FR2925618A1

FR2925618A1 - Micro-hybrid type alterno-starter system controlling method for motor vehicle, involves transmitting diagnostic signal indicating rotation of electrical rotating machine to control circuit and control unit

Info

Publication number: FR2925618A1
Application number: FR0760261A
Authority: FR
Inventors: Marc Ranier; Brice Lecole; Regis Gubian
Original assignee: Valeo Equipements Electriques Moteur SAS
Current assignee: Valeo Equipements Electriques Moteur SAS
Priority date: 2007-12-21
Filing date: 2007-12-21
Publication date: 2009-06-26
Anticipated expiration: 2027-12-21
Also published as: FR2925618B1

Abstract

The method involves transmitting a control signal (Auth. Exc.) allowing closure of an excitation circuit (10) to a control circuit (13) that is used for controlling a power circuit (14), where the power circuit supplies power to an electrical rotating machine (3). A diagnostic signal (Diag1. Ond.) provided by a rotation detection unit (15) is transmitted to the control circuit and to an electronic control unit (17). Another diagnostic signal indicating rotation of the rotating machine is transmitted to the control circuit and the control unit. An independent claim is also included for a wired connection of a device used for securized controlling of a micro-hybrid type alterno-starter system.

Description

-1- Procédé de contrôle sécurisé par des signaux dédiés d'un système à alterno- démarreur couplé à un moteur thermique d'un véhicule, et liaisons filaires correspondantes DOMAINE TECHNIQUE DE L'INVENTION. La présente invention concerne un procédé contrôle sécurisé par des signaux dédiés d'un système à alterno-démarreur couplé à un moteur thermique de véhicule. io L'invention concerne aussi des liaisons filaires aptes à la mise en oeuvre du procédé. -1- Method of secure control by dedicated signals of an alternator-starter system coupled to a thermal engine of a vehicle, and corresponding wire links TECHNICAL FIELD OF THE INVENTION. The present invention relates to a secure control method by dedicated signals of an alternator-starter system coupled to a vehicle heat engine. The invention also relates to wired links suitable for implementing the method.

ARRIERE PLAN TECHNOLOGIQUE DE L'INVENTION. Des considérations d'économie d'énergie et de réduction de la pollution, 15 surtout en milieu urbain, conduisent les constructeurs de véhicules automobiles à équiper leurs modèles d'un système d'arrêt/ relance automatique du moteur thermique, tel que le système connu sous le terme anglo-saxon de Stop and Go . Ainsi que le rappelle la société VALEO EQUIPEMENTS ELECTRIQUES MOTEUR dans la demande de brevet FR2875549, les véhicules sont rendus aptes 20 à fonctionner selon le mode Stop and Go grâce à une machine électrique réversible, ou alterno-démarreur, couplée au moteur thermique, alimentée par un onduleur en mode démarreur . L'utilisation d'un système à alterno-démarreur dans un mode de fonctionnement Stop and Go consiste, sous certaines conditions, à provoquer 25 l'arrêt complet du moteur thermique lorsque le véhicule est lui-même à l'arrêt, puis à relancer le moteur thermique à la suite, par exemple, d'une action du conducteur interprétée comme une demande de relance du moteur thermique. Une situation typique de Stop and Go est celle de l'arrêt à un feu rouge. Lorsque le véhicule s'arrête au feu, le moteur thermique est automatiquement 3o stoppé, puis, quand le feu devient vert, le moteur est relancé au moyen du système à alterno-démarreur, comme suite à la détection par le système de l'enfoncement de la pédale d'embrayage par le conducteur, ou de toute autre action traduisant la volonté du conducteur de provoquer un déplacement de son véhicule. Pour ce faire, ainsi que l'indique également la société VALEO 35 EQUIPEMENTS ELECTRIQUES MOTEUR dans la demande de brevet -2- FR2875551, le système Stop and Go utilise des informations représentatives de l'état de fonctionnement du véhicule, informations provenant de capteurs du véhicule, tels que les capteurs de température de l'habitacle ou de détection de la position de la pédale d'embrayage, ou les informations lues sur un bus de communication de données, comme la vitesse du véhicule ou la vitesse de rotation du moteur. Il va de soi que la fonction de relance automatique réalisée par un système à alterno-démarreur est une fonction qui doit assurer un certain niveau de sûreté de fonctionnement. io Ainsi que l'expose la société VALEO EQUIPEMENTS ELECTRIQUES MOTEUR dans la demande de brevet FR2875557, la caractéristique essentielle d'un procédé de commande d'un système à alterno-démarreur en mode démarreur est de comporter des étapes de vérification de conditions dites préalables à la relance du moteur avant la phase de relance, et des conditions dites sécuritaires 15 pendant toute la phase de relance du moteur. Une condition préalable à la relance du moteur est notamment déterminée par au moins une action intentionnelle du conducteur, par exemple, l'enfoncement de plus de 90% de la pédale d'embrayage. Une condition supplémentaire est, par exemple, que le réseau de bord du 20 véhicule soit alimenté, c'est-à-dire que la clé de contact du véhicule soit en position +APC après contact , et que la chaîne de traction soit ouverte. En effet, il n'est pas question, alors que l'on se trouve à l'arrêt (c'est-à-dire à vitesse nulle) et le moteur thermique arrêté par la fonction automatique, de relancer celui-ci sans que l'on soit certain que la chaîne de traction soit ouverte. 25 Si elle était fermée, la relance du moteur pourrait entraîner le véhicule et par suite le faire avancer (ou reculer), mettant ainsi en danger la sécurité de biens ou de personnes. Ainsi, afin d'éviter ce type de situation, on met aujourd'hui en oeuvre une solution qui utilise une ligne spécifique de contrôle Auth. Ond. pour autoriser la 30 commande de l'onduleur..Cette ligne spécifique de contrôle Auth. Ond. provient d'un système de commande du véhicule, externe à la fonction arrêt/ relance automatique, ce qui résout la plupart des contraintes de sécurité. En complément, on introduit, afin de diagnostiquer l'état activé de la machine électrique, une sécurité supplémentaire. Cette sécurité est réalisée par la ligne 35 Diag1. Ond. qui convoie une information indiquant la rotation de la machine -3- électrique, information obtenue à partir de signaux provenant capteurs de position du rotor. Cette information est ensuite mise en forme par le microprocesseur de pilotage de la machine électrique, et est transmise au microprocesseur de l'unité de 5 contrôle électronique du véhicule parmi les signaux d'état et défauts. Cette solution résout la plupart des contraintes de sécurité inhérentes à la fonction mais révèle certains inconvénients. En effet, l'information Diag1. Ond. n'est rendue disponible pour l'unité de contrôle électronique du véhicule que lorsque le microprocesseur de pilotage de la io machine électrique est fonctionnel. Ceci implique un certain délai logiciel pour être réactif lorsque l'information n'est pas présente (délai pour détecter l'absence d'information).. Un autre inconvénient, est que cette solution nécessite la mise en oeuvre d'un microprocesseur ayant une capacité de traitement importante, car le 15 microprocesseur de pilotage de la machine électrique doit à la fois commander celle-ci, en assurer la surveillance, et supporter tout ou partie de la stratégie système, tout en réalisant l'interface vers l'extérieur. De plus, cette solution n'est pas adaptée au cas où la machine électrique est utilisée à la fois pour la relance du moteur thermique et pour l'assistance en couple. 20 Une simple ligne de contrôle (Auth. Ond) ne peut être utilisée pour empêcher aussi bien des relances que des opérations d'assistance en couple. En effet, la fonction de relance ne peut être activée que si la chaîne de traction est ouverte, alors que la fonction d'assistance en couple ne peut être activée que lorsque la chaîne de traction est fermée. Ces deux conditions se révèlent contradictoires. 25 Cette solution connue de sécurisation d'un système arrêt/ relance ne tire pas non plus bénéfice de la synergie possible entre équipements embarqués, du fait de la présence de plusieurs microcontrôleurs au sein du système. Il existe par conséquent un besoin pour une nouvelle architecture qui permette de s'affranchir de l'ensemble de ces problématiques en augmentant le 30 niveau de sécurité de la fonctionnalité globale. BACKGROUND ART OF THE INVENTION. Considerations of energy saving and pollution reduction, especially in urban areas, lead motor vehicle manufacturers to equip their models with an automatic engine shutdown / restart system, such as the known system. under the Anglo-Saxon term of Stop and Go. As recalled by the company VALEO ELECTRICAL EQUIPMENT ENGINE in the patent application FR2875549, the vehicles are made capable of operating in Stop and Go mode thanks to a reversible electric machine, or alternator-starter, coupled to the engine, powered by an inverter in starter mode. The use of an alternator / starter system in a Stop and Go operating mode consists, under certain conditions, in causing the engine to stop completely when the vehicle is itself stopped and then restarted. the engine after, for example, a driver action interpreted as a request for restarting the engine. A typical Stop and Go situation is that of stopping at a red light. When the vehicle stops at the fire, the engine is automatically stopped 3o, then, when the light turns green, the engine is restarted by means of the alternator-starter system, as a result of detection by the system of the depression the clutch pedal by the driver, or any other action that reflects the driver's desire to cause a movement of his vehicle. To do this, as also indicated by the company VALEO 35 MOTOR ELECTRIC EQUIPMENTS in the patent application -2- FR2875551, the Stop and Go system uses information representative of the operating state of the vehicle, information from sensors of the vehicle, such as cabin temperature sensors or clutch pedal position detection, or information read on a data communication bus, such as vehicle speed or engine rotational speed. It goes without saying that the automatic restart function performed by an alternator / starter system is a function that must ensure a certain level of operational safety. As stated by the company VALEO ELECTRICAL EQUIPMENT MOTOR in the patent application FR2875557, the essential characteristic of a control method of a starter-alternator system in starter mode is to include steps of verification of conditions said prerequisites the restart of the engine before the recovery phase, and so-called safe conditions 15 throughout the recovery phase of the engine. A prerequisite for the recovery of the engine is determined in particular by at least one intentional action of the driver, for example, the depression of more than 90% of the clutch pedal. An additional condition is, for example, that the vehicle edge network is powered, i.e., the ignition key of the vehicle is in position + APC after contact, and the traction chain is open. Indeed, there is no question, while one is at a standstill (that is to say at zero speed) and the engine stopped by the automatic function, to restart it without it is certain that the drive chain is open. 25 If it were closed, restarting the engine could cause the vehicle to move forward (or backward), thereby endangering the safety of property or persons. Thus, to avoid this type of situation, we now implement a solution that uses a specific line of Auth control. Ond. to allow the control of the inverter. This specific line of control Auth. Ond. comes from a vehicle control system, external to the automatic stop / restart function, which solves most safety constraints. In addition, it introduces, in order to diagnose the activated state of the electric machine, an additional security. This security is achieved by line Diag1. Ond. which conveys information indicating the rotation of the electric machine, information obtained from signals from rotor position sensors. This information is then formatted by the control microprocessor of the electric machine, and is transmitted to the microprocessor of the electronic control unit of the vehicle among the status signals and faults. This solution solves most of the security constraints inherent to the function but reveals some disadvantages. Indeed, the information Diag1. Ond. is only made available for the electronic control unit of the vehicle when the pilot microprocessor of the electric machine is functional. This implies a certain software delay to be reactive when the information is not present (delay to detect the absence of information). Another disadvantage is that this solution requires the implementation of a microprocessor having a This processing capability is important because the control microprocessor of the electrical machine must both control, supervise, and support all or part of the system strategy while providing the interface to the outside. In addition, this solution is not adapted to the case where the electric machine is used both for the recovery of the engine and for assistance in torque. 20 A simple control line (Auth.Ond) can not be used to prevent both retries and torque assist operations. Indeed, the restart function can only be activated if the power train is open, while the torque assist function can only be activated when the power train is closed. These two conditions are contradictory. This known solution for securing a stop / restart system also does not benefit from the possible synergy between on-board equipment, due to the presence of several microcontrollers within the system. There is therefore a need for a new architecture that overcomes all of these issues by increasing the security level of the overall functionality.

