FR2942557A1

FR2942557A1 - Data protecting method for electronic controller used to control operation of e.g. windscreen wiper of automobile, has transferring and recoding data respectively in target control unit and spare control unit

Info

Publication number: FR2942557A1
Application number: FR0951160A
Authority: FR
Inventors: Francois Rochette
Original assignee: Peugeot Citroen Automobiles SA
Current assignee: PSA Automobiles SA
Priority date: 2009-02-24
Filing date: 2009-02-24
Publication date: 2010-08-27
Anticipated expiration: 2029-02-24
Also published as: FR2942557B1

Abstract

The method involves transferring and recording data from a source control unit to and in a target control unit among a set of control units of the vehicle, and replacing the source control unit by a spare control unit. The data are respectively transferred and recorded in the target control unit and the spare control unit. Available memory space of each control unit is verified and size of the data is determined before transferring and recording of the data to the target control unit and the spare control unit.

Description

PROCEDE DE SAUVEGARDE DES DONNEES LORS DU REMPLACEMENT D'UN CALCULATEUR ELECTRONIQUE [0001] La présente invention concerne un procédé de sauvegarde des données enregistrées dans la mémoire d'une unité de contrôle lors du remplacement de cette unité de contrôle. Cette dernière est connectée, par un réseau de communication, à plusieurs unités de contrôle d'un véhicule. [0002] Les véhicules, notamment automobiles, comportent de nombreuses unités de contrôle (UC), appelée également calculateur électronique, dont la fonction est de gérer ou contrôler certaines fonctions. A titre d'exemples, une UC gère le fonctionnement des essuie-glaces ou des vitres électriques ou encore de l'injection du carburant dans le moteur. Les informations traitées par les UC sont variées : certaines données sont des données immuables alors que d'autres, appelées données adaptatives , changent au cours du temps. C'est le cas par exemple des données relatives à l'usure ou à l'entretien d'un élément. BACKGROUND OF THE INVENTION The present invention relates to a method of saving data stored in the memory of a control unit during the replacement of this control unit. The latter is connected by a communication network to several control units of a vehicle. Vehicles, including automobiles, have many control units (UC), also called electronic computer, whose function is to manage or control certain functions. By way of examples, a CPU manages the operation of windscreen wipers or electric windows or the injection of fuel into the engine. The information processed by the CPUs is varied: some data are immutable data while others, called adaptive data, change over time. This is the case for example data relating to wear or maintenance of an element.

