Comment les tests au niveau des signaux CHIL permettent de valider les contrôleurs embarqués

Principaux enseignements

• C-HIL n'évalue la précision d'une loi de commande qu'à hauteur de celle de la couche E/S qui l'alimente ; il convient donc de vérifier les plages analogiques, la mise à l'échelle et le conditionnement avant de se fier à tout verdict concernant le micrologiciel.
• C'est dans l'émulation des capteurs que réside l'essentiel de la valeur des tests, car la dérive, la quantification, le bruit et les circuits ouverts injectés permettent de reproduire des modes de défaillance qu'un banc d'essai physique ne peut pas simuler en toute sécurité ou de manière répétée.
• Les bancs d'essai à niveau de signal permettent de répondre aux questions de contrôle à moindre coût, et une interface de puissance ne devient nécessaire que lorsque la question porte sur le comportement des composants sous un courant réel.

Les tests d'Simulation HIL s des contrôleurs aboutissent ou échouent au niveau de la couche de signal, où un contrôleur embarqué en production lit les tensions des capteurs émulés et renvoie ses commandes vers une installation simulée.

Si les plages, la mise à l'échelle et le conditionnement sont correctement définis, le contrôleur ne peut pas faire la différence entre le simulateur et la machine qu'il commandera. En cas d'erreurs dans ces paramètres, on valide un faisceau de câbles au lieu d'une loi de commande. Les défauts qui échappent aux tests au banc d'essai ne restent pas confinés au laboratoire. Les rappels de sécurité déposés auprès de l'autorité américaine de sécurité routière en 2025 ont concerné 31,2 millions de véhicules répartis sur 997 campagnes.

CHIL place un contrôleur physique en boucle fermée avec un modèle de système fonctionnant en temps réel, échangeant des signaux basse tension plutôt que de l'énergie électrique. Toutes les informations que le contrôleur reçoit concernant la machine transitent par un connecteur ; la fidélité du signal constitue donc l'essai dans son ensemble. Vous vérifiez le micrologiciel, la synchronisation, la mise à l'échelle et la gestion des défauts par rapport à un système que vous pouvez soumettre à des conditions auxquelles aucun banc d'essai physique ne résisterait.

Ce que teste réellement l'Simulation HIL de contrôleur

Le contrôleur « Simulation HIL » (C-HIL) permet de tester un contrôleur embarqué physique par rapport à un modèle de système exécuté en temps réel. Le contrôleur utilise son micrologiciel de série et reçoit des signaux de capteurs émulés sur ses broches d’entrée. Ses sorties sont renvoyées vers le modèle, ce qui permet de boucler la boucle au niveau des signaux plutôt qu’au niveau de la puissance.

Un contrôleur d'onduleur de traction monté sur un banc d'essai C-HIL reçoit un signal de rétroaction de courant de phase émulé, un signal de position provenant d'un résolveur et une mesure de tension du circuit intermédiaire, tous synthétisés à partir d'un modèle de moteur mis à jour toutes les quelques microsecondes. Ses six impulsions de commande sont converties en échantillons numériques sur le FPGA, et le modèle répond au cours du même pas de temps.

Le champ d'application est plus restreint et plus précis que ne le pensent la plupart des équipes. Vous ne démontrez pas que l'étage de puissance fonctionne. Vous démontrez que la loi de commande calcule la bonne réponse à partir des mesures qu'elle recevra, avec la résolution, la latence et le bruit auxquels elle sera confrontée. Cette limite fait en sorte qu'un test échoué met en évidence un problème au niveau du micrologiciel plutôt qu'au niveau d'un matériel que personne n'a encore construit.

En quoi le CHIL diffère-t-il des essais HIL au niveau de la puissance ?

La principale différence entre les tests CHIL et PHIL réside dans la nature des signaux qui traversent l'interface. Le test CHIL échange des signaux de mesure et de commande à basse tension ; l'équipement testé est donc le contrôleur lui-même. Le test PHIL envoie du courant et une tension réels, via un amplificateur, vers un appareil physique, ce qui rend le test beaucoup plus lourd à réaliser.

