Améliorer la confiance dans le groupe motopropulseur automobile grâce à HIL et SIL

Principaux enseignements

• Le SIL doit permettre de tester la logique de commande à un stade précoce, tandis que le HIL doit confirmer le comportement en termes de synchronisation et d'interfaces dès lors que ces facteurs sont susceptibles d'influencer les résultats.
• La confiance dans le groupe motopropulseur repose sur un champ d'application bien ciblé, une fidélité crédible au modèle d'usine et des critères de validation liés au comportement du véhicule plutôt qu'à des signaux isolés.
• La validation des véhicules électriques nécessite une couverture plus approfondie des défaillances liées à la recharge, à la réduction de puissance, au redémarrage et au fonctionnement en mode dégradé, car les cycles nominaux ne permettent pas de détecter de nombreuses défaillances coûteuses.

Les essais combinés SIL et HIL constituent pour les équipes chargées du groupe motopropulseur le moyen le plus rapide d'acquérir la confiance nécessaire.

Les essais HIL et SIL dans le secteur automobile recourent à la simulation pour vérifier les logiciels de commande, les interfaces et la synchronisation avant que la construction des véhicules ne mobilise du temps et des ressources budgétaires. test SIL le code de commande sur une installation simulée, tandis que Simulation HIL le contrôleur cible et ses voies d’entrée/sortie. Les ventes de voitures électriques ont dépassé les 17 millions d’unités en 2024, ce qui a permis aux véhicules électriques de représenter plus de 20 % des ventes mondiales de voitures. Une telle ampleur implique davantage de variantes, davantage de branches de calibrage et moins de marge de manœuvre face à d’éventuelles surprises de dernière minute concernant le groupe motopropulseur.

Les tests SIL permettent de détecter des problèmes de contrôle avant la livraison du matériel de l'ECU

Les tests SIL permettent de détecter les problèmes liés à la logique de commande avant même que le matériel cible n'existe. Vous exécutez le logiciel de commande sur un moteur, un réducteur ou un système de batterie simulé. Cette configuration permet de vérifier les transitions d'état, la gestion des limites et la stabilité numérique. Vous détecterez ainsi des erreurs coûteuses à un stade où les modifications de conception peuvent encore être apportées rapidement.

Un cas typique de SIL commence par la logique de demande de couple. Le contrôleur demande le couple aux roues, le modèle de l’installation le convertit en vitesse du moteur et en courant de batterie, et le logiciel réagit aux limites telles que la basse tension ou la température froide des cellules. Une demande de démarrage en condition de « cold-soak » révèle souvent une instabilité dans l’arbitrage du couple bien avant qu’un onduleur ou un bloc-batterie ne soit testé sur banc d’essai. Les incompatibilités entre unités, les boucles de machine à états et une logique anti-windup déficiente ont tendance à apparaître ici en premier.

C'est important car les défauts précoces du groupe motopropulseur sont souvent des défauts logiciels déguisés en problèmes d'étalonnage. Si votre observateur de couple n'oscille que dans une plage de température étroite, les essais sur route ne permettront pas de le détecter rapidement, contrairement au SIL. Vous pouvez également exécuter des centaines de cas de régression pendant la nuit, ce qui évite que les mises à jour logicielles ne réintroduisent d'anciens défauts. Le SIL ne permettra pas de valider le calage électrique, mais il vous fournira une base de référence de contrôle fiable.

« Lorsque le SIL vérifie la logique dès le début et que le HIL confirme ensuite la synchronisation et les interfaces, la confiance cesse d'être un simple slogan pour devenir une pratique de validation reproductible. »

Les essais HIL permettent de vérifier le comportement de la synchronisation sous une charge en boucle fermée

Les tests HIL permettent de vérifier le comportement du calculateur lorsque la synchronisation, la latence d'entrée/sortie et les interfaces matérielles font partie de la boucle. Le calculateur lit les données des capteurs simulés et envoie des commandes aux actionneurs en temps réel. Cela permet de mettre en évidence les dépassements de délais, les conflits sur le bus et les défauts de traitement des signaux. Vous pourrez ainsi vérifier si le logiciel continue de fonctionner lorsque la physique et le matériel interagissent.