Par exemple, les données adaptatives peuvent concerner l'historique des charges de la batterie utilisées pour déterminer quand il est nécessaire de réaliser une charge d'entretien ou la durée d'utilisation de la batterie dans des conditions de température extrême impactant la durée de vie et les performances de la batterie (l'UC étant le superviseur de la batterie) ; [0003] Elles peuvent également concerner le cumul des volumes d'un additif injecté dans le carburant utilisé pour déterminer le moment où lancer la régénération du filtre à particules (l'UC étant le calculateur du contrôle moteur) ; et le nombre de démarrages du moteur, à l'aide d'un système Stop & Start , ce nombre étant utilisé pour déterminer l'usure de la courroie et appliquer un mode dégradé (interdiction du mode Stop) lorsque le vieillissement de la courroie est excessif (l'UC étant le calculateur de la fonction Stop & Start ). [0004] Lors de l'échange d'une UC en après-vente suite à une défaillance, certaines informations, notamment les données adaptatives , enregistrées dans la mémoire du calculateur à remplacer, doivent pouvoir être récupérées puis réinjectées dans la mémoire du nouveau calculateur. Ceci dans le but d'assurer la continuité du suivi de l'historique de fonctionnement du système. [0005 Bien que le calculateur soit défaillant, son interface de communication demeure généralement fonctionnelle. On constate, en effet, que dans la grande majorité des cas, les défaillances affectent principalement l'électronique de puissance (étages pilotant les sorties du calculateur). Les défaillances du microprocesseur et de l'interface de communication sont nettement moins fréquentes. [0006] En général, l'UC est utilisée pour conserver les informations sur la durée d'utilisation cumulée, le nombre de sollicitations d'un actionneur ou de cycles de réalisation d'un phénomène physique ou chimique. Ces informations sont exploitées soit par l'opérateur, un message lui indiquant quand une pièce d'usure doit être remplacée, soit par le logiciel applicatif directement, qui peut adapter le pilotage des sorties en fonction du vieillissement du système ou même, dans les cas extrêmes, déclencher un mode dégradé pour préserver le système lorsque le temps d'utilisation cumulé indique un risque de casse probable (valeur des seuils prédéfinis dans le logiciel à partir du retour d'expérience et de calculs statistiques). [0007] La quantité d'information dites données adaptatives représente, dans les calculateurs actuels, quelques dizaines, voire quelques centaines d'octets. Les données adaptatives sont stockées dans des zones mémoires identifiées par des repères logiques (identiques pour tous les calculateurs), ceci afin d'éviter aux outils d'embarquer la cartographie mémoire de tous les calculateurs. [0008] La solution actuelle pour changer une UC consiste en une opération qui peut être 15 réalisée par un garagiste grâce à des services de diagnostic appelés lecture et écriture des données adaptatives et implémentés dans les calculateurs concernés. [0009] Lors d'un changement de calculateur, le garagiste réalise les opérations décrites ci-après. L'outil de diagnostic est connecté à la prise diagnostic centralisée du véhicule. Celui-ci communique avec le calculateur concerné via le réseau de communication (le réseau 20 normalisé CAN par exemple) en utilisant le protocole de communication (par exemple le protocole KWP2000). L'outil de diagnostic lit les données adaptatives contenues dans la mémoire du calculateur destiné à être remplacé grâce à la requête de lecture des données adaptatives. L'outil stocke les informations renvoyées par le calculateur dans sa mémoire interne (ou sur son disque dur sous la forme d'un fichier). L'opérateur remplace le calculateur 25 défaillant par un nouveau calculateur équivalent. L'outil relit les informations contenues dans sa mémoire (ou sur son disque dur) et les écrit dans la mémoire du nouveau calculateur grâce à la requête d'écriture des données. [col oi Cette opération ne peut cependant qu'être effectuée à l'aide d'un outil de diagnostic par le garagiste. Le client ne peut pas acheter le calculateur en pièce détachée puis le monter 30 lui-même une fois rentré chez lui. C'est d'autant plus dommageable lorsque le véhicule est immobilisé (par exemple par un calculateur contrôle moteur défaillant) et qu'il ne peut déplacer son véhicule jusqu'au garage. De plus, les données adaptatives transitent par un outil externe et peuvent donc être altérées volontairement ou involontairement lors de l'opération. [0011] Une autre solution peut être aisément imaginée : elle consisterait, afin de se passer de l'outil de diagnostic, à rendre redondantes les données adaptatives dans un autre calculateur du véhicule sur le modèle de ce qui existe aujourd'hui pour l'information kilométrage stockée à la fois dans le calculateur Contrôle moteur et le calculateur Boitier de Servitude Intelligent. Quand l'un des deux calculateurs du binôme est remplacé, le kilométrage peut être récupéré dans l'autre boitier. [0012] Cependant, cette solution serait consommatrice de mémoire et pour la généraliser, il serait nécessaire d'augmenter la taille de la mémoire disponible dans les calculateurs actuels pour accueillir les données supplémentaires. De plus, les calculateurs seraient associés par binômes lors de la conception (exemple : binôme des UC pour l'information kilométrage) et l'on s'obligerait à les monter ensemble dans toutes les configurations véhicules (solution offrant peu de souplesse). Si l'on ajoutait une information dans les données adaptatives stockées dans un calculateur, il serait également nécessaire de faire évoluer le logiciel de son calculateur binôme. Le coût de cette solution serait important pour une utilisation ponctuelle et très peu fréquente : cette solution ne semble pas intéressante. [0013] La présente invention propose une solution peu couteuse qui permet à une personne de transférer des données d'une UC à remplacer vers une UC de rechange sans l'aide d'un garagiste et sans avoir à utiliser un outil de diagnostic. [0014] De façon plus précise, l'invention concerne un procédé de sauvegarde de données enregistrées dans la mémoire d'une unité de contrôle, appelée unité de contrôle source (UCsource), lors du remplacement de ladite unité par une unité de contrôle de rechange (UCrechange), ladite unité de contrôle source étant connectée par un réseau de communication à une pluralité d'unités de contrôle (UC) d'un véhicule, le procédé étant caractérisé par les étapes suivantes : • transfert et enregistrement des données à sauvegarder de l'UCsource respectivement vers et dans au moins l'une desdites unités de contrôle, appelée unité de contrôle cible (UCcible), choisie parmi lesdites UC ; • remplacement de ladite UCsource par ladite UCrechange ; et • transfert et enregistrement des données enregistrées dans ladite UCcible respectivement 30 vers et dans ladite UCrechange [0015] Préalablement au transfert et à l'enregistrement des données à sauvegarder, l'espace mémoire disponible dans chaque UC peut être vérifiée et la taille des données à sauvegarder est déterminée. [0016] Avantageusement, après au moins l'une desdites étapes de transfert et d'enregistrement des données, l'intégrité des données enregistrées est vérifiée. [0017] Lorsque le véhicule est équipé d'une interface homme-machine muni d'un calculateur, la gestion desdites étapes du procédé est confiée au calculateur de cette interface. [0018] D'autres avantages et caractéristiques de l'invention apparaîtront au cours de la description qui suit de plusieurs modes de réalisation de l'invention, donnés à titre d'exemples non limitatifs, en référence aux dessins annexés et sur lesquels : • La figure 1 est une table (Table 1) stockée dans la mémoire Flash Eprom de l'EMF (Ecran Multi Fonctions) ; • La figure 2 est une table (Table 2) montrant des exemples de trames d'initialisation ; • La figure 3 est une table (Table 3) concernant des repères logiques et les tailles des enregistrements ; • La figure 4 (Table 4) est un exemple de table générée à partir de la Table 2 lors du remplacement d'une UC ; et • La figure 5 est un logigramme illustrant le procédé de l'invention. [0019] La solution proposée ici permet le transfert des données, notamment mais non nécessairement des données adaptatives, depuis le calculateur destiné à être remplacé (appelé UCsource) vers le nouveau calculateur pièce de rechange (appelé UCrechange), en ne nécessitant aucun outil de diagnostic, ni aucun calculateur supplémentaire dans le véhicule. Elle utilise pour cela l'ensemble de la mémoire non volatile (NVRAM) inutilisée, et donc disponible, dans les différents calculateurs connectés au réseau de communication du véhicule. L'opération se déroule schématiquement en deux phases principales: • transfert des données à sauvegarder de l'UCsource vers les autres UC présentes dans le véhicule (appelées UCcibles), • restitution des données stockées dans les UCcibles vers la nouvelle UC montée en pièce de rechange (UCrechange). [0020] Lorsque le véhicule est muni d'un Ecran Multi Fonctions (EMF) munie d'une Interface Homme-Machine (IHM), la gestion de ce transfert de données est avantageusement confiée au calculateur de l'Ecran Multi Fonctions (EMF), l'Interface Homme-Machine (IHM) lui permettant de communiquer avec l'opérateur tout au long de l'opération. Si le véhicule ne comporte pas d'écran multifonctions, on peut alors utiliser une interface homme/machine munie d'un calculateur. [0021] La mémoire non volatile NVRAM (Non Volatile Random Access Memory) du calculateur est généralement constituée par de l'EEPROM. Cette technologie de composant reprogrammable permet l'écriture et l'effacement de ses cellules mémoires octet par octet, à la différence de la mémoire Flash Eprom qui ne peut être effacée que par segment entier. Elle est utilisée pour sauvegarder les données qui doivent être conservées de manière permanente, c'est-à-dire même après une coupure d'alimentation de l'UC (exemples : codes défauts, paramètres de configuration, etc.). Cette mémoire NVRAM n'est pas protégée en écriture contrairement à la mémoire Flash Eprom qui contient le code du programme applicatif. Des services de lecture et d'écriture par adresse dans la mémoire EEPROM sont disponibles de manière standard dans chaque UC, services génériques imposés par le protocole de communication. [0022] Les règles métier du développement logiciel imposent de conserver une marge de sécurité (zone libre) dans l'utilisation de la mémoire NVRAM. On peut estimer que l'espace libre dans la mémoire NVRAM est au moins de 10%. Par exemple, sur un véhicule actuel, la capacité mémoire disponible peut varier de 1300 octets à 1900 octets selon le nombre de calculateurs présents et en ne considérant que les calculateurs situés sous le capot. Les UC situées ailleurs dans le véhicule, dans l'habitacle par exemple, peuvent éventuellement être mis à contribution pour augmenter encore les possibilités du procédé de l'invention. [0023] Dans les utilisations actuelles, la quantité d'informations sauvegardées dans l'outil de diagnostic lors du remplacement d'un calculateur est bien souvent inférieure à 1 Ko. Le véhicule dispose donc de suffisamment de mémoire NVRAM disponible pour héberger temporairement les informations d'un calculateur à remplacer. On peut tolérer une utilisation de la mémoire NVRAM proche de 100% dans un ou plusieurs calculateurs pendant l'opération, car celle-ci n'aura lieu que très exceptionnellement dans la vie du véhicule, sur une période de très courte durée, à un moment où les fonctionnalités des UC ne seront pas sollicitées et où les conditions sécuritaires seront satisfaites (le changement d'un UC se faisant généralement à l'arrêt du véhicule, et comme indiqué ci-après avec l'alimentation électrique coupée). [0024] A la mise sous tension des UC, toutes les UC doivent émettre une trame événementielle (trame non périodique, qui n'est envoyée qu'à la mise sous tension des calculateurs). Cette trame doit contenir l'adresse et la taille de la zone de mémoire NVRAM disponible. [oo25] Les requêtes suivantes sont à implémenter dans l'écran multifonction (EMF) (ces requêtes sont habituellement implémentées dans l'outil de diagnostic): • ouverture de session de communication : cette requête permet d'initialiser la liaison de communication entre le requêteur (EMF) et les UC pour l'échange de données diagnostic. • écriture / lecture par adresse : cette requête permet d'écrire / lire n octets dans la mémoire de l'UCcible à partir d'une adresse mémoire donnée. L'adresse et la taille du bloc de données sont définies dans la requête (ce qui nécessite la connaissance de la cartographie mémoire de l'UCcible)• • écriture / lecture par repère logique : cette requête permet d'écrire / lire un bloc de données associé à un repère logique dans la mémoire de l'UCsource et de l'UCrechange (même repère logique dans tous les calculateurs). L'adresse et la taille du bloc ne sont pas définies dans la requête (ne nécessite pas la connaissance de la cartographie mémoire de l'UC). • fermeture de session de communication : cette requête permet de terminer la 20 communication entre le requêteur (EMF) et les UC. [0026] Une table, appelée ci-après Table 1 et montrée à la figure 1, est implémentée dans le logiciel applicatif de l'EMF situé dans la mémoire Flash Eprom ou ROM. Cette table est prédéfinie lors de la phase de conception par les responsables de la messagerie fonctionnelle du véhicule (c'est-à-dire le dictionnaire des trames et signaux échangés sur le 25 réseau de communication). La Table 1 indique, pour chaque UC susceptible d'être montée sur le véhicule, les informations suivantes : • l'identifiant de la trame événementielle émise une seule fois à chaque initialisation de l'UC, • l'identifiant de trame utilisé par l'outil de diagnostic pour transmettre une requête au 30 calculateur, et • l'identifiant de trame utilisé par l'UC pour répondre à l'outil de diagnostic. [0027] Un drapeau ( flag ), appelé ci-après flag REMPLACEMENT, est implémenté dans la mémoire NVRAM de l'EMF, permettant d'indiquer si une opération de changement d'UC est en cours de réalisation sur le véhicule. Lorsqu'une opération de remplacement est en cours, le drapeau est mis à la valeur 1 et lorsqu'une opération n'est pas en cours le drapeau est mis à la valeur 0. [0028] La procédure de remplacement d'un UCsource se décompose principalement en deux phases bien distinctes : • Phase I : Transfert des données à sauvegarder de l'UC à remplacer (UCsource) vers un ou plusieurs autres UC du véhicule (UCcibles) (étapes 1 à 7 du tableau ci-après). • Le transfert est effectué avant le remplacement du calculateur défaillant (UCsource) par le calculateur de remplacement (UCrechange). • Phase Il : Restitution des données stockées dans les UCcibles vers la nouvelle UC montée en pièce de rechange (UCrechange) (étapes 8 à 12 du tableau ci-après). [0029] Lorsque