FR3039903B1 - Systeme d'acces et de demarrage mains libres d'un vehicule automobile - Google Patents

Abstract

Le système selon l'invention est du type de ceux comprenant un microprocesseur (3), générant un signal de commande (P1, P2, S) destiné à piloter un circuit de commande (13) d'un relais d'alimentation électrique principale (5) du véhicule et un module de validation (4, 9) distinct du microprocesseur (3) et validant le signal de commande (P1, P2, S). Le microprocesseur (3) reçoit une donnée de vitesse moyenne (Vv) représentative d'une vitesse moyenne de roulage du véhicule et des deuxièmes données (SSB1, SSB2) représentatives d'un état d'une commande de démarrage ou de coupure (2). Conformément à l'invention, le module de validation (9) génère un signal de validation (E) du signal de commande (S) en fonction d'une donnée de vitesse de roue (Vr) représentative d'une vitesse de roulage d'une roue du véhicule, de deuxièmes données (SSB1, SSB2), et de troisièmes données (CG) représentatives d'un fonctionnement du microprocesseur (3).

Description

SYSTEME D’ACCES ET DE DEMARRAGE MAINS LIBRES D’UN VEHICULE

AUTOMOBILE DOMAINE TECHNIQUE DE L'INVENTION.

La présente invention concerne un système d'accès et de démarrage mains-libres d'un véhicule automobile. ARRIERE PLAN TECHNOLOGIQUE DE L'INVENTION.

Les téléphones portables intelligents dits "smartphones" sont devenus indispensables dans la vie quotidienne.

Leurs utilisations dans le domaine de l'automobile sont nombreuses et vont de l'affichage en temps réel d'informations sur l'état du véhicule (verrouillé/ déverrouillé, vitres ouvertes, température de l'habitacle, niveau d'essence...) à la localisation du véhicule dans la rue ou le parking grâce au GPS du téléphone, en passant par la mise en marche à distance du chauffage ou de la ventilation, et, bien sûr, par le démarrage du moteur. L'implémentation de ces fonctionnalités repose sur une "clé passerelle" entre le smartphone du conducteur et les systèmes du véhicules. De la sorte, le smartphone remplace, et étend les possibilités, des télécommandes déjà utilisées depuis de nombreuses années pour commander à distance l'ouverture des portières ou remplacer la traditionnelle clé de contact.

Dans ces systèmes d'accès et de démarrage dits "mains-libres", ou systèmes ADML (plus connus de l'homme de métier sous l'acronyme PEPS, pour "Passive Entry Passive Start" en terminologie anglaise), les informations transmises par radiofréquences, lues dans une carte à puce, ou même simplement générées par un contacteur sont généralement traitées par un microprocesseur embarqué.

Dans un environnement très perturbé tel que celui d'un véhicule (température, parasites électriques, interférences...), ce microprocesseur n'est pas à l'abri de défaillances, ou pour le moins d'erreurs ou d'indisponibilités transitoires entraînant une ré-initialisation.

Or certaines fonctions commandées sont critiques: il va de soi notamment que l'alimentation électrique principale du véhicule ne doit pas être coupée intempestivement par le microprocesseur, qui interprète faussement une information de vitesse de véhicule comme étant inférieure à un seuil bas représentatif d’un arrêt du véhicule et une commande de verrouillage des portières comme si le conducteur quittait son véhicule, alors que le véhicule n'est pas à l'arrêt.

Inversement, si le conducteur quitte son véhicule à l'arrêt, et commande le verrouillage des portières sans que le microprocesseur ne coupe l'alimentation électrique principale du véhicule, cela peut entraîner une décharge de la batterie de bord, mais cette circonstance n'est pas critique.

Afin de tenir compte des perturbations pouvant entraîner un dysfonctionnement du microprocesseur, une unité de contrôle électrique d'un véhicule décrite dans le brevet américain US7124005 comprend un circuit de maintien et de validation des signaux de commande du relais d'alimentation électrique du véhicule.

