin de commutation de coupure prévu pour arrêter le moteur à combustion. Si dans ces conditions, le contrôle redon- dant de l'existence des conditions de libération a conduit à un résultat négatif, le démarrage non autorisé ou l'arrêt non autorisé du moteur à combustion seront interdits en toute sécurité. Dessins La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'exemples de réalisation représentés dans les dessins annexés dans lesquels: - la figure 1 est une vue schématique d'un véhicule automobile équipé d'un moteur à combustion et d'autres composants; - la figure 2 montre un diagramme fonctionnel d'un premier exemple de réalisation d'un procédé de libération du démarrage du moteur à combustion de la figure 1; - la figure 3 montre comme la figure 2 un second exemple de réalisation; - la figure 4 est une vue analogue à celle de la figure 2 d'un troisième exemple de réalisation; - la figure 5 est une vue analogue à celle de la figure 2 d'un quatrième exemple de réalisation; - la figure 6 est une vue analogue à celle de la figure 2 montrant un cinquième exemple de réalisation; - la figure 7 montre un diagramme fonctionnel avec une fonction supplémentaire utilisable dans le procédé des figures 2 à 6; - la figure 8 est un diagramme fonctionnel d'un procédé pour libérer 20 l'arrêt automatique du moteur à combustion de la figure 1. Description des modes de réalisation La figure 1 ne montre que schématiquement un véhicule sous la forme d'un rectangle portant la référence 10. Le véhicule automobile 10 est entraîné par un moteur à combustion 12 par l'intermédiaire d'une transmission 14; un embrayage 16 est prévu entre la transmission 14 et le moteur à combustion 12. Cet embrayage peut être constitué aussi par un convertisseur hydraulique comme cela sera exposé ultérieurement. Le couple demandé au moteur à combustion 12 sera exprimé par le conducteur du véhicule 10 qui actionne de manière correspon- dante une pédale d'accélérateur 18. Le couple de freinage du système de freinage 20 du véhicule automobile 10 est exprimé par le conducteur qui actionne de manière appropriée une pédale de frein 22. Pour démarrer le moteur à combustion 12, le véhicule 10 dispose d'une clé ou serrure de contact 24. Le vilebrequin non représenté du moteur à combustion 12 est mis en rotation par un démarrage électrique 26 pour démarrer. Le fonctionnement du véhicule automobile 10 est commandé ou régulé par une installation de commande et de régulation 28. L'installation de commande et de régulation 28 reçoit les signaux d'entrée de différents capteurs par exemple d'un capteur de pédale d'accélérateur 30 qui détecte la position de la pédale d'accélérateur 18 et d'un capteur de pédale de frein 32 qui détecte la position de la pédale de frein 22 ainsi que d'autres capteurs qui saisissent des paramètres de fonctionnement ac- tuels du véhicule automobile 10 et du moteur à combustion 12. Il s'agit par exemple d'un capteur 34 qui détecte la vitesse de rotation d'une roue ce qui permet de déterminer la vitesse du véhicule automobile 10. Un autre capteur caractéristique est un capteur de transmission 36 qui détecte la position actuelle de la transmission 14 ainsi qu'un capteur d'embrayage 38 qui détermine si l'embrayage 16 est ouvert ou fermé. Les capteurs 30 à 38 sont réalisés avec deux canaux comme l'indiquent les doubles flèches en trait interrompu tournées vers l'installation de commande et de régulation 28; toutefois ces flèches ne portent pas de référence. De plus, la transmission du signal est conçue pour qu'elle puisse être considérée comme en sécurité. L'installation de commande et de régulation 28 commande différentes installations d'actionnement du véhicule automobile 10 et du moteur à combustion 12 tel que le démarreur électrique 26. Pour cela, une mémoire de l'installation de commande et de régulation 28 comporte un programme d'ordinateur conçu pour exécuter certaines étapes du procédé. La figure 2 montre un premier exemple de réalisation d'un tel procédé, servant à autoriser ou à bloquer le démarrage du moteur à combustion 12 par l'actionnement de la serrure de contact 24. Pour cela, après un bloc de démarrage 40, on effectue trois interrogations: dans le bloc 42a on vérifie la présence d'un signal u_k150 et que ce signal est supérieur O. Dans