Les programmes consacrés aux onduleurs raccordés au réseau illustrent bien cette distinction. Les tests du micrologiciel gérant la prévention de l’îlotage, le maintien de l’alimentation en cas de défaut et la régulation du courant peuvent être effectués sur un banc d’essai au niveau des signaux, car toutes les grandeurs mesurées correspondent à une tension mise à l’échelle. Dès lors que l’on s’intéresse à l’échauffement du filtre de sortie sous l’effet d’un courant de défaut répété, le banc d’essai au niveau des signaux ne permet plus d’apporter de réponse et il devient nécessaire de recourir à une interface de puissance.

La plupart des défauts des contrôleurs apparaissent bien avant ce stade. Les erreurs de séquencement, la gestion de la saturation, les erreurs de mise à l'échelle du convertisseur analogique-numérique (ADC) et les lacunes dans la logique de protection sont présentes au sein du micrologiciel, et elles se manifestent dès qu'un modèle pousse les entrées à leurs limites. Les équipes qui se lancent directement dans la conception d'une interface d'alimentation passent des semaines à corriger des bogues qu'un banc d'essai de signaux peu coûteux détecte en un après-midi.

Niveaux de signal et plages d'E/S pris en charge par les interfaces de contrôleur

Le niveau de signal du CHIL fonctionne selon un ensemble restreint de plages électriques standard. Les sorties analogiques couvrent généralement une plage d’environ ±16 V avec une résolution de 16 bits, les entrées analogiques acceptent des tensions de ±20 V, et les lignes numériques fonctionnent selon une logique de 3,3 V ou 5 V. La première étape de la configuration consiste à faire correspondre ces plages à celles de la partie frontale du contrôleur.

La marge de mesure mérite qu'on s'y attarde davantage. Un modèle de moteur dont le courant de phase atteint un pic de 400 A, mis à l'échelle avec un gain de capteur de 5 mV par ampère, nécessite une tension de 2 V en fonctionnement nominal et bien plus encore en cas de court-circuit. Si l'on choisit la mise à l'échelle pour le fonctionnement nominal, chaque cas de défaut entraîne une saturation silencieuse du canal.

L'émulation de capteur fournit au contrôleur les signaux auxquels il s'attend

L'émulation de capteur convertit les états du modèle en signaux électriques que chaque transducteur produirait. Un capteur de courant est ainsi transformé en une tension mise à l'échelle, avec le gain et le décalage appropriés. Un résolveur est quant à lui représenté par une paire d'enroulements modulés en sinus et cosinus. Le circuit de conditionnement et le convertisseur analogique-numérique (CAN) propres au contrôleur traitent ensuite ce signal de la manière habituelle.

La fidélité à ce niveau est essentielle. Une étude portant sur 47 défaillances documentées de logiciels d’ Aérospatial s a révélé que des données de capteurs imprévues ou erronées représentaient 15 % des cas. Ce type de défauts n’apparaît que lorsqu’un contrôleur reçoit des signaux que ses concepteurs n’avaient pas prévus, ce qui est précisément ce que permet de faire un capteur émulé.

Une bonne émulation tient compte des imperfections. Il faut y inclure la dérive de décalage d'un capteur à effet Hall lorsqu'il se réchauffe, les pas de quantification du convertisseur analogique-numérique réel, le déphasage du filtre anti-aliasing et le circuit ouvert d'un connecteur défectueux. Un contrôleur capable de gérer ces phénomènes sur le banc d'essai sera également capable de les gérer en service, et chaque injection ne prend que quelques secondes.

« Les défauts de ce type n'apparaissent que lorsqu'un contrôleur reçoit des signaux que ses concepteurs n'avaient pas prévus, ce qui est précisément ce que permet de faire un capteur émulé. »

Raccordement d'un contrôleur embarqué au circuit fermé

Pour connecter un contrôleur à un banc d'essai CHIL, il faut attribuer chaque broche concernée à un canal du simulateur, puis valider cette correspondance de bout en bout avant d'évaluer toute loi de commande. La mise à l'échelle, la mise à la terre, l'isolation et les fréquences de mise à jour sont toutes vérifiées en maintenant le modèle de l'installation dans un état stationnaire connu.

Cinq vérifications permettent de résoudre la plupart des problèmes de configuration rencontrés par les équipes le premier jour.