l'opérateur souhaite remplacer un calculateur du véhicule, il effectue les opérations suivantes, conformément au tableau ci-après et au logigramme de la figure 5. (Rappel : IHM désigne l'interface homme/machine). [0030] Une option Annulation permet à l'opérateur d'abandonner lorsque le flag REMPLACEMENT est positionné à 1 mais qu'il ne souhaite pas exécuter la phase Il. Dans ce cas, les données sauvegardées sont définitivement perdues. [0031] Pour éviter tout risque de perturbation du bon fonctionnement des UC pendant que la personne conduit son véhicule, on préfère interdire l'opération tant que le véhicule ne se trouve pas dans des conditions dynamiques sécuritaires. Toute tentative d'écriture (étapes 5 et 10 ci-après) est refusée si les conditions sécuritaires ne sont pas remplies. Ces conditions concernent généralement la vitesse du véhicule et/ou le régime moteur. Selon le procédé, l'EMF affiche un message demandant à l'opérateur de placer son véhicule à l'arrêt et moteur non tournant avant de commencer l'opération. For example, the adaptive data may relate to the battery charge history used to determine when a maintenance charge is required or the battery life in extreme temperature conditions impacting the life of the battery. and the performance of the battery (the CPU being the battery supervisor); They may also relate to the accumulation of volumes of an additive injected into the fuel used to determine when to start the regeneration of the particulate filter (the CPU being the engine control computer); and the number of starts of the engine, using a Stop & Start system, this number being used to determine the wear of the belt and to apply a degraded mode (prohibition of the Stop mode) when the aging of the belt is excessive (the CPU being the calculator of the Stop & Start function). When exchanging a CPU in after-sales following a failure, some information, including adaptive data, stored in the memory of the computer to be replaced, must be retrievable and then reinjected into the memory of the new computer . This is to ensure the continuity of the monitoring of the operating history of the system. [0005 Although the computer is faulty, its communication interface remains generally functional. In fact, in the vast majority of cases, failures mainly affect the power electronics (stages controlling the outputs of the computer). The failures of the microprocessor and the communication interface are much less frequent. In general, the CPU is used to keep the information on the cumulative use time, the number of requests of an actuator or cycles of realization of a physical or chemical phenomenon. This information is used either by the operator, a message indicating when a wear part must be replaced, or by the application software directly, which can adapt the output control according to the aging of the system or even, in cases extreme, trigger a degraded mode to preserve the system when the cumulative use time indicates a probable risk of breakage (value of the thresholds predefined in the software from the experience feedback and statistical computations). The amount of information called adaptive data represents, in current computers, a few tens, or even a few hundred bytes. The adaptive data are stored in memory areas identified by logical references (identical for all computers), this to prevent the tools to embark the memory map of all computers. [0008] The current solution for changing a CPU consists of an operation that can be performed by a garage mechanic by means of diagnostic services called reading and writing of adaptive data and implemented in the computers concerned. During a change of computer, the garage performs the operations described below. The diagnostic tool is connected to the central diagnostic socket of the vehicle. This communicates with the computer concerned via the communication network (the standardized network CAN for example) using the communication protocol (for example the KWP2000 protocol). The diagnostic tool reads the adaptive data contained in the memory of the computer to be replaced by the read request of the adaptive data. The tool stores the information returned by the computer in its internal memory (or on its hard disk as a file). The operator replaces the failed computer 25 with a new equivalent computer. The tool reads the information contained in its memory (or on its hard disk) and writes it in the memory of the new computer thanks to the request for writing the data. [col oi However, this operation can only be carried out using a diagnostic tool by the mechanic. The customer can not buy the calculator as a spare part and then install it himself once he has returned home. This is even more damaging when the vehicle is immobilized (for example by a faulty engine control computer) and he can not move his vehicle to the garage. In addition, the adaptive data passes through an external tool and can therefore be altered voluntarily or involuntarily during the operation. Another solution can be easily imagined: it would consist, in order to do without the diagnostic tool, to make redundant adaptive data in another calculator of the vehicle on the model of what exists today for the mileage information stored in both the Engine Control Calculator and the Smart Servitude Control Calculator. When one of the two calculators of the binomial is replaced, the mileage can be retrieved in the other box. However, this solution would consume memory and to generalize it would be necessary to increase the size of the available memory in the current computers to accommodate the additional data. In addition, the computers would be associated by pairs during the design (example: binomial CPU for mileage information) and it would be required to mount them together in all vehicle configurations (solution offering little flexibility). If we added information in the adaptive data stored in a calculator, it would also be necessary to upgrade the software of its binomial calculator. The cost of this solution would be important for one-off and infrequent use: this solution does not seem interesting. The present invention provides an inexpensive solution that allows a person to transfer data from a CPU to replace to a spare CPU without the help of a garage and without having to use a diagnostic tool. More specifically, the invention relates to a method of saving data stored in the memory of a control unit, called source control unit (UCsource), when replacing said unit by a control unit of spare part (UCrechange), said source control unit being connected by a communication network to a plurality of control units (UC) of a vehicle, the method being characterized by the following steps: • transfer and storage of the data to be backed up the UCsource respectively to and in at least one of said control units, called target control unit (UCcible), selected from said UCs; • replacing said UCsource by said UCrechange; and • transferring and saving the data stored in said CPU respectively to and in said UCrechange [0015] Prior to the transfer and storage of the data to be backed up, the available memory space in each CPU can be checked and the size of the data to back up is determined. Advantageously, after at least one of said data transfer and storage steps, the integrity of the recorded data is verified. When the vehicle is equipped with a man-machine interface provided with a computer, the management of said process steps is entrusted to the computer of this interface. Other advantages and features of the invention will become apparent from the following description of several embodiments of the invention, given by way of non-limiting examples, with reference to the accompanying drawings and in which: FIG. 1 is a table (Table 1) stored in the Eprom Flash memory of the EMF (Multi-Function Screen); FIG. 2 is a table (Table 2) showing examples of initialization frames; • Figure 3 is a table (Table 3) for logical benchmarks and record sizes; • Figure 4 (Table 4) is an example of a table generated from Table 2 when replacing a CPU; and FIG. 5 is a logic diagram illustrating the method of the invention. The solution proposed here allows the transfer of data, including but not necessarily adaptive data, from the computer to be replaced (called UCsource) to the new spare part computer (called UCrechange), requiring no tools of diagnosis, or any additional calculator in the vehicle. It uses all the nonvolatile memory (NVRAM) unused, and therefore available, in the various computers connected to the communication network of the vehicle. The operation is carried out schematically in two main phases: • transfer of the data to be saved from the UCsource to the other CUs present in the vehicle (called UCcibles), • restitution of the data stored in the CPUs to the new CPU mounted in the spare part. spare (UCrechange). When the vehicle is equipped with a Multi Function Screen (EMF) equipped with a Human Machine Interface (HMI), the management of this data transfer is advantageously entrusted to the computer of the Multi Function Screen (EMF). , the Human Machine Interface (HMI) allowing him to communicate with the operator throughout the operation. If the vehicle does not have a multifunction display, then a man / machine interface with a calculator can be used. Nonvolatile memory NVRAM (Non-Volatile Random Access Memory) of the computer is generally constituted by the EEPROM. This reprogrammable component technology allows the writing and erasing of its byte-by-byte memory cells, unlike Flash Eprom memory which can only be erased by whole segment. It is used to save the data that must be stored permanently, ie even after a power failure of the CPU (examples: fault codes, configuration parameters, etc.). This NVRAM memory is not write-protected unlike the Flash Eprom memory which contains the code of the application program. Address reading and writing services in the EEPROM are available as standard in each CPU, generic services imposed by the communication protocol. The business rules of the software development require to maintain a margin of safety (free area) in the use of the NVRAM memory. It can be estimated that the free space in the NVRAM is at least 10%. For example, on a current vehicle, the available memory capacity can vary from 1300 bytes to 1900 bytes depending on the number of computers present and considering only the computers located under the hood. CPUs located elsewhere in the vehicle, in the passenger compartment for example, may possibly be used to further increase the possibilities of the method of the invention. In current uses, the amount of information saved in the diagnostic tool when replacing a computer is often less than 1 KB. The vehicle therefore has enough NVRAM available to temporarily host the information. a calculator to replace. One can tolerate a use of the NVRAM close to 100% in one or more computers during the operation, because it will take place only very exceptionally in the life of the vehicle, over a very short period, to a when the CPU functionalities will not be solicited and the security conditions will be satisfied (the change of a CPU is generally done when the vehicle stops, and as indicated below with the power cut off). When the CPUs are powered up, all the CPUs must transmit an event frame (non-periodic frame, which is sent only when the computers are powered up). This frame must contain the address and size of the available NVRAM memory area. [oo25] The following queries are to be implemented in the multifunction screen (EMF) (these queries are usually implemented in the diagnostic tool): • communication logon: this request is used to initialize the communication link between the querier (EMF) and CUs for diagnostic data exchange. • write / read by address: this request makes it possible to write / read n bytes in the memory of the CPU target from a given memory address. The address and the size of the block of data are defined in the request (which requires knowledge of the memory map of the UCcible) • • Write / read by logical reference: this request makes it possible to write / read a block of data associated with a logical reference in the memory of UCsource and UCrechange (same logical reference in all computers). The address and the size of the block are not defined in the request (does not require knowledge of the memory map of the CPU). • Communication session closure: This request terminates the communication between the requestor (EMF) and the CUs. A table, hereinafter referred to as Table 1 and shown in FIG. 1, is implemented in the application software of the EMF located in the flash memory Eprom or ROM. This table is predefined during the design phase by the managers of the functional messaging of the vehicle (that is to say the dictionary of the frames and signals exchanged on the communication network). Table 1 indicates, for each UC that may be mounted on the vehicle, the following information: • the identifier of the event frame sent once at each initialization of the CPU, • the frame identifier used by the user. diagnostic tool for transmitting a request to the computer, and the frame identifier used by the CPU to respond to the diagnostic tool. A flag, hereinafter flag REPLACEMENT, is implemented in the NVRAM memory of the EMF, to indicate whether a change of CPU operation is being performed on the vehicle. When a replacement operation is in progress, the flag is set to 1 and when an operation is not in progress the flag is set to 0. [0028] The procedure for replacing a UCsource is mainly broken down into two distinct phases: • Phase I: Transfer of backup data from the CPU to be replaced (UCsource) to one or more other CPUs of the vehicle (UCcibles) (steps 1 to 7 of the table below). • The transfer is made before replacing the failed computer (UCsource) with the replacement computer (UCrechange). • Phase II: Restore the data stored in the CPUs to the new CPU mounted in spare part (UCrechange) (steps 8 to 12 of the table below). When the operator wishes to replace a computer of the vehicle, it performs the following operations, according to the table below and the logic diagram of Figure 5. (Reminder: HMI designates the man / machine interface). A Cancel option allows the operator to abandon when the REPLACEMENT flag is set to 1 but does not wish to execute phase II. In this case, the saved data is permanently lost. To avoid any risk of disruption of the proper operation of the CPU while the person drives his vehicle, it is preferred to prohibit the operation as the vehicle is not in dynamic dynamic conditions. Any attempt to write (steps 5 and 10 below) is refused if the security conditions are not met. These conditions generally relate to the speed of the vehicle and / or the engine speed. According to the method, the EMF displays a message asking the operator to place his vehicle stationary and engine not running before starting the operation.