DESCRIPTION GENERALE DE L'INVENTION. La présente invention vise à satisfaire ce besoin et a précisément pour objet 35 un procédé de contrôle sécurisé par des signaux dédiés d'un système micro-hybride -4- à freinage récupératif et/ou assistance en couple construit autour d'un alternodémarreur couplé à un moteur thermique d'un véhicule. Le véhicule dont il s'agit est connu en soi, et comporte au moins une unité de contrôle électronique, des capteurs véhicule, un bus de communication de données 5 et un réseau électrique de bord. Le système à alterno-démarreur comporte classiquement au moins une machine électrique tournante munie d'un moyen de détection de rotation, des circuits de puissance comportant au moins un onduleur et un circuit d'excitation alimentant la machine électrique tournante, et un premier circuit de commande des io circuits de puissance. Le procédé de contrôle sécurisé par des signaux dédiés de ce système à alterno-démarreur selon l'invention est remarquable en ce qu'il consiste à transmettre au premier circuit de commande un premier signal de contrôle Auth. Exc. autorisant la fermeture du circuit d'excitation. 15 Fort avantageusement, le procédé selon l'invention consiste en outre à transmettre au premier circuit de commande et à l'unité de contrôle un premier signal de diagnostic Diag1. Ond. fourni par le moyen de détection de rotation et/ou un troisième signal de diagnostic Diag3. Ond., obtenu à partir d'une tension alimentant l'onduleur, et indiquant une rotation de la machine électrique tournante. 20 Alternativement, le procédé selon l'invention consiste en outre à transmettre au premier circuit de commande, et/ou à un second circuit de commande de circuits de conversion d'énergie compris dans ledit système à alterno-démarreur, un premier signal de diagnostic Diag1. Ond. fourni par le moyen de détection de rotation et/ou un troisième signal de diagnostic Diag3. Ond., obtenu à partir d'une 25 tension alimentant l'onduleur, et indiquant une rotation de la machine électrique tournante. De préférence, le procédé selon l'invention consiste en outre à transmettre à l'unité de contrôle électronique, ou au second circuit de commande, par le premier circuit de commande un deuxième signal de diagnostic Diag1. Exc. représentatif de 30 l'état d'un premier signal de commande Cd. Exc. commandant la fermeture du circuit d'excitation. De préférence encore, le procédé selon l'invention consiste en outre à transmettre à l'unité de contrôle électronique, ou au second circuit de commande, par le premier circuit de commande des signaux d'état/défaut. -5- Avantageusement, le procédé selon l'invention consiste en outre à transmettre au premier circuit de commande des signaux d'information provenant du bus de communication de données. Avantageusement encore, le procédé selon l'invention consiste en outre à transmettre à l'unité de contrôle électronique, ou au second circuit de commande, un signal de contact représentatif de la mise sous tension du réseau électrique de bord. Le premier signal de contrôle Auth. Exc. est préférentiellement validé au moyen de ce signal de contact. io L'invention vise aussi des liaisons filaires d'un système à alterno-démarreur, couplé à un moteur thermique d'un véhicule, adaptées à la mise en oeuvre du procédé décrit précédemment, remarquables en ce qu'elles transmettent les signaux dédiés choisis parmi un groupe comprenant : - le premier signal de contrôle Auth. Exc. ; 15 - le premier signal de diagnostic Diag1. Ond. ; -le deuxième signal de diagnostic Diag1. Exc.) ; - le troisième signal de diagnostic (Diag3. Ond.) ; - les signaux d'état/défaut Etats/Défauts ; - le signal de contact +APC/ Vbat.. 20 Fort avantageusement, l'une au moins de ces liaisons filaires est une liaison filaire dédiée. Ces quelques spécifications essentielles auront rendu évidents pour l'homme de métier les avantages apportés par l'invention par rapport à l'état de la technique antérieur. 25 Les spécifications détaillées de l'invention sont données dans la description qui suit en liaison avec les dessins ci-annexés. Il est à noter que ces dessins n'ont d'autre but que d'illustrer le texte de la description et ne constituent en aucune sorte une limitation de la portée de l'invention. GENERAL DESCRIPTION OF THE INVENTION The object of the present invention is to satisfy this need and has for its object a method of secure control by dedicated signals of a micro-hybrid system -4- with regenerative braking and / or torque assistance built around an alternator-starter coupled to a heat engine of a vehicle. The vehicle in question is known per se, and comprises at least one electronic control unit, vehicle sensors, a data communication bus 5 and an electrical network on board. The alternator-starter system conventionally comprises at least one rotating electrical machine provided with a rotation detection means, power circuits comprising at least one inverter and an excitation circuit supplying the rotating electrical machine, and a first circuit of control of the power circuits. The secure control method by dedicated signals of this alternator-starter system according to the invention is remarkable in that it consists in transmitting to the first control circuit a first control signal Auth. Exc. allowing the closing of the excitation circuit. Advantageously, the method according to the invention further comprises transmitting to the first control circuit and to the control unit a first diagnostic signal Diag1. Ond. provided by the rotation detecting means and / or a third diagnostic signal Diag3. Ond., Obtained from a voltage supplying the inverter, and indicating a rotation of the rotating electrical machine. Alternatively, the method according to the invention also consists in transmitting to the first control circuit, and / or to a second control circuit of energy conversion circuits included in said alternator-starter system, a first diagnostic signal. diag1. Ond. provided by the rotation detecting means and / or a third diagnostic signal Diag3. Ond., Obtained from a voltage supplying the inverter, and indicating a rotation of the rotating electrical machine. Preferably, the method according to the invention further comprises transmitting to the electronic control unit, or to the second control circuit, by the first control circuit a second diagnostic signal Diag1. Exc. representative of the state of a first control signal Cd. Exc. controlling the closing of the excitation circuit. More preferably, the method according to the invention further comprises transmitting to the electronic control unit, or to the second control circuit, the first control circuit of the state / fault signals. Advantageously, the method according to the invention further comprises transmitting to the first control circuit information signals from the data communication bus. Advantageously, the method according to the invention further comprises transmitting to the electronic control unit, or to the second control circuit, a contact signal representative of the power supply of the on-board electrical network. The first Auth control signal Exc. is preferably validated by means of this contact signal. The invention also relates to wired links of an alternator / starter system, coupled to a thermal engine of a vehicle, adapted to the implementation of the method described above, remarkable in that they transmit the dedicated signals selected among a group comprising: - the first Auth control signal. Exc. ; The first diagnostic signal Diag1. Ond. ; the second diagnostic signal Diag1. Exc.); the third diagnostic signal (Diag3, Ond.); - State / Fault status / fault signals; the contact signal + APC / Vbat .. Advantageously, at least one of these wired links is a dedicated wire link. These few essential specifications will have made obvious to the skilled person the advantages provided by the invention compared to the state of the prior art. The detailed specifications of the invention are given in the following description in conjunction with the accompanying drawings. It should be noted that these drawings have no other purpose than to illustrate the text of the description and do not constitute in any way a limitation of the scope of the invention.

30 BREVE DESCRIPTION DES DESSINS. La Figure 1 est une représentation schématique d'un système à alternodémarreur connu couplé à un moteur thermique de véhicule. La Figure 2 est une représentation schématique d'un système micro-hybride à freinage récupératif et/ou assistance en couple construit autour d'un alterna-35 démarreur connu couplé à un moteur thermique de véhicule. -6- La Figure 3 est un schéma de principe d'un dispositif de contrôle sécurisé connu d'un système à alterno-démarreur du type de celui représenté sur la Figure 1. La Figure 4 est un schéma de principe montrant les liaisons filaires, selon 5 l'invention, d'un dispositif de contrôle sécurisé d'un système à alterno-démarreur du type de celui montré sur la Figure 1. La Figure 5 est un schéma de principe montrant les liaisons filaires, selon l'invention, d'un dispositif de contrôle sécurisé d'un système micro-hybride à freinage récupératif et/ou assistance en couple du type de celui montré sur la io Figure 2. La Figure 6a est un schéma de principe montrant les liaisons filaires, selon l'invention, d'un premier mode de réalisation préféré du dispositif de contrôle sécurisé d'un système micro-hybride à freinage récupératif et/ou assistance en couple du type de celui montré sur la Figure 2, dans une variante de réalisation. 15 La Figure 6b est un schéma de principe montrant les liaisons filaires, selon l'invention, d'un deuxième mode de réalisation préféré du dispositif de contrôle sécurisé d'un système micro-hybride à freinage récupératif et/ou assistance en couple du type de celui montré sur la Figure 2, dans une variante de réalisation. La Figure 7 est un diagramme montrant la transmission des signaux dédiés 20 relatifs au procédé de contrôle sécurisé d'un système micro-hybride à freinage récupératif et/ou assistance en couple, selon l'invention. BRIEF DESCRIPTION OF THE DRAWINGS Figure 1 is a schematic representation of a known alternator system coupled to a vehicle engine. Figure 2 is a schematic representation of a micro-hybrid regenerative braking and / or torque assisting system built around a known alternator starter coupled to a vehicle engine. FIG. 3 is a block diagram of a known secure control device of an alternator-starter system of the type shown in FIG. 1. FIG. 4 is a block diagram showing the wired links, according to the invention, a device for the secure control of an alternator-starter system of the type shown in FIG. 1. FIG. 5 is a block diagram showing the wire links, according to the invention, of FIG. a device for the secure control of a micro-hybrid system with regenerative braking and / or torque assistance of the type shown in FIG. 2. FIG. 6a is a block diagram showing the wire links, according to the invention , a first preferred embodiment of the secure control device of a micro-hybrid system with regenerative braking and / or torque assistance of the type shown in Figure 2, in an alternative embodiment. FIG. 6b is a block diagram showing the wire links, according to the invention, of a second preferred embodiment of the secure control device of a micro-hybrid system with regenerative braking and / or torque assistance of the type of that shown in Figure 2, in an alternative embodiment. FIG. 7 is a diagram showing the transmission of dedicated signals relating to the secure control method of a micro-hybrid system with regenerative braking and / or torque assistance, according to the invention.

