FR 3145047 A1 20240719 FR 2300452 A 20230118 Un procédé de gestion est mis en œuvre dans un véhicule comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics. Ce procédé comprend une étape (10-120) dans laquelle, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de cet équipement dans un intervalle de temps inférieur ou égal à une première durée prédéfinie, on interdit ce calculateur de fonctionner. Figure 3. GESTION D’ERREURS DE FONCTIONNEMENT D’UN ÉQUIPEMENT D’UN VÉHICULE POUR SÉCURISER CE DERNIER Domaine technique de l’invention L’invention concerne les véhicules comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur, et plus précisément la gestion au sein de tels véhicules des erreurs de fonctionnement de ce type d’équipement. Etat de la technique Certains véhicules, éventuellement de type automobile, comprennent au moins un équipement ayant un fonctionnement qui est contrôlé par un logiciel tournant dans un calculateur associé et faisant l’objet de diagnostics, éventuellement périodiquement, pour une raison de sécurité. On notera qu’un même équipement peut éventuellement faire l’objet d’au moins deux diagnostics différents, éventuellement associés à des niveaux de sécurité différents, de manière à détecter des erreurs de fonctionnement différentes. Deux types différents d’erreur de fonctionnement d’un équipement d’un véhicule, contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics, peuvent être problématiques. Le premier type concerne les fausses erreurs (ou « faux positifs ») détecté(e)s par un diagnostic et pouvant aboutir à un arrêt non nécessaire du fonctionnement d’un calculateur contrôlant le fonctionnement d’un équipement. Le second type concerne les erreurs non détectées par un diagnostic (ou « vrais négatifs ») et qui peuvent mettre en danger la sécurité du véhicule et/ou de ses passagers. On comprendra en effet qu’en cas de détection de fausses erreurs, le conducteur est alerté alors qu’apparemment son véhicule fonctionne correctement, mais il risque de ne pas comprendre le nouveau comportement du véhicule résultant de l’arrêt du fonctionnement d’un calculateur et potentiellement dangereux. Par exemple, dans une descente avec une pompe de système de freinage actionnée par le moteur thermique du groupe motopropulseur (ou GMP), l’arrêt du calculateur contrôlant le moteur thermique peut mettre le conducteur dans une situation dangereuse car il ne dispose plus soudainement de l’assistance au freinage. De même, en cas de non détection d’erreurs, un événement dangereux peut survenir subitement dans le véhicule, comme par exemple une accélération intempestive, une mauvaise direction, ou un déplacement intempestif, sans que le conducteur en ait été alerté et donc sans qu’il puisse en comprendre la raison (même très partielle). Actuellement, pour gérer les erreurs de fonctionnement qui sont détectées par un diagnostic dans un véhicule, on peut effectuer la procédure de sécurité décrite ci-après. Lors de chacune des première, deuxième et troisième détections par un diagnostic d’une erreur (aléatoire ou systématique) de fonctionnement d’un équipement du véhicule (contrôlé par un logiciel tournant dans un calculateur), on effectue une réinitialisation de ce logiciel. Cette réinitialisation doit être la plus transparente possible pour le conducteur du véhicule, et est destinée à faire disparaitre l’erreur détectée en relançant le calculateur concerné avec un logiciel réinitialisé. Lorsqu’une quatrième détection survient, on cesse de faire fonctionner le calculateur, car on considère que son fonctionnement est dangereux pour le conducteur (et plus généralement les passagers du véhicule), et qu’une erreur permanente ne peut pas être résolue par une réinitialisation logicielle. La procédure de sécurité actuelle présente au moins deux inconvénients. Un premier inconvénient réside dans le fait qu’en cas d’erreur permanente effective, on doit attendre quatre détections d’erreur successives par le diagnostic et trois réinitialisations logicielles avant de décider de cesser de faire fonctionner le calculateur concerné. Or, chaque détection d’erreur prend généralement environ 500 ms, et chaque réinitialisation du logiciel prend généralement environ 400 ms, et donc la durée nécessaire à la prise d’une décision de cessation du fonctionnement du calculateur (et donc à son placement dans un état de sécurité) peut prendre jusqu’à 3 s. Une telle durée pour obtenir un placement dans un état de sécurité peut s’avérer trop longue en présence de certaines exigences de