FR 3153904 A1 20250411 FR 2310700 A 20231006 Procédé (P) de sécurisation de l’acquisition de signaux analogiques (S), mis en œuvre par un calculateur (C) embarqué pour véhicule automobile, le calculateur étant configuré pour stocker (Es) en mémoire un signal analogique de référence (SrefA) prédéterminé variant dans le temps et un signal numérique de référence (SrefN) obtenu par conversion analogique-numérique du signal analogique de référence, et lorsqu’une alarme de divergence (Ed) est déclenchée : /a/ amener le signal analogique de référence (SrefA) en entrée de chacun respectif de deux convertisseurs analogique-numérique (ADCa, ADCb), /b/ comparer (Ec) le signal numérique de référence (SrefN) avec chacun respectif de deux signaux numériques convertis obtenus en réponse en sortie des convertisseurs analogique-numérique, /c/ si une seule des comparaisons est satisfaisante, sélectionner (Es) le signal numérique correspondant, et envoyer ce signal en entrée de chacun de deux modules de calcul, et déclencher (Ef) une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Figure pour l’abrégé : Figure 2 Procédé de sécurisation de l’acquisition d’un signal analogique par un convertisseur analogique-numérique d’un calculateur embarqué pour véhicule automobile Domaine de l’invention La présente invention concerne un procédé de sécurisation de l’acquisition d’un signal analogique par un calculateur embarqué pour véhicule automobile. Elle concerne aussi un tel calculateur embarqué et un véhicule automobile équipé d’un tel calculateur. Art antérieur Un calculateur embarqué pour véhicule automobile présente usuellement plusieurs convertisseurs analogique-numérique, dont l’un au moins est dédié à la sécurité de fonctionnement. Un convertisseur analogique-numérique dédié à la sécurité de fonctionnement comporte une logique interne de diagnostic pour identifier différents types de défaillance. Les différents types de défaillance sont, par exemple, des défaillances de multiplexer, des expirations de délai d’attente de fin de conversation, des détections de divergences entre convertisseurs, des défaillances d’un signal converti à partir du signal d’alimentation. Les différents types de défaillance sont uniquement utilisés pour établir un diagnostic et sécuriser le système en réinitialisant ou en arrêtant le véhicule en cas de défaillance du convertisseur analogique-numérique. En cas de défaillance du convertisseur analogique-numérique, et de manière indépendante d’un symptôme, après un certain nombre de réinitialisations, généralement 8, le système est bloqué et le véhicule ne peut pas démarrer ou, pire, le véhicule est arrêté sur la route, parce qu’il n’est pas possible d’effectuer d’acquisition analogique. Un but de l’invention est de pallier les inconvénients des procédés selon l’art antérieur, et notamment d’éviter une immobilisation du véhicule sur la route même si une défaillance permanente apparaît. À cet effet, il est proposé, selon un premier aspect de l’invention, un procédé de sécurisation de l’acquisition de signaux analogiques, mis en œuvre par un calculateur embarqué pour véhicule automobile, le calculateur comportant deux convertisseurs analogique-numérique, et au moins deux modules de calcul associés chacun à l’un respectif des convertisseurs analogique-numérique, chacun des convertisseurs analogique-numérique étant configuré pour convertir un signal analogique d’entrée en un signal numérique dit converti, et pour envoyer le signal numérique converti en entrée de l’au moins un module de calcul correspondant, chacun des modules de calcul étant configuré pour recevoir en entrée un signal numérique en provenance du convertisseur analogique-numérique correspondant, et pour, en réponse, générer un signal de commande d’un dispositif embarqué sur le véhicule et/ou mettre en œuvre une vérification d’intégrité d’un tel signal de commande, le procédé comportant les étapes suivantes : comparer les signaux numériques convertis obtenus en sortie de chacun respectif des convertisseurs analogique-numérique, déclencher une alarme de divergence en cas de divergence entre lesdits