Dispositif de sécurité d'un véhicule L'invention concerne un dispositif de sécurité applicable à un véhicule, et plus particulièrement à un véhicule automobile. Les dispositifs de sécurité pyrotechniques utilisés dans des automobiles consistent habituellement en des circuits de sécurité composés d'une source d'alimentation électrique délivrant une certaine tension aux bornes d'un initiateur pyrotechnique connecté en série avec un ou plusieurs capteurs d'accélération. L'initiateur ayant une résistance interne fixée, les capteurs sont généralement shuntés par une résistance ayant une valeur nominale supérieure à celle de la résistance interne de l'initiateur. De cette façon, l'initiateur est parcouru par un courant de faible valeur, insuffisant pour provoquer son déclenchement. Lorsqu'une collision ou une décélération importante du véhicule est détectée _/ un ou plusieurs capteurs se ferment successivement, entraînant une forte augmentation du courant passant dans l'initiateur. Le mécanisme est alors mis à feu, activant un mécanisme qui lui est associé. Le mécanisme consiste typiquement en un coussin gonflable de sécurité.

Un inconvénient majeur de ces dispositifs de sécurité est qu'ils sont conçus pour recueillir des informations de capteurs d'accélération seulement. D'autres paramètres importants, tels que la vitesse du véhicule ou le niveau de freinage, ne sont pas pris en compte.

Un autre inconvénient de ces dispositifs est qu'ils ne mémorisent pas d'informations relatives à des conditions de déroulement d'un trajet. Ils

ne peuvent donc pas faire office de boîte noire en cas d'accident, ni diagnostiquer avec précision l'origine d'une panne.

De plus, ces dispositifs imposent un déclenchement simultané de l'ensemble des systèmes de sécurité prévus dans un véhicule.

D'autre part, le fonctionnement correct d'éléments du dispositif est vérifié en s'assurant d'une continuité électrique. Cette méthode, utilisable pour des éléments résistifs, n'est pas appropriée à la présence d'éléments semi-conducteurs. Il n'est donc pas possible d'intégrer des initiateurs pyrotechniques bâtis autour de ponts semi-conducteurs. Un autre inconvénient apparaît lors d'une défaillance d'un des capteurs associé à un initiateur. Habituellement, des informations cohérentes de deux capteurs d'accélération détectant une décélération importante du véhicule provoquent une mise à feu de l'initiateur. Si l'un des deux capteurs se ferme et pas l'autre, le dispositif de sécurité est désactivé. De cette façon, si un passager reste à l'abri d'un déclenchement prématuré ou intempestif de systèmes de sécurité, sa sécurité n'est plus garantie en cas de choc.

Egalement, les dispositifs existants nécessitent de figer au départ les éléments qui y sont inclus. Les capteurs et les initiateurs présents dans le dispositif doivent être prédéterminés en type et en nombre. Il est donc difficile de les intégrer dans des véhicules différents correspondant à des moyens de mesure et à des mécanismes de sécurité distincts.

Un autre inconvénient apparaît en présence d'un ou de plusieurs initiateurs bâtis autour de ponts semi-conducteurs. En effet, il est essentiel de pouvoir vérifier périodiquement leur fonctionnalité. Or, ceci est habituellement effectué d'une façon indirecte. Un voile, typiquement en tungstène, est déposé sur le pont semi-conducteur, et on en contrôle l'état. Ce procédé indirect s'avère à la fois peu pratique et moyennement fiable.

Le but de l'invention est de remédier à ces différents inconvénients.

En particulier, l'invention a pour objet un dispositif de sécurité avec une architecture modulaire, permettant de modifier simplement ses éléments.

Un autre objet de l'invention est de conserver des informations sur des conditions d'un trajet, de façon à faire office de boîte noire et de boîte de diagnostic.

L'invention a également pour but de pouvoir intégrer des initiateurs pyrotechniques bâtis autour de ponts semi-conducteurs, tout en en contrôlant périodiquement l'état de marche de façon simple et avec une grande fiabilité.

Un autre objectif de l'invention est de pouvoir séquencer précisément des déclenchements successifs de plusieurs systèmes de sécurité.

L'invention vise également une validation systématique d'un ordre de mise en action d'un mécanisme de sécurité.

A cette fin, l'invention propose un dispositif de sécurité d'un véhicule, comprenant:

- des systèmes de détection, donnant des informations sur des conditions d'un trajet du

véhicule, ces systèmes de détection présentant un premier état, correspondant à des conditions normales du trajet, et un second état, correspondant à un risque pour au moins un passager du véhicule,

- des mécanismes pouvant être activés pour assurer la sécurité de ce passager,

- des systèmes de sécurité capables d'activer ces mécanismes, certains au moins de ces systèmes de sécurité comportant des initiateurs pyrotechniques,

- une source d'alimentation électrique, et

- un circuit électrique alimenté par la source et relié aux systèmes de détection et de sécurité.