DESCRIPTION DES MODES DE REALISATION PREFERES DE L'INVENTION. DESCRIPTION OF THE PREFERRED EMBODIMENTS OF THE INVENTION

25 Les modes de réalisation préférés de l'invention concernent les véhicules équipés d'un système à alterno-démarreur avec ou sans dispositif de récupération d'énergie au freinage et/ou d'assistance en couple, tels que représentés schématiquement sur les Figures 1 et 2, respectivement. La Figure 1 montre un système à alterno-démarreur 1 couplé à un moteur 30 thermique 2 de véhicule. Ce système à alterno-démarreur 1 comprend une machine électrique réversible 3 accouplée au moteur 2 au moyen d'une transmission 4 par courroie et poulies. -7- La machine électrique 3 comporte un rotor 5 solidaire d'une poulie de sortie 6 en bout d'arbre 7. Le rotor 5 présente un inducteur 8 alimenté au moyen d'un collecteur tournant 9 par un circuit d'excitation 10. La machine 3 comprend également des enroulements de phases 11, ou 5 induit, alimentés par un onduleur 12. Un premier circuit de commande 13 pilote les circuits de puissance 14 de la machine 3, constitués par l'onduleur 12 et le circuit d'excitation 10, en fonction des informations fournies par un capteur de la position 15 du rotor 5, et de signaux de contrôle 16 générés par une unité de contrôle électronique 17 du véhicule. io L'unité de contrôle électronique 17 reçoit des paramètres de fonctionnement du moteur 2, et d'autres informations de contexte par des liaisons filaires dédiées 18 ou par le bus de communication de données 19 embarqué de type CAN. L'onduleur 12 est de préférence constitué par un circuit hacheur 20 de la tension d'alimentation Vbat de bord générant des impulsions, dont la fréquence et la 15 largeur sont contrôlées par le premier circuit de commande 13. Le circuit hacheur 20 est un convertisseur alternatif ù continu réversible qui fonctionne en redresseur synchrone 21 quand le système à alterno-démarreur 1 fonctionne en alternateur. Comme il a été déjà expliqué, la fonction de redémarrage automatique 20 réalisée par un système à alterno-demarreur 1 est une fonction qui doit assurer un certain niveau de sûreté de fonctionnement. En effet, il n'est pas question, par exemple, alors que l'on se trouve à l'arrêt (c'est-à-dire à vitesse nulle) et le moteur 2 arrêté par la fonction, de redémarrer celui-ci sans que l'on soit certain que la chaîne de traction soit ouverte. 25 La solution connue, qui a déjà été mise en oeuvre afin d'éviter ce type de situation, est représentée sur la Figure 3. La Figure 3 montre de façon plus détaillée le premier circuit de commande 13 et l'unité de contrôle électronique 17 de la Figure 1. L'unité de contrôle électronique 17 du véhicule, alimentée par la tension de 30 batterie Vbat ou un après contact +APC, comprend un premier microprocesseur 22, et un premier circuit de décision 23 en logique câblée, qui reçoivent des premiers signaux d'information Capt. Véh. en provenance des capteurs du véhicule, et génèrent les signaux de contrôle Dd. Exc., Dd. Ond., Auth. Ond. du premier circuit de commande 13, c'est-à-dire une demande de fermeture du circuit d'excitation Dd. -8- Exc., une demande d'entrée en fonction de l'onduleur Dd. Ond.,et une autorisation de l'entrée en fonction de l'onduleur Auth. Ond.. Le premier circuit de commande 13, alimenté également par la tension de batterie Vbat ou un après contact +APC, comprend un second microprocesseur 24, et une porte ET 25, qui reçoivent les signaux de contrôle Dd. Exc., Dd. Ond., Auth. Ond. de l'unité de contrôle électronique 17, et génèrent les signaux de commande de fermeture du circuit d'excitation Cd. Exc. et de mise en fonction de l'onduleur Cd. Ond. qui commandent respectivement le circuit d'excitation 10 et l'onduleur 12 des circuits de puissance 14. io Le second microprocesseur 24 reçoit de plus des signaux de diagnostic Diag2. Exc., Diag2. Ond. sur l'état de la fermeture du circuit d'excitation 10, et la mise en fonction de l'onduleur 12, respectivement. En même temps, le second microprocesseur 24 diagnostique la vitesse de la machine électrique tournante 3 au moyen d'une ligne dédiée Diag1. Ond. reliée au 15 capteur de position 15 de la machine 3. Les états et défauts de fonctionnement du système à alterno-démarreur 1 sont signalés au premier microprocesseur 22 de l'unité de contrôle électronique 17 par la transmission de signaux d'état/ défaut (Etats/Défauts) en provenance du circuit de commande 13. 20 On utilise une ligne d'inhibition dédiée Inh. Ond. provenant du premier microprocesseur 22, qui valide ou non l'autorisation Auth. Ond. de l'entrée en fonctionnement de l'onduleur 12 générée par le premier circuit de décision 23 en logique câblée, afin de résoudre la majeure partie des contraintes de sûreté de fonctionnement SdF liées à la fonction redémarrage, et rappelées ci-dessus. 25 Le signal d'autorisation Auth. Ond. d'entrée en fonctionnement de l'onduleur 12 appliqué sur une entrée de la porte ET 25 du premier circuit de commande 13 dont la sortie Cd. Ond. commande l'onduleur 12, valide le signal de pilotage de l'onduleur Pil. Ond. généré par le second microprocesseur 24, et appliqué sur l'autre entrée. 30 Le fait que le contrôle de la mise en fonction de l'onduleur 12 soit assuré par le premier microprocesseur 22 extérieur à la fonction, et par des circuits de décision en logique câblée, contribue au renforcement de la sécurité. Mais le dispositif de contrôle sécurisé d'un système à alterno-démarreur 1 représenté sur la Figure 3 révèle quelques faiblesses, qui sont : 35 -9- - premièrement, le diagnostic Diag1. Ond. de l'activation du mode moteur du convertisseur alternatif/ continu réversible 20 n'est émis qu'à destination du second microcontrôleur 24 du premier circuit de commande 13 de l'onduleur 12. De ce fait, l'information n'est rendue disponible pour l'unité de contrôle électronique du véhicule 17 que lorsque le second microprocesseur 24 est fonctionnel. Ceci implique un certain délai logiciel pour être réactif lorsque l'information n'est pas disponible (temps de détecter l'absence d'information). The preferred embodiments of the invention relate to vehicles equipped with an alternator / starter system with or without a braking energy recovery and / or torque assist device, as shown diagrammatically in FIGS. and 2, respectively. Figure 1 shows an alternator / starter system 1 coupled to a vehicle thermal engine 2. This alternator-starter system 1 comprises a reversible electric machine 3 coupled to the engine 2 by means of a transmission 4 by belt and pulleys. The electric machine 3 comprises a rotor 5 integral with an output pulley 6 at the end of the shaft 7. The rotor 5 has an inductor 8 supplied by means of a rotating collector 9 by an excitation circuit 10. The machine 3 also comprises phase windings 11, or induced 5, powered by an inverter 12. A first control circuit 13 drives the power circuits 14 of the machine 3, constituted by the inverter 12 and the excitation circuit. 10, according to the information provided by a sensor of the position 15 of the rotor 5, and control signals 16 generated by an electronic control unit 17 of the vehicle. The electronic control unit 17 receives operating parameters of the motor 2, and other context information via dedicated wire links 18 or the on-board CAN data communication bus 19. The inverter 12 is preferably constituted by a chopper circuit 20 of the on-board supply voltage Vbat generating pulses whose frequency and width are controlled by the first control circuit 13. The chopper circuit 20 is a converter reciprocating continuous alternator which operates as a synchronous rectifier 21 when the alternator / starter system 1 operates as an alternator. As already explained, the automatic restart function performed by an alternator / starter system 1 is a function which must ensure a certain level of dependability. Indeed, there is no question, for example, while one is at the stop (that is to say at zero speed) and the engine 2 stopped by the function, to restart it without it being certain that the power train is open. The known solution, which has already been implemented in order to avoid this type of situation, is shown in FIG. 3. FIG. 3 shows in more detail the first control circuit 13 and the electronic control unit 17. Figure 1. The electronic control unit 17 of the vehicle, powered by battery voltage Vbat or after APC + contact, comprises a first microprocessor 22, and a first decision circuit 23 in hardwired logic, which receive first information signals Capt. Veh. from the sensors of the vehicle, and generate the control signals Dd. Exc., Dd. Ond., Auth. Ond. of the first control circuit 13, that is to say a request for closing the excitation circuit Dd. -8- Exc., A request for entry into function of the inverter Dd. Ond., And an authorization of the entry in function of the Auth inverter. Ond .. The first control circuit 13, also powered by the battery voltage Vbat or after + APC contact, comprises a second microprocessor 24, and an AND gate 25, which receive the control signals Dd. Exc., Dd. Ond., Auth. Ond. of the electronic control unit 17, and generate the closing control signals of the excitation circuit Cd. Exc. and turning on the inverter Cd. Ond. which respectively control the excitation circuit 10 and the inverter 12 of the power circuits 14. The second microprocessor 24 further receives Diag2 diagnostic signals. Exc., Diag2. Ond. on the state of the closing of the excitation circuit 10, and the commissioning of the inverter 12, respectively. At the same time, the second microprocessor 24 diagnoses the speed of the rotating electrical machine 3 by means of a dedicated line Diag1. Ond. connected to the position sensor 15 of the machine 3. The states and malfunctions of the alternator-starter system 1 are signaled to the first microprocessor 22 of the electronic control unit 17 by the transmission of state / fault signals ( States / faults) from the control circuit 13. A dedicated inhibition line Inh is used. Ond. from the first microprocessor 22, which validates or not Auth authorization. Ond. the operation of the inverter 12 generated by the first decision circuit 23 in hardwired logic, in order to solve most of the SdF operating reliability constraints related to the restart function, and recalled above. The authorization signal Auth. Ond. operating input of the inverter 12 applied to an input of the AND gate 25 of the first control circuit 13 whose output Cd. Ond. controls the inverter 12, validates the pilot signal of the inverter Pil. Ond. generated by the second microprocessor 24, and applied to the other input. The fact that the control of the commissioning of the inverter 12 is ensured by the first microprocessor 22 outside the function, and by hard-wired logic decision circuits, contributes to the reinforcement of the security. But the secure control device of an alternator-starter system 1 shown in Figure 3 reveals some weaknesses, which are: - firstly, Diag1 diagnosis. Ond. the activation of the motor mode of the reversible AC / DC converter 20 is only sent to the second microcontroller 24 of the first control circuit 13 of the inverter 12. As a result, the information is not made available for the electronic control unit of the vehicle 17 only when the second microprocessor 24 is functional. This implies a certain software delay to be reactive when the information is not available (time to detect the absence of information).