Un contrôleur d'onduleur de traction illustre parfaitement ce principe. L'ECU lit la position du résolveur, la tension du circuit intermédiaire CC et la position de la pédale, puis envoie des commandes de commutation tandis qu'un modèle de système fournit en retour les valeurs de courant et de vitesse. Si une tâche présente un décalage lors d'une rampe de couple, le banc d'essai affichera une ondulation, le déclenchement d'une protection ou une réduction de puissance différée. Le SIL peut indiquer que la logique est correcte, mais le HIL prouve que la pile de contrôle résiste à la pression réelle de l'exécution.

C’est là que la charge en boucle fermée prend tout son sens. Le contrôleur ne peut pas se retrancher derrière une synchronisation idéale ou des interfaces parfaites, et vous pouvez simuler des pertes de signal des capteurs sans risquer d’endommager le matériel. Les ingénieurs utilisent également la simulation HIL pour valider la logique des codes de diagnostic, les réponses du chien de garde et la reprise du réseau après une perte de communication. Ces vérifications vous garantissent que l’ECU ne tombera pas en panne simplement parce que le laboratoire a négligé un détail de synchronisation.

Commencez par les fonctions du groupe motopropulseur qui présentent le plus grand risque

La sélection des tests basée sur les risques permet de garantir que les approches SIL et HIL restent utiles sans devenir trop lourdes. Vous devriez commencer par les fonctions susceptibles d'entraîner une perte de couple, une contrainte thermique, une interruption de l'alimentation ou des états de repli dangereux. Ce sont ces fonctions qui créent le plus grand écart de validation si elles tombent en panne à un stade avancé. Votre première matrice de tests devrait donner la priorité à l'impact d'une défaillance et ne considérer le nombre de fonctionnalités que comme un critère secondaire.

• Il convient d'aborder dès le début la question de l'arbitrage de couple, car plusieurs contrôleurs peuvent se disputer l'autorité.
• Les circuits logiques de protection de l'onduleur et de la batterie doivent être testés dans des conditions extrêmes, car les limites varient en fonction de la température et de la tension.
• Le réglage du freinage régénératif nécessite des vérifications minutieuses, car la sensation au niveau de la pédale et la stabilité dépendent du calage.
• Il convient d'accorder une attention particulière aux transitions d'état lors de la recharge, car des erreurs de communication peuvent immobiliser le véhicule ou interrompre la recharge.
• Les mécanismes de repli et de retour en mode de secours doivent être validés, car la gestion des défaillances a une incidence sur la sécurité et la qualité du service.

Une bonne liste de risques évite également aux équipes de perdre du temps sur des signaux à faible impact, tandis que les scénarios à fort impact restent insuffisamment testés. Un groupe motopropulseur hybride, par exemple, nécessitera souvent de se concentrer en priorité sur la coordination du redémarrage du moteur plutôt que sur les messages d’affichage non critiques. C’est en ciblant systématiquement une fonctionnalité susceptible de compromettre l’utilisation par le client, la facilité d’entretien ou la conformité que vous gagnerez le plus rapidement en confiance. Voilà la réponse concrète à la question de savoir comment tester les groupes motopropulseurs automobiles avec les méthodes HIL et SIL sans que le plan de test ne devienne trop vaste.

Passer du mode SIL au mode HIL lorsque les interfaces définissent des limites

Il convient de passer du SIL au HIL lorsque la synchronisation de l'interface, les E/S matérielles ou la gigue d'exécution sont susceptibles d'influencer le résultat. Le SIL est suffisant pour la validation de la logique de contrôle et les tests de régression généraux. Le HIL devient nécessaire lorsque l'émulation des capteurs, le trafic sur le bus et la planification des tâches influencent la réponse du système. Ce passage dépend davantage de la qualité des preuves requises que de la phase du projet.