Lorsque certains des systèmes de détection passent du premier au second état, ils déclenchent les systèmes de sécurité. Ces derniers activent alors les mécanismes. Selon l'invention, le dispositif de sécurité comprend une unité de traitement reliée aux systèmes de détection et de sécurité par une interface de communication. L'unité de traitement analyse des signaux d'informations en provenance des systèmes de détection et génère des signaux de commande en direction des systèmes de sécurité.

Cette configuration permet une grande souplesse de conception et d'utilisation. Un même dispositif de sécurité peut ainsi faire l'objet de programmations distinctes, pour être intégré dans des véhicules équipés différemment. Des interventions isolées sur certains éléments sont particulièrement simples. D'autre part, il est aisé de faire évoluer le contenu du dispositif.

Dans un mode de réalisation préféré de l'invention, l'unité de traitement comporte une mémoire non volatile. Celle-ci permet d'enregistrer périodiquement des informations sur la fonctionnalité d'éléments du dispositif de sécurité.

La mémoire non volatile intégrée permet de stocker des informations obtenues lors de précédents contrôle de fonctionnalité du dispositif. Ces informations étant récupérables en cas de panne ou d'accident, la mémoire non volatile fait donc office de boîte noire et de boîte de diagnostic.

De façon avantageuse, le dispositif selon l'invention comprend un micro-générateur d'impulsions permettant de générer dans le circuit des impulsions électriques précisément calibrées en temps et en amplitude. Ces impulsions permettent de vérifier la fonctionnalité des initiateurs pyrotechniques.

En présence du micro-générateur d'impulsions, l'un au moins des initiateurs comprend avantageusement un pont semi-conducteur. Le pont est isolant lorsqu'une tension appliquée est inférieure à une valeur passante et conducteur si la tension est supérieure à cette valeur. D'autre part, l'initiateur est déclenché lorsqu'il reçoit une énergie ayant une valeur supérieure à un seuil de fonctionnement. Le micro-générateur d'impulsions envoie dans l'initiateur des impulsions en tension ayant une amplitude au moins égale à la valeur passante, et une durée correspondant à une énergie inférieure au seuil de fonctionnement.

De cette manière, le dispositif de sécurité selon l'invention permet de vérifier plusieurs types d'initiateur fonctionnant avec des technologies très différentes. Les impulsions de courant ou de tension délivrées par le micro¬ générateur permettent en effet des mesures tant pour des initiateurs utilisant un fil résistif ou un pont résistif avec couche mince que pour d'autres utilisant un pont semi-conducteur. Les mécanismes du dispositif de sécurité selon l'invention appartiennent de préférence à un ensemble comprenant des coussins gonflables de sécurité frontaux et latéraux, des prétensionneurs de ceinture de sécurité, capables de provoquer une traction des ceintures, des dispositifs de verrouillage et de déverrouillage de portes du véhicule, un coupe-batterie, et un extincteur.

Les systèmes de détection du dispositif de sécurité selon l'invention appartiennent de préférence à un ensemble comprenant des accéléromètres, un compteur de vitesse, des capteurs tactiles, des indicateurs de freinage, des détecteurs d'incendie et des capteurs indiquant la présence de passagers.

Dans un mode préféré de mise en oeuvre de l'invention, le dispositif de sécurité comprend un capteur d'accélération redondant avec les systèmes de détection. Ce capteur d'accélération est relié à l'unité de traitement et peut confirmer un risque décelé par un au moins des systèmes de détection.

Ce capteur d'accélération est avantageusement tridirectionnel.

Le capteur d'accélération intégré confirme des signaux provenant d'autres capteurs d'accélération du véhicule. Un ordre de déclenchement d'un mécanisme est ainsi validé par deux sources.

Le dispositif selon l'invention comprend avantageusement des moyens permettant de détecter des chocs frontaux et latéraux.

Il est judicieux que l'unité de traitement comprenne une horloge interne, permettant de vérifier périodiquement les conditions du trajet et de séquencer des déclenchements successifs des systèmes de sécurité.

Ce moyen est particulièrement approprié à l'architecture modulaire du dispositif de sécurité selon l'invention.