Tableau des actions réalisées par l'opérateur et des tâches de l'EMF Actions réalisées par l'opérateur Tâches réalisées par l'EMF L'opérateur met l'alimentation Etape 0 : Initialisation des calculateurs. électrique du véhicule en marche (+APC). L'IHM affiche sa page d'accueil et son menu standard. L'opérateur sélectionne l'option Si flag REMPLACEMENT=0 : Remplacer un calculateur dans le Etape 1 : Détermination des UC présentes dans le menu de l'IHM. véhicule. L'IHM affiche la liste des UC présentes dans le véhicule. L'opérateur sélectionne l'UC à Etape 2 : Détermination de la taille des enregistrements à remplacer (UCsource) sauvegarder (blocs de données adaptatives à récupérer dans UCsource). Etape 3 : Vérification de la taille disponible dans les UCcibles. Etape 4 : Préparation au transfert des données. Etape 5 : Transfert des données de UCso,nee vers les UCcibles. Etape 6 : Vérification de l'intégrité des données écrites dans les UCcibles (Flag REMPLACEMENT = 1). Etape 7 : L'IHM invite l'opérateur à remplacer UCsource par UCrechange• L'opérateur coupe l'alimentation électrique du véhicule (+APC). L'opérateur débranche la batterie du véhicule. L'opérateur remplace UCsource par UCrechange L'opérateur rebranche la batterie du véhicule. L'opérateur met en marche Etape 0 : Initialisation des calculateurs. l'alimentation électrique (+APC). L'IHM affiche sa page d'accueil et son menu standard. L'opérateur sélectionne l'option Si flag REMPLACEMENT=1 : Remplacer un calculateur dans le Etape 8 : Détermination de l'UC en cours de menu de l'IHM. remplacement. L'IHM propose à l'opérateur de terminer le transfert des données dans l'UC en cours de remplacement. L'opérateur accepte. Etape 9 : Vérification de l'intégrité des données. Etape 10 : Transfert des données des UCcibles vers UCrechange. Etape 11 : Vérification de l'intégrité des données écrites dans UCrechange• Etape 12 : Libération de la mémoire (flag REMPLACEMENT = 0). L'opération est terminée, l'opérateur L'IHM indique à l'opérateur que l'opération s'est peut couper le +APC. terminée avec succès. [0032] Le logigramme de la figure 5 schématise les diverses étapes du procédé. Au départ (référence 10), l'opérateur tourne la clé de contact de façon à alimenter électriquement les UC. Ces dernières se réveillent et se signalent en émettant sur le réseau de communication une trame d'initialisation (référence 12). Chaque trame d'initialisation contient un identifiant propre à chaque UC, la taille de la zone NVRAM disponible et l'adresse de début de la zone NVRAM disponible. L'EMF écoute et stocke dans sa mémoire RAM (dans une table désignée par Table 2 û figure 2) la présence des UC avec pour chacune l'adresse du début de la mémoire NVRAM disponible et la taille de la mémoire disponible. Cette Table 2 est conservée en mémoire et ne doit pas être altérée jusqu'à la prochaine coupure de l'alimentation électrique. La taille et l'adresse de la zone mémoire NVRAM non utilisée est déterminée par le fournisseur lors du figeage du logiciel. Ces valeurs peuvent être considérées comme constantes. [0033] A la question (référence 14) "L'opérateur a-t-il sélectionné l'option REMPLACER UC ?" à l'aide de l'interface homme/machine (IHM), si la réponse est NON, alors le procédé s'arrête. Si la réponse est OUI, cela signifie que l'opérateur veut changer une UC; on pose alors la question suivante (référence 16) "Le drapeau (flag) REMPLACEMENT = 0?", autrement-dit, Aucune UC en cours de remplacement ? Si la réponse est OUI (=pas d'UC en cours de remplacement) (flag= 0), l'IHM indique à l'opérateur la liste des UC présentes dans le véhicule (référence 18). On pénètre alors dans la branche de gauche du logigramme, cette branche concernant la phase I (transfert des données de UCsource vers UCcibles), la branche à droite concernant la phase Il (restitution des données stockées dans UCcibles vers UCrechange). [0034] L'opérateur sélectionne l'UC à remplacer, (référence 20) Ce n'est pas l'opérateur qui choisit les UCcibles mais le calculateur EMF. Ce dernier sélectionne de préférence les UCcibles par ordre décroissant de capacité mémoire disponible, afin de minimiser le nombre d'opérations à réaliser (nombre de trames échangées entre les calculateurs). [0035] L'identifiant de l'UC sélectionnée est stocké en mémoire NVRAM de l'IHM dans la table 3 (mémoire tampon non volatile car l'alimentation électrique est coupée par la suite) (référence 22). [0036] La phase I est ensuite exécutée (référence 24), les données à sauvegarder sont transférées de l'UCsource vers le ou les UCcibles• [0037] Le drapeau flag REMPLACEMENT est alors positionné à la valeur 1 (référence 26) et l'opérateur est invité à couper l'alimentation électrique +APC du véhicule et éventuellement débrancher la batterie (référence 28). L'opérateur peut alors procéder au remplacement de l'UC à changer. Lorsque le changement est effectué, l'opérateur rétablit l'alimentation électrique +APC (après avoir rebranché la batterie si nécessaire) et on se retrouve dans le logigramme dans la situation de la référence 16, mais cette fois avec flag= 1 (réponse NON au bloc 16) Au préalable au bloc 14, l'opérateur doit sélectionner Remplacer une UC car il n'est pas obligé de lancer la phase Il immédiatement. Il peut en effet réaliser d'autres opérations entre la mise du +APC et le lancement de la phase Il, voire même couper plusieurs fois le +APC. On passe alors aux opérations de la branche droite de l'organigramme. [0038] L'IHM propose à l'opérateur de transférer les données stockées dans la ou les UC 10 cibles vers l'UC de rechange (référence 30). L'opérateur accepte (référence 32) et la phase Il s'exécute (référence 34). [0039] Lorsque les données ont été transférées, leur intégrité est vérifiée et le drapeau flag REMPLACEMENT est placé à la valeur 0 (référence 36). [0040] L'opérateur est ensuite appelé à couper l'alimentation électrique +APC du véhicule 15 (référence 28). [0041] La description qui suit est la description détaillée d'un mode de réalisation du procédé de l'invention. Cette description reprend les étapes successives indiquées précédemment, 1 à 7 pour la Phase I et 8 à 12 pour la Phase Il. 20 Etape 1 : Détermination des UC présentes dans le véhicule [0042] L'EMF balaie la liste des identifiants de trames d'initialisation stockés dans la colonne I de la Table 2 (figure 2), laquelle contient, à la colonne I, les identifiants des trames d'initialisation des UC et des données qu'elles contiennent (dans la colonne Il, les adresses des débuts de zone de mémoire disponibles et , dans la colonne III, les tailles de ces 25 mémoires disponibles, la colonne I indiquant les identifiants ID des trames d'initialisation). L'EMF identifie le nom des calculateurs correspondants dans la Table 1 (figure 1), la colonne UC de cette Table indiquant les différents calculateurs du véhicule, la colonne I l'ID des trames d'initialisation, la colonne Il les identifiants des requêtes de diagnostic et la colonne III les identifiants de réponse diagnostic). L'IHM, qui comporte un écran d'affichage, peut ainsi 30 afficher la liste des calculateurs présents dans le véhicule. Cette liste pourra prendre une forme textuelle ou bien graphique si l'on souhaite éviter les traductions en plusieurs langues. L'opérateur sélectionne le calculateur qu'il souhaite remplacer parmi ceux proposés grâce à un bouton de saisie de l'IHM (ou toute autre interface permettant à l'opérateur de saisir un choix, par exemple écran tactile) Etape 2: Détermination de la taille des enregistrements présents dans UCsource [0043] Grâce à la Table 1 (figure 1), l'EMF détermine les identifiants normalement utilisés par les outils de diagnostic externes pour dialoguer sur le réseau de communication avec UCsource. Pour mémoire, on rappelle que chaque famille de calculateur dispose d'une paire d'identifiants : • un identifiant pour les requêtes (outil vers UC), • un identifiant pour les réponses (UC vers outil). [0044] Le protocole de communication diagnostic est implémenté dans tous les calculateurs du véhicule. En utilisant les requêtes normalement employées par l'outil de diagnostic externe du garagiste, l'EMF peut leurrer les autres calculateurs du véhicule, se faire passer pour un requêteur, entrer en communication point à point avec chacun d'entre eux et ainsi lire et écrire des informations dans leur mémoire interne. [0045] L'EMF commence par ouvrir une session de diagnostic point à point avec l'UCsource en utilisant les identifiants diagnostic indiqués dans la Table 1. Une fois la communication établie, l'EMF envoie autant de requêtes de lecture que nécessaire pour lire l'ensemble des enregistrements stockés dans la mémoire non volatile de UCsource. Il n'est pas nécessaire que I'EMF connaisse les adresses des enregistrements contenus dans UCsource car chaque enregistrement dispose d'un repère logique (les repères logiques sont les mêmes quel que soit le calculateur sélectionné). [0046] Les opérations suivantes doivent être exécutées pour chaque repère logique supporté par UCsource • l'EMF envoie à UCsource une requête de lecture de l'enregistrement associé au repère 25 logique n, • UCsource répond à l'EMF par une trame (trame T2) contenant les données contenues dans l'enregistrement associé au repère logique n. [0047] L'EMF compte le nombre d'octets de données contenus dans la trame T2 reçue et stocke dans sa mémoire NVRAM la taille de l'enregistrement et son repère logique (ce qui constitue la Table 3 û Figure 3 qui indique dans la colonne de gauche les repères logiques et dans la colonne de droite les tailles d'enregistrement correspondants). Cette opération doit être recommencée en balayant tous les repères logiques autorisés. Le calculateur UCsource indique les repères logiques inutilisés en renvoyant une réponse négative. Lorsque tous les repères logiques ont été interrogés, l'EMF ferme la session de diagnostic avec UCsource. [0048] En additionnant (ou toute autre opération pouvant être utilisée par un algorithme de contrôle d'intégrité des données) les valeurs de tous les octets de données contenus dans les trames T2 renvoyées par UCsource, l'EMF est en mesure de calculer un checksum global sur l'ensemble des enregistrements transmis. Celui-ci est également mémorisé dans la mémoire NVRAM de l'EMF (Table 3) et sera utilisé ultérieurement pour contrôler l'intégrité des données sauvegardées. [0049] Enfin, l'EMF stocke l'identifiant de UCsource dans la Table 3 afin de pouvoir identifier, lors de la phase Il, l'UC qui aura été remplacée. Etape 3: Vérification de la taille mémoire disponible dans les UCcibles [0050] L'EMF vérifie que la capacité mémoire totale disponible dans l'ensemble des autres calculateurs présents dans le véhicule est bien supérieure ou égale à la capacité mémoire nécessaire au stockage des informations contenues dans UCsource. Pour cela, l'EMF additionne les capacités mémoires disponibles indiquées dans la Table 2 (en omettant, bien entendu, la ligne de la Table 2 correspondant à UCsource) et compare le résultat obtenu à la somme des tailles des enregistrements stockés dans la Table 3. Si la capacité disponible totale n'est pas suffisante pour accueillir les données de UCsource alors l'opération est avortée et l'IHM affiche un message indiquant à l'opérateur que l'opération ne peut être effectuée et qu'elle nécessite l'assistance d'un garagiste. Celui-ci utilisera alors la mémoire externe de son outil de diagnostic pour mener à bien l'opération (méthode actuellement utilisée). Table of actions performed by the operator and EMF tasks Actions performed by the operator Tasks performed by the EMF The operator puts the feed Step 0: Initialization of the computers. electric vehicle running (+ APC). The HMI displays its home page and its standard menu. The operator selects the option If flag REPLACEMENT = 0: Replace a computer in Step 1: Determining CPUs in the HMI menu. vehicle. The HMI displays the list of CPUs in the vehicle. The operator selects the CPU at Step 2: Determining the Size of the Records to Replace (UCsource) Save (Adaptive Data Blocks to Recover in UCsource). Step 3: Check the available size in the CPUs. Step 4: Preparation for data transfer Step 5: Transfer the data from UCso, to the CPUs. Step 6: Check the integrity of the data written in the CPUs (Flag REPLACEMENT = 1). Step 7: The HMI prompts the operator to replace UCsource with UCrechange • The operator turns off the vehicle power supply (+ APC). The operator disconnects the battery from the vehicle. The operator replaces UCsource with UCrechange The operator reconnects the vehicle's battery. The operator starts Step 0: Initialization of the computers. the power supply (+ APC). The HMI displays its home page and its standard menu. The operator selects the option If flag REPLACEMENT = 1: Replace a computer in Step 8: Determining the CPU in the menu of the HMI. replacement. The HMI offers the operator to complete the data transfer in the CPU being replaced. The operator accepts. Step 9: Verify the integrity of the data. Step 10: Transfer the data from the UCcibles to UCrechange. Step 11: Verification of the integrity of the data written in UCrechange • Step 12: Release of the memory (flag REPLACEMENT = 0). The operation is finished, the operator The HMI indicates to the operator that the operation has been able to cut the + APC. completed successfully. The logic diagram of FIG. 5 schematizes the various steps of the method. Initially (reference 10), the operator turns the ignition key so as to power the CPUs. They wake up and signal themselves by sending on the communication network an initialization frame (reference 12). Each initialization frame contains an identifier specific to each CPU, the size of the available NVRAM zone and the start address of the available NVRAM zone. The EMF listens and stores in its RAM memory (in a table designated by Table 2 - FIG. 2) the presence of the CPUs each with the address of the beginning of the available NVRAM memory and the size of the available memory. This Table 2 is stored in memory and must not be tampered with until the next power failure. The size and address of the unused NVRAM memory area is determined by the vendor when the software freezes. These values can be considered constant. To the question (reference 14) "Did the operator select the option REPLACE UC?" using the Human Machine Interface (HMI), if the answer is NO, then the process stops. If the answer is YES, it means that the operator wants to change a CPU; we then ask the following question (reference 16) "The flag (flag) REPLACEMENT = 0?", in other words, no UC being replaced? If the answer is YES (= no CPU being replaced) (flag = 0), the HMI indicates to the operator the list of CUs present in the vehicle (reference 18). We then enter the left branch of the logic diagram, this branch concerning phase I (transfer of data from UCsource to UCcibles), the right branch concerning phase II (restitution of the data stored in UCcibles to UCrechange). The operator selects the CPU to replace, (reference 20) It is not the operator who chooses the UCcibles but the EMF calculator. The latter preferably selects the CPUs in descending order of available memory capacity, in order to minimize the number of operations to be performed (number of frames exchanged between the computers). The identifier of the selected CPU is stored in NVRAM memory of the HMI in the table 3 (nonvolatile buffer memory because the power supply is cut later) (reference 22). Phase I is then executed (reference 24), the data to be saved are transferred from the UCsource to the target (s). [0037] The flag REPLACEMENT flag is then set to the value 1 (reference 26) and the operator is asked to disconnect the power supply + APC from the vehicle and possibly disconnect the battery (reference 28). The operator can then proceed to replace the CPU to be changed. When the change is made, the operator restores the power supply + APC (after reconnecting the battery if necessary) and we find ourselves in the logic diagram in the situation of reference 16, but this time with flag = 1 (answer NO in block 16) Before block 14, the operator must select Replace a CPU because he is not obliged to start phase II immediately. It can indeed perform other operations between the APC + bet and the launch of Phase II, or even cut several times the + APC. Then we move to the operations of the right branch of the organization chart. The HMI offers the operator to transfer the data stored in the target CPU (s) to the spare CPU (reference 30). The operator accepts (reference 32) and phase II executes (reference 34). When the data has been transferred, their integrity is verified and the flag REPLACEMENT flag is set to the value 0 (reference 36). The operator is then called to cut the power supply + APC of the vehicle 15 (reference 28). The following description is a detailed description of an embodiment of the method of the invention. This description includes the successive steps indicated above, 1 to 7 for Phase I and 8 to 12 for Phase II. Step 1: Determination of the CUs present in the vehicle The EMF scans the list of identifiers of initialization frames stored in column I of Table 2 (FIG. 2), which contains, in column I, the identifiers of the CPU initialization frames and the data they contain (in column II, the addresses of the available memory area starts and, in column III, the sizes of these available memories, column I indicating the identifiers ID of initialization frames). The EMF identifies the names of the corresponding calculators in Table 1 (FIG. 1), the UC column of this Table indicating the different calculators of the vehicle, the column I the ID of the initialization frames, the column II the identifiers of the requests. diagnosis and column III diagnostic response identifiers). The HMI, which includes a display screen, can thus display the list of computers present in the vehicle. This list can take a textual or graphical form if one wishes to avoid translations into several languages. The operator selects the computer he wants to replace among those offered by an input button of the HMI (or any other interface allowing the operator to enter a choice, for example touch screen) Step 2: Determination of the size of the records present in UCsource With Table 1 (FIG. 1), the EMF determines the identifiers normally used by the external diagnostic tools for dialogue on the communication network with UCsource. As a reminder, each family of computers has a pair of identifiers: • an identifier for requests (tool to CPU), • an identifier for responses (UC to tool). The diagnostic communication protocol is implemented in all the computers of the vehicle. Using the queries normally used by the garage mechanic's external diagnostic tool, the EMF can deceive the other calculators of the vehicle, pretend to be a petitioner, enter into point-to-point communication with each of them and thus read and write information in their internal memory. The EMF begins by opening a point-to-point diagnostic session with the UCsource using the diagnostic identifiers indicated in Table 1. Once the communication is established, the EMF sends as many read requests as necessary to read. all records stored in the non-volatile memory of UCsource. It is not necessary for the EMF to know the addresses of the records contained in UCsource because each record has a logical mark (the logical marks are the same regardless of the selected calculator). The following operations must be performed for each logical reference supported by UCsource • the EMF sends UCsource a request to read the record associated with the logical reference n, • UCsource responds to the EMF by a frame (frame T2) containing the data contained in the record associated with the logical mark n. The EMF counts the number of bytes of data contained in the received T2 frame and stores in its NVRAM the size of the record and its logical mark (which constitutes the Table 3 - Figure 3 which indicates in the left column the logical marks and in the right column the corresponding recording sizes). This operation must be repeated by scanning all the allowed logical marks. The UCsource calculator indicates unused logical markers by returning a negative response. When all logical marks have been queried, the EMF closes the diagnostic session with UCsource. By adding (or any other operation that can be used by a data integrity check algorithm) the values of all the bytes of data contained in the frames T2 returned by UCsource, the EMF is able to calculate a global checksum on all the records transmitted. It is also stored in the NVRAM memory of the EMF (Table 3) and will be used later to check the integrity of the saved data. Finally, the EMF stores the UCsource identifier in Table 3 in order to identify, during phase II, the CPU that has been replaced. Step 3: Checking the available memory size in the CPUs [0050] The EMF verifies that the total memory capacity available in all the other computers in the vehicle is greater than or equal to the memory capacity necessary for storing the information. contained in UCsource. For this, the EMF adds the available memory capacities indicated in Table 2 (omitting, of course, the row of Table 2 corresponding to UCsource) and compares the result obtained with the sum of the sizes of the records stored in Table 3. If the total available capacity is not sufficient to accommodate the UCsource data then the operation is aborted and the HMI displays a message telling the operator that the operation can not be performed and that it requires the operation. assistance of a mechanic. It will then use the external memory of its diagnostic tool to carry out the operation (currently used method).