- deuxièmement, l'onduleur 12 est activé à partir d'un organe externe au système, et io contraint dans le cas d'une architecture de type micro-hybride ou dite de type 14+X , telle que représentée schématiquement sur la Figure 2, (c'est-à-dire, où l'on dispose d'un stockeur d'énergie 26 intermédiaire et de capacité à réaliser une fonction d'assistance en couple du moteur) soit - de modifier l'architecture véhicule et/ou des organes extérieurs à la fourniture 15 dans le cas où la fonction est présente ; - soit d'utiliser une autre architecture qui ne révèle pas ce problème lorsque l'on souhaite une fonction autonome, c'est à dire une fonction qui impactera le moins possible (voire pas du tout) de composant externe à la fourniture. C'est cette dernière solution qui est exposée ci-dessous en liaison avec les 20 Figure 6a et 6b et dont le principe consiste à utiliser deux circuits de commande 17a, 13 mis en oeuvre au sein du système 27 ; ces circuits contenant pour chacune un microprocesseur 22, 24 sont agencées de façon à ce qu'ils se surveillent mutuellement (par exemple, le second circuit de commande 13 surveille le premier circuit de commande 17a afin d'inhiber ses demandes dans le cas où l'on a détecté 25 que son microprocesseur 22 était défaillant, ou qu'il déclenche une action intempestive, c'est à dire non désirée), ce qui permet la sécurisation de l'activation du mode moteur (Assistance en couple ou démarrage/ redémarrage) en évitant la mise en oeuvre de solutions de sécurisation plus coûteuses au sein, par exemple de l'électronique de commande de la machine électrique tournante 3. 30 -troisièmement, dans le cas d'un système micro-hybride dit de type 14+X , alors que de nombreuses ressources du second microprocesseur 24 sont utilisées pour la surveillance et la commande de la machine électrique 3, le second microprocesseur 24, dans le cas du système à alterno-démarreur 1 représenté sur 35 la Figure 1, est en même temps l'organe d'interface avec l'extérieur du système, ce - 10 - qui requiert une capacité de traitement très importante (pour réaliser à la fois l'interface vers l'extérieur et la commande machine). De plus, il doit également supporter tout ou partie de la stratégie système. - quatrièmement, certaines solutions de sécurisation ne sont pas réalisables dans le cas d'une architecture de type 14+X . Une architecture de type 14+X , ou de type micro-hybride, est représentée sur la Figure 2. Le système micro-hybride 27 comprend, comme le système à alterna- i() démarreur classique représenté sur la Figure 1, une machine électrique tournante 3 présentant un inducteur 8 alimenté par un circuit d'excitation 10, des enroulements de phases 11 alimentés par un convertiseur alternatif-continu réversible 20 fonctionnant en onduleur 12, et un capteur de la position 15 du rotor 5. Mais, à la différence du système à alterno-démarreur classique, l'onduleur 12 is est alimenté par une super-capacité 26 au lieu d'être connecté directement à la batterie de bord. Dans le fonctionnement en génératrice, la machine électrique 3 charge la super-capacité 26 au moyen du convertiseur alternatif-continu réversible 20 fonctionnant en redresseur 21 et fournit au réseau électrique de bord une tension 20 Vbat+X supérieure à la tension de batterie Vbat. Des circuits de conversion d'énergie 29 constitués par un convertisseur continu-continu, permettent des échanges d'énergie électrique entre la batterie 28 de bord qui fournit un premier réseau de bord à la tension Vbat et la super-capacité 26 qui fournit un second réseau de bord à la tension Vbat+X. 25 Un premier circuit de commande 13 pilote le circuit d'excitation 10, le convertiseur alternatif-continu réversible 20, dont l'onduleur 12, constituant les circuits de puissance 14 du système à alterno-démarreur 1, et les circuits de conversion d'énergie 29. Le premier circuit de commande 13 est contrôlé par une unité de contrôle 30 électronique 17 interfacée avec le bus CAN 19. Le système micro-hybride 27 représenté sur la Figure 2 permet de mettre en oeuvre une fonction de freinage récupératif et/ou d'assistance en couple : une partie de l'énergie mécanique du freinage transformée en énergie électrique par la machine électrique 3 fonctionnant en génératrice, et stockée dans la super-capacité -11- 26, est utilisée pour apporter un complément de couple au moteur thermique 2 en faisant fonctionner la machine électrique 3 en moteur électrique. Mais, comme il a déjà été vu, on ne peut pas se protéger dans un système micro-hybride 27 comme dans un système à alterno-démarreur 1 classique, à la fois contre les fonctions de redémarrage et/ou d'assistance en couple intempestifs par une simple ligne d'inhibition Auth. Ond.. En effet, la fonction de redémarrage ne peut être activée que si la chaîne de traction est ouverte alors que la fonction d'assistance en couple ne peut être activée que lorsque la chaîne de traction soit fermée. Ces deux conditions sont donc io contradictoires. La Figure 4 montre une solution de sécurisation appliquée au système à alterno-démarreur 1 classique montré sur la Figure 1, qui s'applique également au système micro-hybride 27 montré sur la Figure 2, comme le montrent bien les Figures 5 et 6. 15 Selon un principe général de l'invention, on propose, dans le cadre d'un système réalisant les fonctions de redémarrage automatique et/ou d'assistance en couple du moteur, d'utiliser une architecture distribuée : - d'une part, un organe dit de décision (où sont implémentées les stratégies de haut niveau), tel que l'unité de contrôle électronique 17 du véhicule, ou une 20 autre unité de traitement disponible ; - d'autre part, un organe d'exécution (la machine réversible 3 et son électronique associée 13, 14) commandée par l'organe de décision décrit ci-dessus. En distribuant ainsi l'architecture dans deux organes séparés, on évite 25 l'introduction de dispositifs de sécurité additionnels dans le système à alternodémarreur 1 classique représenté sur la Figure 1, tel qu'un microcontrôleur additionnel. De plus, en utilisant deux microprocesseurs 22, 24 séparés mais appartenant, éventuellement, dans le cadre d'une architecture de type micro- 30 hybride, au système micro-hybride 27, comme le montre le dispositif représenté schématiquement sur la Figure 6, on évite également de modifier l'architecture du véhicule dans le cas où la fonction n'est pas présente. Dans l'architecture représentée sur les Figure 6a et 6b, le premier microprocesseur 22 est celui déjà présent dans un second circuit de commande 17a - 12 - des circuits de conversion d'énergie 29, qui a donc la fonction du premier microprocesseur 22 de l'unité de contrôle électronique 17 représentée sur la Figure 4. Le second circuit de commande 17a joue alors le rôle, dans l'architecture représentée sur les Figure 6a et 6b, de l'unité de contrôle électronique 17 représentée sur la Figure 4. En complément, afin de résoudre les problématiques liées à l'activation intempestive du mode Moteur (activation intempestive des fonctions redémarrage et/ou assistance en couple), l'architecture entre les deux microprocesseurs 22,24 est contrainte, notamment afin de ne pas déclencher intempestivement un de ces io modes en cas de panne simple de l'un des deux microprocesseurs 22,24 (augmentation du niveau de sécurité de la fonction globale). Afin de s'affranchir d'une panne simple du premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a, il convient d'implémenter au sein du microprocesseur 24 du premier circuit de commande 13 des circuits de puissance 15 14 des stratégies d'évaluation ou de diagnostic des ordres donnés l'unité de contrôle électronique 17, 17a. Le but de ces stratégies est de ne pas autoriser la réalisation d'une demande de l'unité de contrôle électronique 17, 17a, par exemple une demande de fermeture du circuit d'excitation Dd. Exc., ou de mise en fonction de l'onduleur Dd. Ond., 20 lorsque celle ci est jugée inappropriée. Pour ce faire, le premier circuit de commande 13 des circuits de puissance 14 doit recevoir de l'extérieur du système certaines informations de contexte (à titre d'exemple : la vitesse du véhicule, l'état du moteur ou l'état de la chaine de traction), au moyen par exemple (et préférentiellement) du réseau de bord véhicule 25 CAN pour ne pas impacter le coût de la fonction avec un grand nombre d'Entrées Sorties supplémentaires. Dans ces conditions, le système à alterno-démarreur 1 devient un actuateur intelligent dans la mesure où il peut alors refuser une des demandes, Dd.Exc. ou Dd.Ond., de l'unité de contrôle électronique 17, 17a. 30 Afin de s'affranchir d'une panne simple du second microprocesseur 24 agencé dans l'organe d'exécution (premier circuit de commande 13 des circuits de puissance 14, dont l'onduleur 12), il convient : secondly, the inverter 12 is activated from a member external to the system, and is constrained in the case of a micro-hybrid type or so-called 14 + X type architecture, as shown diagrammatically in FIG. 2 (That is, where there is an intermediate energy store 26 and the ability to perform a torque assist function of the engine) - to modify the vehicle architecture and / or external organs to the supply 15 in the case where the function is present; - Or to use another architecture that does not reveal this problem when you want a standalone function, ie a function that will impact the least possible (if at all) external component to the supply. It is this latter solution which is explained below in connection with FIGS. 6a and 6b and whose principle consists in using two control circuits 17a, 13 implemented within the system 27; these circuits each containing a microprocessor 22, 24 are arranged so that they monitor each other (for example, the second control circuit 13 monitors the first control circuit 17a to inhibit its demands in the case where the it was detected that its microprocessor 22 was faulty, or that it triggers an unwanted action, ie undesired), which makes it possible to secure the activation of the motor mode (assistance in couple or start / restart) ) by avoiding the implementation of more expensive security solutions within, for example the control electronics of the rotating electrical machine 3. -thirdly, in the case of a so-called type 14 + micro-hybrid system X, while many resources of the second microprocessor 24 are used for the monitoring and control of the electric machine 3, the second microprocessor 24, in the case of the alternator-starter system 1 represents 1, is at the same time the interface with the outside of the system, which requires a very large processing capacity (to realize both the outward interface and the external interface). machine control). In addition, it must also support all or part of the system strategy. - Fourthly, some security solutions are not feasible in the case of a 14 + X type architecture. A 14 + X or micro-hybrid type architecture is shown in FIG. 2. The micro-hybrid system 27 comprises, like the conventional alternator system () a starter shown in FIG. rotating 3 having an inductor 8 supplied by an excitation circuit 10, phase windings 11 supplied by a reversible AC-DC converter 20 operating in an inverter 12, and a sensor of the position 15 of the rotor 5. However, unlike of the conventional alternator-starter system, the inverter 12 is powered by a super-capacitor 26 instead of being connected directly to the on-board battery. In the generator operation, the electric machine 3 charges the super-capacitor 26 by means of the reversible reciprocating-continuous converter 20 operating as a rectifier 21 and supplies the on-board electrical network with a voltage Vbat + X greater than the battery voltage Vbat. Energy converting circuits 29 constituted by a DC-DC converter, allow exchanges of electrical energy between the edge battery 28 which provides a first edge network at the voltage Vbat and the super-capacitor 26 which supplies a second network on board Vbat + X voltage. A first control circuit 13 drives the excitation circuit 10, the reversible DC-DC converter 20, whose inverter 12, constituting the power circuits 14 of the alternator-starter system 1, and the converter circuits The first control circuit 13 is controlled by an electronic control unit 17 interfaced with the CAN bus 19. The micro-hybrid system 27 shown in FIG. 2 makes it possible to implement a recuperative braking function and / or torque assistance: part of the mechanical energy of the braking converted into electrical energy by the electric machine 3 operating as a generator, and stored in the super-capacity -11- 26, is used to provide additional torque to the engine 2 by operating the electric machine 3 in an electric motor. But, as has already been seen, one can not protect oneself in a micro-hybrid system 27 as in a conventional alternator-starter 1 system, both against the functions of restarting and / or assistance in untimely torque by a simple inhibition line Auth. Ond .. In fact, the restart function can only be activated if the drive chain is open while the torque assist function can only be activated when the drive chain is closed. These two conditions are therefore contradictory. Figure 4 shows a security solution applied to the conventional alternator-starter system 1 shown in Figure 1, which also applies to the micro-hybrid system 27 shown in Figure 2, as shown in Figures 5 and 6. According to a general principle of the invention, it is proposed, in the context of a system performing the automatic restart and / or torque assist functions of the engine, to use a distributed architecture: on the one hand, a decision body (where the high level strategies are implemented), such as the electronic control unit 17 of the vehicle, or another available processing unit; - On the other hand, an executing device (the reversible machine 3 and its associated electronics 13, 14) controlled by the decision member described above. By thus distributing the architecture in two separate members, the introduction of additional safety devices into the conventional alternator system 1 shown in FIG. 1, such as an additional microcontroller, is avoided. Moreover, by using two microprocessors 22, 24 separated but possibly belonging, in the context of a micro-hybrid architecture, to the micro-hybrid system 27, as shown by the device shown schematically in FIG. also avoids modifying the architecture of the vehicle in the case where the function is not present. In the architecture shown in FIGS. 6a and 6b, the first microprocessor 22 is the one already present in a second control circuit 17a - 12 - of energy conversion circuits 29, which therefore has the function of the first microprocessor 22 of the electronic control unit 17 shown in FIG. 4. The second control circuit 17a then plays the role, in the architecture represented in FIGS. 6a and 6b, of the electronic control unit 17 represented in FIG. complement, in order to solve the problems related to the inadvertent activation of the motor mode (inadvertent activation of restart and / or torque assist functions), the architecture between the two microprocessors 22,24 is constrained, in particular so as not to trigger inadvertently one of these modes in case of simple failure of one of the two microprocessors 22,24 (increase of the security level of the global function). In order to overcome a simple failure of the first microprocessor 22 of the electronic control unit 17, 17a, it is necessary to implement within the microprocessor 24 of the first control circuit 13 power circuits 15 14 of the control strategies. evaluation or diagnosis of orders given the electronic control unit 17, 17a. The purpose of these strategies is not to allow the realization of a request from the electronic control unit 17, 17a, for example a request to close the excitation circuit Dd. Exc., Or turn on the inverter Dd. Ond., 20 when this is deemed inappropriate. To do this, the first control circuit 13 of the power circuits 14 must receive from the outside of the system certain context information (for example: the speed of the vehicle, the state of the engine or the state of the traction chain), by means for example (and preferably) of the CAN 25 vehicle on-board network so as not to impact the cost of the function with a large number of additional output Inputs. Under these conditions, the alternator-starter system 1 becomes an intelligent actuator to the extent that it can then refuse one of the requests, Dd.Exc. or Dd.Ond., of the electronic control unit 17, 17a. In order to overcome a simple failure of the second microprocessor 24 arranged in the execution member (first control circuit 13 of the power circuits 14, including the inverter 12), it is appropriate:

