FR2876482A1 - Dispositif d'envoi de commande de sortie securisee - Google Patents

Abstract

L'invention vise à fournir un dispositif d'envoi de commande compact. A cet effet, l'invention propose un nouveau type d'étage de sortie. Un dispositif de vérification sécuritaire de l'envoi d'un signal binaire de commande sur au moins un conducteur 100 et 101 dispose d'une borne d'entrée et d'une borne de sortie. Des moyens d'insertion 422 et 432 envoient un message de vérification sur ledit conducteur 100 ou 101. Au moins un coupleur optique 426 ou 436 dispose d'une diode d'émission 427 ou 437 couplée au conducteur pour recopier le message de vérification lorsque le signal binaire est dans un premier état et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier état.

Description

DISPOSITIF D'ENVOI DE COMMANDE DE SORTIE SECURISEE

L'invention se rapporte à un dispositif d'envoi de commande de sortie sécurisée. Ce type de dispositif est utilisé dans des applications nécessitant un contrôle sécuritaire élevé tel que, par exemple, des applications de transport de personnes.

Pour les transports de personnes, de type train, métro, tramway ou bus autoguidé, il est nécessaire de présenter un maximum de sécurité pour avoir l'autorisation de circuler. Parmi les dispositions de sécurité mises en oeuvre, une disposition particulière consiste en l'utilisation, pour tout niveau logique correspondant à une commande, d'un niveau sécuritaire, c'est-à-dire non dangereux en cas de dysfonctionnement. Le niveau sécuritaire est généralement le niveau 0 correspondant en outre à une absence de tension ou de courant. On parle d'état permissif et d'état restrictif. L'état permissif correspond à une commande dans un état non sécuritaire mais nécessaire au fonctionnement, par exemple, demande de traction ou libération des freins.

L'état restrictif interdit certaines actions de fonctionnement ou provoque des actions dont l'effet est sécuritaire, par exemple arrêt de la traction ou déclenchement du freinage, et notamment en cas d'absence d'énergie afin de sécuriser les passagers quoi qu'il arrive.

Afin de garantir un fonctionnement pleinement sécuritaire en cas de défaillance de l'un quelconque des composants du système de commande, toute panne doit se traduire par une mise à un état restrictif. Afin d'assurer une telle mise en sécurité, la seule défaillance d'un composant doit entraîner soit une mise à l'état restrictif de la commande, soit une détection de dysfonctionnement qui met de manière globale toute les sorties dans un état restrictif.

Dans ce but, chaque dispositif d'envoi de commande est muni d'un dispositif de sortie dit sécuritaire qui sert, d'une part, à envoyer une commande de puissance et, d'autre part, à vérifier que le signal est bien dans un état restrictif lorsqu'un état restrictif est demandé. Le contrôle des sorties sécuritaires permet de garantir qu'un dispositif de commande ne va pas commander une action à tort. Le principe est de commander fonctionnellement une sortie et de vérifier son état de manière sécuritaire. En cas de problème, une alimentation sécuritaire est coupée, forçant ainsi tous les signaux de commande dans un état sécuritaire.

II est connu notamment par la demande française FR-A-2 704 370 des relais statiques de sécurité pour réaliser une telle interface de commande contrôlée sécuritairement. Selon ce document, la commande de puissance est transmise par l'intermédiaire d'un transformateur à quatre enroulements, incluant des enroulements primaire et secondaire de vérification d'état et des enroulements primaire et secondaire de puissance. L'enroulement primaire de vérification d'état reçoit un signal de contrôle qui est lu par l'enroulement secondaire correspondant. Lorsqu'une commande est dans un état permissif, l'enroulement primaire de puissance de ce même transformateur reçoit une forte énergie à destination de l'enroulement secondaire de puissance. Lorsque l'enroulement primaire de puissance reçoit cette énergie, le transformateur devient saturé et l'enroulement secondaire de contrôle n'est plus capable de recevoir le signal envoyé par l'enroulement primaire de contrôle. Un tel dispositif est suffisamment efficace pour la fonction demandée. Mais il comporte comme principal inconvénient de présenter un encombrement important et d'avoir une consommation en énergie non négligeable.

L'invention vise à fournir un dispositif d'envoi de commande compact. A cet effet, l'invention propose un nouveau type d'étage de sortie. Un signal de contrôle est envoyé sur les conducteurs de puissance. Le signal de contrôle est récupéré par l'intermédiaire d'un opto-coupleur relié au conducteur.

L'invention est un dispositif de vérification sécuritaire de l'envoi d'un signal binaire de commande sur au moins un conducteur disposant d'une borne d'entrée et d'une borne de sortie. Des moyens d'insertion envoient un message de vérification sur ledit conducteur. Au moins un coupleur optique dispose d'une diode d'émission couplée au conducteur pour recopier le message de vérification lorsque le signal binaire est dans un premier état et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier état.

Préférentiellement, un premier conducteur est muni d'une première diode de contrôle placée entre sa borne d'entrée et sa borne de sortie, ladite diode étant placée afin d'être bloquée lorsque le signal binaire est dans le premier état et afin de laisser passer le courant dans le premier conducteur lorsque le signal binaire est dans le deuxième état. Les moyens d'insertion comportent un transistor qui couple en parallèle une première diode d'émission sur la première diode de contrôle lorsque ledit transistor est passant, la première diode d'émission étant polarisé de sorte que celle-ci se trouve bloquée indépendamment de l'état du transistor lorsque ladite première diode de contrôle est passante. Le dispositif comporte des moyens de polarisation qui permettent de polariser la première diode de contrôle en inverse lorsque le signal binaire est dans le premier état.

De plus, le dispositif peut comporter en outre des deuxièmes moyens d'insertion d'un signal de vérification sur un deuxième conducteur, et un deuxième coupleur optique disposant d'une deuxième diode d'émission couplée au deuxième conducteur pour recopier le message de vérification lorsque le signal binaire est dans un premier état et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier état.

