FR 2968782 A1 20120615 FR 1060324 A 20101209 SYSTEME DE COMMANDE D'UN MOTEUR ELECTRIQUE DE VEHICULE AUTOMOBILE DOMAINE DE L'INVENTION L'invention a trait au domaine de la commande de moteur électrique de véhicule automobile. ETAT DE LA TECHNIQUE Un moteur électrique de véhicule automobile électrique ou hybride présente usuellement un couple récupératif très élevé et peut ainsi générer un couple résistif très important sur les roues si rien n'est contrôlé. En l'absence d'un tel contrôle du moteur électrique, une situation critique aboutissant à un accident peut survenir. Par exemple, lorsqu'un moteur électrique de véhicule automobile passe subitement en mode récupératif sans demande du conducteur, il génère un couple de freinage entraînant une perte d'adhérence dans un virage. C'est ainsi que la perte de contrôle dû à un couple récupératif de moteur électrique est classé au niveau 3 de la norme IEC 61508. Ce classement dépend aussi du poids du véhicule et de la localisation du moteur dans le véhicule (localisation à l'avant ou à l'arrière du véhicule). Ce contrôle nécessaire du couple généré par un moteur électrique ne peut cependant être mis en oeuvre par des techniques du type ESP (pour « Electronic Stability Program ») car ces dernières sont usuellement incapables de détecter à temps un blocage de roue induit par un couple de freinage trop important du moteur ou de distinguer un tel blocage d'un problème de trajectoire lié à l'environnement, comme une plaque de verglas par exemple. Il existe des solutions pour pallier au problème de couple intempestif récupératif d'un moteur thermique de véhicule automobile. Il a été par exemple proposé une technique dite « E-gas monitoring concept » de surveillance à trois niveaux. Un premier niveau fonctionnel met en oeuvre l'ensemble des calculs de commande du moteur thermique et un second niveau, mis en oeuvre par le même microprocesseur que le premier niveau, vérifie les calculs du premier niveau. Enfin, un troisième niveau, indépendant matériellement des deux premiers niveaux, vérifie l'intelligence de ceux-ci. Toutefois, une défaillance du microprocesseur mettant en oeuvre les deux premiers niveaux affectent simultanément ces deux niveaux, de sorte que la sécurité n'est pas maximale. Dans le document EP-A-0843853, un contrôle du couple récupératif est réalisé à l'aide de deux microprocesseurs qui ont les mêmes informations d'entrée et mettent en oeuvre les mêmes calculs pour s'assurer de la cohérence des données de sortie. En cas de non coïncidence de celles-ci, les deux microprocesseurs délivrent alors un signal de défaillance. Toutefois, les deux microprocesseurs mettant en oeuvre par voie logicielle les mêmes calculs, ces derniers doivent donc supporter la contrainte de sécurité maximale. Si par exemple une erreur est présente dans le logiciel de calcul, il n'existe pas de moyen de la corriger. EXPOSE DE L'INVENTION Le but de la présente invention est de proposer un système de commande d'un moteur électrique de véhicule automobile présentant un niveau de sécurité élevé qui ne fait pas porter exclusivement les contraintes de sécurité sur le matériel ou sur le logiciel. A cet effet, l'invention a pour objet un système de commande d'un moteur électrique de 15 véhicule automobile, comportant : ^ une électronique de puissance pour le pilotage en tension et/ou courant du moteur électrique ; ^ un calculateur apte à déterminer une consigne de pilotage pour l'électronique de puissance en fonction d'informations relatives au fonctionnement du véhicule; 20 ^ un module de sécurité apte à couper l'électronique de puissance en cas de défaillance détectée par les microprocesseurs dans leurs calculs ; et ^ un module de mesure apte à mesurer des informations relatives au fonctionnement du moteur et/ou de l'électronique de puissance permettant de déterminer une valeur du couple moteur effectif généré par le moteur. 