signaux numériques convertis. Le calculateur est en outre configuré pour : stocker en mémoire un signal analogique de référence prédéterminé variant dans le temps ainsi qu’un signal numérique de référence obtenu par conversion analogique-numérique dudit signal analogique de référence prédéterminé, et lorsqu’une alarme de divergence est déclenchée : /a/ amener le signal analogique de référence en entrée de chacun respectif des deux convertisseurs analogique-numérique, /b/ comparer ledit signal numérique de référence avec chacun respectif des deux signaux numériques convertis obtenus en réponse, en sortie des convertisseurs analogique-numérique, /c/ si une seule des comparaisons est satisfaisante, sélectionner le signal numérique correspondant, et envoyer ce signal en entrée de chacun des modules de calcul, une comparaison étant considérée comme satisfaisante lorsque l’écart entre le signal numérique de référence et le signal numérique converti est inférieur à un seuil prédéterminé, et déclencher une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Selon un mode de réalisation, les étapes /a/ à /c/ sont en outre mises en œuvre lorsqu’un temps de réponse d'un convertisseur au moins est supérieur à un seuil prédéterminé, le temps de conversion du convertisseur. De préférence, le signal analogique de référence est un signal périodique de type rampe. Avantageusement, préalablement à l’étape de stockage, le procédé comporte en outre une génération du signal analogique de référence prédéterminé variant dans le temps. Le signal analogique de type rampe peut être obtenu par génération d’un signal périodique en créneaux et filtrage dudit signal périodique en créneaux. Selon un deuxième aspect de l’invention, il est proposé un calculateur de sécurisation de l’acquisition de signaux analogiques, embarqué pour véhicule automobile, comportant deux convertisseurs analogique-numérique, et au moins deux modules de calcul associés chacun à l’un respectif des convertisseurs analogique-numérique, chacun des convertisseurs analogique-numérique étant configuré pour convertir un signal analogique d’entrée en un signal numérique dit converti, et pour envoyer le signal numérique converti en entrée de l’au moins un module de calcul correspondant, chacun des modules de calcul étant configuré pour recevoir en entrée un signal numérique en provenance du convertisseur analogique-numérique correspondant, et pour, en réponse, générer un signal de commande (ca, cb) d’un dispositif embarqué sur le véhicule et/ou mettre en œuvre une vérification d’intégrité d’un tel signal de commande. Le calculateur étant en outre configuré pour : comparer les signaux numériques convertis obtenus en sortie de chacun respectif des convertisseurs analogique-numérique, déclencher une alarme de divergence en cas de divergence entre lesdits signaux numériques convertis, stocker en mémoire un signal analogique de référence prédéterminé variant dans le temps ainsi qu’un signal numérique de référence obtenu par conversion analogique-numérique dudit signal analogique de référence prédéterminé, et lorsqu’une alarme de divergence est déclenchée : /a/ amener le signal analogique de référence en entrée de chacun respectif des deux convertisseurs analogique-numérique, /b/ comparer ledit signal numérique de référence avec chacun respectif des deux signaux numériques convertis obtenus en réponse, en sortie des convertisseurs analogique-numérique, /c/ si une seule des comparaisons est satisfaisante, sélectionner le signal numérique correspondant, et envoyer ce signal en entrée de chacun des modules de calcul, une comparaison étant considérée comme satisfaisante lorsque l’écart entre le signal numérique de référence et le signal numérique converti est inférieur à un seuil prédéterminé, et déclencher une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Selon un troisième aspect de l’invention, il est proposé un calculateur selon le deuxième aspect de l’invention, ou l’un ou plusieurs de ses perfectionnements. Brève description des figures D’autres caractéristiques et avantages de l’invention apparaîtront au cours de la lecture