Selon une autre variante, le signal binaire de commande est une commande de puissance envoyée sur deux conducteurs créant une différence de potentiel sécuritaire continue entre les deux conducteurs lorsque le signal binaire est dans le deuxième état et laissant lesdits conducteurs flottants lorsque le signal binaire est dans le premier état. Les moyens d'insertion consistent en un condensateur et deux résistances couplés aux conducteurs et envoyant un message de vérification différentiel, de potentiel variable, dont l'amplitude est inférieure à la différence de potentiel sécuritaire. La diode d'émission est placée entre les deux conducteurs de manière à être bloquée lorsque la différence de potentiel sécuritaire est appliquée aux dits conducteurs.

L'invention, de manière plus globale est également un système de commande sécurisé comportant: des moyens de génération d'une commande, des moyens de vérification qui vérifient le bon fonctionnement dudit système, des moyens d'alimentation sécuritaire qui fournissent une tension sécuritaire sous le contrôle des moyens de vérification, des moyens d'envoi de la commande de manière sécurisée à l'aide de la tension sécuritaire. Les moyens d'envoi comportent au moins un dispositif de vérification sécuritaire de l'envoi d'un signal binaire de commande tel que décrit précédemment.

Bien sûr, l'invention couvre également le véhicule contenant le système de commande sécurisé.

L'invention sera mieux comprise et d'autres particularités et avantages apparaîtront à la lecture de la description qui va suivre, la description faisant référence aux figures annexées parmi lesquelles: É la figure 1 représente un exemple de circuit générateur de commandes sécurisé, et É les figures 2 à 5 représentent différents exemples de réalisation de sortie sécurisée selon l'invention.

Le générateur de commandes sécurisé représenté sur la figure 1 15 comporte: - un processeur sécurisé 1 qui élabore des commandes en fonction de données d'entrée et d'un programme réalisé de manière sécurisée, c'est-à- dire auto-vérifiant son bon déroulement, - un circuit de validation de sécurité 2 qui reçoit du processeur sécurisé 1, l'état des commandes qui doivent être envoyées ainsi que des signatures d'erreurs représentatives d'éventuelles erreurs détectées au cours du déroulement du programme dudit processeur 1, - une alimentation sécuritaire 3 commandée par le circuit de validation de sécurité 2 qui va fournir ou ne pas fournir une tension sécuritaire Vsec = V+ - V_, suivant qu'une erreur ait été détectée ou non par le circuit de validation de sécurité 2, et - une interface de sortie sécurisée 4 qui reçoit les commandes à envoyer à des dispositifs distants provenant du processeur sécurisé 1, des signaux de contrôle provenant du circuit de validation de sécurité 2 différentes tensions d'alimentation V+, VDD+, Vpp_ et Vcc fournies par le circuit d'alimentation sécuritaire 3; le circuit de sortie sécurisé 4 envoie également au circuit de validation de sécurité 2 des signaux représentatifs de l'état réel des sorties de puissance.

Pendant le déroulement du programme, le processeur sécurisé 1 autovérifie son bon fonctionnement. Des signatures de sécurité sont envoyées au circuit de validation de sécurité 2 qui va valider que le programme s'est déroulé correctement sans aucune erreur. En outre, le processeur sécurisé 1 fournit au circuit de validation de sécurité 2, les états des sorties demandées.

Le circuit de validation de sécurité 2 vérifie le bon fonctionnement de tout le dispositif destiné à envoyer les commandes. Si jamais une erreur est détectée, le circuit de validation de sécurité coupe l'alimentation de puissance qui correspond à la tension sécuritaire Vsec = V+ - V_ et qui alimente l'interface de sortie sécurisée de sorte qu'aucune commande ne puisse être envoyée et que tous les signaux de sortie se retrouvent dans un état restrictif dit sécuritaire.

La figure 2 représente un premier exemple de réalisation de l'interface de sortie sécurisée 4 qui comporte une pluralité de circuits de sortie sécurisée 41 à 43. Chaque circuit de sortie sécurisé 41 à 43 est dédié à la transmission d'un signal de commande qui lui est propre. Le circuit de sortie sécurisé 43 comporte deux conducteurs 100 et 101. Les conducteurs 100 et 101 sont destinés à véhiculer un signal binaire de sortie de puissance. A cet effet, un signal binaire de commande contrôle un dispositif de commutation 102 qui relie le conducteur 100 à la tension d'alimentation V+ et le conducteur 101 à la tension d'alimentation V-. Les tensions d'alimentation V+ et V_ sont fournies par l'alimentation sécuritaire 3 lorsque le circuit de validation de sécurité autorise la tension sécuritaire VSeC = V+ - V. qui est égale à, par exemple, 48 volts. En cas de détection d'un dysfonctionnement, les tensions d'alimentation V+ et V_ ne sont plus fournies de sorte que l'état de toutes les sorties de l'interface de sortie sécurisée se retrouvent dans un état sécuritaire. Les conducteurs 100 et 101 fournissent donc une commande de puissance lorsque le signal de commande ferme le circuit de commutation 102. Les conducteurs 100 et 101 sont reliés à une charge, par exemple, un relais distant non représenté sur cette figure 2.

L'état sécuritaire ou restrictif correspond à une ouverture du commutateur 102. On cherche à vérifier que lorsque cet état sécuritaire est demandé, celui-ci soit bien appliqué par le circuit de sortie sécurisée 43.

Un code de vérification, par exemple un train de bits pseudo aléatoire, est fourni au dispositif au circuit de sortie 43 par le circuit de validation de sécurité 2. Le code de vérification est envoyé sur les conducteurs 100 et 101 par l'intermédiaire de deux entrées de code notées CODE1 et CODE2 L'entrée CODEZ est couplée au conducteur 100 par l'intermédiaire d'une capacité 103 et d'une résistance 104. L'entrée CODE2 est couplée au conducteur 101 par l'intermédiaire d'une résistance 106.