D'autres avantages ressortiront de l'invention, qui sera mieux comprise à l'aide de la description donnée ci-dessous d'un exemple particulier de réalisation, décrit à titre non limitatif en référence au dessin annexé, sur lequel:

La Figure 1 est un schéma synoptique d'un dispositif de sécurité conforme à l'invention. Dans l'exemple de réalisation décrit, le dispositif de sécurité selon l'invention comprend une source d'énergie 2 alimentant un circuit 35 s 'étendant dans l'ensemble du dispositif. La source d'énergie 2 est typiquement une batterie d'un véhicule automobile. Elle est associée en parallèle avec un réservoir d'énergie 3 destiné à pallier une défaillance de cette batterie 2 en cas de choc.

Le dispositif de sécurité comprend également un module de gestion 1 permettant d'analyser des

informations sur des conditions d'un trajet et de commander des mécanismes de sécurité. La source d'énergie 2 est séparée du module de gestion 1 par un interrupteur de contact 4, qui permet de mettre le dispositif sous tension, ou hors tension. Le module de gestion 1 est de préférence inclus dans un circuit intégré.

Le module de gestion 1 est composé d'un module d'alimentation 5, d'une unité de traitement 6, d'un micro-générateur d'impulsions 9, d'un capteur d'accélération 7 intégré et d'une interface de communication 8.

Le module d'alimentation 5 est destiné à fournir une tension continue au reste du dispositif, à partir d'une tension délivrée par la source d'énergie 2. Il est associé à un régulateur (non représenté) .

L'unité de traitement 6 est quant à elle bâtie autour d'une mémoire non volatile et d'un micro-processeur. Elle permet de recevoir et d'analyser des signaux représentatifs des conditions d'un trajet, et d'envoyer des signaux de commande destinés à activer des mécanismes de sécurité. Grâce à sa mémoire non volatile, l'unité logique 6 a également pour fonction de stocker des informations relatives au trajet. L'unité de traitement 6 comporte également une horloge interne, qui permet de vérifier périodiquement les conditions du trajet. L'horloge interne assure également une succession chronométrée des déclenchements de systèmes de sécurité actionnant des mécanismes.

Le capteur d'accélération intégré 7 est construit par exemple autour d'un élément piézo- électrique fournissant à l'unité logique 6 un

signal en relation avec une accélération du véhicule. Ce capteur 7 est tridirectionnel, de façon à pouvoir confirmer une détection d'une collision frontale ou latérale par un autre capteur d'accélération. A cet effet, le capteur 7 a un seuil de déclenchement légèrement supérieur à celui des autres capteurs. Bien qu'un capteur bidirectionnel soit susceptible de suffire pour détecter des chocs frontaux et latéraux, l'utilisation du capteur 7 tridirectionnel apporte une plus grande fiabilité.

Le micro-générateur d'impulsions 9 permet de générer des impulsions électriques précisément calibrées en temps et en amplitude, servant à mesurer des résistances de circuits conducteurs ou semi-conducteurs intégrés dans des initiateurs pyrotechniques du dispositif de sécurité.

L'interface de communication 8 permet au module de gestion 1 de recevoir toute information relative à des conditions du trajet, et de transmettre des commandes à des mécanismes de sécurité. L'interface de communication 8 permet également de délivrer des informations à destination d'un utilisateur. Un sous-ensemble d'information 10 rassemble toutes sources d'information nécessaires à un fonctionnement du module de gestion 1. Le circuit 35 relie les éléments du sous-ensemble d'information 10 à l'interface de communication 8.

Le sous-ensemble 10 comprend un compteur de vitesse 11, un indicateur de freinage 12, un capteur 13 destiné à détecter la présence d'un passager, un accéléromètre 15 destiné à détecter un choc frontal et un capteur tactile 17 apte à

détecter une collision latérale. Des résistances 14, 16 et 18 sont montées en parallèle respectivement sur les capteurs 13, 15 et 17. Les capteurs 13, 15 et 17 ont une position ouverte et une position fermée. En position ouverte, un courant y circule par les résistances 14, 16 et 18. En position fermée, les capteurs 13, 15 et 17 présentent une résistance sensiblement moindre. Leur fermeture provoque donc une augmentation sensible d'un courant circulant dans le circuit 35. Cette fermeture est produite automatiquement en présence d'un passager avant pour le capteur 13, d'un choc frontal pour l'accéléro ètre 15, et d'une collision latérale pour le capteur tactile 17.

Le sous-ensemble d'information 10 constitue ainsi une interface d'entrée du module de gestion 1.

