FR 3155192 A1 20250516 FR 2312171 A 20231109 L’invention concerne un véhicule automobile comprenant un groupe motopropulseur qui comprend : - une boîte de vitesse (BV) avec un premier moyen de couplage (K1, K2) ; - un moteur thermique (ICE) connecté par l’intermédiaire d’un deuxième moyen de couplage (K0) ; - une machine électrique (MEL) connectée par l’intermédiaire d’un troisième moyen de couplage (KE) ; - un gestionnaire de sécurité connecté à au moins un contrôleur déterminant l’état des élément du groupe motopropulseur, réalisant des réinitialisations du véhicule, caractérisé en ce que ledit contrôleur détecte des défaillances et déclenche des demandes de réinitialisation suivant l’état de couplage de la boîte de vitesse, ou des moyens de couplage (K0, K1, K2). L’invention concerne également un programme et un véhicule sur la base d’un tel procédé. Figure 1 VEHICULE AUTOMOBILE COMPRENANT UN SYSTEME DE GESTION DE REINITIALISATION AMELIORE, PROCEDE ET PROGRAMME SUR LA BASE D’UN TEL VEHICULE L’invention concerne le domaine des véhicules automobiles comportant des systèmes de contrôle de moteurs à combustion interne, et plus particulièrement les détections d’erreurs ou défaillances, et les remises à zéro de ces véhicules automobiles. Les composants logiciels (contrôleur du moteur) doivent satisfaire aux exigences de sécurité normatives en vigueur, notamment aux normes ISO. Celles-ci demandent des diagnostics configurés pour détecter des défaillances aléatoires ou systématiques pouvant entraîner un évènement dangereux, et la mise en œuvre d’une reconfiguration/réinitialisation pour éviter ce risque. Dans l’art antérieur, en cas de détection de défaillance, le signal indiquant la présence du défaut et engendrant une demande d’action de récupération, est directement envoyé à un gestionnaire de sécurité. Dans certains cas, la défaillance est détectée, mais en raison de l’architecture et l’état du groupe motopropulseur, le défaut peut ne pas engendrer d’évènement dangereux. Par exemple, une requête erronée de couple important n’a aucun effet sur une boîte de vitesse en point mort. Pourtant cela peut générer une action de récupération qui n’est pas nécessaire d’un point de vue sécurité. Dans ce cas, le calculateur du moteur est rendu indisponible pendant le temps de la récupération. Un objectif de la présente invention est de remédier aux défauts de l’art antérieur, et notamment de proposer une solution pour limiter les actions de récupération engendrées par des détections de défaillances non pertinentes d’un point de vue sécurité. Pour atteindre cet objectif, l’invention propose un véhicule automobile comprenant un groupe motopropulseur qui comprend : - un train de véhicule équipé de roues ; - une boîte de vitesse connectée au train de véhicule, la boîte de vitesse étant couplée à au moins un premier moyen de couplage ; - un moteur thermique connecté audit premier moyen de couplage par l’intermédiaire d’un deuxième moyen de couplage ; - une machine électrique connectée audit premier moyen de couplage par l’intermédiaire d’un troisième moyen de couplage ; - un gestionnaire de sécurité connecté à au moins un contrôleur déterminant l’état de la boîte de vitesse, des moyens de couplage, de la machine électrique et du moteur thermique, le gestionnaire de sécurité réalisant des réinitialisations du véhicule, caractérisé en ce que ledit contrôleur détecte des défaillances et déclenche des demandes de réinitialisation, et en ce que : - si la boîte de vitesse est en point mort, le gestionnaire de sécurité ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse est couplée au train mais ledit premier moyen de couplage est ouvert, le gestionnaire de sécurité ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse est couplée au train et ledit premier moyen de couplage est fermé, une défaillance de la machine électrique déclenche une réinitialisation par le gestionnaire de sécurité ; - si la boîte de vitesse est couplée au train, ledit premier moyen de couplage est fermé, mais le deuxième moyen de couplage est ouvert une défaillance du moteur thermique ne déclenche pas de réinitialisation par le gestionnaire de sécurité. Avantageusement, l’invention utilise en entrée, plusieurs états de différents éléments physiques du groupe motopropulseur pour déterminer si le défaut détecté nécessite de mettre en œuvre une récupération, ou si un évènement dangereux ne peut pas se produire. Cela limite le nombre d’actions de récupération qui ne sont pas nécessaires d’un point de vue sécurité, et augmente la