Un opto-coupleur 107 constitué d'une photodiode d'émission 108 et d'un phototransistor de réception 109 est couplé aux conducteurs 100 et 101 afin de récupérer le code de vérification et de le fournir sur une sortie. La photodiode d'émission 108 est connectée entre les conducteurs 100 et 101 pour recopier le code provenant des entrées de code lorsque le signal binaire de commande est dans un premier état, par exemple l'état sécuritaire, et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier.

A cet effet, la photodiode 108 est polarisée de sorte que celle-ci se retrouve dans un état bloqué lorsque le commutateur 102 établit le contact entre les conducteurs 100 et 101 et la tension sécuritaire Vsec. Lorsque l'on désire avoir un niveau sécuritaire sur cette sortie, le signal binaire de commande est dans un état qui demande l'ouverture du commutateur 102. Si le commutateur 102 se trouve inopinément fermé, alors la photodiode 108 se retrouve bloquée. Le code envoyé par les entrées CODE1 et CODE2 ne va pas transiter par ladite photodiode. Ainsi, celle-ci n'émettra absolument rien et le phototransistor ne pourra nullement recopier le signal sur sa sortie.

Par contre, si le circuit de commutation 102 répond correctement au signal binaire de commande, alors les conducteurs 100 et 101 ne sont plus reliés à la tension sécuritaire VSeC. Les signaux de code sont envoyés sur les conducteurs 100 et 101, et ils transitent par la photodiode 108 lorsque la différence de potentiel entre les entrées de code polarise dans un sens passant ladite photodiode 108. Le phototransistor 109 reçoit alors l'émission de la photodiode et commute une résistance 110 entre la masse et une tension d'alimentation Vcc, par exemple 5V. La sortie de code, correspondant au noeud entre le transistor 109 et la résistance 110, se trouve alors être modulée par le code de vérification. La sortie de code est ensuite envoyée au circuit de validation de sécurité 2 pour vérification du code. Le code de sortie est alors égal à: SORTIE CODE = CODE1 É CODE2.

Ce premier mode de réalisation remplit parfaitement les conditions de sécurité désirées. Cependant, lorsqu'une charge de forte puissance et donc de faible impédance est reliée aux conducteurs 100 et 101, celle-ci risque de rabaisser la tension des signaux fournis aux entrées CODEZ et CODE2 aux borne de la photodiode 108. Afin de remédier à ce problème, une diode de commutation 111 est insérée sur l'un des conducteurs afin d'éviter au courant correspondant aux signaux de code de transiter par la charge.

Egalement, la photodiode 108 est polarisée en inverse par rapport à la tension sécuritaire qui transite par les conducteurs 100 et 101. Cela peut poser un problème si la charge est de type inductive. Lorsqu'un relais est connecté aux bornes de sortie des deux conducteurs 100 et 101 alors la photodiode 108 agit en diode de roue libre. Agissant en diode de roue libre, la photodiode 108 assure le collage pendant une durée non nécessairement définie du relais que les conducteurs 100 et 101 commandent. Afin de remédier à ça, une résistance 113 est insérée entre l'un des conducteurs et la photodiode 108. Cette résistance est choisie de valeur très supérieure à l'impédance du relais commandé afin de limiter de courant au maximum lorsque celui-ci va dans un sens inverse au courant fourni par la tension sécuritaire Vsec, réduisant fortement la roue libre créée par la photodiode.

Les deux résistances 104 et 106 servent à limiter le courant du signal correspondant au code de vérification afin que celui-ci soit inférieur au courant minimal pouvant déclencher le relais servant de charge. Bien que la tension maximale en valeur absolue des signaux de code soit faible, par exemple +5V ou -5V, ces résistances 104 et 106 dissipent thermiquement une énergie non nulle. Le condensateur de couplage 103 permet toutefois de limiter le courant dans ces résistances. Le condensateur 103 doit être dimensionné pour supporter une différence de potentiel qui peut être supérieure à la tension sécuritaire Vsec soit 48 volts, mais ils suppriment la consommation statique des résistances 104 et 106.

La connexion de la photodiode d'émission 108 entre les deux conducteurs 100 et 101, a pour inconvénient de polariser la photodiode 108 en inverse avec une tension relativement élevée de l'ordre de 48 volts. Ce type de composant n'est généralement pas fait pour supporter de telles tensions. De plus, lorsque l'élément de puissance à commander se trouve éloigné du circuit de sortie, les contraintes liées à l'environnement électromagnétique deviennent importantes. Dans une telle situation, la connexion des entrées de code aux conducteurs 100 et 101 par l'intermédiaire de condensateurs ne présente pas une isolation galvanique suffisamment importante et des signaux parasites d'origine électromagnétique peuvent altérer la forme du train de bits constituant le code de vérification.

Afin de remédier aux inconvénients précités, différentes améliorations vont être successivement détaillées. Tout d'abord, selon une variante de réalisation, une diode de commutation 112 est mise en série avec la photodiode 108 avec une polarisation de même sens. La diode de commutation 112 permet de réduire la tension inverse aux bornes de la photodiode 108.

Une variante de circuit est représentée sur la figure 3. Les conducteurs 100 et 101 sont reliés à une charge 200. La charge 200 est par exemple une bobine de commande d'un relais. Dans cet exemple, seul le conducteur 100 dispose en entrée du circuit de commutation 102. Le contrôle d'état de sortie se fait en contrôlant l'état du courant circulant dans le conducteur 100. A cet effet, une diode de commutation 201 est insérée sur ce conducteur 100. Cette diode de commutation 201 étant polarisée afin d'être passante lorsque le circuit de commutation 102 ferme le circuit. Une tension de polarisation Vpp = VDD+ - Vpp_ est couplée sur conducteur 100 par l'intermédiaire des résistances 202 et 203. Ce couplage est réalisé pour polariser la diode de commutation 201 en inverse vis-à-vis de la tension de polarisation VDD. En parallèle de la diode 201, la photodiode d'émission 108 de l'opto- coupleur 107 est connectée par l'intermédiaire d'un transistor 204. Le transistor 204, par exemple un transistor NPN, reçoit sur sa base le code de vérification.