le bloc 42b on vérifie si la transmission 14 est au ralenti et dans le bloc 42c on vérifie si l'embrayage 16 est ouvert. Si l'une de ces conditions (condition de libération) existent, ce qui est saisi dans le bloc 48, alors dans le bloc 50 on met un bit B-démarrage égal à 1 ce qui signi- fie que le démarrage du moteur à combustion 12 est autorisé. Le procédé se termine par le bloc 52. Comme l'indique les doubles flèches 42a et b qui ne portent de références que pour le bloc 42a pour des raisons de simplification de représentation, et partent des blocs 42a, 42b, 42c chaque fois vers le bloc de saisie 48, le contrôle pour déterminer si les conditions de libération dé- finies existent dans les blocs 42, 44, 46 se fait de manière redondante à l'aide d'algorithmes indépendants et différents. Dans le bloc 48, on effec- tue en outre un contrôle de plausibilité qui consiste à vérifier la correction physique de la condition de libération respective 42a, 42b, 42c. La figure 3 montre une autre variante de procédé. Dans ce cas également les blocs qui ont des fonctions équivalentes de celles des blocs déjà décrits ne seront pas décrits de manière détaillée une nouvelle fois et ils portent les mêmes références. Alors que pour le procédé présenté à la figure 2, la libération du démarrage du moteur à combustion 12 a été faite pour un démarrage à la clé de contact (signal u_k150 fourni par la serrure d'allumage 24), la figure 3 concerne le procédé de démarrage automatique du moteur à combustion 12. Ce démarrage peut être par exemple nécessaire si après un arrêt du moteur à combustion 12 à un feu de signalisation, le conducteur souhaite continuer sa route alors que le moteur à combustion 12 a été préalablement coupé. De plus, le procédé présenté à la figure 3 s'applique à un véhicule automobile équipé d'une boîte de vitesses automatique 14 couplée au moteur à combustion 12 par un convertisseur hydraulique 16 à la place d'un embrayage. Dans ce cas, on vérifie également différentes conditions de libération: dans le bloc 42d, on vérifie si la position de la pédale d'accélérateur wped est supérieure à une valeur limite G1. Dans le bloc 42e on vérifie si le couple de freinage mfrein est supérieur à une va-leur limite G2. Puis si l'une des conditions de libération est satisfaite 42d, 42e, 42b, le démarrage du moteur à combustion 12 sera libéré dans le bloc 50. La figure 4 montre une autre variante: dans cette figure, le bloc 42f vérifie la condition de libération supplémentaire pour déterminer si une durée de suppression de frein t suppr. frein est inférieure à une valeur limite G3. Le démarrage du moteur à combustion 12 sera alors également possible si un rapport de vitesse est passé ce qui raccourcit le temps de démarrage du moteur à combustion 12 car ainsi le démarrage automatique ne sera pas tout d'abord autorisé lorsque la pédale d'accélérateur 12 est actionnée mais déjà dès la libération du frein 20 par la libération correspondante de la pédale de frein 22. Le démarrage automatique sera ainsi également autorisé pendant une courte durée G3 après la libération de la pédale de frein 22. La figure 5 concerne un procédé de démarrage automatique d'un moteur à combustion 12 avec une boîte de vitesses 14 et un embrayage 16. Le démarrage automatique du moteur à combustion 12 ne sera libéré que si la boîte de vitesses 14 est au ralenti (bloc 42b) ou s'il est débrayé (bloc 42c). Pour éviter l'arrêt du démarrage du moteur à combustion 12 déjà lancé, le conducteur actionne l'embrayage 16 déjà avant la fin du démarrage comme cela apparaît à la figure 6; dans le bloc 42g on aura un prolongement du démarrage du moteur à combustion 12 pour une du-rée de temps G4 après la fermeture de l'embrayage 16. Dans ce cas on surveille la durée t-embrayage écoulée après la fermeture de l'embrayage 16. Dans tous les procédés décrits ci-dessus à l'aide des figures 2 à 6, après libération du démarrage du moteur à combustion 12 on peut procéder comme indiqué à la figure 7: ainsi dans le bloc 54, on déterminer le couple maximum autorisé m.dem-max pour le démarreur électrique 26 et dans le bloc 56 on compare ce couple à un couple réel actuel déjà fourni par le bloc 58 à savoir le couple mdém réel du démarreur électrique 26. Si le couple effectif m.dém réel dépasse