Qu'est-ce que le test HIL dans l'automobile ?

Principaux enseignements

• L'HIL est l'étape où la conformité logicielle est confrontée aux caractéristiques réelles de l'ECU en matière de synchronisation, d'E/S et de comportement en cas de défaillance.
• Les systèmes automobiles critiques pour la sécurité devraient passer par la phase de simulation HIL avant de procéder à des essais coûteux sur véhicule, car le banc d'essai permet de reproduire des scénarios dangereux sans risque physique.
• La durée des tests sur banc, la qualité de l'interface et l'ouverture de la chaîne d'outils déterminent davantage la valeur du HIL que la taille du banc ou sa complexité visuelle.

Les tests HIL dans le secteur automobile comparent l'ECU réel à un modèle de véhicule en temps réel, ce qui permet de détecter les défauts liés au contrôle, à la synchronisation et à la sécurité avant les essais sur circuit ou sur route.

Les constructeurs automobiles ont produit 93 546 599 véhicules dans le monde en 2023, si bien qu’une petite faille de validation peut se reproduire sur des millions d’unités. Une telle ampleur rend la discipline de validation essentielle. Vous ne testez plus un schéma. Vous testez du matériel qui sera intégré à un véhicule de série. Le HIL occupe une place spécifique dans ce processus. Il relie les vérifications logicielles au comportement physique du contrôleur dans des conditions en boucle fermée. Un contrôleur de batterie, un calculateur de direction ou un contrôleur de caméra peut sembler stable lors d’une simulation hors ligne et pourtant tomber en panne dès l’apparition d’une latence, d’un changement d’échelle ou d’une perte de signal des capteurs. C’est grâce au HIL que ces problèmes deviennent visibles tout en maîtrisant les risques.

Que signifie « test HIL » dans le cadre de la validation automobile ?

HIL signifie « Simulation HIL ». Si vous vous demandez ce qu’est le HIL dans le secteur automobile, voici la réponse en bref : l’ECU reste physique tandis que le reste du véhicule est simulé. Le contrôleur exécute son logiciel de série sur du matériel réel. Le simulateur fournit l’installation, les capteurs, les charges et les conditions de défaut en boucle fermée.

Un calculateur moteur permet de se représenter facilement ce principe. L'ECU lit la position simulée du vilebrequin, la position du papillon et la pression dans le collecteur, puis renvoie des commandes d'allumage ou de couple au groupe motopropulseur simulé. Cette boucle s'exécute selon la synchronisation prévue par le calculateur. Vous pouvez répéter le même démarrage à froid, la même demande de couple ou le même défaut de capteur autant de fois que nécessaire.

C'est précisément cette reproductibilité qui fait toute l'importance des essais HIL dans le secteur automobile. Les essais au banc permettent de voir comment un contrôleur se comporte lorsqu'il est confronté à des conditions réelles d'E/S, de trafic sur le bus et de temporisation des défauts, et non pas uniquement à des conditions logicielles idéales. On obtient ainsi des résultats plus précis qu'avec des essais basés uniquement sur des modèles, et plus sûrs que lors des premiers essais sur véhicule. C'est là que réside la valeur pratique du HIL.

« Un travail de HIL bien mené inspire confiance parce qu’il est précis. »

Le HIL passe à la phase de validation après les tests au niveau logiciel

La méthode HIL intervient après le « model-in-the-loop » et test SIL, une fois que la logique de commande semble correcte et que la question suivante porte sur le comportement du matériel. Elle précède les essais sur voie et en flotte. Cet ordre est important car de nombreuses défaillances proviennent des interfaces et de la synchronisation. Les équations de commande ne permettent pas à elles seules de mettre en évidence ces défauts.

Une fonction de contrôle de traction peut réussir les tests de code tout en traitant de manière erronée les impulsions de vitesse des roues dès lors que le microcontrôleur lit des signaux bruités via son circuit d'E/S réel. La méthode HIL permet de mettre en évidence cette lacune à un stade précoce. Les ingénieurs peuvent reproduire dix fois le même démarrage à friction partagée avec un patinage des roues, une charge sur le bus et une demande de freinage identiques. Le défaut devient ainsi traçable et n'est plus un simple cas isolé.