La tension de polarisation VDD, par exemple 12 V, peut être appliquée soit aux deux conducteurs 100 et 101 soit uniquement au conducteur 100. Dans le cas où elle est appliquée aux deux conducteurs 100 et 101, un courant de polarisation transite par la charge 200. Les résistances 202 et 203 sont choisies afin de limiter le courant circulant dans la charge à un seuil inférieur à un courant de déclenchement de relais.

Préférentiellement, afin d'éviter un éventuel déclenchement du relais 200 si celui-ci est de faible puissance, il est possible d'utiliser un relais polarisé. La polarisation du relais 200 permet d'autoriser son déclenchement lorsqu'il est polarisé par la tension sécuritaire Vsec mais pas par la tension de polarisation VDD. Le relais polarisé est préférentiellement le dispositif commandé par les conducteurs 100 et 101 afin de servir de protection complémentaire en plus des moyens décrits dans les variantes décrites ci-après et qui ont également pour but d'éviter un déclenchement inopiné du relais.

Lorsque le commutateur 102 est fermé, les conducteurs 100 et 101 alimentent la charge 200 avec une tension sécuritaire VSeC. La diode 201 devient passante, la tension aux bornes de cette diode 201 est sensiblement égale à sa tension de seuil, c'est-à-dire 0,6 volts. Cette tension aux bornes de la diode 201 ne permet pas à la diode 108 de conduire, ainsi le phototransistor de réception 109 ne peut recevoir le code envoyé par l'intermédiaire du transistor 204.

Lorsque le circuit de commutation 102 est ouvert et lorsque aucun courant de puissance correspondant au signal de commande ne traverse les conducteurs 100 et 101, la diode 201 est bloquée par la tension de polarisation VDD se trouvant à ses bornes. La tension de polarisation VDD polarise alors la branche constituée de la photodiode 108 et du transistor 204. Ainsi, lorsque la base du transistor 204 est modulée en tout ou rien par le code de vérification, ce code se trouve répercuté dans la diode 108 qui va émettre en fonction dudit code. Le transistor 109 va donc recevoir le code et le transmettre à la sortie de -10-code.

L'isolation galvanique peut paraître insuffisante au niveau de l'entrée de code, notamment si l'on désire utiliser une tension sécuritaire plus importante. En effet, le transistor 204 peut griller et endommager le circuit de validation de sécurité 2 si une tension importante remonte par son intermédiaire. De plus, la tension de polarisation VDD est de l'ordre de 12 volts alors que la tension sécuritaire Vsec est de l'ordre de 48 volts, ces tensions étant en outre connectées de manière inversée, les différences de potentiel aux bornes des résistances 202 et 203 peuvent atteindre 60 volts, ce qui fait une dissipation d'énergie relativement importante et inutile.

Le circuit de la figure 4 correspond à une autre variante qui présente différents avantages. La tension de polarisation VDD est appliquée sur les conducteurs 100 et 101 par l'intermédiaire d'une unique résistance 202 mais uniquement lorsque le circuit de commutation 102 est censé être ouvert. La diode de commutation 201 est ici remplacée une diode Zener 301 destinée, lors de la polarisation, à garantir une tension maximale aux bornes de la branche constituée de la photodiode 108 et d'un phototransistor 304 remplaçant le transistor 204.

Le code est ici fourni par l'intermédiaire d'un opto-coupleur 302 qui comporte une photodiode d'émission 303 et un phototransistor de réception 304. Afin d'éviter qu'un courant ne transite par la charge, une diode de polarisation 310 est placée entre les deux conducteurs 100 et 101 au niveau de leurs sorties. La diode de polarisation 310 est polarisée de sorte qu'elle soit bloquée lorsque la tension sécuritaire VSeC est appliquée sur les conducteurs 100 et 101. Lorsque la tension de polarisation VDD est appliquée sur les conducteurs 100 et 101, la diode de polarisation 310 devient passante.

Le circuit de commutation 102 et un circuit à transistor MOS couplé au signal de commande par l'intermédiaire d'un opto-coupleur 320. Le signal sortant de l'opto-coupleur 320, commande un transistor MOS 321, lui-même commandant un transistor MOS 322. Le transistor MOS 322 assurant la connexion ou la déconnexion du conducteur 100 avec la tension d'alimentation V+. Un transistor MOS 323 couplé à une résistance 324 reçoit également le même signal de commande que le transistor MOS 321. Or, cet ensemble inverse le signal afin de commander un transistor MOS 325 qui relie la tension d'alimentation Vpo_ au conducteur 100 par l'intermédiaire de la résistance 202. La tension d'alimentation VDD+ est directement connectée à la tension d'alimentation V-. Avec un tel circuit, le fonctionnement est globalement le même que le fonctionnement précédent. Toutefois, la consommation de la résistance 202 se trouve être fortement réduite, grâce à l'interrupteur ainsi constitué qui établit la liaison entre le conducteur 100 et la tension d'alimentation Vpp_ lorsque le signal de commande est dans le premier état et qui déconnecte cette tension d'alimentation Vpp_ dudit conducteur 100 lorsque le signal de commande est dans le deuxième état.

Entre autres avantages, toute surtension possible au niveau de la photodiode 108 se trouve limitée par la diode Zener 301. L'utilisation d'optocoupleur 302 et 320 permet d'avoir une excellente isolation galvanique au niveau, d'une part, de l'entrée de commande et, d'autre part, de l'entrée de code.

Toutefois, le circuit peut encore être amélioré. La diode de polarisation 310 peut se comporter en diode de roue libre par rapport à une charge inductive. La diode Zener 301 se trouve être relativement coûteuse si l'on souhaite qu'elle assure de bonnes performances en commutation et qu'elle soit traversée par un fort courant lorsqu'elle est polarisée en direct.