de la description détaillée qui va suivre pour la compréhension de laquelle on se reportera aux dessins annexés sur lesquels : FIG. 1 illustre une architecture de calculateur selon l’art antérieur, FIG. 2 illustre une architecture de calculateur selon un mode de réalisation de l’invention, et FIG. 3 illustre un procédé de de sécurisation de l’acquisition de signaux analogiques selon un mode de réalisation de l’invention. Description détaillée de l’invention Les modes de réalisation décrits ci-après n’étant nullement limitatifs, on pourra notamment considérer des variantes de l’invention ne comprenant qu’une sélection de caractéristiques décrites, par la suite isolées des autres caractéristiques décrites, si cette sélection de caractéristiques suffit à conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. Cette sélection comprend au moins une caractéristique, de préférence fonctionnelle sans détails structurels, ou avec seulement une partie des détails structurels si cette partie uniquement suffit à conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. La FIG. 1 illustre une architecture de calcul Aa selon l’art antérieur. L’architecture de calcul Aa comporte deux convertisseurs analogique-numérique ADCa, ADCb (pour l’anglais Analog to Digital Converter ). Chacun des convertisseurs ADCa, respectivement ADCb, est configuré pour convertir un signal analogique d’entrée sEa, respectivement sEb, en un signal numérique de sortie dit converti sSa, respectivement sSb, et pour envoyer le signal numérique converti en entrée d’un module de calcul correspondant, Uc1, respectivement Uc2. Le signal analogique d’entrée sEa, respectivement sEb, est adressé par un multiplexeur M agencé pour recevoir en entrée une pluralité de signaux analogique S. Le dispositif da, respectivement db, comporte une couche applicative L1/L2a, respectivement L1/L2b, comportant notamment une couche SL1/SL2a, respectivement SL1/SL2b, de sûreté de fonctionnement de niveau 1 et 2 en charge de la surveillance de la couche applicative L1L2a, respectivement L1L2b. L’architecture Aa comporte en outre une couche applicative L3a, respectivement L3b, comportant notamment une couche SL3a, respectivement SL3b de sûreté de fonctionnement de niveau 3 en charge de la surveillance de de la couche matérielle L3a, respectivement L3b. La couche SL3 de sûreté de fonctionnement de niveau 3 comporte des procédés de surveillance d1, d2, d3, et d4 configurés pour déclencher une alarme en cas d’anomalie. Le sous-procédé d1 réalise une comparaison de deux signaux numériques convertis par des convertisseurs analogique-numérique, et déclenche une alarme dite de divergence Ed en cas de divergence entre des signaux numériques convertis. Une divergence entre signaux numériques convertis peut être détectée lorsque l’écart entre les signaux numériques convertis est supérieur à un seuil prédéterminé. Le sous-procédé d2 réalise une surveillance des expirations de délai d’attente de fin de conversation (en anglais end of conversion time out ) et déclenche une alarme dite de dépassement de temps EO le cas échéant. Une telle alarme est déclenchée lorsqu’un temps de réponse du convertisseur est supérieur à un seuil prédéterminé, le temps de réponse du convertisseur correspondant au temps de conversion du convertisseur. Le sous-procédé d3 réalise une comparaison entre une valeur prédéterminée représentative d’une tension d’alimentation et la valeur obtenue par conversion par les convertisseurs analogique-numérique à partir d’un courant d’alimentation des convertisseurs et déclenche une alarme dite d’alimentation. En cas d’anomalie, le véhicule est arrêté. Il est maintenant décrit, en référence à la FIG. 2 , une architecture de calculateur C, aussi appelé microcontrôleur, de sécurisation de l’acquisition d’une pluralité de signaux analogique S en même temps qu’un véhicule selon l’invention comprenant un tel calculateur et qu’un procédé P de sécurisation de l’acquisition de tels signaux S. Le calculateur C est configuré pour : comparer les signaux numériques convertis obtenus en sortie de chacun respectif des convertisseurs