- soit de sécuriser la demande d'activation en aval du second microprocesseur 35 24, par exemple au moyen d'un ET logique 25 entre un signal de pilotage de - 13 - l'onduleur Pil. Ond. provenant du second microprocesseur 24, et un signal Auth. Ond. non généré par ce second microprocesseur 24 (solution qui a été expliquée en liaison avec la Figure 3, de l'état de la technique) ; - soit de diagnostiquer au moyen du premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a l'activation des circuits de puissance 14 (par exemple au moyen d'une ligne de diagnostic Diag1. Exc.) et de faire agir celui-ci en conséquence. (On notera que, de cette manière on n'agit pas sur la cause, puisque l'on commandera l'activation des circuits de puissance 14, mais on réduit le io risque, car ce mode ne dure pas longtemps, le temps de la boucle). either to secure the activation request downstream of the second microprocessor 24, for example by means of a logic AND between a control signal of the inverter Pil. Ond. from the second microprocessor 24, and a signal Auth. Ond. not generated by this second microprocessor 24 (solution which has been explained in connection with Figure 3, of the state of the art); either to diagnose, by means of the first microprocessor 22 of the electronic control unit 17, 17a, the activation of the power circuits 14 (for example by means of a diagnostic line Diag1, Exc. accordingly. (It should be noted that, in this way, the cause is not acted upon, since the activation of the power circuits 14 will be controlled, but the risk is reduced, since this mode does not last long, the time of the loop).

On peut également combiner ces deux types de sécurités en utilisant par exemple le premier type de sécurité pour la fonction redémarrage et le deuxième type de sécurité pour la fonction assistance en couple (ou vice-versa); 15 ceci permet de s'affranchir de la problématique sur la condition chaîne de traction citée précédemment. De même, ces deux sécurités peuvent être réalisées à partir de, ou vers l'unité de contrôle électronique 17, 17a ce qui leur permet d'être disponibles même en cas de défaillance du second microprocesseur 24 de l'organe d'exécution 13. 20 Cette solution présente l'avantage, dans le cadre d'un système micro-hybride de type 14+X , de ne pas impacter le reste de l'architecture électrique véhicule (notamment dans le cadre d'une fonction optionnelle). La Figure 4 montre la mise en oeuvre des principes ci- dessus dans le cas d'un système à alterno-démarreur 1 classique du type de celui représenté sur la 25 Figure 1. Dans cette architecture, l'organe de décision, constitué par l'unité de contrôle électronique 17 du véhicule, acquiert des premiers signaux d'information Capt. Véh. provenant de l'extérieur du système, et utilise ces premiers signaux d'information pour générer un signal d'autorisation d'excitation Auth. Excit. de la machine 30 électrique 1. Ce signal d'autorisation d'excitation Auth. Exc. est véhiculé vers le circuit d'excitation 10, préférentiellement par une première liaison filaire dédiée, afin de permettre l'excitation de la machine 3. Comme montré sur la Figure 4, l'excitation ne peut avoir lieu que par un 35 premier signal de commande Cd. Exc. résultant de la validation d'un premier signal - 14 - de pilotage Pil. Exc. par le signal de d'autorisation de l'excitation Auth. Exc. de l'unité de contrôle électronique 17. Le premier signal de pilotage Pil. Exc. est généré par le second microprocesseur 24 en réponse à de demande de fermeture du circuit d'excitation 5 Dd. Exc. provenant de l'unité de contrôle électronique 17. Entre cette demande Dd. Exc. (entrée du second microprocesseur 24 et la commande (sortie du second microprocesseur 24), un processus de validation de l'ordre peut être mis en oeuvre afin d'empêcher l'activation de l'excitation du fait d'une simple erreur du premier microprocesseur 22 de l'unité de contrôle io électronique 17. Ce processus de validation se réalise au moyen des premiers signaux d'information provenant du bus de communication de données du véhicule CAN. Le processus de validation peut revêtir différentes formes, et notamment à titre d'exemple 15 • La vérification de la cohérence entre la demande d'activation des modes générateur ou moteur (démarreur ou assistance en couple), et l'information de présence de l'information après contact. These two types of security can also be combined by using, for example, the first type of security for the restart function and the second type of security for the paired assistance function (or vice versa); This makes it possible to dispense with the problematic on the traction chain condition mentioned above. Similarly, these two securities can be made from or to the electronic control unit 17, 17a which allows them to be available even in the event of failure of the second microprocessor 24 of the execution member 13. This solution has the advantage, in the context of a micro-hybrid system type 14 + X, not to impact the rest of the vehicle electrical architecture (especially in the context of an optional function). FIG. 4 shows the implementation of the above principles in the case of a conventional starter-starter system 1 of the type shown in FIG. 1. In this architecture, the decision-making element, consisting of the electronic control unit 17 of the vehicle, acquires first information signals Capt. Veh. from outside the system, and uses these first information signals to generate an Auth enable signal. Excited. of the electric machine 1. This excitation authorization signal Auth. Exc. is conveyed towards the excitation circuit 10, preferably by a first dedicated wire link, in order to allow the excitation of the machine 3. As shown in FIG. 4, the excitation can take place only by a first signal of command Cd. Exc. resulting from the validation of a first Pil pilot signal. Exc. by the authorization signal of the excitation Auth. Exc. of the electronic control unit 17. The first pilot signal Pil. Exc. is generated by the second microprocessor 24 in response to a request to close the excitation circuit 5 Dd. Exc. from the electronic control unit 17. Between this application Dd. Exc. (input of the second microprocessor 24 and the control (output of the second microprocessor 24), an order validation process can be implemented to prevent activation of the excitation due to a simple error of the first microprocessor 22 of the electronic control unit 17. This validation process is carried out by means of the first information signals coming from the data communication bus of the CAN vehicle.The validation process may take various forms, and in particular Example 15 • Verification of the coherence between the request for activation of the generator or engine modes (starter or torque assistance), and the presence information of the information after contact.

Ce processus de validation complémente le signal d'autorisation Auth. Exc. 20 qui valide le premier signal de pilotage Pil. Exc. dans une première porte logique ET 31 comme montré sur la Figure 4 à 6. En variante, on réalise sur ce signal d'autorisation de l'excitation Auth. Exc. une anticipation de l'activation de la mise de contact afin de préfluxer la machine électrique 3. 25 Dans ce cas, le signal d'anticipation peut revêtir plusieurs valeurs comme (à titre d'exemple): • Décondamnation du véhicule à distance ; • Détection d'approche d'un utilisateur autorisé ; • Ouverture d'une porte ; 30 • Fermeture d'une porte ; • Insertion de la clé de contact ; • Appui sur la pédale d'embrayage ; • Appui sur la pédale de frein ET levier de la boite de vitesse en position neutre. - 15 - La commutation de Auth. Exc est réalisée, comme montré sur la Figure 4 à 6, préférentiellement dans l'unité de contrôle électronique 17, 17a au moyen des informations fournies au premier microprocesseur 22 par l'intermédiaire du bus de communication de données du véhicule CAN. Elle se réalise par validation du signal d'activation Act. Exc de l'excitation. Ce signal est ensuite transformé en signal d'autorisation de la fermeture du circuit d'excitation Auth. Exc. qu'après avoir été validé dans une deuxième porte logique ET 30 par le signal de contact +APC / Vbat représentatif de la mise sous tension du réseau électrique de bord. This validation process complements the Auth authorization signal. Exc. Which validates the first pilot signal Pil. Exc. in a first AND logic gate 31 as shown in FIG. 4 to 6. In a variant, this excitation signal Auth is carried out on this authorization signal. Exc. an anticipation of the activation of the contact bet in order to preflux the electric machine 3. In this case, the anticipation signal can take several values such as (by way of example): • unlocking of the vehicle at a distance; • Approach detection of an authorized user; • Opening a door; 30 • Closing a door; • Inserting the ignition key; • Support on the clutch pedal; • Press the brake pedal AND lever of the gearbox in the neutral position. - 15 - Switching Auth. Exc is performed, as shown in Figure 4 to 6, preferably in the electronic control unit 17, 17a by means of the information supplied to the first microprocessor 22 via the data communication bus of the CAN vehicle. It is realized by validation of the activation signal Act. Exc of excitement. This signal is then transformed into an authorization signal for the closure of the excitation circuit Auth. Exc. only after having been validated in a second AND logic gate 30 by the contact signal + APC / Vbat representative of the powering up of the on-board electrical network.