Pour ce faire, le microprocesseur traite, outre des informations représentatives d'une commande de démarrage, des informations représentatives du fonctionnement du véhicule, notamment de sa vitesse, et envoie des impulsions de commande correspondantes au circuit de maintien et de validation.

En cas de disparition de ces impulsions, due à un dysfonctionnement du microprocesseur, le circuit de maintien et de validation peut maintenir les signaux de commande du relais pour éviter l'arrêt du moteur et une coupure de l'alimentation. Inversement, quand des impulsions ont commandé le relais, le circuit de maintien et de validation teste périodiquement le microprocesseur pour vérifier la validité des signaux de commande.

Dans son fonctionnement, ce circuit de maintien et de validation est complètement dépendant de celui du microprocesseur sans pouvoir prendre en compte directement des informations essentielles, comme la vitesse du véhicule.

De plus, aucune assurance ne semble pouvoir être donnée quant à une quelconque conformité de cette unité de contrôle électrique aux niveaux d'exigence en termes de sécurité tels que définis par la norme ISO 26262.

La norme ISO 26262 définit en effet quatre AS IL ("Automotive Security Integrity Level" en terminologie anglaise), indiqués par des lettres de A à D, A correspondant au risque le plus faible et B au niveau d'exigence en termes de sécurité le plus élevé. Un niveau d'exigence en termes de sécurité indiqué par QM ("Qualité Management" c'est-à-dire "Gestion de la Qualité") est assigné aux fonctions non- critiques.

Or, si économiser l'énergie de la batterie de bord est une fonction de disponibilité, non critique, la fonction de coupure de l'alimentation principale est une fonction sécuritaire de niveau ASIL B. DESCRIPTION GENERALE DE L'INVENTION.

La présente invention vise donc à améliorer la sécurité de fonctionnement d'un système ADML.

Elle concerne précisément un système d'accès et de démarrage mains-libres d'un véhicule automobile du type de ceux comprenant un microprocesseur générant un signal de commande (S) destiné à piloter un circuit de commande d'un relais d'alimentation électrique principale du véhicule, et un module de validation distinct du microprocesseur validant le signal de commande, le microprocesseur recevant une donnée de vitesse moyenne représentative d'une vitesse moyenne de roulage du véhicule et des deuxièmes données représentatives d'un état d'une commande de démarrage ou de coupure.

Conformément à l’invention, le module de validation génère un signal de validation du signal de commande en fonction d’une donnée de vitesse de roue représentative d'une vitesse de roulage d’une roue du véhicule, des deuxièmes données et de troisièmes données représentatives d'un fonctionnement ou pas du microprocesseur.

Selon d’autres caractéristiques de l’invention, le module de validation comprend: - des premiers moyens de détection recevant la donnée de vitesse de roue, et générant une première commande indiquant que la vitesse de roue est inférieure à un seuil de vitesse prédéterminé; - des deuxièmes moyens de détection recevant les deuxièmes données et générant une deuxième commande indiquant que la commande de coupure a été activée; et - des troisièmes moyens de détection recevant les troisièmes données, et générant une troisième commande indiquant une défaillance du microprocesseur.

Selon une autre caractéristique, la donnée de vitesse de roue est fournie par un capteur de roue.

Selon encore une autre caractéristique, le seuil de vitesse prédéterminé est sensiblement égal à 4 km/h.

Dans le système selon l'invention, la commande de démarrage est formée d'au moins un bouton de démarrage.

Selon encore une autre caractéristique, les troisièmes moyens de détection sont formés par un circuit numérique relié par une liaison série au microprocesseur ou connecté à au moins une entrée/ sortie numérique du microprocesseur.

Ce circuit numérique est de préférence est réalisé sous la forme d’un circuit intégré externe au microprocesseur, tel qu’un circuit intégré de type "Single Basic Chip", et comprend une fonction de mode dégradé et/ ou un chien de garde.