Un inconvénient peut être qu'un court-circuit se produise en aval de la sortie du conducteur 100, par exemple un court-circuit avec la sortie d'un autre conducteur alimenté pourrait être envisagé dans certains cas. La détection sur 25 un seul conducteur ne permet pas de s'affranchir d'un tel cas.

Le circuit de la figure 5 représente une variante encore améliorée. Sur le circuit de la figure 5, le conducteur 100 est muni d'un circuit de vérification 401 et le conducteur 101 est muni d'un circuit de vérification 402. La transmission d'un signal binaire de commande se fait par l'intermédiaire du circuit de commutation 102 qui commute la tension d'alimentation V+ à l'aide du transistor MOS 322. La polarisation des circuits de vérification 401 et 402 à l'aide de la tension de polarisation VDD reliée aux conducteurs 100 et 101, se fait par l'intermédiaire d'une résistance 202 et du transistor MOS 325 fonctionnant de manière inversée par rapport au transistor MOS 322. La diode de polarisation 310 placée entre les conducteurs 100 et 101 est polarisée de manière à être passante vis-à-vis de la tension de polarisation VDD et bloquée vis-à-vis de la tension sécuritaire Vsec, sert à assurer la polarisation des circuits de vérification 401 et 402 sans passer par la charge (non représentée). Afin d'éviter que cette diode de polarisation 310 se comporte en diode de roue libre, un circuit d'auto-commutation 410 est placé entre les bornes de sortie desdits conducteurs 100 et 101 afin de connecter ou déconnecter le conducteur 101 d'une charge reliée audit conducteur 101.

Le circuit d'auto-commutation 410 est, par exemple, constitué d'un transistor MOS 411 dont une grille de commande est reliée au point milieu d'un pont diviseur de tension constitué des résistances 412 et 413. Lorsque la tension aux bornes du pont de résistances 412 et 413 correspond à la tension sécuritaire, la tension aux bornes de la résistance 413 est supérieure à une tension de seuil du transistor MOS 411 qui relie alors le conducteur 101 de la charge. Lorsque la tension aux bornes du pont de résistances 412 et 413 correspond à une tension nulle ou inférieure à une tension de seuil du transistor 411, celui-ci se trouve alors bloqué et le conducteur 101 est alors déconnectée de la charge.

Les circuits de vérification 401 et 402 sont d'un type similaire. Toutefois, leur fonctionnement est inversé l'un par rapport à l'autre afin de récupérer, d'une part, une sortie représentative du code et, d'autre part, une sortie représentative du code inversé. A cet effet, le code est fourni sur deux entrées différentielles de code, notées CODEZ et CODE2, qui reçoivent chacune un signal différent de type pseudo aléatoire.

Le circuit de vérification 401 comporte un dispositif de diode inséré sur le conducteur 100. Le dispositif de diode est ici constitué d'une diode de commutation 420 couplée en parallèle avec une diode Zener 421. Le couplage de la diode Zener 421 avec la diode de commutation 420 a pour effet d'avoir tous les avantages d'une diode Zener pour ce qui est de la polarisation du circuit comme indiqué précédemment avec le circuit de la figure 4 ainsi que tous les avantages d'une diode de commutation en terme de temps de commutation et de courant important. En outre, une diode de commutation a généralement une tension de seuil inférieure à une tension de seuil d'une diode Zener, ce qui fait que la diode de commutation 420 bloque la diode Zener 421 lorsque cette diode 420 est passante évitant ainsi de fatiguer inutilement la diode Zener 421.

Un opto-coupleur 422 comportant une photodiode d'émission 423 et un phototransistor 424, sert à fournir le code de vérification au conducteur100. La photodiode 423 est couplée aux entrées CODEZ et CODE2, dans un premier sens de polarisation par l'intermédiaire d'une résistance 425 servant à ajuster le courant traversant la photodiode 423. Un optocoupleur 426 comportant une photodiode 427 d'émission et un phototransistor 428 de réception, sert à lire le code de vérification sur le conducteur 100 pour le fournir à une sortie de code notée CODE3 La photodiode 427 est connectée aux bornes de l'ensemble de diodes 420 et 421 par l'intermédiaire du phototransistor 424. Les diodes 420, 421 et 427 sont polarisées de sorte que, lorsque la diode de commutation 420 est dans un état passant, la photodiode 427 est dans un état forcément bloqué. En l'absence de la tension sécuritaire Vsec, la diode de commutation 420 est bloquée, la diode Zener 421 limite la tension aux bornes de la branche constituée du phototransistor 424 et de la photodiode 427, et lorsque le phototransistor 424 est bloqué, la diode Zener 421 assure en outre la polarisation du circuit de vérification 402. Une résistance 429 polarise le phototransistor 428 afin de pouvoir récupérer un signal sur la sortie de code CODE3.

Le circuit de vérification 402 comporte un dispositif de diode inséré sur le conducteur 101. Le dispositif de diode est ici constitué d'une diode de commutation 430 couplée en parallèle avec une diode Zener 431. Un optocoupleur 432 comportant une photodiode 433 d'émission et un phototransistor 434 sert à fournir le code de vérification au conducteur 101. La photodiode 433 est couplée aux entrées CODEZ et CODE2, dans un deuxième sens de polarisation par l'intermédiaire de la résistance 425 servant à ajuster le courant traversant ladite photodiode. Il est à noter que la résistance 425 n'est dimensionnée que pour une seule photodiode car les photodiodes 423 et 433 - 14 - sont montrées tête-bêche et donc une seule peut être passante.

Un opto-coupleur 436 comportant une photodiode d'émission 437 et un phototransistor de réception 438, sert à lire le code de vérification sur le conducteur 101 pour le fournir à une sortie de code notée CODE4. La photodiode 437 est connectée aux bornes de l'ensemble de diodes 430 et 431 par l'intermédiaire du phototransistor 434. Les diodes 430, 431 et 437 sont polarisées de sorte que, lorsque la diode 430 est dans un état passant, la diode 437 se trouve être dans un état forcément bloqué. Une résistance 439 polarise le phototransistor 438 afin de pouvoir récupérer un signal sur la sortie CODE4.