io Ceci comporte un intérêt particulier dans le cas d'un système micro-hybride 27, comme montré sur les Figures 5 ou 6, où l'on dispose d'un stockeur d`energie 26, puisque dans ce cas, on peut agir directement sur ce signal d'autorisation Auth. Exc. par l'intermédiaire du signal Act. Exc et interdire ainsi l'excitation quand un défaut du stockeur 26 est détecté (vu par un signal de diagnostic supplémentaire), 15 ce qui permet d'augmenter le niveau de sécurité de la fonction globale en diminuant le risque général du risque de court-circuit au niveau machine électrique 3. Le contrôle sécurisé de la mise en fonction de l'onduleur 12 repose sur les mêmes principes que celui du circuit d'excitation 10. Il a déjà été vu, en liaison avec la Figure 3, que l'unité de contrôle 20 électronique 17 (dans ce cas l'unité de contrôle électronique 17 du véhicule) acquiert des signaux d'information Capt. Véh. provenant de l'extérieur du système (sous forme filaire ou par l'intermédiaire du bus de données CAN), et utilise ces signaux pour générer une autorisation d'activation du mode moteur Auth. Ond. de la machine électrique 3. 25 Cette autorisation est transmise au premier circuit de commande 13 des circuits de puissance 14, comprenant l'onduleur 12, afin de valider le second signal de pilotage Pil. Ond.. De même que précédemment, le second microprocesseur 24 du premier circuit de commande 13 acquiert les demandes Dd. Ond. de l'unité de contrôle 30 électronique 17 afin de générer un second signal de commande Cd. Ond. du mode moteur vers l'onduleur 12. De même que pour l'excitation, un processus de validation de l'ordre peut être mis en oeuvre afin d'empêcher l'activation de l'onduleur du fait d'une simple erreur du premier microprocesseur 22 agencé dans l'organe de décision 17. - 16 - Comme précédemment, un tel processus de validation se réalise notamment par l'acquisition par le second microprocesseur 24 de seconds signaux d'information provenant du bus de communication de données du véhicule CAN. Le processus de validation peut revêtir plusieurs formes, notamment à titre 5 d'exemple : • La vérification de la cohérence entre la demande d'activation du mode mode moteur Dd. Ond. (démarreur ou assistance en couple) et vitesse véhicule et/ou moteur. (Chacune de ces fonctions ne peut être commandé que dans une certaine plage de vitesse véhicule et/ou moteur) 10 Ou encore • La vérification de la cohérence entre la demande d'activation du mode moteur Dd. Ond. (démarreur ou assistance en couple) et l'état de la chaîne de traction (chacune de ces fonctions ne peut être commandé qu'avec un état donné de la chaîne de traction) 15 En complement, aussi bien dans le cas du premier signal de commande Cd. Exc. du circuit d'excitation 10, que dans le cas du second signal de commande Cd. Ond. de l'onduleur 12, un diagnostic de l'activation des circuits de puissance 14 est effectué. 20 Ces signaux de diagnostic, Diag2. Ond. et, Diag2. Exc., permettent alors la mise en oeuvre d'une contre-mesure (c'est à dire d'une action immédiate dans le sens inverse de la commande) au sein du premier circuit de commande 13. Cependant, un tel processus n'est pas suffisant pour couvrir l'ensemble des cas d'une activation intempestive de l'un des circuits de puissance 14 (driver du 25 circuit d'excitation 10, ou driver 12 des enroulements de phases 11 de la machine électrique 3). En effet, dans le cas où l'activation intempestive provient du second microprocesseur 24, on ne peut considérer cette contre-mesure comme valide : le second microprocesseur 24 qui a produit l'ordre intempestif ne peut être considéré 30 comme pouvant réaliser convenablement la contre mesure. C'est dans ce but que sont générés des signaux de diagnostics Diag1. Ond. et, Diag1. Exc., transmis vers l'unité de contrôle électronique 17, 17a. Afin de préserver le niveau de sécurité, ces signaux de diagnostics Diag1. Ond. et Diag1 Exc., sont transmis à l'unité de contrôle électronique 17, 17a chacun 35 au moyen, respectivement, d'une deuxième et troisième liaison filaire dédiée, et - 17 - sans faire appel à une quelconque mise en forme par le second microprocesseur 24 du premier circuit de commande 13. Le but d'utiliser de telles liaisons dédiées est de laisser le premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a décoder les éventuelles défaillances ; elles permettent de s'affranchir d'une défaillance du second microprocesseur 24, et elles permettent de transmettre l'information sans délai à l'unité de contrôle électronique 17, 17a. Un tel dispositif permet de diagnostiquer un mode moteur intempestif (démarrage-redémarrage et/ou assistance en couple), et permet de s'affranchir de io la dualité de la condition sur la ligne d'inhibition Auth. Ond.. La sécurisation par le premier signal de diagnostic Diag1. Ond. est réalisée de la manière suivante : Après détection, le premier microprocesseur 22 de l'organe de décision 17, 17a inhibe le mode moteur en inhibant sa demande d'un tel mode Dd. Ond. et/ou en 15 agissant de façon interne sur le premier circuit de décision 23 en logique câblée produisant le signal d'autorisation de mise en fonction du mode moteur Auth. Ond. par l'intermédiaire du signal interne Inh. Ond.. En complément, à tout ce processus, le premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a pourra informer ou demander d'informer le 20 reste du véhicule (et donc le client) de la défaillance du système, et de la présence du risque. Cette information se réalisant à partir de la détection d'une valeur inattendue sur le signal Diag1. Ond. Il est à noter que, comme énoncé précédemment, ce mécanisme n'empêche pas la commande intempestive, mais réduit très fortement le temps d `exposition au 25 risque. De même, le second signal de diagnostic Diag1. Exc. permet de détecter, en fonction du schéma de l'onduleur, la fermeture du circuit d'excitation. Les Figures 4, 5, 6a et 6b représentent le cas où ce second signal de diagnostic Diag1. Exc. est prélevé avant le driver de puissance du circuit d'excitation 30 10. En variante, ce second signal de diagnostic Diag1. Exc. est avantageusement prélevé après le driver de puissance 10. Les deux configurations présentent des avantages et inconvénients : - 18 -Dans la première configuration, le coût des composants nécessaires à la détection est faible, car il s'agit d'un signal de faible puissance, mais on n'a pas une image directe de l'état du driver. Dans la seconde configuration, le coût de la détection est plus important, car il s'agit d'un signal de puissance qu'il faut véhiculer vers l'organe de décision, mais une mesure redondante du courant d'excitation est possible en même temps que la détection de la mise en fonction du driver de puissance 10. La première configuration représentée sur les Figures 4, 5, 6a et 6b combine les contraintes coût et détection du risque, puisque ce diagnostic permet io de détecter I"activation intempestive de l'excitation, ce qui revient en fait, en regard d'un démarrage et/ou d'une assistance en couple intempestive, à la perte d'une seule barrière de sécurité. On notera, en résumé, que le procédé et dispositif de contrôle sécurisé d'un système à alterno-démarreur 1, selon l'invention, apporte de nouvelles barrières de 15 sécurité supplémentaires par rapport à la seule barrière Auth. Ond. connue de l'état de la technique, représentée sur la Figure 3, à savoir : - l'implémentation au sein du microprocesseur 24 du circuit de commande 13 des circuits de puissance 14 de stratégies d'évaluation ou de diagnostic des ordres donnés par le premier microprocesseur 22. 20 - l'implémentation au sein de l'unité de contrôle électronique 17, 17a d'un diagnostic de l'état activé de la machine électrique indépendant de l'état du microprocesseur 24 du circuit de commande 13. - l'autorisation et la validation de l'excitation Auth. Exc. ; This is of particular interest in the case of a micro-hybrid system 27, as shown in FIG. 5 or 6, where an energy store 26 is available, since in this case it is possible to act directly. on this authorization signal Auth. Exc. through the Act signal. Exc and thus prohibit the excitation when a fault of the storer 26 is detected (seen by an additional diagnostic signal), 15 which makes it possible to increase the level of security of the overall function by decreasing the general risk of the risk of shortage. circuit at the electric machine level 3. The secure control of the activation of the inverter 12 is based on the same principles as that of the excitation circuit 10. It has already been seen, in connection with FIG. Electronic control unit 17 (in this case the electronic control unit 17 of the vehicle) acquires information signals Capt. Veh. from outside the system (in wired form or through the CAN data bus), and uses these signals to generate an Auth motor mode enable permission. Ond. of the electric machine 3. This authorization is transmitted to the first control circuit 13 of the power circuits 14, comprising the inverter 12, in order to validate the second pilot signal Pil. As previously, the second microprocessor 24 of the first control circuit 13 acquires the requests Dd. Ond. of the electronic control unit 17 to generate a second control signal Cd. Ond. from the motor mode to the inverter 12. As for the excitation, a process of validation of the order can be implemented in order to prevent the activation of the inverter because of a simple error of the first microprocessor 22 arranged in the decision device 17. As previously, such a validation process is carried out in particular by the acquisition by the second microprocessor 24 of second information signals from the data communication bus of the vehicle CAN . The validation process can take a number of forms, for example by way of example: • The checking of the coherence between the request for activation of the mode mode engine Dd. Ond. (starter or torque assist) and vehicle and / or engine speed. (Each of these functions can only be controlled within a certain speed range of the vehicle and / or the engine) 10 Or again • The check of the coherence between the request for activation of the engine mode Dd. Ond. (starter or torque assist) and the state of the power train (each of these functions can be controlled only with a given state of the power train). In addition, both in the case of the first signal of the power train command Cd. Exc. of the excitation circuit 10, that in the case of the second control signal Cd. Ond. of the inverter 12, a diagnosis of the activation of the power circuits 14 is performed. These diagnostic signals, Diag2. Ond. and, Diag2. Exc., Then allow the implementation of a countermeasure (that is to say an immediate action in the opposite direction of the command) within the first control circuit 13. However, such a process n ' is not sufficient to cover all cases of inadvertent activation of one of the power circuits 14 (driver of the excitation circuit 10, or driver 12 of the phase windings 11 of the electric machine 3). Indeed, in the case where the inadvertent activation comes from the second microprocessor 24, this countermeasure can not be regarded as valid: the second microprocessor 24 which has produced the unwanted order can not be considered as being able to adequately perform the countermeasure. measured. It is for this purpose that Diag1 diagnostic signals are generated. Ond. and, Diag1. Exc., Transmitted to the electronic control unit 17, 17a. In order to preserve the security level, these Diag1 diagnostic signals. Ond. and Diag1 Exc., are transmitted to the electronic control unit 17, 17a each by means of, respectively, a second and third dedicated wire link, and without any formatting by the second microprocessor 24 of the first control circuit 13. The purpose of using such dedicated links is to let the first microprocessor 22 of the electronic control unit 17, 17a decode any failures; they make it possible to overcome a failure of the second microprocessor 24, and they make it possible to transmit the information without delay to the electronic control unit 17, 17a. Such a device makes it possible to diagnose an unwanted engine mode (start-restart and / or torque assistance), and makes it possible to overcome the duality of the condition on the Auth inhibition line. Ond .. Securing by the first Diag1 diagnostic signal. Ond. is performed in the following manner: After detection, the first microprocessor 22 of the decision member 17, 17a inhibits the motor mode by inhibiting its request for such a mode Dd. Ond. and / or by acting internally on the first wired logic decision circuit 23 producing the Auth motor enable enable signal. Ond. through the internal signal Inh. In addition, throughout this process, the first microprocessor 22 of the electronic control unit 17, 17a can inform or ask to inform the rest of the vehicle (and thus the customer) of the system failure, and the presence of risk. This information is realized from the detection of an unexpected value on the Diag1 signal. Ond. It should be noted that, as stated above, this mechanism does not prevent inadvertent control, but greatly reduces the time of exposure to the risk. Similarly, the second diagnostic signal Diag1. Exc. allows to detect, according to the diagram of the inverter, the closure of the excitation circuit. Figures 4, 5, 6a and 6b show the case where this second diagnostic signal Diag1. Exc. is taken before the power driver of the excitation circuit 10. As a variant, this second diagnostic signal Diag1. Exc. is advantageously taken after the power driver 10. The two configurations have advantages and disadvantages: - 18 -In the first configuration, the cost of the components necessary for the detection is low, because it is a low power signal , but we do not have a direct image of the state of the driver. In the second configuration, the cost of the detection is greater because it is a power signal that must be conveyed to the decision device, but a redundant measurement of the excitation current is possible at the same time. The first configuration shown in FIGS. 4, 5, 6a and 6b combines the cost and risk detection constraints, since this diagnosis makes it possible to detect the "inadvertent activation of FIG. the excitation, which amounts in fact to the loss of a single safety barrier, with regard to start-up and / or untimely torque assistance, it should be noted, in summary, that the method and device of Secure control of an alternator / starter system 1 according to the invention provides new additional safety barriers with respect to the only Auth. Ond barrier known from the state of the art, shown in FIG. to know : the implementation within the microprocessor 24 of the control circuit 13 of the power circuits 14 of evaluation or diagnostic strategies of the commands given by the first microprocessor 22. 20 - the implementation within the electronic control unit 17, 17a of a diagnosis of the activated state of the electrical machine independent of the state of the microprocessor 24 of the control circuit 13. - Authorization and validation of the excitation Auth. Exc. ;