Selon encore une autre caractéristique de l’invention, le module de validation comprend en outre une première porte logique à trois entrées combinant les première, deuxième et troisième commandes et formant le signal de validation, et une seconde porte logique à deux entrées combinant le signal de validation et le signal de commande, et formant un signal de commande validé pilotant le circuit de commande. Ces première et seconde portes logiques sont réalisées au moyen de composants discrets ou de portes logiques intégrées.

Dans le système d'accès et de démarrage mains-libres d'un véhicule automobile selon l'invention, le microprocesseur comporte un code informatique générant le signal de commande et les troisièmes données développé avec un premier niveau d'exigence en termes de sécurité AS IL B selon une norme ISO 26262, et le module de validation est développé avec un second niveau d'exigence en termes de sécurité ASIL QM selon cette norme.

Ces quelques spécifications essentielles auront rendu évidents pour l'homme de métier les avantages apportés par l'invention par rapport à l'état de la technique antérieur.

Les spécifications détaillées de l'invention sont données dans la description qui suit en liaison avec les dessins ci-annexés.

Il est à noter que ces dessins n'ont d'autre but que d'illustrer le texte de la description et ne constituent en aucune sorte une limitation de la portée de l'invention. BREVE DESCRIPTION DES DESSINS.

La Figure 1 montre schématiquement un système de démarrage mains-libres ADML d'un type connu de l'état de la technique.

La Figure 2 montre schématiquement un système de démarrage mains-libres ADML selon l'invention. DESCRIPTION DES MODES DE REALISATION PREFERES DE L'INVENTION.

La Figure 1 montre schématiquement un système de type ADML 1 conçu selon l'enseignement de l'état de la technique rappelé ci-dessus en préambule, limité à une fonction de démarrage mains-libres.

Une commande de démarrage SSB1, SSB2 est fournie par un bouton de démarrage 2 et traitée par un microprocesseur, un microcontrôleur ou analogue, 3.

Ce microprocesseur 3 envoie des impulsions de commande P1, P2 marche/ arrêt à un circuit de maintien et de validation (HLD) 4 qui commande par une sortie de puissance R un relais d’alimentation électrique de véhicule 5 relié à une tension de batterie Ubat du véhicule et retourne une information d'état P3.

Le microprocesseur 3 reçoit également des informations de vitesses comprenant une donnée de vitesse de roulade de roue Vr et une donnée de vitesse moyenne de roulage Vv du véhicule respectivement par une liaison filaire L et par l'intermédiaire d'un bus de terrain de type CAN. Les informations de vitesse Vr et Vv sont construites à partir de signaux de mesure fournis par un système de freins anti-blocage 6 à partir de capteurs de roues 7. L’information de vitesse Vr est relative à une vitesse de roue. L’information de vitesse Vv est relative à la vitesse du véhicule qui est obtenue par exemple par calcul de la moyenne des différentes vitesses de roue du véhicule.

Ces informations de vitesse Vr, Vv, permettent au système ADML 1 de pallier certains dysfonctionnements du microprocesseur 3, mais dans la mesure où elles sont traitées par le microprocesseur 3 lui-même, le maintien et la validation des impulsions de commande P1, P2 par le circuit de maintien et de validation 4 ne sont pas complètement indépendants du microprocesseur 3, et le niveau de sécurité n'est donc pas optimum.

Dans le système ADML 8 selon l'invention montré schématiquement sur la Figure 2, la donnée de vitesse moyenne de roulage de véhicule Vv et des deuxièmes données SSB1, SSB2 représentatives d'un état de la commande de démarrage sont envoyées au microprocesseur 3, et la donnée de vitesse de roulage de roue Vr et les données SSB1, SSB2 sont transmises et traitées directement par un module de validation 9. De même que dans le système de la Figure 1, les données Vr et Vv sont véhiculées respectivement par une liaison filaire L et par l'intermédiaire d'un bus de terrain de type CAN.

Un code informatique exécuté par le microprocesseur 3 génère un signal de commande S en fonction des données Vv, SSB1 et SSB2. Ce même code informatique génère également des troisièmes données CG, dites « chien de garde », représentatives d'un fonctionnement ou non du microprocesseur 3.

