FR 3098316 A1 20210108 FR 1907441 A 20190704 Description Titre de l'invention : Procédé de test d'un dispositif de réinitialisation de calculateur Domaine technique [0001] L'invention concerne les calculateurs en environnement critique, tels que les cal- culateurs pour contrôler les moteurs, et plus particulièrement un procédé permettant de tester le bon fonctionnement d'un dispositif de réinitialisation d'un tel calculateur. Technique antérieure [0002] Un calculateur comprend typiquement un matériel et un logiciel. Le matériel est apte à exécuter le logiciel afin de réaliser une fonction de pilotage d'un organe. Il est connu de sécuriser un tel calculateur en lui adjoignant au moins un module matériel et/ou logiciel apte à surveiller le bon fonctionnement du calculateur et, le cas échéant, à prendre des mesures conservatoires. [0003] Tel qu'illustré à la figure 1, montrant une organisation utilisée dans l'automobile, selon la nonne VDA, un calculateur 2, tel un calculateur moteur, exécute un logiciel nominal Ll (de niveau 1 ou « level 1 » en anglais) assurant les fonctions de contrôle moteur. Un premier module de surveillance, sous la forme d'un logiciel de surveillance L2 (de niveau 2 ou « level 2 » en anglais) surveille le bon fonctionnement du logiciel Ll, notamment en reproduisant certains calculs critiques et en comparant ses résultats avec ceux obtenus par le logiciel nominal Ll. Lorsque L2 détecte un problème, L2 met en oeuvre une stratégie conservatoire en fonction du problème. Une telle stratégie conservatoire, comprend par ordre croissant de gravité du problème : un fonctionnement en mode dégradé, un arrêt de l'injection ou une réinitialisation du calculateur 2. [0004] Le mode dégradé suppose que le calculateur 2 et le logiciel Ll maintiennent certaines capacités de fonctionnement. Le logiciel L2 envoi un ordre de passage en mode dégradé au logiciel Ll qui l'exécute. Le mode dégradé permet un fonctionnement dégradé, par exemple imposer une vitesse réduite, du moteur, permettant de déplacer le véhicule, typiquement pour le conduire jusqu'à un garage. [0005] L'arrêt de l'injection vise à stopper le moteur afin d'éviter un accident. Il est supposé que le calculateur 2 et/ou le logiciel Li n'est plus assez fiable. Aussi cette commande, décidée par le logiciel L2, est réalisée par un dispositif L3 ((le niveau ou « level » en anglais 3) indépendant du calculateur 2 et typiquement matériel uniquement (typiquement un circuit électronique, tel un ASIC), qui agit directement sur les injecteurs. [0006] La réinitialisation, en dernier recours, a pour but de réinitialiser le calculateur 2 en 2 espérant remettre, tant le calculateur 2 que le logiciel Llet le logiciel L2, dans un état nominal. La fiabilité du calculateur 2 et/ou du logiciel LI étant questionné, cette commande, généralement décidée/déclenchée par le logiciel L2, est réalisée par le dispositif L3 indépendant du calculateur 2 qui agit directement sur le calculateur 2. Le dispositif L3 est aussi apte à réaliser certains tests de bon fonctionnement de lui-même, du calculateur 2 et/ou du moyen de communication entre lui et le calculateur 2. En cas de détection d'une défaillance, le dispositif L3 peut décider de déclencher une réinitialisation. [0007] S'agissant d'une sécurité de niveau ultime, la réinitialisation peut être critique. Il convient de vérifier que le déclenchement d'une réinitialisation fonctionne bien. Il est connu de tester cette fonction en sortie de fabrication. Ensuite, selon l'art antérieur elle n'est généralement plus testée. Résumé de l'invention [0008] Afin de pallier cette carence, l'invention propose un procédé de test d'un dispositif de réinitialisation L3 d'un calculateur 2, avantageusement utilisable in situ et même durant le fonctionnement du calculateur 2 et de l'organe M. [0009] Pour cela 1' invention concerne un procédé de test in situ et en fonctionnement d'un dispositif de réinitialisation d'un calculateur, ledit dispositif