disponibilité du calculateur du moteur. Selon une variante, le véhicule automobile se caractérise en ce que si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique, le deuxième moyen de couplage étant ouvert, et ledit premier moyen de couplage étant fermé, alors le gestionnaire de sécurité ne réinitialise pas le véhicule automobile. Cela permet de ne pas réinitialiser le véhicule automobile alors que dans cette circonstance, il aurait été réinitialisé dans l’art antérieur. Selon une variante, le véhicule automobile se caractérise en ce que si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique, le deuxième moyen de couplage étant fermé, et ledit premier moyen de couplage étant ouvert, alors le gestionnaire de sécurité ne réinitialise pas le véhicule automobile. Cela permet de ne pas réinitialiser le véhicule automobile alors que dans cette circonstance, il aurait été réinitialisé dans l’art antérieur. Selon une variante, le véhicule automobile se caractérise en ce que si concomitamment à une détection de défaillance de la machine électrique, il n’y a pas de défaillance du moteur thermique, le deuxième moyen de couplage étant fermé, et ledit premier moyen de couplage étant ouvert, alors le gestionnaire de sécurité ne réinitialise pas le véhicule automobile. Cela permet de ne pas réinitialiser le véhicule automobile alors que dans cette circonstance, il aurait été réinitialisé dans l’art antérieur. Selon une variante, le véhicule automobile se caractérise en ce que si concomitamment à une détection de défaillance du moteur thermique, il y a une défaillance de la machine électrique, le deuxième moyen de couplage étant fermé, et ledit premier moyen de couplage étant ouvert, alors le gestionnaire de sécurité ne réinitialise pas le véhicule automobile. Cela permet de ne pas réinitialiser le véhicule automobile alors que dans cette circonstance, il aurait été réinitialisé dans l’art antérieur. L’invention concerne également un procédé de gestion de sécurité pour un véhicule automobile selon l’invention, comprenant les étapes suivantes : - une étape de détection de défaillances dans laquelle on détecte des défaillances du moteur thermique et de la machine électrique, et on déclenche des demandes de réinitialisation, - une étape de contrôle déterminant l’état de la boîte de vitesse, des moyens de couplage, de la machine électrique et du moteur thermique ; - une étape de réinitialisation ou non-réinitialisation du véhicule, dans laquelle : - si la boîte de vitesse est en point mort, le gestionnaire de sécurité ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse est couplée au train mais ledit premier moyen de couplage est ouvert, le gestionnaire de sécurité ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse est couplée au train et ledit premier moyen de couplage est fermé, une défaillance de la machine électrique déclenche une réinitialisation par le gestionnaire de sécurité ; - si la boîte de vitesse est couplée au train, ledit premier moyen de couplage est fermé, mais le deuxième moyen de couplage est ouvert une défaillance du moteur thermique ne déclenche pas de réinitialisation par le gestionnaire de sécurité. Selon une variante, si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique, ledit premier moyen de couplage étant ouvert, et la boîte de vitesse fermée, alors on ne réinitialise pas le véhicule automobile. Selon une variante, si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique, ledit premier moyen de couplage étant fermé, et la boîte de vitesse ouverte, alors on ne réinitialise pas le véhicule automobile. Selon une variante, si concomitamment à une détection de défaillance de la machine électrique, il n’y a pas de défaillance du moteur thermique, ledit premier moyen de couplage étant fermé, et la boîte de vitesse ouverte, alors on ne réinitialise pas le véhicule automobile. Selon une variante, si concomitamment à une détection de défaillance du moteur thermique, il y a une défaillance de la machine électrique, ledit premier moyen de couplage étant fermé, et la boîte de vitesse ouverte, alors on ne réinitialise pas le véhicule automobile. Un autre objet de l’invention concerne un programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de gestion de sécurité selon l’invention, lorsque ledit programme fonctionne sur un ordinateur. L'invention sera davantage détaillée par la description de modes de réalisation non limitatifs, et sur la base des figures annexées illustrant des variantes de l'invention, dans lesquelles : - FIG. 1 illustre schématiquement un