FR 3155791 A1 20250530 FR 2313218 A 20231128 Procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile, système embarqué pour véhicule automobile, véhicule automobile équipé d’un tel système La présente invention a pour objet un procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile, le véhicule automobile étant équipé d’un système embarqué, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique (UC) pilotant une pluralité de modes de fonctionnement (F) du véhicule avec des transitions (T) d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile et au moins une mémoire, dite mémoire (M) de transition interdite, stockant au moins une donnée représentative d’une transition (T) interdite. Un tel procédé consiste à surveiller les données de transition pour pouvoir détecter une transition (T) interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite(s) stockée(s) dans la mémoire (M) de transition interdite, et consiste dans le cas d’une détection d’une transition interdite : à commander une transition autorisée vers un mode de fonctionnement refuge. Elle a encore pour objet un tel système embarqué et un tel véhicule automobile. Figure à publier avec l’abrégé : Fig. unique Procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile, système embarqué pour véhicule automobile, véhicule automobile équipé d’un tel système La présente invention concerne le domaine des véhicules automobiles et plus particulièrement des systèmes embarqués dans ces véhicules. Elle a pour objet un procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile. Elle a également pour objet un système embarqué pour véhicule automobile et un véhicule automobile équipé d’un tel système embarqué. On entend par véhicule automobile (ou véhicule) dans la présente demande tout engin mobile motorisé ou véhicule terrestre à moteur circulant sur le sol et servant au transport des personnes et/ou des marchandises, autre que ceux circulant sur des voies ferrées. Un tel véhicule automobile est équipé d’un moteur à combustion, un moteur électrique ou un moteur hybride. Dans l’industrie des véhicules automobiles, notamment pour répondre aux problèmes de sécurité, de performance, de confort et de communication, les constructeurs ont équipé ces derniers de systèmes embarqués intégrant de plus en plus d’électronique et d’informatique. Un tel système embarqué permet de gérer des fonctions liées à différents domaines de fonctionnement du véhicule automobile tels que, par exemple, le fonctionnement du moteur, la régulation de vitesse, le positionnement géographique du véhicule automobile, l’aide à la conduite, la charge de la batterie (dans le cas d’un véhicule automobile électrique) ou encore le freinage du véhicule automobile. Le système embarqué comprend de nombreux calculateurs (généralement connus sous l’acronyme anglais ECU « Electronic Control Unit ») pour gérer ces fonctions, un calculateur gérant généralement une fonction, des actionneurs commandés par les calculateurs pour exécuter physiquement les ou certaines fonctions et des capteurs pour contrôler le fonctionnement des actionneurs. Pour permettre la communication entre les différents composants (calculateurs, capteurs, actionneurs) du système embarqué celui-ci comprend en outre un réseau de communication, généralement un réseau de communication du type bus CAN (acronyme anglais de « Controller Area Network”), ou Ethernet, permettant, entre ces composants, une grande vitesse de communication avec une grande quantité de données. Un tel calculateur contient une ou plusieurs carte(s) électroniques et les programmes/logiciels à mettre en œuvre pour réaliser les fonctions correspondantes, notamment en fonction des données qui lui sont transmises par les capteurs et/ou d’autres calculateurs. En outre, pour contrôler au plus près ces fonctions afin, notamment, de réduire le nombre de câbles électriques dans le véhicule automobile et d’améliorer la vitesse de transmission des données, les systèmes embarqués reposent sur une architecture électronique/électrique centralisée et comprennent une unité centrale de gestion électronique permettant de piloter plusieurs modes de fonctionnement du véhicule en mettant en œuvre/exécutant des instructions d’un ou plusieurs logiciel(s) (ou programme(s) d’ordinateur). De tels systèmes embarqués sont généralement organisés selon une distribution zonale en comprenant également des interfaces électroniques reliées à l’unité centrale électronique et permettant de gérer une zone spécifique du véhicule via un ou plusieurs desdits calculateurs. Ces modes de fonctionnement sont organisés selon une succession par niveau des modes de fonctionnement, généralement entre un niveau de base où le véhicule est dans un mode de fonctionnement basse consommation jusqu’à un niveau supérieure où le véhicule est dans un mode de fonctionnement où il est en marche et roulant. La transition (ou le passage) d’un mode de fonctionnement à un autre est gérée par l’unité centrale de gestion électronique en fonction des évènements du véhicule. Toutefois, avec ces systèmes embarqués, un problème logiciel et/ou matériel peut entraîner une défaillance et une situation dangereuse. En effet, certaines transitions, dites transitions interdites, qui ne sont pas autorisées, peuvent malgré tout se produire lors d’un tel problème logiciel ou matériel, et entraîner une telle situation dangereuse, c’est le cas, par exemple, d’une transition d’un mode de fonctionnement dans lequel le véhicule est en marche et circule/roule vers un mode