exécutant au moins un logiciel de réinitialisation, le dit calculateur exécutant au moins un logiciel de pilotage afin de piloter un organe, ledit procédé comprenant une séquence d'exécution et une séquence de vérification, la séquence d'exécution étant exécutée en cours d'exécution du logiciel de pilotage et comprenant les étapes suivantes : - incrémentation d'un compteur de test, - stockage du compteur de test dans une mémoire non volatile, - déclenchement d'une réinitialisation du calculateur, [0010] la séquence de vérification étant exécutée au démarrage du logiciel de pilotage et comprenant les étapes suivantes : - lecture depuis la mémoire non volatile du compteur de test, - comparaison du compteur de test, si le compteur de test est égal à sa valeur initiale il n'y a pas de résultat de test, si le compteur de test est égal à sa valeur initiale augmentée de I, réinitialisation du compteur de test, le résultat du test est positif, et si la valeur du compteur de test est autre, création d'une erreur « réinitialisation », le résultat du test est négatif. [0011] Des caractéristiques ou des modes de réalisation particuliers, utilisables seuls ou en combinaison, sont : - la séquence d'exécution comprend encore une étape de : - stockage d'un indicateur de test dans une mémoire non volatile, et la séquence de vérification comprend encore les étapes suivantes : - vérification de la présence de l'indicateur de test dans la mémoire non volatile, réinitialisation du compteur de test seulement si l'indicateur de 3 test est présent, suppression de l'indicateur de test. [0012] - la séquence d'exécution comprend encore une étape de : - stockage d'une date de réinitialisation dans une mémoire non volatile, et la séquence de vérification comprend encore les étapes suivantes : - lecture de la date de réinitialisation depuis la mémoire non volatile, - détermination d'une durée de réinitialisation par différence entre la date de réinitialisation et la date courante, - comparaison de la durée de réinitialisation avec un seuil maximum, si la durée de réinitialisation est supérieure au seuil maximum : création d'une erreur « durée » et le résultat du test est négatif. [0013] - la séquence d'exécution comprend encore une étape initiale de : - vérification de l'état de l'organe, les autres étapes de la séquence d'exécution n'étant exécutées que quand l'organe est inactif. - l'organe est un moteur à explosion, et est inactif lorsque l'injection est arrêtée. - le procédé comprend encore une étape préalable de vérification d'une condition préalable à son exécution, ladite condition étant préférentiellement déterminée selon au moins un critère parmi : durée calendaire, durée de fonctionnement du calculateur ct/ ou nombre de cycles de fonctionnement de l'organe. - le procédé comprend encore une étape de : - allumage d'au moins un témoin si le résultat du test est négatif, si l'erreur « réinitialisation » est créée et/ou si l'erreur « durée » est créée. Brève description des dessins [0014] L'invention sera mieux comprise à la lecture de la description qui suit, faite uniquement à titre d'exemple, et en référence aux figures en annexe dans lesquelles : [0015] [fig.11 représente un synoptique d'organisation du calculateur et de son dispositif de [0016] [fig.21 montre un organigramme de la séquence d'exécution du procédé, [0017] [fig.31 montre un organigramme de la séquence de vérification du procédé. Description des modes de réalisation 100181 Le procédé selon l'invention intervient en relation avec un calculateur 2 tel qu'illustré à la figure I. Ce calculateur 2 exécute au moins un logiciel LI, L2, afin de piloter un organe M. L'organe peut par exemple être un moteur M à explosion et le calculateur 2 est un calculateur de contrôle moteur. Le logiciel LI dispose de capteurs Il afin d'observer l'état de l'organe M et d'actionneurs 10 afin d'influer sur ledit état. Du fait de la possible criticité des actions commandées par le calculateur 