Le module de validation 9 comprend un circuit numérique 10 sous la forme d’un circuit intégré externe au microprocesseur 3, par exemple un circuit intégré de type "Single Basic Chip" (SBC). Le circuit numérique 10 reçoit les troisièmes données CG à travers une liaison série SPI reliant ce circuit numérique 10 au microprocesseur 3. Les troisièmes données de chien de garde CG permettent au circuit numérique de détecter une défaillance du microprocesseur 3.

Le module de validation 9 comprend en outre des premiers moyens de détection (MLI) 11 générant une première commande C1 quand la donnée de vitesse de roulage de roue Vr, transmise sur la liaison filaire L, en modulation en largeur d'impulsion MLI dans cette forme de réalisation, indique que la vitesse du véhicule est inférieure à environ 4 km/h. La vitesse inférieure à 4 km/h est définie dans le règlement européen ECE R116 et est considérée comme représentative d’un véhicule à l’arrêt.

Des deuxièmes moyens de détection 12 génèrent une deuxième commande C2 quand les deuxièmes données SSB1, SSB2, reçues indiquent une demande de coupure émanant conducteur.

Les troisièmes données CG peuvent activer par défaut une fonction de mode dégradé du SBC 10 (fonction dite "limp home" en terminologie anglaise) en cas de défaillance du microprocesseur 3, ou réinitialiser périodiquement un service d'un chien de garde du SBC 10, qui déclenchera cette fonction de mode dégradé en cas d'absence du service.

En mode dégradé, le SBC 10 génère une troisième commande LIMP HOME qui est combinée avec les premières et deuxième commandes C1, C2 dans une première porte logique à trois entrées 14 pour produire un signal de validation E.

Ce signal de validation E est combiné avec le signal de commande S généré par le microprocesseur 3 dans une deuxième porte logique 15 pour produire un signal de validation C destiné à piloter un circuit de commande 13 sous la forme d’un transistor de puissance commandant par la sortie de puissance R le relais d’alimentation électrique principale 5 du véhicule.

Dans les modes de réalisation préférés de l'invention, les première et seconde portes logiques 14, 15 sont réalisées au moyen de composants discrets tels des transistors bipolaires discrets ou bien au moyen de portes logiques intégrées, à la fois pour assurer une grande fiabilité et réduire les coûts.

Le système ADML 8 selon l'invention permet de couper l'alimentation électrique principale du véhicule, même en cas de perte du microprocesseur 3.

Quand le véhicule est à l'arrêt, cette fonction est une fonction de disponibilité qui permet d'économiser l'énergie de la batterie, et qui est développée avec un niveau d'exigence en termes de sécurité ASIL QM. Néanmoins, elle agit sur la coupure de l'alimentation principale, et le fait de couper l'alimentation principale est une fonction sécuritaire qui doit être développée au niveau ASIL B.

Dans le système ADML 8 selon l'invention, la coupure de l'alimentation électrique principale à l'arrêt en cas de perte du microprocesseur 3 et d’appui sur le bouton de démarrage 2 est réalisée par le module de validation 9, qui est un composant externe au microprocesseur 3. L'indépendance entre la fonction de disponibilité QM et la fonction sécuritaire réalisée par le microprocesseur 3 au niveau ASIL B est donc garantie.

Un avantage de l'invention est donc d'améliorer une prévention de la coupure intempestive de l'alimentation principale en cas de défaillance du microprocesseur 3 du système ADML 8.

Comme il va de soi l'invention ne se limite pas aux seuls modes de réalisation préférentiels décrits ci-dessus.

Notamment, la commande de démarrage 2 est avantageusement formée par des éléments de commande autres qu'un bouton de démarrage 2, par exemple un lecteur de carte à puce, un récepteur de télécommande ou un téléphone portable intelligent de type smartphone.