Les photodiodes 423 et 433 étant polarisées en inverse, les circuits de polarisation 401 et 402 fonctionnant de manière complémentaire. Cela a pour effet d'avoir des lois de sortie différentes pour les sorties CODE3 et CODE4.

Dans le cas où on souhaite envoyer une commande active, c'est-à-dire dans un état permissif, le signal de commande est mis à 1. Ce signal de commande polarise la photodiode 330 de l'opto-coupleur 320 par l'intermédiaire de la résistance 331. La photodiode 330 émet un rayonnement lumineux en direction du phototransistor 332 de l'optocoupleur 320 le rendant ainsi passant. Les résistances 333 et 334 se trouvent alors traversées par un courant. La tension aux bornes de la résistance 334 devient alors égale au produit de ce courant par sa résistance. Cette résistance 334 est choisie d'une valeur telle que, traversée par ce courant, la tension à ces bornes est suffisante pour que les transistors MOS 321 et 323 soient passants. Le transistor MOS 323 étant passant, un courant circule à travers la résistance 324 et la tension de grille du transistor MOS 325 se trouve être quasi-nulle, bloquant ainsi ce transistor MOS 325 qui ne permet pas de fournir la tension d'alimentation VDD_ au conducteur 100. Le transistor MOS 321 étant passant, celui-ci fait traverser les résistances 336 et 337 par un courant. Ces résistances 336 et 337 créent ainsi un pont de résistance entre la tension d'alimentation V+ et la tension d'alimentation VDD_. Il est à noter que VDD+ étant reliée à V-, cette tension est égale à la somme de la tension de polarisation VDD et de la tension sécuritaire Vsec, dans notre exemple 60 V. Les résistances 336 et 337 forment ainsi un pont de résistance qui applique une tension non nulle entre la grille et la source du transistor MOS 322 le rendant ainsi passant. Le conducteur 100 se trouve alors connecté à la tension d'alimentation V+. Les résistances 412 et 413 du dispositif d'auto- commutation 410 créent un potentiel non nul entre la grille et la source du transistor MOS 411 fermant celui-ci. Ainsi, la commande est envoyée. Les diodes de commutation 420 et 430 sont passantes et le courant circule à travers une charge non représentée La charge est alors alimentée par une tension sensiblement égale à la tension sécuritaire Vsec. Les diodes de commutation 420 et 430 étant passantes, les photodiodes 427 et 437 ne peuvent en aucun cas être passantes, les sorties CODE3 et CODE4 sont toutes deux égales à la tension d'alimentation Vcc indépendamment du code qui est envoyé sur les entrées CODEZ et CODE2.

Lorsque le signal de commande est égal à 0, la photodiode 330 est bloqué et n'émet aucun signal. Le phototransistor 332 se trouve alors être bloqué. Les tensions de grilles des transistors MOS 321 et 333 sont ramenées au potentiel de source desdits transistors MOS 321 et 323 par l'intermédiaire de la résistance 334, bloquant ainsi lesdits transistors MOS 321 et 323. La tension de grille du transistor MOS 322 se trouve ramené au potentiel de sa source par l'intermédiaire de la résistance 337, bloquant ainsi le transistor MOS 322. Automatiquement, la tension dans le pont de résistance 412 et 413 du dispositif d'auto-commutation 410 devient nul bloquant le transistor MOS 411 qui ouvre le circuit et déconnecte la charge du conducteur 101. Le transistor MOS 323 étant bloqué, la tension grille/source du transistor MOS 325 se trouve être égale à la tension de polarisation VDD rendant ainsi ce transistor 325 passant, ce qui a pour effet de relier la tension d'alimentation VDD- au conducteur 100 par l'intermédiaire de la résistance 202. Cette polarisation étant inverse pour les diodes de commutation 420 et 430 et Zener 421 et 431 et étant directe pour ladite diode 306, il est établi un chemin de polarisation entre VDD+ et VDD- qui est alors constitué de la diode Zener 431, de la diode de polarisation 310, de la diode Zener 321 et de la résistance 202.

Lorsque l'entrée CODE1 est à une tension positive et l'entrée CODE2 est à une tension nulle, la photodiode 423 se trouve polarisée par la résistance 425 et devient émettrice de lumière en direction du phototransistor 424 rendant passante la photodiode 427 qui émet en direction du phototransistor 428 qui relie la sortie CODE3 à la masse. Simultanément, la photodiode 433 se trouve être polarisée en inverse, bloquant ainsi le transistor 434 qui bloque la photodiode 437 et donc également le phototransistor 438. La sortie CODE4 se trouve alors fournir une tension positive. La branche constituée du phototransistor 434 et de la photodiode 437 étant bloquées, le courant de polarisation circule à travers la diode Zener 431 qui assure la régulation à ses bornes du potentiel au plus égal à sa tension Zener.

Lorsque l'entrée CODE1 est à une tension nulle et l'entrée CODE2 est à une tension positive, la photodiode 433 se trouve polarisée par la résistance 425 et devient émettrice de lumière en direction du phototransistor 424 rendant passante la photodiode 437 qui émet en direction du phototransistor 438 qui relie la sortie CODE4 à la masse. Simultanément, la photodiode 423 se trouve être polarisée en inverse, bloquant ainsi le transistor 424 qui bloque la photodiode 427 et donc également le phototransistor 428. La sortie CODE3 se trouve alors fournir une tension positive. La branche constituée du phototransistor 424 et de la photodiode 427 étant bloquées, le courant de polarisation circule à travers la diode Zener 421 qui assure la régulation à ses bornes du potentiel au plus égal à sa tension Zener.

Lorsque les entrées CODEZ et CODE2 sont à un même potentiel, tension positive ou nulle, les photodiodes 423 et 433 sont toutes deux bloquées. Les phototransistors 424 et 434 sont alors bloqués ainsi que les photodiodes 427 et 437 et les phototransistors 428 et 438. Les sorties CODE3 et CODE4 fournissent alors une tension positive. La loi des sorties CODE3 et CODE4 peut s'exprimer ainsi: CODE3 = CODE1 É CODE2 CODE4 = CODE1 É CODE 2.