25 Les différents signaux de contrôle et de diagnostic échangés entre les premier et second microprocesseurs 22, 24, le bus de communication de données 19, et le moyen de détection de rotation 15, mis en oeuvre par l'invention, sont représentés schématiquement sur la Figure 7. Ces signaux sont réalisés, de préférence, de la manière suivante : 30 Dd. Ond. et Dd. Exc. Ces premiers signaux de contrôle sont formés par l'unité de contrôle électronique 17, 17a (unité de contrôle électronique 17 ou second circuit de commande 17a) et transmis au moyen d'un réseau (privé ou public) vers le premier - 19 - circuit de commande 13 des circuits de puissance 14 (onduleur 12 et circuit d'excitation 10). Ces premiers signaux de contrôle sont de plus formés à partir de l'acquisition de différents capteurs véhicules (boite de vitesse, frein, vitesse, tension batterie et/ou stockeur, état portes ...) et reflètent l'état système demandé (Excitation = Etat Activé, Onduleur = Etat Desactivé) ; Mode Idle_Stop ou Delestage_Alternateur (Excitation = Etat Desctivé, Onduleur = Etat Desctivé), Mode Moteur (Excitation = Etat Activé, Onduleur = Etat Desactivé)). En retour, le premier circuit de commande 13 renvoie (au moyen du même io réseau) vers l'unité de contrôle électronique 17, 17a des signaux d'état (mode Alternateur, Régénérateur...), ainsi que des informations concernant ses défauts internes et modes et/ou transitions refusées (signaux d'état et défaut Etats/Défauts). Les transitions refusées signalées sont, notamment : - le refus du passage en mode générateur ou moteur du fait de la présence d'une 15 incohérence entre l'information +APC reçue par le premier circuit de commande 13 et la demande émanant de l'unité de contrôle électronique 17, 17a ; - le refus du passage en mode moteur du fait de la présence d'une incohérence entre la demande émanant de l'unité de contrôle du véhicule 17, 17a et la vitesse véhicule et/ou moteur (vitesse hors plage autorisée). 20 Auth. Exc. Comme décrit précédemment, ce second signal de contrôle est réalisé de préférence à partir d'un signal de contact +APC ou Vbat par la commutation d'un circuit de type SMART MOS 30 par le premier microprocesseur 22 de l'unité de 25 contrôle électronique 17, 17a (en fonction de la stratégie implémentée dans cette unité). The different control and diagnostic signals exchanged between the first and second microprocessors 22, 24, the data communication bus 19, and the rotation detecting means 15, implemented by the invention, are shown schematically on the These signals are preferably produced in the following manner: Dd. Ond. and Dd. Exc. These first control signals are formed by the electronic control unit 17, 17a (electronic control unit 17 or second control circuit 17a) and transmitted by means of a network (private or public) to the first circuit 13 of the power circuits 14 (inverter 12 and excitation circuit 10). These first control signals are furthermore formed from the acquisition of different vehicle sensors (gearbox, brake, speed, battery voltage and / or storage, door state ...) and reflect the requested system state (Excitation = State Enabled, Inverter = State Off); Idle_Stop or Delestage_Alternateur mode (Excitation = Down state, Inverter = Down state), Motor mode (Excitation = State Enabled, Inverter = State Off)). In return, the first control circuit 13 sends (by means of the same network) to the electronic control unit 17, 17a status signals (alternator mode, regenerator ...), as well as information concerning its faults. internal and refused modes and / or transitions (status and state / fault signals). The denied transitions reported are, in particular: the refusal to switch to generator or motor mode because of the presence of an inconsistency between the + APC information received by the first control circuit 13 and the request from the unit electronic control system 17, 17a; - The refusal of the passage in engine mode due to the presence of an inconsistency between the request from the vehicle control unit 17, 17a and the vehicle speed and / or engine (speed out of range allowed). Auth. Exc. As described above, this second control signal is preferably made from a contact signal + APC or Vbat by switching a SMART MOS type circuit 30 by the first microprocessor 22 of the electronic control unit. 17, 17a (depending on the strategy implemented in this unit).

Diag1. Ond. Ce premier signal de diagnostic est réalisé, de préférence, à partir du signal 30 issu du capteur de position 15 de la machine électrique 3. Ce signal est décodé par le premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a de la même manière que par le second microprocesseur 24 du premier circuit de commande 13 des circuits de puissance 14 comprenant l'onduleur 12, dans un premier mode de réalisation préféré comme montré sur les Figure 3, 5 et 6a. - 20 - Dans une tel cas, l'unité de contrôle électronique 17, 17a reçoit et utilise les seconds signaux d'information CAN provenant du véhicule afin de ne prendre en compte ce premier de diagnostic que dans certains contextes. A titre d'exemples, on peut citer : - l'activation d'un starter additionnel (pour éviter de détecter intempestivement le démarrage réalisé par ce moyen) ; - la présence d'une vitesse véhicule (pour éviter de détecter intempestivement le démarrage à la poussette réalisé volontairement par le client) ; - l'estimation du couple réalisé par le reste du véhicule (pour éviter de détecter io intempestivement une variation assistance en couple réalisée normalement à l'extérieur du système (moteur)) ; En variante, un autre signal de diagnostic de ce type est réalisé à partir de tout signal pouvant être image de l'activation du mode moteur au niveau de la machine électrique 3, et il se substitue alors au premier signal de diagnostic Diag1. 15 Ond. traité par les premier et second microprocesseurs 22,24. La Figure 6b met en oeuvre cette variante, qui constitue un deuxième mode de réalisation : La mesure différentielle par l'unité de contrôle électronique 17, 17a de la tension du stockeur d'énergie 26, dans une architecture de type micro-hybride, est 20 en effet également un candidat pour un tel signal de diagnostic, notamment pour sécuriser le mode assistance en couple , puisque l'activation de l'assistance en couple implique l'utilisation de la tension stockée, et donc sa décroissance. Dans une telle hypothèse, et de la même manière que précédemment en ce qui concerne la rotation de la machine 3, l'unité de contrôle électronique 17, 17a 25 devra recevoir une estimation de la puissance prélevée par les charges du réseau Vbat+X (si elle existent) de façon à ne pas prendre en compte dans le diagnostic cette puissance utilisée par ailleurs. Il est à noter que cette variante de réalisation est tout particulièrement intéressante dans le cas où l'on réalise la combinaison du stockeur d'énergie 26 et 30 du convertisseur continu-continu 29 d'un même organe de puissance. En effet, dans ce cas, tous les signaux cités sont des signaux internes, et il n'est pas nécessaire d'avoir de lignes supplémentaires. Diag1. Ond. This first diagnostic signal is preferably produced from the signal 30 coming from the position sensor 15 of the electric machine 3. This signal is decoded by the first microprocessor 22 of the electronic control unit 17, 17a of the same only by the second microprocessor 24 of the first control circuit 13 power circuits 14 comprising the inverter 12, in a first preferred embodiment as shown in Figures 3, 5 and 6a. In such a case, the electronic control unit 17, 17a receives and uses the second CAN information signals from the vehicle in order to take this first diagnosis into account only in certain contexts. By way of examples, mention may be made of: the activation of an additional starter (to avoid untimely detection of the start achieved by this means); - the presence of a vehicle speed (to avoid unintentionally detecting the start to the stroller made voluntarily by the customer); the estimation of the torque produced by the rest of the vehicle (to avoid inadvertently detecting a torque assist variation normally achieved outside the system (engine)); As a variant, another diagnostic signal of this type is produced from any signal that can be an image of the activation of the motor mode at the level of the electric machine 3, and it then replaces the first diagnostic signal Diag1. Ond. processed by the first and second microprocessors 22,24. FIG. 6b implements this variant, which constitutes a second embodiment: The differential measurement by the electronic control unit 17, 17a of the voltage of the energy store 26, in a micro-hybrid architecture, is 20 also indeed a candidate for such a diagnostic signal, in particular to secure the torque assist mode, since the activation of torque assistance involves the use of the stored voltage, and therefore its decrease. In such a case, and in the same manner as previously with regard to the rotation of the machine 3, the electronic control unit 17, 17a will have to receive an estimate of the power taken by the loads of the Vbat + X network ( if it exists) so as not to take into account in the diagnosis this power used elsewhere. It should be noted that this variant embodiment is particularly advantageous in the case where the combination of the energy store 26 and 30 of the DC-DC converter 29 of the same power unit is realized. Indeed, in this case, all the signals mentioned are internal signals, and it is not necessary to have additional lines.

Diag1. Exc. - 21 - Ce deuxième signal de diagnostic Diag1. Exc. est de préférence réalisé au moyen d'un circuit à diode (diode et résistance d'adaptation). Diag1. Exc. - 21 - This second diagnostic signal Diag1. Exc. is preferably realized by means of a diode circuit (diode and adaptation resistor).

Diag2. Ond. et Diag2. Exc. Diag2. Ond. and Diag2. Exc.