de fonctionnement dans lequel le véhicule est immobilisé par le système de frein de stationnement ou de parking. La présente invention a pour but de pallier ces inconvénients. A cet effet, la présente invention a pour objet un procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile, le véhicule automobile étant équipé d’un système embarqué, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique pilotant une pluralité de modes de fonctionnement du véhicule automobile avec des transitions d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile et au moins une mémoire, dite mémoire des transitions interdites, stockant au moins une donnée représentative d’une transition interdite, chaque transition d’un mode de fonctionnement à un autre dans une succession par niveau de ces modes de fonctionnement étant définie par une donnée de transition, se caractérisant en ce qu’il consiste à mettre en œuvre les étapes suivantes au moyen de l’unité centrale de gestion électronique : - surveiller les données de transition pour pouvoir détecter une transition interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite stockée(s) dans la mémoire de transition interdite, - dans le cas d’une détection d’une transition interdite : commander une transition autorisée vers un mode de fonctionnement refuge. La présente invention a également pour objet un système embarqué pour véhicule automobile, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique permettant de piloter une pluralité de modes de fonctionnement du véhicule automobile avec des transitions d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile, se caractérisant en ce qu’il comprend en outre au moins une mémoire, dite mémoire de transition interdite, stockant au moins une donnée représentative d’une transition interdite, chaque transition d’un mode de fonctionnement à un autre dans une succession par niveau de ces modes de fonctionnement étant définie par une donnée de transition et en ce que l’unité centrale de gestion électronique est configurée : – pour surveiller les données de transition de sorte à pouvoir détecter une transition interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite stockée(s) dans la mémoire de transition interdite - dans le cas d’une détection d’une transition interdite : pour commander une transition autorisée vers un mode de fonctionnement refuge. La présente invention a encore pour objet un véhicule automobile équipé d’un système embarqué, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique permettant de piloter une pluralité de modes de fonctionnement du véhicule automobile avec des transitions d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile, se caractérisant en ce que le système embarqué consiste en un système embarqué selon la présente invention. L'invention sera mieux comprise, grâce à la description ci-après, qui se rapporte à un mode de réalisation préféré, donné à titre d'exemple non limitatif, et expliqué avec référence aux dessins schématiques annexés, dans lesquels : est une représentation schématique partielle d’un système embarqué selon la présente invention. La figure unique montre schématiquement et partiellement un système embarqué selon la présente invention reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique UC permettant de piloter une pluralité de modes de fonctionnement F du véhicule automobile avec des transitions T d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile. Ces modes de fonctionnement sont organisés selon une succession par niveau des modes de fonctionnement, par exemple, comme on peut le voir sur la figure unique, selon la succession par niveau suivante, depuis un niveau de base où le véhicule automobile est en basse consommation jusqu’à un niveau supérieure où le véhicule est en marche et est roulant : - un mode de fonctionnement appelé « FAIBLE CONSOMMATION » (ou « STAND BY » ou « LOW POWER »), dans lequel le véhicule automobile est en basse consommation, c’est-à-dire en quelque sorte dans un état « endormi » attendant un « réveil », - un mode de fonctionnement appelé « PARKING » (ou « PARK »), dans lequel le conducteur est absent du véhicule automobile et les interfaces homme machine (IHM) sont coupées (non activées), - un mode de fonctionnement appelé « VIE A BORD » (ou en anglais « LIFE ON BOARD »), dans lequel le conducteur est présent dans le véhicule automobile et peut activer différentes fonctions telles que, par exemple, l’interface IHM, à savoir, par exemple, le système multimédia (écran, système d’exploitation, navigateur GPS et autres fonctionnalités multimédias) ou encore le système thermique assurant le confort thermique du véhicule automobile, - un mode de fonctionnement appelé mode « PREPARATION CONDUITE » ou « MARCHE » (ou en anglais « POWER ON »), dans lequel le conducteur est présent et installé dans le véhicule automobile, - un mode de fonctionnement, appelé mode « CONDUITE » ou « MISSION » (ou en anglais « TRACTION ON »), dans lequel le frein de stationnement ou de parking permettant d’immobiliser le véhicule automobile à l’arrêt est desserré (non activé) et le véhicule automobile est en marche et roulant. On peut voir également sur la figure un mode de fonctionnement appelé mode « MISE A JOUR » intercalé entre les modes « PARKING » et « VIE A BORD ». La présente invention n’est bien évidemment pas limitée à cet exemple de modes de fonctionnement et à son organisation dans une succession par niveau telle qu’illustrée, ni aux termes donnés à chacun de ces modes de