Etape 4: Préparation au transfert de données [0051] Si la capacité mémoire disponible totale est suffisante, l'EMF classe les calculateurs présents dans la Table 2 (excepté UCsource) par ordre décroissant de capacité mémoire disponible afin d'optimiser le nombre de trames à transmettre et obtient la Table 4 - Figure 4 qui indique dans la colonne I les identifiants ID des UCcibles, dans la colonne Il les ID des trames d'initialisation, dans la colonne III les adresses de début de mémoire disponibles et dans la colonne IV les tailles correspondantes de mémoire disponible. Step 4: Preparation for Data Transfer [0051] If the total available memory capacity is sufficient, the EMF classifies the computers present in Table 2 (except UCsource) in descending order of available memory capacity in order to optimize the number of frames to transmit and obtains Table 4 - Figure 4 which indicates in column I the identifiers ID of the UCcables, in the column II the IDs of the initialization frames, in column III the available memory start addresses and in the IV column the corresponding sizes of available memory.

Etape 5 : Transfert des données de I'UCsourcevers les UCcibles [0052] L'EMF ouvre une session de diagnostic avec UCsource et également avec les UCcibles (L'identifiant de UCsource est indiqué dans la Table 3, les identifiants des UCcibles sont indiqués dans la Table 4). [0053] Pour chacun des repères logiques figurant dans la Table 3, les opérations suivantes sont réalisées : • l'EMF envoie une requête de lecture de l'enregistrement associé au repère logique sélectionné. • UCsource renvoie une réponse positive contenant les données de l'enregistrement 10 sélectionné. • L'EMF stocke le contenu de l'enregistrement sélectionné dans sa mémoire RAM. [0054] L'EMF envoie autant de requêtes d'écritures que nécessaire pour recopier les données contenues dans sa mémoire RAM vers la mémoire NVRAM des UCcibles . Pour cela, l'EMF initie les opérations suivantes : 15 • Ecriture par adresse (et non par repère logique), l'adresse de début des zones mémoire disponibles est indiquée pour chaque UCcible dans la Table 4, • Si la taille de l'enregistrement à écrire est supérieure à la taille mémoire disponible dans l'UCcible p, alors l'EMF doit utiliser toute la place disponible dans l'UC p et écrire le reste dans l'UC p+1 (fragmentation d'un enregistrement). 20 • Au contraire, si la taille de l'enregistrement à écrire est inférieure à la taille mémoire disponible dans l'UCcible p, l'EMF peut compléter avec le début de l'enregistrement suivant (concaténation des enregistrements). [0055] Ces opérations doivent être réitérées pour chaque enregistrement dont le repère logique est indiqué dans la Table 3. Puis, l'EMF ferme la session de diagnostic avec UCsource 25 et les UCcibles. [0056] Si le véhicule n'est pas en conditions sécuritaires, les requêtes d'écriture seront refusées par les UCcibles. En cas de réponse négative d'au moins une UC, l'EMF doit avorter l'opération et afficher un message indiquant que l'opération a été abandonnée pour des raisons sécuritaires. Step 5: Transfer UCSource Data to CPUs [0052] The EMF opens a diagnostic session with UCsource and also with UCcables (The UCsource ID is shown in Table 3, the identifiers of the UCcables are indicated in Table 4). For each of the logical references appearing in Table 3, the following operations are performed: • the EMF sends a request to read the record associated with the selected logical reference. • UCsource returns a positive response containing the data from the selected record. • The EMF stores the contents of the selected record in its RAM memory. The EMF sends as many writes requests as necessary to copy the data contained in its RAM to the NVRAM memory UCcibles. For this, the EMF initiates the following operations: • Write by address (and not by logical reference), the starting address of the available memory areas is indicated for each target UC in Table 4, • If the size of the The record to write is greater than the available memory size in the CPU target p, so the EMF must use all available space in the CPU p and write the remainder in the CPU p + 1 (fragmentation of a record). On the other hand, if the size of the record to be written is smaller than the available memory size in the target PC, the EMF can complete with the beginning of the next record (concatenation of the records). These operations must be repeated for each record whose logical reference is indicated in Table 3. Then, the EMF closes the diagnostic session with UCsource 25 and the UCcibles. If the vehicle is not in safe conditions, write requests will be refused by the UCcibles. In the event of a negative response from at least one CPU, the EMF must abort the operation and display a message indicating that the operation has been aborted for security reasons.