25 Selon l'invention : ^ ledit calculateur comporte un premier microprocesseur apte à déterminer une consigne de couple moteur en fonction desdites informations et un second microprocesseur apte à déterminer la consigne de pilotage pour l'électronique de 30 puissance en fonction de la consigne de couple déterminée par le premier microprocesseur ; ^ le premier microprocesseur est apte à déterminer, lorsque la consigne de pilotage est appliquée à l'électronique de puissance, la valeur du couple moteur effectif généré par le moteur en fonction de la mesure délivrée par le module de mesure, à 35 comparer la consigne de couple moteur et la valeur du couple moteur effectif déterminés, et à détecter une défaillance lorsque la consigne de couple moteur et la valeur du couple moteur effectif ne correspondent pas ; et ^ le second microprocesseur est apte à déterminer une consigne de couple moteur de vérification en fonction desdites informations sur la base d'un calcul différent de celui mis en oeuvre par le premier microprocesseur, à comparer les deux consignes de couple moteur déterminées et à détecter une défaillance lorsque les deux consignes de couple moteur déterminées ne correspondent pas. En d'autres termes, la commande du moteur électrique est distribuée sur deux microprocesseurs indépendants qui mettent en oeuvre une surveillance croisée de leurs calculs sur la base de logiciels différents. Ainsi la sécurité ne porte donc pas exclusivement sur le côté matériel ou logiciel. En outre, les deux microprocesseurs sont usuellement présents dans le véhicule de sorte qu'il n'est pas besoin d'en prévoir de supplémentaire. Selon un mode de réalisation de l'invention, les premier et second microprocesseurs sont agencés sur des cartes électroniques indépendantes. Selon un mode de réalisation de l'invention, le second microprocesseur est apte à mettre en oeuvre un une simplification du calcul mis en oeuvre par le premier microprocesseur pour déterminer la consigne de couple. BREVE DESCRIPTION DES FIGURES L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée 25 uniquement à titre d'exemple, et faite en relation avec les dessins annexés dans lesquels : - la figure 1 est une vue schématique d'un système de commande selon l'invention ; et - la figure 2 est un organigramme du procédé mis en oeuvre par le système de la figure 1. DESCRIPTION DETAILLEE DE L'INVENTION Sur la figure 1, un système de commande d'un moteur électrique 10 de véhicule automobile électrique ou hybride est illustré sous la référence générale 12. Le système 12 de commande comporte une électronique de puissance 14, notamment un 35 onduleur, alimentant le moteur 10 en tension et courant, ainsi qu'un calculateur 16 déterminant une consigne de pilotage « Cpil » de l'électronique de puissance 14 en fonction d'informations sur le fonctionnement du véhicule tel que notamment la demande en accélération ou en freinage du conducteur, la vitesse du véhicule ou autre comme cela 30 est connu en soi. Par calculateur, on entend ici un ensemble de moyens logiciels et/ou matériels permettant de commander/contrôle un équipement physique tel qu'une batterie, un moteur, etc... Selon l'invention, le calculateur 16 comporte une première carte de circuits intégrés 18 sur laquelle est intégré un microprocesseur principal 20, ci-après désigné « microprocesseur de supervision ». Le microprocesseur de supervision 20 reçoit les informations sur le fonctionnement du véhicule et détermine en fonction de celles-ci une consigne de couple moteur « Ccm » à appliquer par le moteur électrique 10 pour satisfaire la demande du conducteur. Le microprocesseur de supervision 20 est également connecté à un ensemble de capteur 22 mesurant des grandeurs de fonctionnement du moteur 10 permettant de déterminer, par exemple par calcul, le couple effectif développé par celui-ci, comme par exemple le courant triphasé alimentant le stator et l'angle du rotor, et donc d'estimer la consigne de pilotage reçue par l'électronique de