fonctionnement. La présente invention peut être mise en œuvre avec d’autres modes de fonctionnement et/ou organisations, ou avec des modes de fonctionnement venant s’ajouter à ou s’enlever de ceux décrits précédemment et illustrés par la figure unique. Pour commander une transition d’un mode de fonctionnement à un autre, l’unité centrale de gestion électronique UC exécute, en fonctions des données qu’elle reçoit (évènements dans le véhicule automobile), des instructions de commande d’un logiciel ou programme d’ordinateur mémorisé dans une mémoire du système embarqué. La commande a pour effet de commander une ou plusieurs fonction(s) du véhicule automobile permettant la mise en œuvre du mode de fonctionnement dans lequel doit être mis le véhicule. Un tel système embarqué peut comprendre en outre (non représentés sur les figures annexées) : - des actionneurs permettant d’exécuter physiquement les fonctions commandées et des calculateurs (non représentés sur les figures annexées) reliés à l’unité centrale de gestion électronique UC, - des capteurs pour contrôler le fonctionnement des actionneurs, - un réseau de communication, par exemple du type bus CAN (acronyme anglais de « Controller Area Network ») ou Ethernet, permettant, entre les composants (unité centrale de gestion électronique, calculateurs, actionneurs, capteurs) du système embarqué, une grande vitesse de communication avec une grande quantité de données. En outre, pour contrôler au plus près ces fonctions afin, notamment, de réduire le nombre de câbles électriques dans le véhicule automobile et d’améliorer la vitesse de transmission des données, le système embarqué peut comprendre des interfaces électroniques de gestion (ou de distribution). Ces interfaces électroniques de gestion sont généralement connues sous l’acronyme anglais de PIU « Physical Interface Unit » et relient chaque calculateur à l’unité centrale de gestion électronique UC. Chaque interface électronique de gestion est dédiée à une zone spécifique du véhicule automobile dont elle gère des fonctions via un ou plusieurs calculateurs. Ces composants d’un tel système embarqué sont connus de l’homme du métier et ne sont pas décrits plus en détail dans la présente invention. Si on se réfère à nouveau à la figure unique, on peut voir plus particulièrement les transitions T gérées par l’unité centrale électronique UC, c’est-à-dire commandées par cette dernière, et notamment les transitions T autorisées représentées par des flèches en trait continu. On peut voir également des transitions T interdites représentées par des flèches en trait interrompu, c’est-à-dire des transitions qui ne doivent pas être exécutées par l’unité centrale de gestion électronique UC car elles peuvent entraîner des situations dangereuses. Ces transitions T interdites peuvent se produire lors d’une défaillance du logiciel (ou d’au moins l’un des logiciels) et/ou du matériel du système embarqué. Pour éviter ces situations dangereuses créées par au moins une transition interdite qui serait malgré tout exécutée du fait d’un tel problème de défaillance, le système embarqué selon la présente invention apporte une contribution technique en comprenant en outre, conformément à la présente invention, au moins une mémoire, dite mémoire M de transition interdite, stockant au moins une donnée représentative d’une transition interdite, chaque transition T d’un mode de fonctionnement à un autre dans une succession par niveau de ces modes de fonctionnement étant définie par une donnée de transition. En outre, toujours conformément à la présente invention, l’unité centrale de gestion électronique UC est configurée : – pour surveiller les données de transition de sorte à pouvoir détecter une transition interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite stockée(s) dans la mémoire de transition interdite M, - dans le cas d’une détection d’une transition interdite : pour commander une transition autorisée vers un mode de fonctionnement refuge. On entend par mode de fonctionnement refuge, un mode de fonctionnement dans lequel le véhicule automobile est dans état sûr ou sécurisé. Un tel mode de fonctionnement refuge est stockée/enregistré dans une mémoire du système embarqué, notamment dans une mémoire de l’unité centrale de gestion électronique UC. On comprend que la commande dans le mode de fonctionnement refuge est réalisée instantanément par l’unité centrale de gestion électronique dès la détection de la transition interdite afin de sécuriser immédiatement le véhicule automobile. Ainsi, on peut voir, dans la succession par niveau des modes de fonctionnement telle qu’illustrée, les transitions interdites suivantes : – la transition du mode « CONDUITE » vers le mode « PARKING » ou « MISE A JOUR », – la transition du mode « CONDUITE » vers le mode « FAIBLE CONSOMMATION ». Si l’une quelconque de ces trois transitions interdites illustrées sur la figure unique se produit, elle sera immédiatement détectée par l’unité centrale de gestion électronique UC qui commandera instantanément, à la suite de cette détection, la transition dans le mode de fonctionnement refuge. Dans une forme de réalisation préférentielle, le mode de fonctionnement refuge peut être le mode de fonctionnement précédent pouvant être atteint par une transition autorisée. Si on se réfère à nouveau à la figure unique, on peut voir que, dans le cas où le véhicule automobile est dans le mode « CONDUITE », que le mode de fonctionnement précédent pouvant être atteint par une transition autorisée peut alors