Etape 6 : Vérification de l'intégrité des données écrites dans les UCcibles [0057] L'EMF relit les données écrites dans les UCcibles grâce à des requêtes de lecture par adresse (les adresses de début de zone mémoire sont indiquées dans la Table 4 pour chaque UC). L'EMF additionne (ou toute autre opération pouvant être utilisée par un algorithme de contrôle d'intégrité des données) les valeurs contenues dans les octets relus et obtient un checksum qu'il compare avec le checksum global stocké dans la Table 3. Si les checksums sont identiques, l'EMF positionne le drapeau flag REMPLACEMENT à la valeur 1. [0058] Si les 2 checksums ne sont pas identiques, alors lEMF doit avorter l'opération et afficher un message indiquant que l'opération a été abandonnée suite à une erreur d'écriture. Step 6: Verifying the Integrity of the Data Written in the CPUs The EMF reads the data written to the CPUs through address read requests (the memory zone start addresses are shown in Table 4 for each CU). The EMF adds (or any other operation that can be used by a data integrity algorithm) the values contained in the replayed bytes and obtains a checksum that it compares with the global checksum stored in Table 3. If checksums are identical, the EMF sets the flag REPLACEMENT flag to the value 1. [0058] If the 2 checksums are not identical, then the EMF must abort the operation and display a message indicating that the operation was aborted following a writing error.