L'envoi du code de vérification se fait par un envoi successif de bits 0 ou 1 qui se traduit par une différence de potentiel positive, négative ou nulle entre les entrées CODEZ et CODE2. Cette alternance de bits produit, dans le cadre de fonctionnement normal, les sorties CODE3 et CODE4 suivant la loi précédemment exprimée, lorsqu'un état sécuritaire est demandé par le signal de commande. Il est à noter que si les entrées CODE1 et CODE2 sont complémentaires l'une de l'autre, les sorties CODE3 et CODE4 seront également complémentaire l'une de l'autre.

En cas de dysfonctionnement lors d'une commande à l'état sécuritaire qui correspond à n'envoyer aucun signal de puissance à la charge, plusieurs phénomènes peuvent se produire. Une première défaillance peut être un collage du transistor MOS 322 qui, par exemple, suite à une surchauffe aurait grillé et deviendrait un court circuit. Quelle que soit la tension de commande, la charge se trouverait être en permanence connectée à la tension sécuritaire Vsec. Dans ce cas là, les diodes 420 et 430 sont forcément passantes et empêchent systématiquement les photodiodes 427 et 437 d'être passantes, il n'est pas possible, dans ce cas là, de récupérer de code sur l'une des sorties CODE3 ou CODE4. De même, si le transistor 322 fonctionne correctement et qu'un collage provenant d'un court-circuit en aval de l'interface de sortie sécurisé se produit et alimente la charge, un courant traversant un seul des conducteurs entraînent pour ce conducteur l'annulation du signal de sortie correspondant. En cas de défaillance de l'un des circuits de vérification 401 ou 402, la sortie de code correspondante serait forcément positionnée soit à 0, soit à 1 et ne pourrait pas retransmettre le code de vérification qui lui est associé. Le circuit de validation de sécurité 2 envoie les codes de vérification et récupère les signaux provenant des sorties CODE3 et CODE4. Si les sorties ne sont pas conformes aux codes envoyés, le circuit de validation de sécurité 2 estime que les sorties ne sont plus sécurisées et donc coupe l'alimentation sécuritaire de tout le système.

L'invention est décrite dans le cadre d'application d'un circuit de commande sécurisé pour un véhicule. L'invention ne se limite pas à une application limitée à un véhicule mais à tous types d'utilisation nécessitant un circuit sécurisé de commande intégrant une interface de sortie sécurisée elle-même.

Claims (22)

-18-REVENDICATIONS

1. Dispositif de vérification sécuritaire (4) de l'envoi d'un signal binaire de commande (Commande) sur au moins un conducteur (100 ou 101) disposant d'une borne d'entrée et d'une borne de sortie, caractérisé en ce qu'il comporte: - des moyens d'insertion (103 à 106, 204, 302 à 304, 422 à 425, 432 à 434) d'un message de vérification sur ledit conducteur (100, 101), - au moins un coupleur optique (107, 426, 436) disposant d'une diode d'émission (108, 427, 437) couplée au conducteur (100, 101) pour recopier le message de vérification lorsque le signal binaire (commande) est dans un premier état et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier état.

2. Dispositif selon la revendication 1, dans lequel un premier (100) des au moins un conducteur est muni d'une première diode de contrôle (201, 301, 420, 421) placée entre sa borne d'entrée et sa borne de sortie, ladite diode (201, 301, 420, 421) étant placée afin d'être bloquée lorsque le signal binaire (Commande) est dans le premier état et afin de laisser passer le courant dans le premier conducteur (100) lorsque le signal binaire est dans le deuxième état, dans lequel les moyens d'insertion comportent un transistor (204, 304, 424) qui couple en parallèle une première diode d'émission (108, 427) sur la première diode de contrôle (201, 301, 420, 421) lorsque ledit transistor (204, 304, 424) est passant, la première diode d'émission (108, 427) étant polarisé de sorte que celle-ci se trouve bloquée indépendamment de l'état du transistor (204, 304, 424) lorsque ladite première diode de contrôle (201, 301, 420, 421) est passante, et dans lequel le dispositif comporte des moyens de polarisation (VDD+, Vpp_, 202, 203, 320, 323 à 325, 330 à 332) qui permettent de polariser la première diode de contrôle (201, 301, 420, 421) en inverse lorsque le signal binaire est dans le premier état.

3. Dispositif selon la revendication 2, dans lequel le transistor est un phototransistor (304, 424) d'un coupleur optique (302, 422) disposant d'une première diode d'émission (303, 423) excitée par le signal de vérification.

4. Dispositif selon l'une des revendications 2 ou 3, dans lequel le signal binaire est envoyé sur deux conducteurs (100 et 101) ayant leurs bornes de sortie reliées à une charge, une tension sécuritaire (VSec) continue étant appliquée entre les bornes d'entrée des deux conducteurs (100, 101) lorsque le signal binaire est dans le deuxième état.

5. Dispositif selon l'une des revendications 2 à 4, dans lequel les moyens de polarisation comportent une source de tension de polarisation (VDD) continue polarisant la première diode de contrôle (201) en inverse, ladite source étant connectée au premier conducteur au niveau des bornes de la première diode de contrôle par l'intermédiaire de deux résistances (202, 203).

6. Dispositif selon la revendication 4, dans lequel les moyens de polarisation comportent une source de tension de polarisation (VDD) continue aux bornes d'entrée des deux conducteurs (100, 101) par l'intermédiaire d'au moins une résistance (202), la tension de polarisation étant appliquée aux conducteurs (100, 101) dans un sens opposé à la tension sécuritaire (Vsec).

7. Dispositif selon la revendication 6, qui comporte en outre une diode de polarisation (310) placée entre les bornes de sortie des deux conducteurs (100, 101), la diode de polarisation (310) étant polarisée pour être passante vis-à-vis du courant créé par la tension de polarisation (VDD) et pour être bloquée vis-à-vis de la tension sécuritaire (Vsec).