puissance 14, comme cela sera expliqué plus en détail par la suite. La carte 18 comporte également un microprocesseur 24 dit « chien de garde », ou « watch dog », dont la fonction est de vérifier l'intégrité du microprocesseur de supervision 20 en réalisant avec celui-ci un jeu prédéterminé de questions/réponses comme cela est connu en soi. La carte 18 comporte enfin un circuit de coupure 26 connecté au microprocesseur de supervision 20, au chien de garde 24 ainsi qu'à l'électronique de puissance 14. Le circuit de coupure 26 coupe cette dernière, ce qui coupe l'alimentation du moteur électrique 10, lorsqu'une défaillance est détectée par le microprocesseur de supervision 20 ou le chien de garde 24, comme cela sera expliqué plus en détail par la suite. Le calculateur 16 comporte par ailleurs une seconde carte de circuits intégrés 28 comportant également un microprocesseur principal 30, ci-après désigné « microprocesseur d'onduleur », un chien de garde 32 vérifiant l'intégrité du microprocesseur d'onduleur 30 et un circuit de coupure 34 coupant l'électronique de puissance 14 en cas de défaillance détectée par le microprocesseur d'onduleur 30 ou le chien de garde 32. Le microprocesseur d'onduleur 30 de la seconde carte 28 est connecté au microprocesseur de supervision 20 de la première carte 18 pour recevoir de celui-ci la consigne de couple « Cern » calculée et déterminer en fonction de celle-ci la consigne de pilotage « Cpil ». Le microprocesseur d'onduleur 30 de la seconde carte 28 reçoit également les 5 informations sur le fonctionnement du véhicule pour déterminer une consigne de couple moteur de vérification, comme cela sera expliqué ci-dessous. Il va maintenant être expliqué en relation avec l'organigramme de la figure 2 le fonctionnement du calculateur 16, fonctionnement réalisé à l'aide d'instructions 10 logicielles mémorisées dans les microprocesseurs principaux 20 et 30. Lors d'une première étape 40 le microprocesseur de supervision 20 calcule la consigne de couple moteur « Ccm » en fonction des informations reçues et envoie celle-ci au microprocesseur d'onduleur 30. Parallèlement, le microprocesseur d'onduleur 30 calcule 15 également une consigne de couple moteur de vérification « Ccm verif » en fonction des informations reçues. Le calcul du couple moteur « Ccm » par le microprocesseur de supervision 20 est connu en soi et fait généralement appel à des modèles sophistiqués de la chaîne de transmission 20 du véhicule. Le calcul de la consigne de couple de vérification « Ccmvérif » mis en oeuvre par le microprocesseur d'onduleur 30 est par exemple une simplification du calcul mis en oeuvre par le microprocesseur ou est réalisé sur la base d'un modèle différent, le but étant que les microprocesseurs 20 et 30 mettent en oeuvre des calculs différents pour déterminer les consignes de couple moteur « Ccm » et « Ccm vérif ». 25 Dans une étape 42 suivante, le microprocesseur d'onduleur 30 compare les consignes de couple moteur « Ccm » et « Ccm vérif ». Si celles-ci ne correspondent pas, par exemple si leur différence diffère en valeur de plus d'une valeur prédéterminée tenant compte de la simplification du calcul mis en oeuvre par le microprocesseur d'onduleur 30, une 30 défaillance est alors détectée par ce dernier et le circuit de coupure 34 est alors activé en 44. L'électronique de puissance 14 est alors coupée et le moteur électrique 10 de ce fait stoppé. Si les consignes de couples « Ccm » et « Ccmvérif » correspondent, le procédé se 35 poursuit alors par une étape 46 lors de laquelle le microprocesseur d'onduleur 30 calcule une consigne de pilotage « Cpil » de l'électronique de puissance 14 en fonction de la consigne de couple moteur « Ccm » déterminée par le microprocesseur de supervision 20. Toujours en 46, la consigne de pilotage « Cpil » est appliquée par le microprocesseur d'onduleur 30 à l'électronique de puissance 14 qui alimente ainsi le moteur 10 de manière à ce que ce dernier