• Vérifiez le gain et le décalage de chaque canal analogique en lui appliquant une valeur de référence connue et en la mesurant au niveau du convertisseur analogique-numérique (ADC).
• Vérifiez la polarité et l'ordre des phases avant de boucler la boucle, car une paire inversée se traduit par une loi de commande instable.
• Faire correspondre les seuils logiques et l'isolation entre les E/S du simulateur et la carte d'interface du contrôleur.
• Mesurer la latence de bout en bout, depuis la sortie du modèle jusqu'à la réaction du contrôleur, puis la représenter au sein du modèle.
• Testez chaque ligne de coupure lorsque l'installation est en régime permanent, afin que les circuits de protection puissent être validés de manière autonome.

Les équipes qui utilisent RT-LAB sur un OP5707XG intègrent le conditionnement du signal et la mise à l'échelle des canaux dans la même configuration que celle qui contient le modèle de l'installation. Ainsi, le schéma de brochage et les paramètres physiques restent synchronisés lorsque l'un ou l'autre est modifié. Cette pratique élimine la cause la plus courante de perte de temps lors des essais : une modification du modèle qui invalide discrètement une constante de mise à l'échelle.

Erreurs courantes liées au niveau du signal qui invalident les résultats du test CHIL

La plupart des résultats CHIL erronés sont dus à quatre mauvaises pratiques : effectuer les tests uniquement aux points de fonctionnement nominaux, ne pas tenir compte du retard introduit par les circuits de conditionnement, fournir des signaux parfaits au régulateur et ne pas vérifier la mise à la terre ou l'isolation.

Ce sont les signaux parfaits qui provoquent les défaillances les plus discrètes. Un modèle fournissant au contrôleur une rétroaction de courant silencieuse et à résolution infinie permet à un observateur ou à un filtre de conception marginale de passer les tests, mais cette conception entre alors en oscillation dès qu’elle rencontre un capteur présentant une ondulation de 8 mV. Réintroduire le bruit mesuré dans le canal émulé ne coûte rien et modifie les résultats du test.

La latence est l’autre facteur silencieux. Le conditionnement du signal, la fenêtre de conversion du convertisseur analogique-numérique (ADC) et la planification des tâches du contrôleur ajoutent chacun quelques microsecondes ; un banc d’essai qui ne tient pas compte de ces éléments indique une marge de phase dont le système déployé ne disposera pas. Il suffit de mesurer le retard une seule fois à l’aide d’une injection en échelon, de l’intégrer au modèle, et tous les résultats de stabilité obtenus par la suite auront alors un sens. Le fait de ne pas tenir compte de ce facteur ne donne pas de réponse manifestement erronée, et c’est précisément ce qui le rend dangereux.

Intégrer la fidélité du signal dans chaque cycle de validation des contrôleurs

La rigueur en matière de niveaux de signal porte ses fruits de manière progressive plutôt que spectaculaire. Les équipes qui vérifient la mise à l'échelle, la latence et le réalisme des capteurs dès le début d'un programme continuent, pendant des années, à détecter des défauts au moment le moins coûteux possible.

Ce qui distingue une pratique CHIL utile d’une pratique purement décorative, c’est la volonté de considérer la couche d’E/S comme un travail d’ingénierie à part entière, avec sa propre documentation, ses tests de régression et son responsable. Cela n’a rien de prestigieux comparé aux algorithmes de contrôle qu’elle dessert, et c’est la raison pour laquelle certains laboratoires détectent un bug de saturation dès la deuxième semaine, tandis que d’autres ne le rencontrent qu’au moment de la mise en service. OPAL-RT conçoit ses interfaces de contrôleur en partant de ce principe, accordant au conditionnement des signaux et à la plage d'E/S la même importance qu'au modèle qui les pilote.

Commencez par un seul contrôleur, vérifiez minutieusement son interface, puis faites en sorte que le programme suivant réutilise la configuration des broches et les données de mise à l'échelle. La confiance dans une loi de commande n'est jamais plus forte que la confiance dans les signaux à partir desquels elle a été mesurée.

« La fiabilité d'une loi de régulation n'est jamais supérieure à celle des signaux sur lesquels elle a été évaluée. »