analogique-numérique ADCa, ADCb, déclencher une alarme de divergence en cas de divergence entre lesdits signaux numériques convertis. Le calculateur C est en outre configuré pour (Es) générer un signal analogique de référence, et stocker en mémoire un signal numérique de référence SrefN obtenu par conversion analogique-numérique dudit signal analogique de référence prédéterminé SrefA, par exemple au moyen d’un convertisseur analogique-numérique de référence. Le signal analogique de référence peut être généré à partir d’un signal périodique de type rampe. Le signal analogique de type rampe peut être obtenu par génération d’un signal périodique en créneaux et filtrage dudit signal périodique en créneaux. Lorsqu’une alarme de divergence Ed est déclenchée, le calculateur C est configuré : /a/ pour amener le signal analogique de référence SrefA en entrée de chacun respectif des deux convertisseurs analogique-numérique ADC1a, ADC2b, /b/ comparer (Ec) le signal numérique de référence SrefN avec chacun des deux signaux numériques convertis obtenus en réponse, en sortie des convertisseurs analogique-numérique. /c/ si une seule des comparaisons est satisfaisante, le calculateur C est configuré pour sélectionner (Es) le signal numérique correspondant, et envoyer ce signal en entrée de chacun des modules de calcul, une comparaison étant considérée comme satisfaisante lorsque l’écart entre le signal numérique de référence SrefN et le signal numérique converti est inférieur à un seuil prédéterminé, et déclencher (Ef) une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Ainsi, lorsqu’une alarme de divergence Ed est déclenchée et lorsque l’un seul des deux signaux numériques convertis par chacun des convertisseurs analogique-numérique à partir dudit signal de référence SrefA correspond au signal numérique de référence SrefN, on sélectionne un convertisseur analogique-numérique encore fonctionnel et on envoie ce signal, au moyen d’un sélecteur, en entrée de chacun des modules de calcul, ce qui permet d’éviter l’immobilisation du véhicule. Selon une possibilité, les étapes /a/ à /c/ sont par ailleurs mises en œuvre lorsqu’une alarme Eo de dépassement de temps est déclenchée. Bien sûr, l’invention n’est pas limitée aux exemples qui viennent d’être décrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de l’invention. De plus, les différentes caractéristiques, formes, variantes et modes de réalisation de l’invention peuvent être associés les uns avec les autres selon diverses combinaisons dans la mesure où ils ne sont pas incompatibles ou exclusifs les uns des autres. Procédé (P) de sécurisation de l’acquisition de signaux analogiques (S), mis en œuvre par un calculateur (C) embarqué pour véhicule automobile, ledit calculateur comportant deux convertisseurs analogique-numérique (ADCa, ADCb), et au moins deux modules de calcul associés chacun à l’un respectif des convertisseurs analogique-numérique (ADC1, ADC2) ; chacun des convertisseurs analogique-numérique (ADCa, ADCb) étant configuré pour convertir un signal analogique d’entrée (sEa, sEb) en un signal numérique dit converti (sSa, sSb), et pour envoyer le signal numérique converti en entrée de l’au moins un module de calcul correspondant (Uca, Ucb) ; chacun des modules de calcul étant configuré pour recevoir en entrée un signal numérique en provenance du convertisseur analogique-numérique (ADC1, ADC2) correspondant, et pour, en réponse, générer un signal de commande (ca, cb) d’un dispositif (da, db) embarqué sur le véhicule et/ou mettre en œuvre une vérification d’intégrité d’un tel signal de commande ; le procédé comportant les étapes suivantes : comparer les signaux numériques convertis obtenus en sortie de chacun respectif des convertisseurs analogique-numérique, déclencher une alarme de divergence (Ed) en cas de divergence entre lesdits signaux numériques convertis, ledit calculateur est en outre configuré pour stocker (Es) en mémoire un signal analogique de référence prédéterminé (SrefA) variant dans le temps ainsi qu’un signal numérique de référence (SrefN) obtenu par conversion analogique-numérique dudit signal analogique de