sécurité liées au niveau de sécurité associé au diagnostic considéré et au risque couvert. C’est notamment le cas lorsque le niveau de sécurité est égal à deux, car la durée de mise en état de sécurité d’un calculateur doit alors être inférieure ou égale à 1,6 s sur une partie des risques à couvrir. Un second inconvénient réside dans le fait qu’en cas de mauvaise détection effectuée par un diagnostic associé à un niveau de sécurité n (par exemple n = 2), par exemple à cause de la conception de ce niveau de sécurité ou parce que la conception du niveau de sécurité inférieur (n-1) viole les exigences de sécurité mais sans qu’un événement dangereux ne soit atteint, alors si cette mauvaise détection se produit pendant une phase d’utilisation pouvant survenir plusieurs fois au cours d’un cycle de conduite d’un véhicule, il y a un risque d’aboutir à une décision de cessation du fonctionnement du calculateur concerné même s’il n’y a pas de réel risque de sécurité. L’invention a donc notamment pour but d’améliorer la situation. Présentation de l’invention Elle propose notamment à cet effet un procédé de gestion destiné à être mis en œuvre dans un véhicule comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics. Ce procédé de gestion se caractérise par le fait qu’il comprend une étape dans laquelle, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de l’équipement dans un intervalle de temps inférieur ou égal à une première durée prédéfinie, on interdit le calculateur associé de fonctionner. Grâce à l’invention, dès lors que deux erreurs sont détectés pour un même équipement dans un intervalle de temps inférieur ou égal à la première durée, on place immédiatement le calculateur associé dans un état de sécurité évitant qu’un évènement dangereux survienne dans le véhicule, tout en satisfaisant aux exigences temporelles de sécurité liées au niveau de sécurité associé au diagnostic considéré. Le procédé de gestion selon l’invention peut comporter d’autres caractéristiques qui peuvent être prises séparément ou en combinaison, et notamment : - dans son étape, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de l’équipement dans un intervalle de temps supérieur à la première durée prédéfinie, on peut incrémenter une valeur en cours d’un compteur d’erreurs et lorsque cette valeur en cours est égale à une valeur prédéfinie on peut interdire le calculateur de fonctionner ; - en présence de la première option, dans son étape, lorsque la valeur en cours est inférieure à la valeur prédéfinie, on peut réinitialiser le logiciel ; - en présence de la dernière sous-option, dans son étape, après la réinitialisation, on peut déclencher une temporisation d’une seconde durée prédéfinie, supérieure à la première durée, et en l’absence de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, pendant cette seconde durée prédéfinie, on peut décrémenter cette valeur en cours du compteur d’erreurs, tandis qu’en cas de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, avant l’expiration de la seconde durée prédéfinie, on peut incrémenter la valeur en cours du compteur d’erreurs et lorsque cette valeur en cours est égale à une valeur prédéfinie on peut interdire le calculateur de fonctionner ; - en présence de la dernière sous-sous-option, dans son étape, on peut décrémenter d’une unité la valeur en cours du compteur d’erreurs ; - également en présence de la dernière sous-sous-option, dans son étape, la seconde durée prédéfinie peut être comprise entre 3 mn et 10 mn. Par exemple, la seconde durée prédéfinie peut être égale à 5 mn ; - également en présence de la première option, dans son étape, on peut incrémenter d’une unité la valeur en cours du compteur d’erreurs ; - dans son étape, la première durée prédéfinie peut être comprise entre 0,8 s et 1,5 s. Par exemple, la première durée prédéfinie peut être égale à 1 s. L’invention propose également un produit programme d’ordinateur comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement, est propre à mettre en œuvre un procédé de gestion du type de celui présenté ci-avant, dans un véhicule comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics, pour gérer des erreurs détectées par au moins un diagnostic. L’invention propose également un dispositif de gestion destiné à équiper un véhicule comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics. Ce dispositif de gestion se caractérise par le fait qu’il comprend au moins un processeur et au moins une mémoire agencés pour effectuer les opérations