2, ce dernier est sécurisé. Un premier niveau de sécurité est apporté par un logiciel L2 de surveillance. Ce dernier échange des informations avec LI au moyen de liens 13,14. Il peut encore être équipé de capteurs 12 supplémentaires. Une mémoire non volatile 3 permet d'enregistrer des informations rémanentes d'un arrêt du calculateur 2, par coupure d'alimentation ou encore par réinitialisation. Le logiciel L2 et/ou le calculateur 2 pouvant aussi être défaillants, comme décrit plus haut, le calculateur 2 est équipé d'un dispositif de réinitialisation 1, L3, apte à réinitialiser le calculateur 2 en cas de défaillance détectée. La réinitialisation a pour but, en dernier recours, de réinitialiser le calculateur 2 en espérant remettre, tant le calculateur 2 que le logiciel Ll et éventuellement le logiciel L2, dans un état nominal. La fiabilité du calculateur 2 et/ou du logiciel Li étant questionné, la réinitialisation est réalisée par le dispositif 1, L3 indépendant du calculateur 2. Ce dernier agit directement sur le calculateur 2 via le moyen 17, par exemple en agissant sur la broche rcset du calculateur 2. La réinitialisation est généralement décidée par le logiciel L2 et transmise via le moyen de communication 15. Le moyen de communication 16 permet au dispositif L3, 1, d'informer L2 en retour. Le dispositif L3 est aussi apte à réaliser certains tests de bon fonctionnement de lui-même, du calculateur 2 et/ou des moyens de communication 15, 16, 17 entre lui et le calculateur 2. En cas de détection d'une défaillance, le dispositif L3 peut décider de lui-même de déclencher une réinitialisation, toujours via le moyen 17. [0019] L'invention a pour objet de vérifier que l'exécution de la réinitialisation, depuis sa décision, jusqu'au retour du calculateur 2 à un état fonctionnel, se déroule correctement, afin que la sécurité puisse compter sur ce dispositif 1, L3 de sécurité. Pour cela, l'invention a pour objet d'exécuter une réinitialisation de test afin de vérifier qu'une décision de réinitialisation aboutit bien à une réinitialisation effective du calculateur 2. Cette réinitialisation est avantageusement réalisée in situ, le calculateur 2 étant opérationnellement installé, et en fonctionnement, le calculateur 2 et l'organe M étant en fonctionnement lors du test. Ladite réinitialisation est observée pendant son exécution afin de vérifier son bon déroulement. [0020] Pour cela le procédé de test comprend une séquence d'exécution Si apte à commander une réinitialisation en envoyant un ordre de réinitialisation au dispositif 1 de réinitialisation. La séquence d'exécution Si est exécutée en cours d'exécution du logiciel Li, L2. Le cas échéant, le procédé peut choisir un moment privilégié plus propice qu'un autre. [0021] De plus, le procédé comprend encore une séquence de vérification S2. Cette séquence est apte à observer le dispositif 1 et/ou le calculateur 2, suite à l'envoi de l'ordre de réinitialisation, afin de vérifier que ce dernier a bien été exécuté et qu'une réinitialisation du calculateur 2 fait suite au dit ordre et qu'elle se déroule correctement. Pour cela la séquence de vérification S2 est préférentiellement exécutée suite au (re)démarrage du logiciel LI, L2. Ceci permet d'exécuter la séquence de vérification S2 immédiatement après un démarrage du calculateur 2 et ainsi au plus près après un redémarrage du calculateur 2 qui suit une réinitialisation. [0022] Tant la séquence d'exécution Si que la séquence de vérification S2 sont avanta- geusement des modules logiciels. Ces modules sont fonctionnellement de niveau L3 ou de niveau L2. Ils sont exécutés par le calculateur 2 et avantageusement déclenchés par le logiciel Ll [0023] La figure 2 illustre la séquence d'exécution Si. Le calculateur 2 voit sa mémoire effacée pendant une réinitialisation. Aussi avant de procéder à une réinitialisation, la séquence d'exécution Si réalise une ou plusieurs étapes de stockage d'information. Ces informations sont stockées dans