Un sous-ensemble d'actionnement 20 rassemblant tous éléments destinés à être actionnés par le module de gestion 1, en fonction de signaux envoyés par le sous-ensemble d'information 10, constitue une interface de sortie du module de gestion 1. Il comprend trois initiateurs pyrotechniques 21, 22 et 23 associés respectivement à des prétensionneurs de ceinture de sécurité, des coussins gonflables frontaux et des coussins gonflables latéraux. Ces initiateurs 21, 22, 23 sont bâtis autour de ponts résistifs ou semi-conducteurs. Le sous-ensemble 20 comporte également un dispositif 24 de déverrouillage de portes du véhicule. Les initiateurs 21, 22, 23 et le dispositif 24 constituent des systèmes de sécurité reliés au circuit 35 par respectivement des transistors 25, 26, 27 et 28. Ces transistors

25, 26, 27, 28 peuvent être en position ouverte ou fermée. En position ouverte, un courant circulant dans le circuit 35 ne parvient pas aux éléments s21, 22, 23, 24. En position fermée, le courant y circule et est apte à les déclencher. La fermeture des transistors 25, 26, 27, 28 est commandée par l'unité de traitement 6 par l'intermédiaire de l'interface de communication 8. Les initiateurs 21, 22, 23, et le dispositif 24 sont également reliés au micro-générateur d'impulsions 9, qui contrôle périodiquement leur fonctionnalité.

Le dispositif de sécurité comprend également un sous-ensemble d'interface 30 communiquant des informations à un utilisateur. Ce sous-ensemble d'interface 30 est relié à l'interface de communication 8 du module de gestion 1 par des connexions du circuit 35. Il comprend une lampe- témoin 31 disposée sur le tableau de bord du véhicule et une interface de lecture 32 destinée à lire des informations stockées en mémoire dans l'unité de traitement 6. La lampe-témoin 31 a pour fonction de signaler une défaillance d'un des capteurs. L'interface 32 rend possible une expertise en cas d'accident ou pour une intervention de contrôle, remplissant ainsi une fonction de boîte noire ou de diagnostic.

Avant une implantation du module de gestion 1 dans un véhicule, l'unité de traitement 6 est programmée en usine selon la configuration de ce véhicule. Elle contient alors différents paramètres nécessaires à son fonctionnement. Ces différents paramètres peuvent être par exemple des valeurs de seuil de fermeture des capteurs

13, 15 et 17, des valeurs de résistance des initiateurs 21, 22, 23 et du dispositif 24, des valeurs d'impulsions électriques nécessaires à des tests de fonctionnement de ces derniers, ou encore des valeurs de tensions de référence en différents points de mesure du circuit 35.

En fonctionnement normal, l'interrupteur de contact 4 est fermé au moment d'une mise en marche du véhicule, mettant le dispositif de sécurité sous tension. La présence d'un ou plusieurs passagers avant provoque la fermeture du capteur 13, qui entraîne une augmentation d'un courant circulant dans le circuit 35. Le module de gestion 1 détecte et interprète cette augmentation de courant, dépendant de la valeur de la résistance 14.

Périodiquement, le module de gestion 1 teste l'état des initiateurs 21, 22, 23 et du dispositif 24, grâce au micro-générateur d'impulsions 9. Selon qu'il vérifie la fonctionnalité d'un élément résistif ou semi¬ conducteur, le module de gestion 1 procède différemment.

Un contrôle d'un élément résistif, ayant une valeur fixée de non-fonctionnement, est effectué en appliquant à ses bornes une tension calibrée par le micro-générateur 9, de façon à ce qu'une intensité traversant cet élément résistif reste inférieure à sa valeur de non-fonctionnement. La mesure de l'intensité générée permet d'en déduire la résistance de l'élément résistif, qui est comparée avec sa valeur de référence stockée dans la mémoire de l'unité de traitement 6.

Dans le cas d'un élément semi-conducteur, celui-ci est isolant lorsqu'une tension appliquée

est inférieure à une valeur passante, et conducteur si la tension est supérieure à cette valeur. D'autre part, le déclenchement d'un système de sécurité associé à cet élément semi- conducteur est provoqué par la réception d'une énergie ayant une valeur supérieure à un seuil de fonctionnement fixé. Lors de contrôles, le micro¬ générateur 9 envoie une impulsion en tension d'une valeur égale ou supérieure à la valeur passante de l'élément semi-conducteur, ayant une durée suffisamment faible pour que le seuil de fonctionnement de l'élément semi-conducteur ne soit pas atteint. Le module de gestion 1 en déduit la résistance de cet élément, qu'il compare avec une valeur de référence. La durée d'une impulsion, dépendant de la nature de l'élément semi-conducteur, est typiquement de l'ordre de quelques dizaines de nanosecondes.