référence prédéterminé, et lorsqu’une alarme de divergence (Ed) est déclenchée : /a/ amener le signal analogique de référence (SrefA) en entrée de chacun respectif des deux convertisseurs analogique-numérique (ADCa, ADCb), /b/ comparer (Ec) ledit signal numérique de référence (SrefN) avec chacun respectif des deux signaux numériques convertis obtenus en réponse, en sortie des convertisseurs analogique-numérique, /c/ si une seule des comparaisons est satisfaisante, sélectionner (Es) le signal numérique converti correspondant, et envoyer ce signal en entrée de chacun des modules de calcul, une comparaison étant considérée comme satisfaisante lorsque l’écart entre le signal numérique de référence (SrefN) et le signal numérique converti est inférieur à un seuil prédéterminé, et déclencher (Ef) une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Procédé selon la revendication précédente, dans lequel les étapes /a/ à /c/ sont en outre mises en œuvre lorsqu’un temps de réponse d’un convertisseur au moins est supérieur à un seuil prédéterminé, le temps de réponse du convertisseur correspondant au temps de conversion du convertisseur. Procédé selon l’une des deux revendications précédentes, dans lequel le signal analogique de référence est un signal périodique de type rampe. Procédé selon l’une quelconque des revendications précédentes, comportant en outre, préalablement à l’étape de stockage (Es), une génération du signal analogique de référence (SrefA) prédéterminé variant dans le temps. Procédé selon la revendication 4, lorsque dépendante de la revendication 3, dans lequel ledit signal périodique de type rampe est obtenu par génération d’un signal périodique en créneaux et filtrage dudit signal périodique en créneaux. Calculateur (C) de sécurisation de l’acquisition de signaux analogiques (S), embarqué pour véhicule automobile, comportant deux convertisseurs analogique-numérique (ADCa, ADCb), et au moins deux modules de calcul associés chacun à l’un respectif des convertisseurs analogique-numérique (ADC1, ADC2) ; chacun des convertisseurs analogique-numérique (ADCa, ADCb) étant configuré pour convertir un signal analogique d’entrée (sEa, sEb) en un signal numérique dit converti (sSa, sSb), et pour envoyer le signal numérique converti en entrée de l’au moins un module de calcul correspondant (Uca, Ucb) ; chacun des modules de calcul étant configuré pour recevoir en entrée un signal numérique en provenance du convertisseur analogique-numérique (ADC1, ADC2) correspondant, et pour, en réponse, générer un signal de commande (ca, cb) d’un dispositif (da, db) embarqué sur le véhicule et/ou mettre en œuvre une vérification d’intégrité d’un tel signal de commande ; le calculateur étant en outre configuré pour : comparer les signaux numériques convertis obtenus en sortie de chacun respectif des convertisseurs analogique-numérique, déclencher une alarme de divergence (Ed) en cas de divergence entre lesdits signaux numériques convertis, stocker (Es) en mémoire un signal analogique de référence prédéterminé (SrefA) variant dans le temps ainsi qu’un signal analogique de référence (SrefA) obtenu par conversion analogique-numérique dudit signal analogique de référence prédéterminé, et lorsqu’une alarme de divergence (Ed) est déclenchée : /a/ amener le signal analogique de référence (SrefA) en entrée de chacun respectif des deux convertisseurs analogique-numérique (ADCa, ADCb), /b/ comparer (Ec) ledit signal numérique de référence (SrefN) avec chacun respectif des deux signaux numériques convertis obtenus en réponse, en sortie des convertisseurs analogique-numérique, /c/ si une seule des comparaisons est satisfaisante, sélectionner (Es) le signal numérique correspondant, et envoyer ce signal en entrée de chacun des modules de calcul, une comparaison étant considérée comme satisfaisante lorsque l’écart entre le signal numérique de référence (SrefN) et le signal numérique converti est inférieur à un seuil prédéterminé, et déclencher (Ef) une alarme de défaillance si aucune des comparaisons n’est satisfaisante. Véhicule équipé d’un calculateur (C) selon la revendication précédente.