groupe motopropulseur d’un véhicule automobile selon un mode de réalisation préféré de l’invention ; - FIG. 2 illustre schématiquement les configurations de mise en œuvre de l’invention en comparaison avec celles de l’art antérieur. L’invention concerne un véhicule automobile comportant un système de contrôle de groupe motopropulseur, et plus particulièrement les détections d’erreurs ou défaillances, et les remises à zéro de ces véhicules automobiles. L’invention a pour but d’éviter la mise en œuvre d’un mode de récupération ou d’une remise à zéro en cas de défaut n’entraînant pas d’évènement dangereux, en vue d’augmenter la disponibilité du véhicule. A cet effet, les états de plusieurs éléments du groupe motopropulseur sont ajoutés comme condition de déclenchement de signaux de défaut au gestionnaire de sécurité GS. Il s’agit en particulier de la boîte de vitesse BV, des premier K0 et deuxième K1, K2 moyens de couplage, ainsi que la machine électrique MEL et le moteur thermique ICE. Cela permet de shunter les situations non-critiques pour l’utilisateur. Shunter les signaux de défauts quand la situation n’est pas pertinente d’un point de vue sécuritaire diminue le nombre de requêtes de mise en mode de récupération quand cela n’est pas nécessaire, de même que le nombre de codes défauts transmis au service de maintenance. Cela augmente globalement la disponibilité du véhicule. Dans le cas où l’un des composants du groupe motopropulseur est ouvert, les signaux de défaut concernant les composants en amont sont shuntés : - si la boîte de vitesse BV est au point mort ou l’embrayage est ouvert, aucun signal de défaut de composant avant ne sera envoyé au gestionnaire de sécurité GS, car le couple ne peut pas être mis en œuvre sur les roues R avant ; - si le deuxième moyen de couplage K0 est ouvert, aucun signal de défaut du moteur à combustion interne ICE ne sera envoyé au gestionnaire de sécurité GS, car le couple du moteur thermique ICE ne peut pas être transmis au bras d’entrée de la boîte de vitesse BV ; - si ledit premier moyen de couplage K1, K2 est ouvert, aucun signal de défaut du moteur à combustion interne ICE ne sera envoyé au gestionnaire de sécurité GS, car le couple du moteur thermique ICE ne peut pas être transmis au bras d’entrée de la boîte de vitesse BV. Dans la FIG. 2 , les défaillances des machine électrique MEL et moteur thermique ICE et les états des moyens de couplage sont illustrés. La référence O désigne un état ouvert, et la référence NO désigne un état fermé (non-ouvert). La référence R1 désigne une requête de réinitialisation et la référence NR désigne une absence de requête de réinitialisation. Comme l’illustre par la courbe en pointillés de la FIG. 2 , la solution de l’art antérieur A implique de déclencher une requête de réinitialisation R1 en cas de défaut détecté dans le moteur thermique ICE et/ou la machine électrique MEL sans tenir compte de l’état de l’embrayage et des moyens de couplage K0, K1, K2. Au contraire, l’invention I évite ce déclenchement dans les cas où l’embrayage ou les moyens de couplage pertinents sont ouverts (sections A différentes des sections I en FIG. 2 ). L’invention concerne en outre un procédé et un programme de gestion de sécurité correspondant. Le programme peut être chargé dans un contrôleur du véhicule automobile. Véhicule automobile comprenant un groupe motopropulseur qui comprend : - un train de véhicule équipé de roues (R) ; - une boîte de vitesse (BV) connectée au train de véhicule, la boîte de vitesse étant couplée à au moins un premier moyen de couplage (K1, K2) ; - un moteur thermique (ICE) connecté audit premier moyen de couplage (K1, K2) par l’intermédiaire d’un deuxième moyen de couplage (K0) ; - une machine électrique (MEL) connectée audit premier moyen de couplage (K1, K2) par l’intermédiaire d’un troisième moyen de couplage (KE) ; - un gestionnaire de sécurité (GS) connecté à au moins un contrôleur déterminant l’état de la boîte de vitesse (BV), des moyens de couplage (K0, K1, K2), de la machine électrique (MEL) et du moteur thermique (ICE), le gestionnaire de sécurité (GS) réalisant des réinitialisations du véhicule, caractérisé en ce que ledit contrôleur détecte des défaillances et déclenche des demandes de réinitialisation, et en ce que : - si la boîte de vitesse (BV) est en point mort, le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse (BV) est couplée au train mais ledit premier moyen de couplage (K1, K2) est ouvert, le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse (BV) est couplée au train et