« Le SIL ne permet pas de vérifier la synchronisation électrique, mais il vous fournira une référence de contrôle fiable. »

Une demande de réduction du couple lors d’une recharge rapide en courant continu illustre clairement ce transfert. La simulation SIL permet de vérifier la machine à états qui réduit le courant de charge en cas de contrainte thermique, mais la simulation HIL devient nécessaire dès lors que la synchronisation des communications avec le chargeur et les mesures analogiques influencent le résultat. Il en va de même pour les événements de démarrage-arrêt du moteur, la synchronisation de l’embrayage et le décodage du résolveur. Si l’interface est susceptible de modifier l’action du contrôleur, vous avez atteint le stade où la simulation HIL prend toute son importance.

Les équipes obtiennent de meilleurs résultats lorsqu’elles considèrent le SIL et le HIL comme des étapes interdépendantes au sein d’un même processus de validation. Le SIL élimine les anomalies liées à une logique encore immature, tandis que le HIL vérifie que la logique aboutie résiste aux contraintes réelles d’exécution. Cette séquence réduit les boucles de débogage et permet de consacrer le temps de banc, souvent limité, aux cas que seul le matériel peut résoudre. Vous n’aurez pas besoin du HIL pour chaque vérification, mais vous en aurez besoin pour celles qui comptent le plus.

La fidélité du modèle de plante détermine la valeur de chaque résultat

La fidélité du modèle de l'installation doit être adaptée à la question de contrôle à laquelle vous devez répondre. Un modèle trop simple masque les défauts, tandis qu'un modèle trop complexe ralentit l'exécution et limite la couverture. Un niveau adéquat permet au contrôleur de rester en prise avec les phénomènes physiques qui influencent ses décisions. La précision est primordiale lorsque l'action de contrôle est sensible.

Un modèle de batterie permet de visualiser facilement les compromis. Un circuit équivalent simple peut simuler la logique de contrôle de la charge et de la décharge, mais les limites thermiques, les chutes de tension et les erreurs d’estimation de l’état de charge nécessitent souvent des détails électrothermiques pour refléter la réponse correcte. La même règle s’applique aux modèles de circuit d’admission d’air du moteur, à la dynamique de l’embrayage et aux effets de commutation de l’onduleur. Le niveau de fidélité doit être adapté au cas de test, et il n’est pas nécessaire d’avoir un niveau de détail maximal partout.

Les équipes qui utilisent OPAL-RT pour une exécution en boucle fermée doivent tout de même déterminer où la fidélité justifie son coût. Si le mélange de régénération dépend du glissement des pneus et du transfert de couple entre les essieux, ces comportements doivent être modélisés avec suffisamment de précision pour influencer de manière significative les sorties du contrôleur. Si une boucle de refroidissement a peu d'influence sur le cas testé, un modèle allégé permettra de maintenir la stabilité et la productivité du banc d'essai. Une bonne validation repose sur un niveau de détail sélectif et sur l'adéquation entre la complexité du modèle et le cas testé.

Les critères de conformité doivent refléter le comportement du véhicule au niveau du système

Les critères de réussite relatifs au groupe motopropulseur doivent décrire aussi bien le comportement du véhicule que la validité des signaux. Un test est considéré comme réussi lorsque la fonction dans son ensemble atteint le résultat escompté, quelles que soient les conditions et les états de défaillance. Cela signifie que la transmission du couple, les mesures de protection et la perception du conducteur doivent toutes être définies par des limites claires. Vous validez ainsi un système complet à l'aide de résultats visibles par le client et de traces d'algorithmes.

Un événement de lancement illustre bien cette lacune. Le contrôleur peut atteindre la valeur de couple commandée tout en donnant une impression de mauvais fonctionnement si le couple est délivré trop tard, s’il oscille à proximité du seuil de contrôle du patinage des roues ou s’il déclenche une réduction brutale une fois la limite de la batterie atteinte. La qualité des changements de vitesse, la continuité de la recharge et la fluidité de la régénération suivent le même schéma. Un simple test au niveau du signal ne permettra pas de saisir le comportement réel du véhicule.