Dans des variantes de l'invention, le microprocesseur 3 reçoit en outre d'autres données représentatives du verrouillage/ déverrouillage des portières, et génère en outre des signaux d'activation d'autres relais d'alimentation électrique, notamment des relais de démarreur, de serrures électriques ou d'accessoires.

Claims (10)

1. REVENDICATIONS 1) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile du type de ceux comprenant un microprocesseur (3), générant un signal de commande (S) destiné à piloter un circuit de commande (13) d'un relais d'alimentation électrique principale (5) dudit véhicule, et un module de validation (9) distinct dudit microprocesseur (3) validant ledit signal de commande (S), ledit microprocesseur (3) recevant une donnée de vitesse moyenne (Vv) représentative d'une vitesse moyenne de roulage dudit véhicule et des deuxièmes données (SSB1, SSB2) représentatives d'un état d'une commande de démarrage ou de coupure (2), caractérisé en ce que ledit module de validation (9) génère un signal de validation (E) dudit signal de commande (S) en fonction d’une donnée de vitesse de roue (Vr) représentative d'une vitesse de roulage d’une roue dudit véhicule, des deuxièmes données (SSB1, SSB2) et de troisièmes données (CG) représentatives d'un fonctionnement ou pas dudit microprocesseur (3).
2. 2) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 1 précédente, caractérisé en ce que ledit module de validation (9) comprend: - des premiers moyens de détection (11) recevant ladite donnée de vitesse de roue (Vr), et générant une première commande (C1) indiquant que la vitesse de roue est inférieure à un seuil de vitesse prédéterminé; - des deuxièmes moyens de détection (12) recevant lesdites deuxièmes données (SSB1, SSB2), et générant une deuxième commande (C2) indiquant que ladite commande de coupure (2) a été activée; - des troisièmes moyens de détection (10) recevant lesdites troisièmes données (CG), et générant une troisième commande (LIMP HOME) indiquant une défaillance dudit microprocesseur (3).
3. 3) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 2 précédente, caractérisé en ce que ladite donnée de vitesse de roue (Vr) est fournie par un capteur de roue (7).
4. 4) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 2 précédente, caractérisé en ce que ledit seuil de vitesse prédéterminé est sensiblement égal à 4 km/h.
5. 5) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 2 précédente, caractérisé en ce que ladite commande de démarrage (2) est formée d'au moins un bouton de démarrage.
6. 6) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 2 précédente, caractérisé en ce que lesdits troisièmes moyens de détection (10) sont formés par un circuit numérique relié par une liaison série (SPI) audit microprocesseur (3) ou connecté à au moins une entrée/ sortie numérique dudit microprocesseur (3).
7. 7) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 6 précédente, caractérisé en ce que ledit circuit numérique (10) est réalisé sous la forme d’un circuit intégré externe audit microprocesseur (3), tel qu’un circuit intégré de type "Single Basic Chip" (SBC), et comprend une fonction de mode dégradé et/ ou un chien de garde.
8. 8) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon l'une quelconque des revendication 2 à 7 précédentes, caractérisé en ce que ledit module de validation (9) comprend en outre une première porte logique à trois entrées (14) combinant lesdits première, deuxième et troisième commandes (C1, C2, LIMP HOME) et formant ledit signal de validation (E), et une seconde porte logique à deux entrées (15) combinant ledit signal de validation (E) et ledit signal de commande (S), et formant un signal de commande validé (C) pilotant ledit circuit de commande (13).
9. 9) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon la revendication 8 précédente, caractérisé en ce que ladite première porte logique à trois entrées (14) et ladite seconde porte logique à deux entrées (15) sont réalisées au moyen de composants discrets ou de portes logiques intégrées.
10. 10) Système d'accès et de démarrage mains-libres (8) d'un véhicule automobile selon l'une quelconque des revendications 1 à 9 précédentes, caractérisé en ce que ledit microprocesseur (3) comporte un code informatique générant ledit signal de commande (S) développé avec un premier niveau d'exigence, et en ce que le module de validation (9) est développé avec un second niveau d'exigence.