consistant, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de l’équipement dans un intervalle de temps inférieur ou égal à une première durée prédéfinie, à déclencher une interdiction de fonctionnement du calculateur associé. L’invention propose également un véhicule, éventuellement de type automobile, et comprenant, d’une part, au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur et faisant l’objet de diagnostics, et, d’autre part, un dispositif de gestion du type de celui présenté ci-avant. Brève description des figures D’autres caractéristiques et avantages de l’invention apparaîtront à l’examen de la description détaillée ci-après, et des dessins annexés, sur lesquels : illustre schématiquement et fonctionnellement un exemple de réalisation d’un véhicule comprenant une chaîne de transmission à GMP hybride et associée à un calculateur de supervision, et un dispositif de gestion selon l’invention, illustre schématiquement et fonctionnellement un exemple de réalisation d’un calculateur de supervision comprenant un exemple de réalisation d’un dispositif de gestion selon l’invention, et illustre schématiquement un exemple d’algorithme mettant en œuvre un procédé de gestion selon l’invention. Description détaillée de l’invention L’invention a notamment pour but de proposer un procédé de gestion, et un dispositif de gestion DG associé, destinés à permettre une gestion des erreurs de fonctionnement d’un équipement d’un véhicule V contrôlé par un logiciel tournant dans un calculateur, pour sécuriser ce véhicule V. Dans ce qui suit, on considère, à titre d’exemple non limitatif, que le véhicule V est de type automobile. Il s’agit par exemple d’une voiture, comme illustré sur la . Mais l’invention n’est pas limitée à ce type de véhicule. Elle concerne en effet tout type de véhicule comprenant au moins un équipement ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur associé et faisant l’objet de diagnostics pour une raison de sécurité. Ainsi, elle concerne les véhicules terrestres (véhicules utilitaires, camping-cars, minibus, cars, camions, motocyclettes, engins de voirie, engins de chantier, engins agricoles, engins de loisir (motoneige, kart), engins à chenille(s), les trains et les tramways, par exemple), les aéronefs et les bateaux. Par ailleurs, on considère dans ce qui suit, à titre d’exemple non limitatif, que le véhicule V comprend une chaîne de transmission à groupe motopropulseur (ou GMP) de type hybride (thermique et électrique, et donc dont la motricité est assurée principalement par une machine motrice thermique (ou un moteur thermique) MT et accessoirement par une machine électrique ME). Mais le GMP pourrait être purement thermique ou purement électrique. On a schématiquement représenté sur la un véhicule V comprenant une chaîne de transmission à GMP hybride (et donc notamment à machine motrice thermique MT et machine électrique ME), un calculateur de supervision CS, une batterie d’alimentation BA, un alterno-démarreur AD associé à une courroie CC, une machine électrique ME, et un dispositif de gestion DG selon l’invention. La chaîne de transmission a un GMP qui est, ici, hybride et donc qui comprend, notamment, une machine motrice (ou moteur) thermique MT et au moins une machine électrique ME. Par exemple, cette machine électrique ME peut être un dispositif de démarrage sur lequel on reviendra plus loin. Par ailleurs, la chaîne de transmission comprend aussi, ici, un arbre moteur AM, un dispositif de couplage DC, une boîte de vitesses BV, et un arbre de transmission AT. Le fonctionnement de la chaîne de transmission (et donc du GMP) est supervisé par un calculateur de supervision CS. Le moteur thermique MT comprend un vilebrequin (non représenté) qui est solidarisé fixement à l’arbre moteur AM afin d’entraîner ce dernier (AM) en rotation. Ce moteur thermique MT est destiné à fournir du couple, sur ordre du calculateur de supervision CS, pour au moins un train T1 de roues motrices, via le dispositif de couplage DC et la boîte de vitesses BV. Par exemple, le train T1 peut être situé dans la partie avant PVV du véhicule V. Il est de préférence, et comme illustré, couplé à l’arbre de transmission AT via un différentiel (ici avant) DV. Mais dans une variante ce train T1 pourrait être celui référencé T2 qui est situé dans la partie arrière PRV du véhicule V. Egalement par exemple, le dispositif de couplage DC peut être un embrayage. Mais il pourrait aussi s’agir d’un convertisseur de couple ou d’un crabot. Par ailleurs, la boîte de vitesses BV peut, par exemple et non