Ce dernier procédé de mesure permet de tester de façon efficace des semi-conducteurs, sans risquer de déclencher de façon intempestive un système de sécurité. On évite ainsi une mise à feu d'un initiateur pyrotechnique bâti autour d'un pont semi-conducteur, tout en en vérifiant le bon état.

Des contrôles sont typiquement effectués toute les 100 millisecondes.

Les derniers résultats des contrôles sont stockés dans la mémoire non volatile de l'unité de traitement 6. Plusieurs dizaines d'instants de tests peuvent par exemple être conservés, les premiers enregistrements étant effacés à mesure que de nouveaux sont effectués.

Le module de gestion enregistre également de façon périodique la vitesse du véhicule mesurée

par le compteur de vitesse 11, et l'état de freinage mesuré par l'indicateur de freinage 12.

De cette manière, l'unité de traitement 6 contient en permanence des conditions de déroulement du trajet lors des derniers instants. A la suite d'un choc frontal ou d'une forte décélération, l'accéléro ètre 15 se ferme. Le module de gestion 1 détecte alors une augmentation sensible du courant circulant dans le circuit 35. Celle-ci n'est cependant interprétée comme représentative d'une collision frontale que si le capteur d'accélération intégré 7 se ferme à son tour. En cas de défaillance du capteur 7, le module de gestion 1 est apte à analyser les informations provenant du compteur de vitesse 11 pour calculer une décélération représentative d'une collision. Si la fermeture de l'accéléromètre 15 n'est pas confirmée par les informations provenant du capteur 7 ou du compteur de vitesse 11, elle est interprétée comme une défaillance du capteur 15. Le module de gestion 1 allume alors la lampe-témoin 31. Les tests stockés dans l'unité de traitement 6 peuvent ensuite être consultés grâce à l'interface de lecture 32, afin d'établir un diagnostic.

En revanche, si les informations provenant de 1 'accéléromètre 15 sont confirmées par le capteur 7 ou le compteur de vitesse 11, le module de gestion 1 commande aussitôt la fermeture des transistors 25 et 26, provoquant respectivement une mise à feu des initiateurs pyrotechniques 21 et 22. Ce déclenchement des initiateurs 21 et 22 entraîne une traction de ceinture de sécurité et l'ouverture de coussins gonflables frontaux. Un

court instant plus tard, déterminé par l'horloge interne de l'unité de traitement 6, le transistor 28 est fermé à son tour, déclenchant un déverrouillage des portes. De façon similaire, la fermeture du capteur 17, sy ptomatique d'une collision latérale, doit être confirmée par le capteur d'accélération 7. Si tel est le cas, le module de gestion 1 commande la fermeture des transistors 25 et 27. Ce dernier provoque le gonflement de coussins gonflables latéraux. Le transistor 28 est fermé un court instant plus tard, comme pour un choc frontal.

A la suite d'un accident, les informations enregistrées dans la mémoire non volatile de l'unité de traitement 6 peuvent être lues grâce à l'interface 32. Le module de gestion 1 joue ainsi un rôle de boîte noire. Eventuellement, ces informations peuvent être codées, de façon à limiter leur accès à des personnes autorisées.

La modularité et la grande souplesse d'utilisation du dispositif de sécurité permettent d'envisager, sans difficulté, l'utilisation d'autres capteurs. Ainsi, il est possible de rajouter aux capteurs 13, 15 et 17 d'autres capteurs du même type. Plusieurs capteurs 13 peuvent par exemple indiquer individuellement la présence de passagers dans le véhicule. D'autres types de capteurs peuvent également être rajoutés aux précédents, tels qu'un détecteur d'incendie.

De même, il est possible de prévoir d'autres mécanismes que ceux décrits précédemment à titre d'exemple. Des mécanismes de même types que ceux décrits peuvent être rajoutés pour individualiser

leurs effets. Par exemple, plusieurs initiateurs peuvent être prévus pour des coussins gonflables frontaux distincts. D'autres mécanismes de sécurité peuvent s'avérer judicieux. En particulier, un coupe-batterie, un extincteur, ou un dispositif de verrouillage des portes du véhicule peuvent être intégrés au sous-ensemble d'actionnement 20.

Par ailleurs, il est concevable qu'un déclenchement des mécanismes soit provoqué non par une augmentation, mais par une diminution de courant. D'autres procédés de transmission de signaux sont envisageables, tels que des procédés optiques. Les signes de référence insérés après les caractéristiques techniques mentionnées dans les revendications, ont pour seul but de faciliter la compréhension de ces dernières, et n'en limitent aucunement la portée.