Les bons critères établissent un lien entre les données de bas niveau et les résultats du système. Il est possible de coupler les limites de dépassement actuelles à la régularité de l'accélération, ou de coupler le temps de détection des défauts au couple de « retour à la base » acceptable. Les analyses des tests s'améliorent également lorsque les équipes chargées du logiciel, des commandes et de la validation s'accordent sur une seule condition de réussite au niveau du système, plutôt que sur des indicateurs locaux distincts. Cela permet de réduire la fausse confiance, qui constitue une source d'échec courante dans la validation des groupes motopropulseurs par simulation.

Les groupes motopropulseurs électriques nécessitent une couverture des défaillances allant au-delà des cycles nominaux

Les groupes motopropulseurs électriques nécessitent davantage que des cycles d’essai standard, car de nombreuses défaillances surviennent dans des conditions extrêmes, lors des opérations de recharge et lors des transitions de protection. Un fonctionnement nominal prouve uniquement que le système fonctionne dans ses conditions les plus favorables. La fiabilité s’acquiert grâce à l’injection de défauts, aux modes dégradés et aux contrôles de récupération. Il est indispensable de couvrir les situations qui mettent la coordination à rude épreuve.

La recharge en est un excellent exemple. Le nombre de bornes de recharge publiques a dépassé 5 millions dans le monde en 2024, ce qui implique davantage de types de connecteurs, davantage de comportements des bornes et davantage de protocoles de communication que votre logiciel doit être capable de gérer. Un banc d’essai doit tester les déconnexions de câbles, les hypothèses de contacts soudés, la dérive des capteurs de courant, les échecs de précharge et la récupération après déclassement thermique. Ces cas se situent souvent en dehors de la bibliothèque de cycles nominaux, mais ils déterminent la fiabilité en conditions réelles.

Les conditions limites thermiques et de tension revêtent également une importance plus grande dans les programmes de véhicules électriques que ne le pensent initialement de nombreuses équipes. Une boucle de contrôle du moteur qui fonctionne correctement à la tension nominale de la batterie peut perdre de la marge lors d’un redémarrage à basse tension après une période d’arrêt à froid. La couverture des défauts doit également inclure le comportement de récupération, car un arrêt de sécurité qui ne se traduit jamais par un redémarrage correct reste un mauvais résultat. C’est pourquoi les méthodes d’essai des groupes motopropulseurs électriques destinées aux ingénieurs doivent tenir compte à la fois de la profondeur des défauts et de l’étendue des cycles.

Les chaînes d'outils ouvertes garantissent la cohérence des flux de travail SIL et HIL entre les équipes

Les chaînes d'outils ouvertes garantissent la cohérence entre les modèles, l'objectif des tests et les données de validation, de la simulation sur ordinateur à la validation sur banc d'essai. Cette cohérence est essentielle, car un transfert défaillant entre les outils génère de nouvelles erreurs qui peuvent être confondues avec des défauts du produit. Les équipes travaillent plus rapidement lorsqu'elles réutilisent les modèles d'installation, les cas de test et les critères de réussite d'une étape à l'autre. Vous aurez davantage confiance dans le résultat lorsque le flux de travail reste cohérent.

Une configuration pratique commence par utiliser le même modèle de contrôle et les mêmes hypothèses de base concernant l'installation dans l'environnement SIL, puis les transpose dans l'environnement HIL en n'ajustant que la synchronisation, les E/S et les couches d'exécution. Cela évite qu'une branche d'étalonnage ne s'écarte d'une autre et rend le triage des défauts beaucoup plus clair. Les ingénieurs peuvent alors poser une question plus précise : est-ce le contrôleur qui a échoué, ou est-ce la pile de test qui a réinterprété le modèle ? Les chaînes d'outils ouvertes réduisent cette ambiguïté.

C’est également là qu’OPAL-RT s’intègre naturellement dans un processus rigoureux de développement du groupe motopropulseur. Un flux de tests cohérent permet de relier la simulation, l’exécution matérielle et les résultats à une même intention d’ingénierie. Lorsque le SIL vérifie la logique dès le début et que le HIL confirme ensuite la synchronisation et les interfaces, la « confiance » cesse d’être un simple slogan pour devenir une pratique de validation reproductible. C’est cette rigueur qui transforme des outils distincts en une seule et même pratique de validation.