une mémoire non volatile 3 afin d'être persistantes. L'état de ces informations, lors de leur relecture par la séquence de vérification S2 va permettre de distinguer un démarrage nominal, un démarrage suite à un test de réinitialisation ou encore une absence de réinitialisation alors qu'un test avait été demandé et ainsi permettre de déterminer un résultat de test. [0024] Selon une caractéristique, une étape E13 réalise une incrérnentation d'un compteur de test CT. Ce compteur de test CT compte le nombre de tests de réinitialisation demandés par la séquence d'exécution Si. Il est ensuite enregistré en mémoire non volatile 3 au cours d'une étape E14. Le compteur de test CT est avantageusement stocké dans une mémoire non volatile permanente. Ensuite la séquence d'exécution S1 procède au déclenchement, lors d'une étape E17, d'une réinitialisation du calculateur 2. Ceci s'effectue en adressant une demande au dispositif 1, L3, via le moyen 15. [0025] La séquence d'exécution Si est avantageusement implémentée par un logiciel s'exécutant sur le calculateur 2. Aussi l'étape E17 met normalement fin à la séquence d'exécution SI, si le calculateur 2 est réinitialisé. Une étape faisant suite à El7 pourrait permettre de constater une absence de réinitialisation. Cette option n'a pas été retenue par l'invention. [0026] Selon l'invention, la séquence de vérification S2 est en charge de détecter le bon ou le mauvais fonctionnement de la réinitialisation. Pour cela la séquence de vérification S2 est exécutée au démarrage du calculateur 2. Elle comprend les étapes suivantes illustrées à la figure 3. Selon une caractéristique, une première étape E23 consiste en une lecture, depuis la mémoire non volatile 3, du compteur de test CT. Au cours d'une étape E24 suivante, ce compteur de test CT est comparé avec ses possibles valeurs. Si le compteur de test CT est égal à sa valeur initiale, soit la valeur avant toute incrémentation E13, ceci est indicatif d'une absence d'exécution préalable de la séquence d'exécution SI. Aussi, aucun test de réinitialisation n'a encore été demandé. Aussi il ne peut y avoir de résultat de test. Il peut être mis fin à la séquence de vérification S2 en branchant vers l'étape E30 terminale. Si le compteur de test CT est égal à sa valeur initiale augmentée de 1, il peut être considéré que la séquence d'exécution Si a été exécutée une fois et que le redémarrage en cours fait suite à la réinitialisation El7 qui a suivi. Il peut ainsi être considéré qu'un test a été demandé et qu'il s'est bien déroulé. Aussi dans ce cas, la comparaison E24 branche sur l'étape E25 qui réalise une réinitia- 6 lisation du compteur de test CT, qui reprend sa valeur initiale, par exemple O. Le test s'étant bien déroulé, la séquence de vérification S2 peut se poursuivre à l'étape E29 avec un résultat de test positif, OK. Si la valeur du compteur de test CT est autre, et notamment si elle est supérieure à la valeur initiale augmentée de 1, ceci résulte d'au moins deux opérations d' incrémentation dans une étape E13, et donc d'au moins deux exécutions de la séquence d'exécution S1 avec deux déclenchements E17 d'une réinitialisation, sans exécution en suivant d'une séquence de vérification 52. Il peut ici être déduit qu'au moins une des demandes de réinitialisation El 7 qui a suivi une étape d'incrémentation E13 n'a pas été suivie d'une réinitialisation effective du calculateur 2. Sinon le compteur de test CT aurait été réinitialisé à l'étape E25. Aussi, dans ce cas, la comparaison E24 branche sur une étape E31 de création d'une erreur « réinitialisation ». La séquence de vérification S2 se poursuit et se termine à l'étape E32 avec un résultat de test négatif, NOK. [0027] Le procédé de test peut encore comprendre d'autres caractéristiques, seules ou en combinaison, permettant autant de variantes de modes de réalisation. [0028] Selon une autre caractéristique, la séquence d'exécution Si comprend encore une étape d'écriture/ stockage El5 d'un