limitativement, comprendre un mécanisme de changement de rapport MBV de type dit « à double embrayage (ou DCT) ». Le fonctionnement du moteur thermique MT est contrôlé par un calculateur de machine CM. Le vilebrequin du moteur thermique MT est aussi, ici, couplé à une courroie CC, elle-même couplée à un alterno-démarreur AD qui est alimenté en énergie électrique par une batterie d’alimentation BA (et qui peut aussi recharger cette dernière (BA)). Ainsi, l’alterno-démarreur AD peut fournir du couple à la courroie CC, laquelle peut fournir ce couple au vilebrequin. On notera que cette batterie d’alimentation BA peut, par exemple, être de type 48 V. Mais cela n’est pas une obligation. En effet, elle pourrait en variante être de type 12 V, 24 V, ou 400 V par exemple. Dans l’exemple illustré non limitativement sur la la machine électrique ME peut être couplé au moteur thermique MT via le dispositif de couplage DC lorsque ce dernier (DC) a été placé dans un état couplé (ou complétement fermé). On comprendra donc que lorsque le dispositif de couplage DC a été placé dans un état non couplé (ou complétement ouvert), la machine électrique ME est découplée du moteur thermique MT. Ce couplage est ici destiné à fournir du couple pour déplacer le véhicule V, et éventuellement à aider au démarrage du moteur thermique MT. Par exemple, et comme illustré non limitativement sur la , la machine électrique ME peut être alimentée en énergie électrique par la batterie d’alimentation BA. On notera que dans l’exemple illustré non limitativement sur la la machine électrique ME fait partie de la boîte de vitesses BV. Mais cela n’est pas une obligation. Comme évoqué plus haut, l’invention propose notamment un procédé de gestion destiné à permettre la gestion des erreurs de fonctionnement d’un équipement du véhicule V qui est contrôlé par un logiciel tournant dans un calculateur associé. Dans ce qui suit, on considère, à titre d’exemple non limitatif, que l’équipement est le moteur thermique MT, et le calculateur associé (dans lequel tourne un logiciel contrôlant le fonctionnement de ce moteur thermique MT) est le calculateur de machine CM. Mais l’invention n’est pas limitée à ce type d’équipement. Elle concerne en effet tout équipement dont le fonctionnement est contrôlé par un logiciel tournant dans un calculateur associé et faisant l’objet de diagnostics (éventuellement différents). Le procédé (de gestion) peut être mis en œuvre au moins partiellement par le dispositif de gestion DG (illustré au moins partiellement sur les figures 1 et 2) qui comprend à cet effet au moins un processeur PR1, par exemple de signal numérique (ou DSP (« Digital Signal Processor »)), et au moins une mémoire MD. Ce dispositif de gestion DG peut donc être réalisé sous la forme d’une combinaison de circuits ou composants électriques ou électroniques (ou « hardware ») et de modules logiciels (ou « software »). A titre d’exemple, il peut s’agir d’un microcontrôleur. La mémoire MD est vive afin de stocker des instructions pour la mise en œuvre par le processeur PR1 d’une partie au moins du procédé de contrôle. Le processeur PR1 peut comprendre des circuits intégrés (ou imprimés), ou bien plusieurs circuits intégrés (ou imprimés) reliés par des connections filaires ou non filaires. On entend par circuit intégré (ou imprimé) tout type de dispositif apte à effectuer au moins une opération électrique ou électronique. Dans l’exemple illustré non limitativement sur les figures 1 et 2, le dispositif de gestion DG fait partie du calculateur de supervision CS. Mais cela n’est pas obligatoire. En effet, le dispositif de gestion DG pourrait comprendre son propre calculateur dédié, lequel est alors couplé au calculateur de supervision CS, ou bien pourrait faire partie d’un autre calculateur embarqué dans le véhicule V et assurant au moins une autre fonction, par exemple. Comme illustré non limitativement sur la , le procédé (de gestion), selon l’invention, comprend une étape 10-120 qui est mise en œuvre chaque fois qu’est mis en fonctionnement un équipement (ici le moteur thermique MT) contrôlé par un logiciel tournant dans un calculateur associé (ici le calculateur de machine CM) et dont le fonctionnement fait l’objet de diagnostics (éventuellement différents). L’étape 10-120 du procédé comprend une sous-étape 40 dans laquelle, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de l’équipement MT dans un intervalle de temps it qui est inférieur ou égal à une première durée d1 prédéfinie (soit it ≤ d1), on interdit le calculateur (ici de