Ces signaux de diagnostic sont câblés au niveau de l'électronique des circuits de puissance 14 (onduleur 12 et circuit d'excitation 10). Ce sont de simples adaptations de signaux afin d'être reinjectées dans le second microprocesseur 24 du premier circuit de commande 13 des circuits de puissance 14 (éventuellement sur des entrées numériques). i0 Auth. Ond. Un circuit à transistor 23 (portes logiques) prend en compte le passage d'un signal d'entrée provenant d'un des capteurs du véhicule Capt. Véh. (capteur de la boite de vitesse, par exemple) à une valeur invalide, et le signal d'inhibition Inh. 15 Ond. provenant du premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a pour générer ce signal de contrôle. These diagnostic signals are wired at the electronics of the power circuits 14 (inverter 12 and excitation circuit 10). These are simple adaptations of signals to be reinjected into the second microprocessor 24 of the first control circuit 13 of the power circuits 14 (possibly on digital inputs). i0 Auth. Ond. A transistor circuit 23 (logic gates) takes into account the passage of an input signal coming from one of the sensors of the vehicle Capt. Veh. (gearbox sensor, for example) to an invalid value, and the inhibit signal Inh. Ond. from the first microprocessor 22 of the electronic control unit 17, 17a to generate this control signal.

ln h. Ond. Ce signal de contrôle est généré, comme indiqué précédemment, par le 20 premier microprocesseur 22 de l'unité de contrôle électronique 17, 17a au moment de la détection du premier signal de diagnostic Diagl.Ond.. ln h. Ond. This control signal is generated, as previously indicated, by the first microprocessor 22 of the electronic control unit 17, 17a at the time of the detection of the first diagnostic signal Diagl.Ond.

Les avantages de l'architecture décrite ci-dessus, en liaison avec les Figures 4, 5, 6a et 6b sont que : 25 - le nombre d'entrées/sorties nécessaires au fonctionnement sécurisé du système micro-hybride 27 est minimisé ; - le premier circuit de commande 13 n'a pas à supporter la totalité de l'interface avec l'extérieur du système ; - la mise en oeuvre d'un microprocesseur supplémentaire est évitée. 30 Il est encore à remarquer que, dans le cadre d'un système micro-hybride à freinage récupératif et/ou assistance en couple, aucune entrée/sortie du système n'est spécifique à l'une de ces fonctionnalités. The advantages of the architecture described above, in connection with Figures 4, 5, 6a and 6b are that: the number of inputs / outputs necessary for the secure operation of the micro-hybrid system 27 is minimized; the first control circuit 13 does not have to support the entire interface with the outside of the system; the implementation of an additional microprocessor is avoided. It should also be noted that, in the context of a micro-hybrid system with regenerative braking and / or torque assistance, no input / output of the system is specific to any of these functionalities.

Comme il va de soi, l'invention ne se limite pas aux seuls modes d'exécution 35 préférentiels décrits ci-dessus. - 22 - L'invention embrasse donc au contraire toutes les variantes possibles de réalisation qui resteraient dans le cadre défini par les revendications ci-après. It goes without saying that the invention is not limited to the only preferred embodiments described above. The invention thus embraces on the contrary all the possible variants of embodiment that would remain within the scope defined by the claims below.

Claims

REVENDICATIONS

1) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alternodémarreur (1,27) couplé à un moteur thermique (2) d'un véhicule, ledit véhicule comportant au moins une unité de contrôle électronique (17), des capteurs véhicule, un bus de communication de données (19) et un réseau électrique de bord, ledit système à alterno-démarreur (1,27) comportant au moins une machine électrique tournante (3) munie d'un moyen de détection de rotation (15), des circuits de puissance (14) comportant au moins un onduleur (12) et un circuit d'excitation ~o (10) alimentant ladite machine électrique tournante (3), et un premier circuit de commande (13) desdits circuits de puissance (14), caractérisé en ce que ledit procédé consiste à transmettre audit premier circuit de commande (13) un premier signal de contrôle (Auth. Exc.) autorisant la fermeture dudit circuit d'excitation (10). 15 1) A method of secure control by dedicated signals of an alternator system (1,27) coupled to a heat engine (2) of a vehicle, said vehicle comprising at least one electronic control unit (17), sensors a vehicle, a data communication bus (19) and an on-board electrical network, said alternator-starter system (1,27) having at least one rotating electrical machine (3) provided with rotation detection means (15). ), power circuits (14) comprising at least one inverter (12) and an excitation circuit ~ o (10) supplying said rotary electrical machine (3), and a first control circuit (13) of said power circuits (14), characterized in that said method comprises transmitting to said first control circuit (13) a first control signal (Auth Exc) allowing the closing of said excitation circuit (10). 15

2) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alternodémarreur (1) couplé à un moteur thermique (2) d'un véhicule selon la revendication 1, caractérisé en ce qu'il consiste en outre à transmettre audit premier circuit de commande (13) et à ladite unité de contrôle électronique (17) un premier signal de diagnostic (Diag1. Ond.) fourni par ledit moyen de détection de rotation 20 (15) et/ou un troisième signal de diagnostic (Diag3. Ond.), obtenu à partir d'une tension (Vbat+X) alimentant ledit onduleur (12), et indiquant une rotation de ladite machine électrique tournante (3). 2) A method of secure control by dedicated signals of an alternator system (1) coupled to a heat engine (2) of a vehicle according to claim 1, characterized in that it further comprises transmitting to said first circuit a first diagnostic signal (Diag1, Ond.) provided by said rotation detection means (15) and / or a third diagnostic signal (Diag3. .), obtained from a voltage (Vbat + X) supplying said inverter (12), and indicating a rotation of said rotating electric machine (3).

3) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alterno- 25 démarreur (27) couplé à un moteur thermique (2) d'un véhicule selon la revendication 1, caractérisé en ce qu'il consiste en outre à transmettre audit premier circuit de commande (13), et/ ou à un second circuit de commande (17a) de circuits de conversion d'énergie compris dans ledit système à alterno-démarreur (27), un premier signal de diagnostic (Diag1. Ond.) fourni par ledit moyen de détection de 30 rotation (15) et/ou un troisième signal de diagnostic (Diag3. Ond.), obtenu à partir d'une tension (Vbat+X) alimentant ledit onduleur (12), et indiquant une rotation de ladite machine électrique tournante (3). 3) A method of secure control by dedicated signals of an alternator-starter system (27) coupled to a heat engine (2) of a vehicle according to claim 1, characterized in that it further comprises transmitting said first control circuit (13), and / or a second control circuit (17a) of energy conversion circuits included in said alternator-starter system (27), a first diagnostic signal (Diag1, Ond. ) provided by said rotational detection means (15) and / or a third diagnostic signal (Diag3, Ond.), obtained from a voltage (Vbat + X) supplying said inverter (12), and indicating a rotating said rotating electrical machine (3).

4) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alterno-35 démarreur (1,27) couplé à un moteur thermique (2) d'un véhicule selon la- 24 - revendication 3 précédente, caractérisé en ce qu'il consiste en outre à transmettre à ladite unité de contrôle électronique (17), ou audit second circuit de commande (17a), par ledit prernier circuit de commande (13) un deuxième signal de diagnostic (Diag1. Exc.) représentatif de l'état d'un premier signal de commande (Cd. Exc.) commandant la ferrneture dudit circuit d'excitation (10). 4) A method of secure control by dedicated signals of an alternator / starter system (1,27) coupled to a heat engine (2) of a vehicle according to the preceding claim 3, characterized in that it further comprises transmitting to said electronic control unit (17), or said second control circuit (17a), by said first control circuit (13) a second diagnostic signal (Diag1, Exc.) representative of the a state of a first control signal (Cd Exc.) controlling ferrneture of said driver circuit (10).

5) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alternodémarreur (1,27) couplé à un moteur thermique (2) d'un véhicule selon la revendication 3 ou 4 précédente, caractérisé en ce qu'il consiste en outre à ~o transmettre à ladite unité de contrôle électronique (17), ou audit second circuit de commande (17a), par ledit premier circuit de commande (13) des signaux d'état/défaut (Etats/Défauts). 5) A method of secure control by dedicated signals of an alternator system (1,27) coupled to a heat engine (2) of a vehicle according to claim 3 or 4 preceding, characterized in that it further comprises transmitting to said electronic control unit (17), or to said second control circuit (17a), by said first control circuit (13) state / fault signals (states / faults).

6) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alterno- 1s démarreur (1,27) couplé à un moteur thermique (2) d'un véhicule selon l'une quelconque des revendications 1 à 5 précédentes, caractérisé en ce qu'il consiste en outre à transmettre audit premier circuit de commande (13) des signaux d'information (CAN) provenant d'un bus de communication de données (19). 20 6) A method of secure control by dedicated signals of an alternator starter system (1,27) coupled to a heat engine (2) of a vehicle according to any one of the preceding claims 1 to 5, characterized in that it further comprises transmitting to said first control circuit (13) information signals (CAN) from a data communication bus (19). 20

7) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alternodémarreur (1,27) couplé à un moteur thermique (2) d'un véhicule selon l'une quelconque des revendications 3 à 5 précédentes, caractérisé en ce qu'il consiste en outre à transmettre à ladite unité de contrôle électronique (17), ou audit second circuit de commande (17a), un signal de contact (+APC/ Vbat.) représentatif de la 25 mise sous tension dudit réseau électrique de bord. 7) A method of secure control by dedicated signals of an alternator system (1,27) coupled to a heat engine (2) of a vehicle according to any one of the preceding claims 3 to 5, characterized in that it further consists in transmitting to said electronic control unit (17), or to said second control circuit (17a), a contact signal (+ APC / Vbat.) representative of the powering up of said on-board electrical network.

8) Procédé de contrôle sécurisé par des signaux dédiés d'un système à alternodémarreur (1,27) couplé à un moteur thermique (2) d'un véhicule selon la revendication 7, caractérisé en ce que l'on valide ledit premier signal de contrôle 30 (Auth. Exc.) au moyen dudit signal de contact (+APC/Vbat.). 8) A method of secure control by dedicated signals of an alternator system (1,27) coupled to a heat engine (2) of a vehicle according to claim 7, characterized in that said first signal of control 30 (Auth Exc.) by means of said contact signal (+ APC / Vbat.).

9) Liaisons filaires d'un système à alterno-démarreur (1,27), couplé à un moteur thermique (2) d'un véhicule, adaptées à la mise en oeuvre du procédé selon l'une quelconque des revendications 1 à 8 précédentes, caractérisées en ce qu'elles 35 transmettent lesdits signaux dédiés choisis parmi un groupe comprenant :-25- - ledit premier signal de contrôle (Auth. Exc.) ; - ledit premier signal de diagnostic (Diag1. Ond.) ; - ledit deuxième signal de diagnostic (Diag1. Exc.) ; - ledit troisième signal de diagnostic (Diag3. Ond.) ; - lesdits signaux d'état/défaut (Etats/Défauts) ; - ledit signal de contact (+APC/ Vbat.). 9) Wired connections of an alternator / starter system (1.27), coupled to a heat engine (2) of a vehicle, adapted to implement the method according to any one of the preceding claims 1 to 8 characterized in that they transmit said dedicated signals selected from a group comprising: said first control signal (Auth Exc.); said first diagnostic signal (Diag1, Ond.); said second diagnostic signal (Diag1, Exc.); said third diagnostic signal (Diag3, Ond.); - said state / fault signals (states / faults); said contact signal (+ APC / Vbat.).

10) Liaisons filaires d'un système à alterno-démarreur (1,27) couplé à un moteur thermique d'un véhicule selon la revendication 9, caractérisé en ce que l'une au io moins desdites liaisons filaires est une liaison filaire dédiée. 10) Wired links of an alternator / starter system (1,27) coupled to a heat engine of a vehicle according to claim 9, characterized in that at least one of said wire links is a dedicated wire link.