être le mode « PREPARATION CONDUITE » qui est, dans ce cas illustré, celui du niveau immédiatement inférieur. La présente invention a également pour objet un procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile. Le système embarqué consiste en un tel système embarqué, selon la présente invention, tel que décrit précédemment. Un tel système embarqué selon la présente invention permet la mise en œuvre du procédé. Conformément à la présente invention, un tel procédé consiste à mettre en œuvre les étapes suivantes au moyen de l’unité centrale de gestion électronique UC : - surveiller les données de transition pour pouvoir détecter une transition T interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite(s) stockée(s) dans la mémoire M de transition interdite, et - dans le cas d’une détection d’une transition interdite : commander une transition autorisée vers un mode de fonctionnement refuge. Comme vu précédemment, le mode de fonctionnement refuge peut être est le mode de fonctionnement précédent autorisé dans une succession par niveau des modes de fonctionnement autorisés, par exemple dans la succession par niveau des modes de fonctionnement autorisés illustrée sur la figure unique. La présente invention a encore pour objet un véhicule automobile équipé d’un système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique UC permettant de piloter une pluralité de modes de fonctionnement F du véhicule automobile avec des transitions T d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile. Conformément à la présente invention, le système embarqué consiste en un système embarqué selon la présente invention. La présente invention a également pour objet un programme d’ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé selon la présente invention. L’ordinateur est constitué par l’unité centrale de gestion électronique UC. Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit et représenté aux dessins annexés. Des modifications restent possibles, notamment du point de vue de la constitution des divers éléments ou par substitution d'équivalents techniques, sans sortir pour autant du domaine de protection de l'invention. Procédé de surveillance des transitions des modes de fonctionnement d’un véhicule automobile, le véhicule automobile étant équipé d’un système embarqué, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique (UC) pilotant une pluralité de modes de fonctionnement (F) du véhicule automobile avec des transitions (T) d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile et au moins une mémoire, dite mémoire (M) de transition interdite, stockant au moins une donnée représentative d’une transition (T) interdite, chaque transition (T) d’un mode de fonctionnement à un autre dans une succession par niveau de ces modes de fonctionnement étant définie par une donnée de transition, caractérisé en ce qu’il consiste à mettre en œuvre les étapes suivantes au moyen de l’unité centrale de gestion électronique (UC) : - surveiller les données de transition pour pouvoir détecter une transition (T) interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite(s) stockée(s) dans la mémoire (M) de transition interdite, et - dans le cas d’une détection d’une transition interdite : commander une transition autorisée vers un mode de fonctionnement refuge. Procédé de surveillance selon la revendication 1, caractérisé en ce que le mode de fonctionnement refuge est le mode de fonctionnement précédent pouvant être atteint par une transition autorisée. Programme d’ordinateur comprenant des instructions des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé selon la revendication 1 ou 2 et en ce que l’ordinateur est constitué par l’unité centrale de gestion électronique (UC). Système embarqué pour véhicule automobile, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique (UC) permettant de piloter une pluralité de modes de fonctionnement du véhicule automobile avec des transitions (T) d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile, caractérisé en ce qu’il comprend en outre au moins une mémoire, dite mémoire (M) de transition interdite, stockant au moins une donnée représentative d’une transition interdite, chaque transition (T) d’un mode de fonctionnement à un autre dans une succession par niveau de ces modes de fonctionnement étant définie par une donnée de transition et en ce que l’unité centrale de gestion électronique (UC) est configurée : pour surveiller les données de transition de sorte à pouvoir détecter une transition (T) interdite en comparant chaque donnée de transition à la donnée ou aux données de transition interdite stockée(s) dans la mémoire de transition interdite (M), dans le cas d’une détection d’une transition (T) interdite : pour commander une transition (T) autorisée vers un mode de fonctionnement refuge. Système embarqué selon la revendication 4, caractérisé en ce que le mode de fonctionnement refuge est le mode de fonctionnement précédent pouvant être atteint par une transition autorisée. Véhicule automobile équipé d’un système embarqué, le système embarqué reposant sur une architecture électronique/électrique centralisée et comprenant une unité centrale de gestion électronique (UC) permettant de piloter une pluralité de modes de fonctionnement du véhicule automobile avec des transitions (T) d’un mode de fonctionnement à un autre en fonction des évènements du véhicule automobile, caractérisé en ce que le système embarqué consiste en un système embarqué selon l’une quelconque des revendications 4 à 5.