Le watchdog matériel et le System Basis Chip : la surveillance câblée

La fiche le processeur de surveillance et le watchdog décrit la surveillance vue du logiciel. Celle-ci s'intéresse au matériel qui l'incarne : un composant discret mais décisif, le System Basis Chip, et le watchdog câblé qu'il embarque. C'est souvent lui qui explique qu'un calculateur reste muet ou en sécurité après une intervention malheureuse.

Le System Basis Chip, gardien de l'alimentation

Le SBC (System Basis Chip) est un circuit qui regroupe sur une seule puce plusieurs fonctions vitales du calculateur : les régulateurs de tension qui alimentent le microcontrôleur, la génération du reset, les interfaces de bus (CAN, LIN), la logique de réveil — et un watchdog de surveillance. Les familles OPTIREG d'Infineon (comme le TLF35584), les SBC de NXP et de ST en sont des exemples courants, souvent qualifiés pour la sûreté ASIL-D. Placé entre la batterie et le processeur, le SBC est physiquement en position d'agir : il tient l'alimentation et peut donc, en dernier ressort, couper ce qu'il faut. Il fait partie des composants repérables sur la carte, au sens de les composants d'un calculateur.

Le watchdog à fenêtre

Le principe du watchdog est simple : le microcontrôleur doit régulièrement « donner signe de vie » en actionnant le watchdog. S'il cesse — parce que son logiciel est bloqué —, le watchdog le détecte et provoque un reset. Le watchdog à fenêtre (window watchdog) va plus loin : il exige que le signe de vie arrive ni trop tôt, ni trop tard, dans une fenêtre temporelle précise. Un logiciel qui tournerait trop vite (emballé) ou trop lentement est ainsi pris en défaut, là où un simple compte à rebours ne verrait rien. Un déclenchement invalide fait progresser un compteur d'anomalies ; un déclenchement correct le fait redescendre.

Le watchdog à question-réponse

Plus subtil encore, le watchdog à question-réponse (challenge-response) vérifie non seulement que le processeur est vivant, mais qu'il calcule juste. Le SBC pose une question — un nombre —, et le microcontrôleur doit renvoyer la bonne réponse, obtenue par un calcul convenu. Sur un composant comme le TLF35584, la puce génère une question et attend une série de réponses correctes. Une réponse fausse trahit un processeur qui tourne mais raisonne mal — la panne la plus dangereuse, car invisible à un watchdog ordinaire. Watchdog à fenêtre et watchdog à question-réponse fonctionnent indépendamment, chacun avec son propre compteur.

L'état sûr

Que se passe-t-il quand le compteur d'anomalies franchit son seuil ? Le SBC active ses sorties d'état sûr — souvent notées SS1 et SS2. Ces signaux commandent la mise au repos des organes dangereux : coupure d'un étage de sortie, désactivation d'un actionneur, arrêt de l'injection. C'est une sécurité câblée, indépendante du logiciel défaillant : même si le microcontrôleur est perdu, le SBC, lui, garde la main sur l'alimentation et peut imposer le silence. Cette logique matérielle est le dernier maillon de la chaîne de sûreté que forment aussi le Lockstep et la Safety Management Unit.

Pourquoi cela explique des calculateurs muets

C'est le point pratique. Un calculateur qui reste muet ou en sécurité après une écriture interrompue, une chute de tension ou une manipulation malheureuse n'a pas forcément une mémoire corrompue : il peut être maintenu à l'arrêt par son SBC, faute de dialogue valide avec le microcontrôleur. De même, une alimentation d'atelier instable pendant un travail sur table peut faire réagir le watchdog et empêcher toute communication, alors que le calculateur est sain. Savoir que ce gardien existe change le diagnostic : avant de conclure au pire, on vérifie l'alimentation, la stabilité de la tension et la cohérence des lignes, comme le rappellent les principes du travail sur table et de OBD, bench, boot. Le SBC n'est pas un obstacle à contourner, mais une pièce de sûreté à comprendre : il fait exactement ce pour quoi il a été conçu, protéger le véhicule d'un calculateur qui ne répond plus correctement.

Le chemin de sûreté et le diagnostic d'atelier

Le SBC ne se contente pas de surveiller : il détient souvent un chemin de coupure indépendant, capable de mettre hors tension un étage de puissance sans passer par le microcontrôleur. C'est le principe du chemin de sûreté : une seconde voie, câblée, qui aboutit à la mise au repos des actionneurs quels que soient les caprices du logiciel. Certains calculateurs combinent un watchdog interne au processeur et ce watchdog externe du SBC, pour ne pas dépendre d'un organe unique. Ce fonctionnement a des retombées directes en atelier. Sur table, une alimentation qui s'effondre à chaque appel de courant peut faire réagir le watchdog et interrompre le dialogue : le remède n'est pas de forcer, mais de fournir une alimentation stable et suffisamment dimensionnée. De même, un calculateur qui semble mort après un incident mérite qu'on vérifie d'abord ses tensions d'alimentation et l'état de son SBC avant de conclure à une mémoire perdue. Comprendre ce gardien matériel, c'est éviter de traiter un calculateur sain comme un calculateur détruit — et, à l'inverse, de s'acharner en communication sur un ensemble que le SBC maintient volontairement au silence.

Voir aussi le processeur de surveillance et le watchdog, l'étage de sortie : le MOSFET et les drivers et l'architecture multicœur et le Lockstep.

Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.