le couple autorisé m dem-max, le bloc 60 constate un défaut et interrompt le démarrage en mettant à 0 le bit Bdémarrage (bloc 62). La figure 8 montre un procédé de libération d'un arrêt automatique de moteur à combustion 12. Dans ce cas on vérifie si la vitesse v véhicl. du véhicule automobile 12 est égale à 0 (bloc 42h) c'est-à-dire si le véhicule 10 est effectivement à l'arrêt ou si le couple de frein mfrein est supérieur à une valeur limite G5 (bloc 42i) c'est-à-dire si la pédale de frein 22 a été actionnée. Si l'une de ces conditions de libération 42h, 42i est remplie, on met à l'unité un bit d'arrêt B-arrêt dans le bloc 64 et ainsi on libère l'arrêt automatique du moteur à combustion 12. REVENDICATIONS 1 ) Procédé de gestion d'un véhicule automobile (10) comportant un moteur à combustion (12) pour lequel au moins en fonction d'une condition de libération (42) dépendant d'au moins un paramètre de fonctionnement (u_k150, rap. vitesse, embrayage, wped, mfrein, t-suppr. frein, tembrayage, v-véhicl., B-frein) du véhicule (10) et/ou du moteur à combustion (12) libère le démarrage et/ou l'arrêt du moteur à combustion (12), caractérisé en ce qu' on vérifie l'existence de la condition de libération (42) de manière redondante (44a, 44b). 2 ) Procédé selon la revendication 1, caractérisé en ce que le contrôle redondant se fait selon un concept de surveillance dans trois plans utilisant notamment des algorithmes indépendants et différents (44a, 44b). 3 ) Procédé selon la revendication 1, 20 caractérisé en ce que le contrôle redondant comprend un contrôle de plausibilité (48). 4 ) Procédé selon la revendication 1, caractérisé en ce qu' on sélectionne une condition de libération pour un démarrage dans le groupe suivant: une position de pédale d'accélérateur (wped) est égale ou supérieure à une valeur limite (G 1) (42d) ; un couple de freinage (mfrein) est égal ou supérieur à une valeur limite (G2) (42E), une ligne de transmission (14, 16) est ouverte (42b, 42c), une durée (t-suppr. frein) depuis la libération d'un frein (20) est inférieure ou égale à une valeur limite (G3) (42f), une durée (t-embrayage) depuis la fermeture de la ligne de transmission (14, 16) est inférieure ou égale à une valeur limite (G4) (42g) ; un signal de demande de démarrage (u_k150) est fourni par la clé de démarrage (24) (42a). 5 ) Procédé selon la revendication 4, caractérisé en ce qu' on reconnaît l'ouverture de la ligne de transmission si au moins l'une des conditions suivantes est satisfaite: l'embrayage (16) est ouvert (42c) ; la transmission (14) est en position de ralenti ou en position neutre (42b). 6 ) Procédé selon la revendication 1, caractérisé en ce qu' on sélectionne une condition de libération pour l'arrêt dans le groupe suivant: la vitesse de circulation (v véhicl.) est égale à 0 (42h) ; le couple de freinage (mfrein) est égal ou supérieur à une valeur limite (G5) (42i). 7 ) Procédé selon la revendication 1, caractérisé en ce que si l'on constate qu'une condition de libération (42a - 42g) n'existe pas pour le démarrage, on influence directement la commande d'un démarreur (26) notamment directement par l'intermédiaire d'un bus CAN ou d'un composant de puissance de commutation. 8 ) Procédé selon la revendication 1, caractérisé en ce que lorsqu'on constate l'absence d'une condition de libération (42h, 42i) pour un arrêt, on influence directement le chemin de coupure notamment directement par un bus CAN. 9 ) Procédé selon la revendication 1, caractérisé en ce que lorsqu'on constate la présence d'une condition de libération (42 - 42g) pour un démarrage, on forme un couple de démarrage maximal autorisé (m dem-max) et on l'utilise pour surveiller (56) le fonctionnement correct du démarreur (26). 10 ) Programme d'ordinateur, caractérisé en ce qu' il applique un procédé selon l'une des revendications 1 à 9. 11 ) Mémoire électrique pour une installation de commande et/ou de régulation (28) d'un véhicule automobile (10), caractérisée en ce qu' elle contient l'enregistrement d'un programme d'ordinateur pour un pro- cédé selon les revendications 1 à 9. 12 ) Installation de commande et/ou de régulation (28) pour un véhicule 5 automobile (10), caractérisé en ce qu' elle est programmée pour appliquer un procédé selon l'une des revendications 1 à 9. io