Etape 7 : Invitation au remplacement du calculateur [0059] Un message s'affiche pour indiquer à l'opérateur la marche à suivre pour remplacer le calculateur défaillant : • couper le contact, • débrancher la batterie, • remplacer le calculateur défaillant par un nouveau calculateur, • rebrancher la batterie, • remettre le contact, • lancer la phase Il depuis le menu de l'IHM. (Pas de trames échangées entre les UC à cette étape). Step 7: Invitation to replace the computer [0059] A message is displayed to inform the operator of the procedure for replacing the faulty computer: • switch off the ignition, • disconnect the battery, • replace the faulty computer with a new one computer, • reconnect the battery, • switch on the ignition, • start phase II from the HMI menu. (No frames exchanged between CPUs at this stage).

La description qui suit est la description détaillée d'un mode de réalisation de la Phase Il. Etape 8 : Détermination de l'UC en cours de remplacement [0060] L'EMF lit l'identifiant stocké dans la Table 3 située dans sa mémoire NVRAM et identifie le nom du calculateur correspondant dans la Table 1 (calculateur UCrechange). L'IHM peut ainsi proposer à l'opérateur de lancer la phase Il de l'opération (restitution des données) sur le calculateur UCrechange. The following description is a detailed description of an embodiment of Phase II. Step 8: Determination of the CPU being replaced The EMF reads the identifier stored in the Table 3 located in its NVRAM memory and identifies the name of the corresponding computer in the Table 1 (UCrechange computer). The HMI can thus propose to the operator to launch phase II of the operation (restitution of the data) on the UCrechange calculator.

Etape 9 : Vérification de l'intégrité des données présentes dans les UCcibles [0061] Lors de l'initialisation suivant le remplacement du calculateur défaillant, l'EMF a reconstitué dans sa mémoire RAM la liste des calculateurs présents dans le véhicule (Table 2). L'EMF classe ensuite les calculateurs présents dans la Table 2 (excepté UCsource dont l'identifiant figure dans la Table 3) par ordre décroissant de capacité mémoire disponible afin de reconstituer à l'identique la Table 4 de la phase I. L'EMF effectue un contrôle de checksum globale de manière à vérifier que toutes les informations sauvegardées sont bien présentes dans les calculateurs qui se sont manifestés sur le réseau et que leur contenu n'a pas été altéré depuis la phase I (c'est également un bon moyen pour détecter les UC manquantes ou remplacées entre la phase I et la phase Il). Pour cela, l'EMF lit les données stockées dans les UCcibles grâce à des requêtes de lecture par adresse. L'EMF balaie ligne par ligne la Table 4 : les identifiants et les adresses de début de zone mémoire disponible y sont indiquées pour chaque UC. L'EMF additionne les valeurs contenues dans les octets relus et obtient un checksum qu'il compare avec le checksum global stocké dans la Table 3 située dans sa mémoire NVRAM. Si les deux checksums ne sont pas identiques, alors l'EMF doit avorter l'opération et afficher un message indiquant que l'opération a été abandonnée pour une erreur d'écriture. Etape 10 : Transfert des données des UCcibles vers l'UCrechan e [0062] L'EMF peut maintenant entamer l'opération de transfert des données sauvegardées dans les UCcibles vers l'UCrechange. [0063] L'EMF commence par ouvrir une session de diagnostic avec l'UCrechange et également avec les UCcibles. Pour chacun des repères logiques figurant dans la Table 3, l'EMF envoie autant de requêtes de lecture par adresse que nécessaire pour lire dans les UCcibles les informations permettant de reconstituer dans sa mémoire RAM les données contenues dans l'enregistrement correspondant au repère logique considéré (le nombre d'octets à lire pour chaque repère logique est indiqué dans la deuxième colonne de la table 3). Pour cela, l'EMF gère les opérations suivantes: • Lecture par adresse (et non par repère logique), l'adresse de début des zones mémoire disponibles est indiquée pour chaque UCcible dans la Table 2, • Si la taille de l'enregistrement à lire (indiquée dans la table 3) est supérieure à la taille mémoire disponible dans l'UCcible p (indiquée dans la table 4), alors l'EMF doit lire d'abord la première partie correspondant à toute la place disponible dans l'UC p et lire le reste dans l'UC p+1 (fragmentation d'un enregistrement). • Au contraire, si la taille de l'enregistrement à lire est inférieure à la taille mémoire disponible dans l'UCcible p, la lecture de l'enregistrement suivant débutera dans la même UC p (concaténation des enregistrements). [0064] Une fois l'enregistrement totalement reconstitué dans sa RAM, l'EMF envoie une requête d'écriture à UCrechange pour écrire l'enregistrement à l'emplacement de sa mémoire NVRAM associée au repère logique considéré. [0065] Ces opérations doivent être réitérées pour chaque enregistrement dont le repère logique est indiqué dans la Table 3. Enfin, l'EMF ferme la session de diagnostic avec UCrechange et les UCcibles. [0066] Si le véhicule n'est pas en conditions sécuritaires, les requêtes d'écriture seront refusées par l'UCrechange. En cas de réponse négative d'UCrechange, l'EMF doit avorter l'opération et afficher un message indiquant que l'opération a été abandonnée pour des raisons sécuritaires. Etape 11 : Vérification de l'intégrité des données écrites dans UCrechanqe [0067] L'EMF relit les données écrites dans l'UCrechange grâce à des requêtes de lecture par repère logique (il balaie les repères logiques indiqués dans la Table 3). L'EMF envoie autant de trames que nécessaire pour lire tous les repères logiques supportés. L'EMF additionne (ou toute autre opération pouvant être utilisée par un algorithme de contrôle d'intégrité des données) les valeurs contenues dans les octets relus et obtient un checksum qu'il compare avec le checksum global stocké dans la Table 3 située dans sa mémoire NVRAM. Si les 2 checksums ne sont pas identiques, alors l'EMF doit avorter l'opération et afficher un message indiquant que l'opération a été abandonnée pour une erreur d'écriture. Step 9: Verification of the integrity of the data present in the CPUs [0061] During the initialization following the replacement of the failed computer, the EMF reconstituted in its RAM memory the list of computers present in the vehicle (Table 2) . The EMF then classifies the calculators present in Table 2 (except UCsource whose identifier appears in Table 3) in decreasing order of available memory capacity in order to reconstitute the Table 4 of phase I in the same way. The EMF performs a global checksum check to verify that all the saved information is present in the computers that have appeared on the network and that their contents have not been tampered with since Phase I (this is also a good way to detect missing or replaced CUs between phase I and phase II). For this, the EMF reads the data stored in the UCcibles through read requests by address. The EMF scans Table 4 line by line: the identifiers and the available memory area start addresses are indicated for each CPU. The EMF adds the values contained in the replayed bytes and obtains a checksum that it compares with the global checksum stored in Table 3 in its NVRAM. If the two checksums are not identical, then the EMF must abort the operation and display a message indicating that the operation has been aborted for a write error. Step 10: Transfer of data from the CPUs to the UCrechan [0062] The EMF can now begin the operation of transferring the data saved in the CPUs to the UCrechange. The EMF begins by opening a diagnostic session with the UCrechange and also with the UCcibles. For each of the logical references appearing in Table 3, the EMF sends as many read requests per address as necessary to read in the CPUs the information making it possible to reconstitute in its RAM memory the data contained in the record corresponding to the logical reference mark considered. (The number of bytes to read for each logical reference is shown in the second column of Table 3). For this, the EMF manages the following operations: • Reading by address (and not by logical reference), the starting address of the available memory zones is indicated for each target UC in Table 2, • If the size of the record read (indicated in table 3) is greater than the available memory size in the CPU target p (indicated in table 4), then the EMF must first read the first part corresponding to all the available space in the UC p and read the rest in the CPU p + 1 (fragmentation of a record). • On the other hand, if the size of the record to be read is less than the available memory size in the CPU target p, playback of the next record will start in the same CPU p (concatenation of records). Once the recording is completely reconstituted in its RAM, the EMF sends a write request to UCrechange to write the record to the location of its NVRAM memory associated with the logical reference considered. These operations must be repeated for each record whose logical reference is indicated in Table 3. Finally, the EMF closes the diagnostic session with UCrechange and the UCcibles. If the vehicle is not in safe conditions, write requests will be refused by UCrechange. In the event of a UCrechange negative response, the EMF must abort the operation and display a message indicating that the operation has been aborted for security reasons. Step 11: Verifying the Integrity of the Data Written in UCrechanqe The EMF rereads the data written in the UCrechange by means of read requests by logical reference (it scans the logical references indicated in Table 3). The EMF sends as many frames as needed to read all supported logical references. The EMF adds (or any other operation that can be used by a data integrity algorithm) the values contained in the read bytes and obtains a checksum that it compares with the global checksum stored in Table 3 in its NVRAM memory. If the 2 checksums are not identical, then the EMF must abort the operation and display a message indicating that the operation has been aborted for a write error.