8. Dispositif selon la revendication 7, qui comporte en outre un moyen d'auto-commutation (410 à 413) placé entre les bornes de sorties des deux conducteurs (100, 101), ledit moyen d'auto-commutation (410 à 413) déconnectant un des conducteurs (101) d'une charge reliée audit conducteur (101).

9. Dispositif selon l'une des revendications 6 à 8, dans lequel les moyens de polarisation comportent un interrupteur (320, 323-325, 330-332) qui établit la liaison entre l'un des conducteurs (100) et la source de tension de polarisation (VDD) lorsque le signal binaire est dans le premier état et qui déconnecte la source de tension de polarisation dudit conducteur (100) lorsque le signal binaire est dans le deuxième état.

10. Dispositif selon l'une des revendications 6 à 9, qui comporte en outre: - des deuxièmes moyens d'insertion (432 à 434) d'un signal de vérification sur le deuxième conducteur (101), - un deuxième coupleur optique (436) disposant d'une deuxième diode d'émission (437) couplée au deuxième conducteur (101) pour recopier le message de vérification lorsque le signal binaire est dans un premier état et ne pas le recopier lorsqu'il est dans un deuxième état différent du premier état.

11. Dispositif selon la revendication 10, dans lequel le deuxième conducteur (101) est muni d'une deuxième diode de contrôle (430, 431) placée entre sa borne d'entrée et sa borne de sortie, ladite deuxième diode de contrôle (430, 431) étant placée afin d'être bloquée lorsque le signal binaire est dans le premier état et afin de laisser passer le courant dans le deuxième conducteur (101) lorsque le signal binaire est dans le deuxième état, et dans lequel le moyen d'insertion est un deuxième transistor (434) qui couple en parallèle la deuxième diode d'émission (437) sur la deuxième diode de contrôle (430, 431) lorsque ledit transistor (434) est passant, la deuxième diode d'émission (437) étant polarisé de sorte que celle-ci se trouve bloquée indépendamment de l'état du transistor (434) lorsque une tension appliquée aux bornes de la deuxième diode de contrôle (430, 431) rend ladite deuxième diode de contrôle (430, 431) passante.

12. Dispositif selon la revendication 11, dans lequel le transistor (434) est un phototransistor (434) d'un coupleur optique (432) disposant d'une diode d'émission excitée (433) par le message de vérification. -21 -

13. Dispositif selon la revendication 2 à 12, dans lequel la première et éventuellement la deuxième diode de contrôle est une diode de commutation (201, 420, 430).

14. Dispositif selon la revendication 2 à 12, dans lequel la première et éventuellement la deuxième diode de contrôle est une diode Zener (301, 421, 431).

15. Dispositif selon la revendication 2 à 12, dans lequel la première et éventuellement la deuxième diode de contrôle est constituée d'une diode de commutation (420, 430) et d'une diode Zener (421, 431) en parallèle, les deux diodes étant polarisée dans le même sens.

16. Dispositif selon la revendication 1, dans lequel le signal binaire de commande est une commande de puissance envoyée sur deux conducteurs (100, 101) créant une différence de potentiel sécuritaire (VSec) continue entre les deux conducteurs (100, 101) lorsque le signal binaire est dans le deuxième état et laissant lesdits conducteurs flottants lorsque le signal binaire est dans le premier état, dans lequel les moyens d'insertion consistent en un condensateur (103) et deux résistances (104, 106) couplés aux conducteurs (100, 101) et envoyant un message de vérification différentiel, de potentiel variable, dont l'amplitude est inférieure à la différence de potentiel sécuritaire, et dans lequel la diode d'émission (108) est placée entre les deux conducteurs (100, 101) de manière à être bloquée lorsque la différence de potentiel sécuritaire est appliquée aux dits conducteurs (100, 101).

17. Dispositif selon la revendication 16, dans lequel chaque conducteur dispose d'une borne d'entrée et d'une borne de sortie, dans lequel l'un des conducteurs (100) est muni d'une diode de commutation (111) dont la polarisation laisse passer le courant lorsque la différence de potentiel sécuritaire est appliquée aux deux conducteurs lorsqu'ils sont reliés à charge, et dans lequel les noeuds de connexion du condensateur (103) et de la diode d'émission (108) situés sur le conducteur (100) muni de la diode de commutation (111), sont placés entre la borne d'entrée et la diode de commutation (111).

18. Dispositif selon l'une des revendications 1 à 17, dans lequel les bornes de sortie des conducteurs (100, 101) sont reliés à un relais polarisé (200).

19. Système de commande sécurisé comportant: - des moyens de génération (1) d'une commande, - des moyens de vérification (2) qui vérifient le bon fonctionnement dudit système, - des moyens d'alimentation (3) sécuritaire qui fournissent une tension sécuritaire (VSec) sous le contrôle des moyens de vérification, - des moyens d'envoi (4) de la commande de manière sécurisée à l'aide de la tension sécuritaire (Vsec), caractérisé en ce que les moyens d'envoi comportent au moins un dispositif selon l'une des revendications 1 à 18.

22. Système selon la revendication 19, dans lequel le message de vérification est fourni par les moyens de vérification, et dans lequel le message de vérification recopié est fourni aux moyens de vérification (2), lesdits moyens de vérification (2) contrôlant l'intégrité du message passé sur le conducteur lorsque le signal binaire est dans le premier état.

23. Système selon la revendication 20, dans lequel, si l'un des messages de vérification recopié sur le conducteur n'est pas conforme aux messages de vérification envoyés, les moyens de vérification (2) coupent les moyens d'alimentation sécuritaires, de sorte que les moyens d'envoi (4) ne sont plus alimentés avec la tension sécuritaire (Vsec).

24. Véhicule de transport caractérisé en ce qu'il comporte un système de commande selon l'une des revendications 19 à 21.