machine) CM associé de fonctionner (le dispositif de gestion DG déclenche l’interdiction de fonctionnement du calculateur CM associé). On considère en effet que si deux erreurs sont détectés pour un même équipement MT dans un intervalle de temps it inférieur ou égal à la première durée d1, cela signifie que cette erreur est permanente et donc qu’il faut immédiatement placer le calculateur CM dans un état de sécurité en lui interdisant de continuer de fonctionner pour éviter qu’un évènement dangereux survienne dans le véhicule V. On réduit ainsi notablement la durée nécessaire à la prise d’une décision de cessation du fonctionnement d’un calculateur CM (et donc à son placement dans un état de sécurité), ce qui permet de satisfaire aux exigences temporelles de sécurité qui sont liées au niveau de sécurité associé au diagnostic considéré. On comprendra en effet que la première durée d1 est choisie de manière à être inférieure ou égale à la durée maximale imposée par un niveau de sécurité associé à un diagnostic pour placer un calculateur dans un état de sécurité en cas de détection d’une erreur de fonctionnement permanente d’un équipement contrôlé par ce calculateur. Par exemple, dans l’étape 10-120 la première durée d1 prédéfinie peut être comprise entre 0,8 s et 1,5 s. A titre d’exemple illustratif, cette première durée d1 prédéfinie peut être égale à 1 s. Mais d’autres valeurs de première durée d1 peuvent être utilisées, car cela dépend notamment du temps nécessaire à la réalisation d’un diagnostic et de la durée (éventuellement période) séparant deux diagnostics consécutifs. Par exemple, la valeur de la première durée d1 peut être choisie pendant la phase de mise au point d’un véhicule similaire au véhicule V. Egalement par exemple, et comme illustré non limitativement sur la , l’étape 10-120 peut comprendre une sous-étape 10 dans laquelle on (le dispositif de gestion DG) peut déclencher une première temporisation, d’une durée égale à la première durée d1, en cas de détection par un diagnostic d’une première erreur de fonctionnement de l’équipement MT pendant un cycle de conduite du véhicule V. Ainsi, si une seconde erreur de fonctionnement de l’équipement MT est détectée pendant cette durée de la première temporisation, on (le dispositif de gestion DG) effectue la sous-étape 40. De préférence, dans l’étape 10-120, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives de l’équipement MT dans un intervalle de temps qui est supérieur à la première durée d1 prédéfinie, on (le dispositif de gestion DG) peut incrémenter la valeur en cours vc d’un compteur d’erreurs. Dans ce cas, lorsque cette valeur en cours vc est égale à une valeur prédéfinie vp (soit vc = vp), on (le dispositif de gestion DG) peut interdire le calculateur CM de fonctionner. Par exemple, dans l’étape 10-120, lorsque la valeur en cours vc est inférieure à la valeur prédéfinie vp (soit vc Egalement par exemple, dans l’étape 10-120, après la réinitialisation du logiciel, on (le dispositif de gestion DG) peut déclencher une seconde temporisation d’une seconde durée d2 prédéfinie, supérieure à la première durée d1. Dans ce cas, en l’absence de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, pendant cette seconde durée d2 prédéfinie, on (le dispositif de gestion DG) peut décrémenter la valeur en cours vc du compteur d’erreurs. En revanche, en cas de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, avant l’expiration de la seconde durée d2 prédéfinie, on le dispositif de gestion DG) peut incrémenter la valeur en cours vc du compteur d’erreurs, et, lorsque cette valeur en cours vc est égale à la valeur prédéfinie vp (soit vc = vp), on (le dispositif de gestion DG) peut interdire le calculateur CM de fonctionner. On notera qu’en présence d’une détection d’erreur prenant environ 500 ms et d’une réinitialisation logicielle prenant environ 400 ms, après une détection d’une première erreur on effectue une réinitialisation logicielle puis une nouvelle détection, ce qui prend environ 900 ms. Par conséquent, le choix d’une première durée d1 égale à 1 s est bien adapté à de telles valeurs (500 ms + 400 ms = 900 ms Par exemple, on (le dispositif de gestion DG) peut incrémenter d’une unité la valeur en cours vc du compteur d’erreurs (soit vc = vc + 1). Mais la valeur de l’incrément pourrait-être supérieure à un (1). Egalement par exemple, on (le dispositif de gestion DG) peut décrémenter d’une unité la valeur en cours vc du compteur d’erreurs, tout en conservant vc positif ou nul (soit vc = max(vc – 1, 0)). Mais