ledit premier moyen de couplage (K1, K2) est fermé, une défaillance de la machine électrique (MEL) déclenche une réinitialisation par le gestionnaire de sécurité (GS) ; - si la boîte de vitesse (BV) est couplée au train, ledit premier moyen de couplage (K1, K2) est fermé, mais le deuxième moyen de couplage (K0) est ouvert une défaillance du moteur thermique (ICE) ne déclenche pas de réinitialisation par le gestionnaire de sécurité (GS). Véhicule automobile selon la revendication 1, caractérisé en ce que si concomitamment à une détection de défaillance du moteur thermique (ICE), il n’y a pas de défaillance de la machine électrique (MEL), le deuxième moyen de couplage (K0) étant ouvert, et ledit premier moyen de couplage (K1, K2) étant fermé, alors le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile. Véhicule automobile selon l’une quelconque des revendications 1 à 2, caractérisé en ce que si concomitamment à une détection de défaillance du moteur thermique (ICE), il n’y a pas de défaillance de la machine électrique (MEL), le deuxième moyen de couplage (K0) étant fermé, et ledit premier moyen de couplage (K1, K2) étant ouvert, alors le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile. Véhicule automobile selon l’une quelconque des revendications 1 à 3, caractérisé en ce que si concomitamment à une détection de défaillance de la machine électrique (MEL), il n’y a pas de défaillance du moteur thermique (ICE), le deuxième moyen de couplage (K0) étant fermé, et ledit premier moyen de couplage (K1, K2) étant ouvert, alors le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile. Véhicule automobile selon l’une quelconque des revendications 1 à 4, caractérisé en ce que si concomitamment à une détection de défaillance du moteur thermique (ICE), il y a une défaillance de la machine électrique (MEL), le deuxième moyen de couplage (K0) étant fermé, et ledit premier moyen de couplage (K1, K2) étant ouvert, alors le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile. Procédé de gestion de sécurité pour un véhicule automobile selon l’une quelconque des revendications 1 à 5, comprenant les étapes suivantes : - une étape de détection de défaillances dans laquelle on détecte des défaillances du moteur thermique et de la machine électrique (MEL), et on déclenche des demandes de réinitialisation, - une étape de contrôle déterminant l’état de la boîte de vitesse (BV), des moyens de couplage (K0, K1, K2), de la machine électrique (MEL) et du moteur thermique (ICE) ; - une étape de réinitialisation ou non-réinitialisation du véhicule, dans laquelle : - si la boîte de vitesse (BV) est en point mort, le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse (BV) est couplée au train mais ledit premier moyen de couplage (K1, K2) est ouvert, le gestionnaire de sécurité (GS) ne réinitialise pas le véhicule automobile ; - si la boîte de vitesse (BV) est couplée au train et ledit premier moyen de couplage (K1, K2) est fermé, une défaillance de la machine électrique (MEL) déclenche une réinitialisation par le gestionnaire de sécurité ; - si la boîte de vitesse (BV) est couplée au train, ledit premier moyen de couplage (K1, K2) est fermé, mais le deuxième moyen de couplage (K0) est ouvert une défaillance du moteur thermique ne déclenche pas de réinitialisation par le gestionnaire de sécurité. Procédé de gestion de sécurité selon la revendication 6, caractérisé en ce que si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique (MEL), ledit premier moyen de couplage (K0) étant ouvert, et la boîte de vitesse (K1, K2) fermée, alors on ne réinitialise pas le véhicule automobile. Procédé de gestion de sécurité selon l’une quelconque des revendications 5 à 7, caractérisé en ce que si concomitamment à une détection de défaillance du moteur thermique, il n’y a pas de défaillance de la machine électrique (MEL), ledit premier moyen de couplage (K0) étant fermé, et la boîte de vitesse (K1, K2) ouverte, alors on ne réinitialise pas le véhicule automobile. Procédé de gestion de sécurité selon l’une quelconque des revendications 5 à 8, caractérisé en ce que si concomitamment à une détection de défaillance de la machine électrique (MEL), il n’y a pas de défaillance du moteur thermique, ledit premier moyen de couplage (K0) étant fermé, et la boîte de vitesse (K1, K2) ouverte, alors on ne réinitialise pas le véhicule automobile. Programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de gestion de sécurité selon l’une quelconque des revendications 5 à 9, lorsque ledit programme fonctionne sur un ordinateur.