fournisse le coupe moteur «Ccm ». Parallèlement, le microprocesseur de supervision 20 calcule une valeur du couple moteur effectif « Ccm_effectif » généré par le moteur 10 en fonction de la mesure délivrée par l'ensemble de capteurs 22, par exemple en mettant en oeuvre une fonction inverse connue en soi de l'état de la technique. Ce type de calcul a notamment l'avantage d'intégrer des caractéristiques réelles de l'électronique de puissance 14 et du moteur 10 contenues dans les mesures et donc pouvoir servir de base à un calcul ultérieur vérifiant l'intégrité de ces deux éléments. Lors d'une étape 48 suivante, le microprocesseur de supervision 48 compare la consigne de couple moteur « Ccm » avec la valeur du couple moteur généré « Ccm effectif ». Si ces deux valeurs ne correspondent pas, le microprocesseur 48 détecte une défaillance et le circuit de coupure 26 est alors activé en 50. L'électronique de puissance 14 est alors coupée et le moteur électrique 10 de ce fait stoppé. Grâce à l'invention il est ainsi obtenu un niveau de sécurité élevée. En effet : ^ les calculs de la consigne du couple moteur et de la consigne de pilotage sont réalisés par deux microprocesseurs intégrés sur des cartes indépendantes. De fait, la contrainte de sécurité ne porte pas exclusivement sur un seul microprocesseur ; ^ une surveillance croisée des microprocesseurs est mise en oeuvre, sur la base de calculs différents. De fait, la contrainte de sécurité ne porte pas exclusivement sur un logiciel identique aux deux microprocesseurs. 30 REVENDICATIONS1. Système de commande d'un moteur électrique (10) de véhicule automobile, comportant : ^ une électronique de puissance (14) pour le pilotage en tension et/ou courant du moteur électrique (10) ; ^ un calculateur (16) apte à déterminer une consigne de pilotage pour l'électronique de puissance (14) en fonction d'informations relatives au fonctionnement du véhicule; ^ un module de sécurité (26, 34) apte à couper l'électronique de puissance (14) en cas de défaillance détectée par les microprocesseurs dans leurs calculs ; et ^ un module de mesure (22) apte à mesurer des informations relatives au fonctionnement du moteur (10) et/ou de l'électronique de puissance (14) permettant de déterminer une valeur du couple moteur effectif généré par le moteur (10), caractérisé en ce que : ^ ledit calculateur (16) comporte un premier microprocesseur (20) apte à déterminer une consigne de couple moteur en fonction desdites informations et un second microprocesseur (30) apte à déterminer la consigne de pilotage pour l'électronique de puissance en fonction de la consigne de couple déterminée par le premier microprocesseur ; ^ le premier microprocesseur (20) est apte à déterminer, lorsque la consigne de pilotage est appliquée à l'électronique de puissance (14), la valeur du couple moteur effectif généré par le moteur (10) en fonction de la mesure délivrée par le module de mesure (22), à comparer la consigne de couple moteur et la valeur du couple moteur effectif déterminés, et à détecter une défaillance lorsque la consigne de couple moteur et la valeur du couple moteur effectif ne correspondent pas ; et ^ le second microprocesseur (30) est apte à déterminer une consigne de couple moteur de vérification en fonction desdites informations sur la base d'un calcul différent de celui mis en oeuvre par le premier microprocesseur (20), à comparer les deux consignes de couple moteur déterminées, et à détecter une défaillance lorsque les deux consignes de couple déterminées ne correspondent pas. 2. Système selon la revendication 1, caractérisé en ce que les premier et second microprocesseurs (20, 30) sont agencés sur des cartes électroniques indépendantes (18, 28). 3. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que le second microprocesseur (30) est apte à mettre en oeuvre un une simplification du calcul mis en oeuvre par le premier microprocesseur (20) pour déterminer la consigne de couple.