la valeur du décrément pourrait-être supérieure à un (1). Egalement par exemple, dans l’étape 10-120 la valeur prédéfinie vp peut être comprise entre 3 et 10. A titre d’exemple illustratif, cette valeur prédéfinie vp peut être égale à 4. Mais elle pourrait prendre d’autres valeurs. Par exemple, la valeur prédéfinie vp peut être choisie pendant la phase de mise au point d’un véhicule similaire au véhicule V. Afin de mettre en œuvre les options et sous-options décrites ci-avant, l’étape 10-120 peut, par exemple et comme illustré non limitativement sur la , comprendre une sous-étape 30 dans laquelle on (le dispositif de gestion DG) détermine après une nouvelle détection (dans la sous-étape 20) si la première temporisation a expiré. Dans la négative, on (le dispositif de gestion DG) effectue la sous-étape 40. En revanche, si la première temporisation a expiré, on (le dispositif de gestion DG) peut effectuer une sous-étape 50 consistant à incrémenter la valeur en cours vc du compteur d’erreurs. Puis, dans une sous-étape 60, on (le dispositif de gestion DG) peut déterminer si la nouvelle valeur en cours vc est égale à la valeur prédéfinie vp. Si la nouvelle valeur en cours vc est égale à la valeur prédéfinie vp, on (le dispositif de gestion DG) peut effectuer une sous-étape 70 consistant à interdire le calculateur CM de fonctionner. En revanche, si la nouvelle valeur en cours vc est inférieure à la valeur prédéfinie vp (soit vc Ensuite, on (le dispositif de gestion DG) peut effectuer une sous-étape 100 consistant à déterminer si la seconde durée d2 est écoulée sans qu’il y ait eu une nouvelle détection d’erreur. Dans l’affirmative, on (le dispositif de gestion DG) peut effectuer une sous-étape 110 consistant à décrémenter la valeur en cours vc, puis on (le dispositif de gestion DG) peut retourner effectuer la sous-étape 10 (dans l’attente d’une éventuelle prochaine détection d’erreur). En revanche, si la seconde durée d2 n’est pas encore écoulée, on (le dispositif de gestion DG) peut effectuer une sous-étape 120 consistant à déterminer s’il y a eu une nouvelle détection d’erreur depuis la précédente détection d’erreur. Dans l’affirmative, on (le dispositif de gestion DG) peut effectuer la sous-étape 50 pour incrémenter la valeur en cours vc du compteur d’erreurs (par exemple d’une unité). En revanche, dans la négative (absence de nouvelle détection d’erreur), on (le dispositif de gestion DG) peut retourner effectuer la sous-étape 100. On notera que le compteur d’erreurs est associé aux erreurs détectées pour un équipement MT, mais il peut être dédié à un type d’erreur ou bien à tous les différents types d’erreur pouvant être détectés pour cet équipement MT, selon l’implémentation choisie et/ou selon l’équipement MT considéré. On notera également que la valeur en cours vc du compteur d’erreurs est préférentiellement remise à zéro chaque fois que le véhicule V est endormi ou réveillé. Mais cela n’est pas une obligation. Egalement par exemple, dans l’étape 10-120 la seconde durée d2 prédéfinie peut être comprise entre 3 mn et 10 mn. A titre d’exemple illustratif, cette seconde durée d2 prédéfinie peut être égale à 5 mn. Mais d’autres valeurs de seconde durée d2 peuvent être utilisées. Par exemple, la valeur de la seconde durée d2 peut être choisie pendant la phase de mise au point d’un véhicule similaire au véhicule V. On notera également, comme illustré non limitativement sur la , que le calculateur de supervision CS (ou le calculateur du dispositif de gestion DG) peut aussi comprendre une mémoire de masse MM1, notamment pour stocker des instants de réception de messages signalant la détection d’une erreur et d’éventuelles données intermédiaires intervenant dans tous ses calculs et traitements. Par ailleurs, ce calculateur de supervision CS (ou le calculateur du dispositif de gestion DG) peut aussi comprendre une interface d’entrée IE pour la réception d’au moins des messages signalant la détection d’une erreur pour les utiliser dans des calculs ou traitements, éventuellement après les avoir mis en forme et/ou démodulés et/ou amplifiés, de façon connue en soi, au moyen d’un processeur de signal numérique PR2. De plus, ce calculateur de supervision CS (ou le calculateur du dispositif de gestion DG) peut aussi comprendre une interface de sortie IS, notamment pour délivrer un message (ou ordre) de cessation de fonctionnement du calculateur CM. On notera également que l’invention propose aussi un produit programme d’ordinateur (ou programme