Etape 12 : Libération de la mémoire [0068] Une fois le transfert des données terminé et l'intégrité des données vérifiées, l'EMF peut libérer la zone mémoire utilisée dans chaque UCcible et dans l'EMF (table 3). La technologie EEPROM ne nécessite pas d'effacer les données pour pouvoir écrire à nouveau dans la zone concernée. Il suffit donc de positionner le flag REMPLACEMENT à la valeur 0 dans la mémoire NVRAM de IEMF pour indiquer au logiciel que les données stockées dans les UCcibles ne sont plus valides et qu'elles peuvent être écrasées lors d'une nouvelle utilisation. [0069] La présente invention apporte de nombreux avantages. Par exemples, elle permet de transférer les données, notamment les données adaptatives, d'un calculateur à remplacer vers un calculateur de rechange sans nécessiter l'utilisation d'un outil de diagnostic. Elle n'impose pas à l'automobiliste d'amener le véhicule chez son garagiste et lui permet de remplacer lui-même son calculateur acheté en pièce de rechange. Ceci est d'autant plus appréciable pour l'automobiliste lorsque le véhicule est immobilisé à son domicile. [0070] Chez le garagiste, l'invention permet de réaliser l'opération sans connecter d'outil de diagnostic, ce qui peut se révéler très utile lorsque les différents opérateurs doivent se partager une seule station de diagnostic au sein de l'atelier. Elle contribue donc à diminuer le temps passé sur chaque véhicule à réparer. [0071] La solution proposée est peu coûteuse à implémenter car elle n'impacte pas le matériel des véhicules, les évolutions affectant uniquement le logiciel et principalement celui du calculateur EMF. Les autres calculateurs ne nécessitent qu'un paramétrage de la trame d'initialisation généralement déjà existante. Elle permet aussi de bénéficier d'une prestation supplémentaire en exploitant des ressources NVRAM déjà présentes dans les calculateurs ù et dont le coût est déjà supporté par le constructeur automobile - mais actuellement inutilisées. [0072] D'autres modes de réalisation que ceux décrits et représentés peuvent être conçus par l'homme du métier sans sortir du cadre de la présente invention. Par exemple, afin d'utiliser moins d'espace mémoire non volatile dans l'EMF, la liste des UCcibles présentes dans le véhicule est reconstituée à chaque initialisation du véhicule. Elle est stockée dans la mémoire volatile de lEMF (RAM) et les UCcibles sont classées par taille de mémoire disponible décroissante (étape 9). L'EMF s'assure que la topologie des UC dans le véhicule n'a pas évoluée en effectuant un calcul des checksums. Il est possible de faire autrement, par exemple en stockant la cartographie des UCcibles dans la mémoire non volatile de I'EMF une fois pour toutes au début de l'opération. De même, dans l'exemple détaillé seuls les UC présentes sous le capot moteur ont été indiquées, alors qu'il est possible de faire également appel aux UC présentes ailleurs dans le véhicule (dans l'habitacle par exemple). Egalement, l'exemple de réalisation décrit en détails fait référence aux données adaptatives, mais il est évident que le procédé peut s'appliquer à d'autres sortes de données. Le procédé peut être utilisé pour tous types de véhicules, automobiles ou non, pour lesquels se pose le problème du remplacement d'un calculateur sans perte de données. Step 12: Memory Release [0068] Once the data transfer is complete and the integrity of the data verified, the EMF can release the memory area used in each target CPU and in the EMF (Table 3). The EEPROM technology does not need to erase the data to be able to write again in the zone concerned. It is therefore sufficient to set the REPLACE flag to the value 0 in the NVRAM memory of IEMF to indicate to the software that the data stored in the UCcibles are no longer valid and can be overwritten during a new use. The present invention provides many advantages. For example, it makes it possible to transfer the data, in particular the adaptive data, from a computer to be replaced to a spare computer without requiring the use of a diagnostic tool. It does not require the motorist to bring the vehicle to his garage and allows him to replace his computer purchased spare part. This is all the more significant for the motorist when the vehicle is immobilized at home. In the garage, the invention allows the operation without connecting a diagnostic tool, which can be very useful when the different operators must share a single diagnostic station within the workshop. It therefore helps to reduce the time spent on each vehicle to repair. The proposed solution is inexpensive to implement because it does not impact the hardware of vehicles, developments affecting only the software and mainly that of the EMF calculator. The other computers only require a parameterization of the initialization frame that is generally already existing. It also makes it possible to benefit from an additional service by exploiting NVRAM resources already present in the computers - and whose cost is already borne by the car manufacturer - but currently not used. Other embodiments than those described and shown may be designed by those skilled in the art without departing from the scope of the present invention. For example, in order to use less non-volatile memory space in the EMF, the list of the CPUs present in the vehicle is reconstituted at each initialization of the vehicle. It is stored in the volatile memory of the EMF (RAM) and the CPUs are classified by decreasing available memory size (step 9). The EMF ensures that the topology of the CPUs in the vehicle has not evolved by performing a calculation of the checksums. It is possible to do otherwise, for example by storing the mapping of the UCcibles in the non-volatile memory of the EMF once and for all at the beginning of the operation. Similarly, in the detailed example only CPUs present under the bonnet have been indicated, while it is possible to also use the CPUs present elsewhere in the vehicle (in the cockpit for example). Also, the exemplary embodiment described in detail refers to the adaptive data, but it is obvious that the method can be applied to other kinds of data. The method can be used for all types of vehicles, automobiles or not, for which there is the problem of replacing a computer without loss of data.

Claims

REVENDICATIONS1. A method of saving data stored in the memory of a control unit, called the source control unit (UCsource), when replacing said unit with a spare control unit (UCrechange), said source control unit being connected by a communication network to a plurality of control units (UC) of a vehicle, the method being characterized by the following steps: • transferring and saving the data to be saved from the UCsource respectively to and in at least one said control units, called target control unit 10 (UCcible), selected from said CPUs; • replacing said UCsource by said UCrechange; and transferring and saving the data stored in said target respectively to and in said UCrechange

2. Method according to claim 1 characterized in that, prior to the transfer 15 and the recording of the data to be backed up, the available memory space in each CPU is checked and the size of the data to be backed up is determined.

3. Method according to one of the preceding claims characterized in that, after at least one of said steps of transferring and recording data, the integrity of the recorded data is verified. 20

4. Method according to one of the preceding claims characterized in that, the vehicle being equipped with a man-machine interface (HMI) provided with a computer, the management of said process steps is entrusted to the computer of this interface.

5. Method according to one of the preceding claims characterized in that the first step of the method consists in starting the vehicle contact so as to electrically power the control units.

6. Method according to claim 5 characterized in that, at the start of the contact, the CPUs emit an initialization frame, which allows to determine the CPUs present in the vehicle.

7. Method according to claim 6, characterized in that the initialization frame of a CPU contains an identifier specific to said CPU, the size of the available NVRAM-type memory zone and the start address of said available memory zone.

8. Method according to claims 4 and 6 characterized in that, the HMI being provided with a screen, the CPUs present are displayed on the screen and the operator selects the UC to replace (UCsource)

9. Method according to claim 7, characterized in that the computer associated with the HMI 5 chooses at least one CPU as a CPU among the CPUs present as a function of their available memory size and as a function of the size of the data to be backed up. said UCsource •

10. Method according to one of the preceding claims characterized in that, before the replacement of said UCsource by said UCrechange, the operator is invited to cut the vehicle contact (+ APC). 10 15 20 25