indicateur de test IT dans une mémoire non volatile 3. L'indicateur de test IT est avantageusement stocké dans une mémoire non effacée lors d'une réinitialisation. Cet indicateur de test IT comprend typiquement une donnée présente ou absente ou encore une variable contenant une certaine valeur. La séquence de vérification S2 comprend encore, de manière complémentaire, les étapes suivantes. La présence dudit indicateur de test IT est vérifiée par une lecture E21 de la mémoire non volatile 3 à sa recherche. Si cet indicateur de test IT est trouvé E22, ceci confirme qu'un test de réinitialisation est en cours. Aussi une réinitialisation E25 du compteur de test CT peut être réalisée. Au cours de l'étape E25 l'indicateur de test est alors aussi supprimé. A défaut, si aucun indicateur de test IT ne peut être trouvé dans la mémoire non volatile 3, la comparaison E22 branche vers l'étape E30 qui met fin à la séquence de vérification 52. Il n'y a pas de résultat de test dans ce cas. L'utilisation d'un indicateur de test IT permet de confirmer le cas où un test a été demandé sans s'appuyer uniquement sur le compteur de test CT. [0029] Selon une autre caractéristique, le procédé de test encore mis à profit pour tester, si la réinitialisation s'exécute, qu'elle s'exécute dans un temps suffisamment court. Pour cela, la séquence d'exécution Si comprend encore une étape de stockage E16 d'une date de réinitialisation TR dans une mémoire non volatile 3. La date de réinitialisation TR est avantageusement stockée dans une mémoire non volatile permanente. Cette date de réinitialisation TR est suffisamment proche de la demande de réinitialisation E17 pour être considérée être la date de début de réinitialisation. La séquence de vérification S2 comprend encore, de son côté, les étapes suivantes : lecture E26 de la date 7 de réinitialisation TR depuis la mémoire non volatile 3 et détermination E27 d'une durée de réinitialisation DR, par différence, DR = T - TR, entre la date de réinitialisation TR et la date courante T. La date courante T est suffisamment proche de l'instant où le calculateur 2 et son logiciel redeviennent opérationnels après la réinitialisation, pour être considérée être la date de fin de réinitialisation. Aussi la durée DR peut être considérée être la durée totale de réinitialisation, depuis la demande de réinitialisation E17 jusqu'au retour à un état opérationnel. La séquence de vérification 52 comprend encore avantageusement une étape de comparaison E28 de la durée de réinitialisation DR avec un seuil maximum S. Ce seuil S de durée est typiquement fixé de manière réglementaire ou législative. A titre indicatif, le seuil S est de quelques dizaines de millisecondes, préférentiellement 150 ms. Si la durée de réinitialisation DR est supérieure au seuil maximum S, la séquence de vérification 52 branche vers une étape E33 de création d'une erreur « durée ». La séquence de vérification 52 se poursuit à l'étape terminale E34 avec un résultat de test négatif, NOK. Si au contraire, la durée de réinitialisation DR est inférieure au seuil S. la séquence de vérification S2 se poursuit à l'étape terminale E29 avec un résultat de test positif [0030] Afin de ne pas perturber le pilotage de l'organe M, l'instant où une réinitialisation El7 est déclenchée est choisi de préférence lorsque l'organe M est inactif Ceci garantit que le pilotage de l'organe M est peu ou pas perturbé par le test, qui peut ainsi être réalisé in situ et en cours de fonctionnement. Pour cela la séquence d'exécution S1 comprend encore une étape E12 de vérification de l'état de l'organe M. Si l'organe M est actif, la vérification E12 branche sur une étape E18 de fin de la séquence d'exécution 51. Alternativement, la séquence d'exécution SI peut être mise en attente, jusqu'à ce que l'état de l'organe M devienne inactif Si l'organe M est ou devient inactif la séquence d'exécution Si se poursuit par la réalisation des autres étapes E13-E17, telles que décrites