informatique) comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement de type circuits électroniques (ou hardware), comme par exemple le processeur PR1, est propre à mettre en œuvre le procédé de gestion décrit ci-avant pour gérer dans le véhicule V les erreurs de fonctionnement d’au moins un équipement (ici le moteur thermique MT) contrôlé par un logiciel tournant dans un calculateur associé (ici le calculateur de machine CM) et dont le fonctionnement fait l’objet de diagnostics (éventuellement différents). L’invention permet de respecter correctement le temps nécessaire pour mettre les passagers du véhicule V en sécurité en cas de danger réel, tout en assurant la disponibilité de l’utilisation d’un calculateur en n’appliquant pas un état de sécurité sévère à ce dernier lorsque cela n’est pas nécessaire. Il en résulte une amélioration non seulement de la sécurité du véhicule V et de ses passagers, mais aussi du niveau de satisfaction du conducteur. En outre, cela permet de réduire les interventions des services après-vente. Procédé de gestion pour un véhicule (V) comprenant au moins un équipement (MT) ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur (CM) et faisant l’objet de diagnostics, caractérisé en ce qu’il comprend une étape (10-120) dans laquelle, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives dudit équipement (MT) dans un intervalle de temps inférieur ou égal à une première durée prédéfinie, on interdit ledit calculateur (CM) de fonctionner. Procédé selon la revendication 1, caractérisé en ce que dans ladite étape (10-120), en cas de détection par un diagnostic de deux erreurs de fonctionnement successives dudit équipement (MT) dans un intervalle de temps supérieur à ladite première durée prédéfinie, on incrémente une valeur en cours d’un compteur d’erreurs et lorsque ladite valeur en cours est égale à une valeur prédéfinie on interdit ledit calculateur (CM) de fonctionner. Procédé selon la revendication 2, caractérisé en ce que dans ladite étape (10-120), lorsque ladite valeur en cours est inférieure à ladite valeur prédéfinie, on réinitialise ledit logiciel. Procédé selon la revendication 3, caractérisé en ce que dans ladite étape (10-120), après ladite réinitialisation, on déclenche une temporisation d’une seconde durée prédéfinie, supérieure à ladite première durée, et en l’absence de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, pendant ladite seconde durée prédéfinie, on décrémente ladite valeur en cours du compteur d’erreurs, tandis qu’en cas de détection par un diagnostic d’une nouvelle erreur, suivant une dernière détection d’erreur, avant l’expiration de ladite seconde durée prédéfinie, on incrémente ladite valeur en cours du compteur d’erreurs et lorsque ladite valeur en cours est égale à une valeur prédéfinie on interdit ledit calculateur (CM) de fonctionner. Procédé selon la revendication 4, caractérisé en ce que dans ladite étape (10-120) on décrémente d’une unité ladite valeur en cours du compteur d’erreurs. Procédé selon la revendication 4 ou 5, caractérisé en ce que dans ladite étape (10-120) ladite seconde durée prédéfinie est comprise entre 3 mn et 10 mn. Procédé selon l’une des revendications 1 à 6, caractérisé en ce que dans ladite étape (10-120) ladite première durée prédéfinie est comprise entre 0,8 s et 1,5 s. Produit programme d’ordinateur comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement, est propre à mettre en œuvre le procédé de gestion selon l’une des revendications 1 à 7, dans un véhicule (V) comprenant au moins un équipement (MT) ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur (CM) et faisant l’objet de diagnostics, pour gérer des erreurs détectées par au moins un diagnostic. Dispositif de gestion (DG) pour un véhicule (V) comprenant au moins un équipement (MT) ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur (CM) et faisant l’objet de diagnostics, caractérisé en ce qu’il comprend au moins un processeur (PR1) et au moins une mémoire (MD) agencés pour effectuer les opérations consistant, en cas de détection par un diagnostic de deux erreurs de fonctionnement successives dudit équipement (MT) dans un intervalle de temps inférieur ou égal à une première durée prédéfinie, à déclencher une interdiction de fonctionnement dudit calculateur (CM). Véhicule (V) comprenant au moins un équipement (MT) ayant un fonctionnement contrôlé par un logiciel tournant dans un calculateur (CM) et faisant l’objet de diagnostics, caractérisé en ce qu’il comprend en outre un dispositif de gestion (DG) selon la revendication 9.