précédemment. [0031] Dans le cas où l'organe M est un moteur à combustion interne, le moteur M est considéré inactif lorsque l'injection est coupée. Ceci correspond, par exemple, à un moteur M arrêté ou à un moteur en marche, dans une phase de décélération et/ou de relâchement de la pédale d'accélérateur. Ceci assure que le test n'est pas perçu par le conducteur ou s'il est perceptible, qu'il n'est pas gênant pour le conducteur. [0032] La fonction de réinitialisation doit être testée de temps en temps. Il n'est cependant pas nécessaire de reproduire le test trop souvent. Aussi selon une autre caractéristique, une condition préalable CP est vérifiée au cours d'une étape Ell de la séquence d'exécution 51 avant tout déclenchement El7 d'une réinitialisation. Cette condition préalable CP peut être déterminée selon tout critère permettant de différer une exécution. Ainsi la condition préalable CP peut, par exemple, être déterminée sur un ou plusieurs critères choisis parmi : une durée calendaire, une durée de fonctionnement du 8 calculateur 2 et/ou un nombre de cycles de fonctionnement de l'organe M. [0033] Si le critère de durée calendaire est utilisé, la séquence d'exécution Si d'un test de réinitialisation et donc un déclenchement d'une réinitialisation de test El 7 ne pourra être exécutée que si la dernière réinitialisation de test El7 a été exécutée il y a plus que ladite durée calendaire. Une durée calendaire peut, par exemple, être une heure, 3 jours ou encore 1 mois. De même si le critère de durée de fonctionnement du calculateur 2 est utilisé, un déclenchement d'une réinitialisation de test El 7 ne pourra être exécuté que si le calculateur a fonctionné au moins la durée de fonctionnement prescrite depuis la dernière réinitialisation de test El 7. Une durée de fonctionnement peut, par exemple, être une heure, 3 jours ou encore 1 mois. De même si le critère de nombre de cycles de fonctionnement de l'organe M est utilisé, un déclenchement d'une réinitialisation de test E17 ne pourra être exécuté que si l'organe Ma effectué au moins ledit nombre de cycles de fonctionnement depuis la dernière réinitialisation de test E17. Un nombre de cycles de fonctionnement peut, par exemple, être 100. Dans le cas où l'organe M est un moteur à combustion interne, un cycle comprend un fonctionnement compris entre un démarrage et une coupure de contact. [0034] Deux ou plus critères peuvent être combinés par des opérateurs OU et/ou ET. [0035] Selon une autre caractéristique, le procédé comprend encore une étape d'allumage d'au moins un témoin si le résultat du test est négatif NOK. Un témoin individualisé ou un unique témoin commun peut être allumé en cas d'erreur « réinitialisation » et/ou en cas d'erreur « durée ». Le ou les témoins peuvent être visuels et/ou sonores. Dans le cas d'un véhicule automobile le témoin est avantageusement affiché à la planche de bord de manière à alerter le conducteur. [0036] Avantageusement un allumage d'un témoin est doublé d'un enregistrement, avanta- geusement daté, préférentiellement en mémoire non volatile, à l'attention des équipes de maintenance. [0037] L'invention a été illustrée et décrite en détail dans les dessins et la description précédente. Celle-ci doit être considérée comme illustrative et donnée à titre d'exemple et non comme limitant l'invention à cette seule description. De nombreuses variantes de réalisation sont possibles. Liste des signes de référence [0038] 1: dispositif de réinitialisation, L3, 2 : calculateur, 3 : mémoire non volatile, 10, 11 : entrées/sorties de Ll avec organe, 12 : entrées de L2, 13, 14 : moyens de communication entre Li et L2, 9 15, 16 : moyens de communication entre L2 et L3, 17 : moyen de communication de réinitialisation, Li, L2 :logiciel de niveau 1, respectivement 2, L3 : dispositif de réinitialisation, de niveau 3, Si : séquence d'exécution, S2: séquence de vérification. El 1-E1 8 : étapes de Si, [0039] E21-E34 : étapes de S2, [0040] M : organe, [0041] CP : condition préalable, [0042] CT : compteur de test, [0043] 11 : indicateur de test, [0044] TR : temps de réinitialisation, T temps courant, [0045] DR : durée de réinitialisation. [Revendication I] [Revendication 2] [Revendication 3] REVENDICATIONSProcédé de test in situ et en fonctionnement d'un dispositif de réinitialisation (I) d'un calculateur (2), ledit dispositif exécutant au moins un logiciel (L3) de réinitialisation, le dit calculateur (2) exécutant au moins un logiciel (LI, L2) de pilotage afin de piloter un organe (M), caractérisé en ce qu 'il comprend une séquence d'exécution (SI) et une séquence de vérification (S2), la séquence d'exécution (SI) étant exécutée en cours d'exécution du logiciel (LI, L2) de pilotage et comprenant les étapes suivantes : - incrémentation (E13) d'un compteur de test (CT), - stockage (E14) du compteur de test (CT) dans une mémoire non volatile (3), - déclenchement (E17) d'une réinitialisation du calculateur (2), la séquence de vérification (S2) étant exécutée au démarrage du logiciel (L1, L2) de pilotage et comprenant les étapes suivantes : - lecture (E23) depuis la mémoire non volatile (3) du compteur de test (CT), - comparaison (E24) du compteur de test (CT), si le compteur de test (CT) est égal à sa valeur initiale il n'y a pas de résultat de test, si le compteur de test (CT) est égal à sa valeur initiale augmentée de 1, réinitialisation (E25) du compteur de test (CT), le résultat (E29) du test est positif (OK), et si la valeur du compteur de test (CT) est autre, création (E31) d'une erreur « réinitialisation », le résultat (E32) du test est négatif (NOK). Procédé selon la revendication 1, où la séquence d'exécution (Si) comprend encore une étape de : - stockage (E15) d'un indicateur de test (IT) dans une mémoire non volatile (3), et la séquence de vérification (S2) comprend encore les étapes suivantes : - vérification (E21, E22) de la présence de l'indicateur de test (FI) dans la mémoire non volatile (3), réinitialisation (E25) du compteur de test (CT) seulement si l'indicateur de test (II) est présent, suppression (E25) de l'indicateur de test (IT). Procédé selon l'une quelconque des revendications 1 ou 2, où la séquence d'exécution (Si) comprend encore une étape de : - stockage (E16) d'une date de réinitialisation (TR) dans une mémoire 11 [Revendication 4] [Revendication 5] [Revendication 6] [Revendication 7] non volatile (3), et la séquence de vérification (S2) comprend encore les étapes suivantes : - lecture (E26) de la date de réinitialisation (TR) depuis la mémoire non volatile (3), - détermination (E27) d'une durée de réinitialisation (DR) par différence entre la date de réinitialisation (TR) et la date courante (T), - comparaison (E28) de la durée de réinitialisation (DR) avec un seuil maximum (S), si la durée de réinitialisation (DR) est supérieure au seuil maximum (S) : création (E33) d'une erreur « durée » et le résultat (E34) du test est négatif (NOK). Procédé selon l'une quelconque des revendications 1 à 3, où la séquence d'exécution (S1) comprend encore une étape initiale de : - vérification (El 2) de l'état de l'organe (M), les autres étapes de la séquence d'exécution (Si) n'étant exécutées que quand l'organe (M) est inactif. Procédé selon la revendication 4, où l'organe (M) est un moteur à explosion, et est inactif lorsque l'injection est arrêtée. Procédé selon l'une quelconque des revendications 1 à 4, comprenant encore une étape (El 1) préalable de vérification d'une condition préalable (CP) à son exécution, ladite condition étant préférentiellement déterminée selon au moins un critère parmi : durée calendaire, durée de fonctionnement du calculateur (2) et/ou nombre de cycles de fonctionnement de l'organe (M). Procédé selon l'une quelconque des revendications 1 à 5, comprenant encore une étape de : - allumage d'au moins un témoin si le résultat du test est négatif (NOK), si l'erreur « réinitialisation » est créée et/ou si l'erreur « durée » est créée.