En sautant cette étape, on repousse les problèmes matériels à un stade ultérieur. Les équipes d’essais passent alors un temps précieux à rechercher une interruption manquée, une surcharge du bus ou un capteur défectueux. Le HIL raccourcit ce cycle, car la configuration est contrôlée et reproductible. On identifie ainsi plus rapidement la cause et on préserve le temps d’essai sur véhicule pour les questions auxquelles seul un véhicule peut répondre.

Les calculateurs électroniques critiques pour la sécurité doivent faire l'objet d'essais HIL avant de subir des essais sur route coûteux

Les calculateurs qui ont une incidence sur la sécurité, le couple, Énergie ou la perception doivent faire l’objet d’essais HIL avant toute campagne coûteuse sur véhicule. Ces calculateurs sont confrontés à des cas de défaillance difficiles à reproduire en toute sécurité sur circuit. Les essais HIL permettent de les reproduire sans risque physique. C’est pourquoi les unités de freinage, de direction, de batterie, d’onduleur et d’ADAS constituent la priorité absolue.

Le cas de l'ECU de freinage est évident. Il est possible de simuler des baisses de vitesse des roues, des défauts de pression hydraulique et des arrêts « split-mu » sans mettre le conducteur en danger. Un contrôleur de gestion de batterie mérite le même traitement, car les déséquilibres entre les cellules, les défauts de contacteurs et les limites thermiques doivent être validés en boucle fermée avant de passer à des essais à plus grande échelle sur les packs de batteries. La même logique s'applique aux systèmes de direction et de propulsion.

Pour concevoir un banc d'essai HIL performant, il faut commencer par définir les budgets de latence

Un banc d'essai HIL performant commence par la définition d'un budget temporel pour chaque chemin de signal. Si la synchronisation de la boucle est incorrecte, même un bon modèle produira des résultats erronés. Il est nécessaire de définir dès le départ les temps d'échantillonnage, la latence des bus, le délai d'E/S et la synchronisation de l'insertion des défauts. C'est ce qui garantit la fiabilité des résultats de réussite ou d'échec.

Un contrôleur de moteur échantillonnant le courant toutes les 50 microsecondes réagira très différemment si le banc d'essai lui transmet des valeurs en retard. Les équipes performantes cartographient la latence depuis l'exécution de l'installation jusqu'aux E/S, puis vers l'ECU, et enfin de retour vers le simulateur. OPAL-RT répond souvent à ces besoins, car les ingénieurs ont besoin d'une exécution déterministe et d'une intégration ouverte avec automatisation de modélisation et automatisation existants. La plateforme moins que la rigueur en matière de synchronisation.

• La latence totale en boucle fermée reste dans les limites prévues lors de la conception du contrôleur.
• La mise à l'échelle des E/S analogiques et numériques s'adapte aux plages de mesure des capteurs et au mappage des broches.
• Le trafic réseau reflète la synchronisation prévue des messages et la charge du bus.
• L'injection de défauts se produit exactement au point de déclenchement du scénario de test.
• Les journaux partagent une même référence d'horloge, ce qui permet d'aligner la cause et la réponse.

Ces vérifications empêchent les bogues fantômes de faire perdre du temps sur le banc d'essai. Elles permettent également de déterminer quand il faut accélérer les E/S, utiliser un modèle allégé ou modifier la répartition entre les ressources du processeur et celles du FPGA. La qualité de la configuration détermine l'utilité de la simulation HIL bien avant l'exécution du premier test automatisé.

La simulation HIL du groupe motopropulseur dépend de la fidélité de l'installation lors des transitoires

La simulation HIL du groupe motopropulseur ne fonctionne que si le modèle de l'installation reste fiable lors de transitoires brusques. La précision en régime permanent ne suffit pas. Le couple de démarrage, le freinage régénératif, les changements de vitesse et les limites de la batterie se produisent en quelques millisecondes. Votre calculateur réagira à ces moments-là ; le simulateur doit donc réagir avec un timing adapté et une stabilité numérique équivalente.

Un contrôleur d'onduleur peut sembler fonctionner parfaitement lors d'une accélération en douceur, puis présenter des oscillations lors d'une accélération brusque, lorsque la tension du bus CC chute et que le courant du moteur atteint une limite. Un contrôleur de boîte de vitesses peut présenter le même écart lors d'un passage de vitesse brutal si les modèles de pression d'embrayage et de couple moteur sont trop souples. Les conducteurs ressentent immédiatement ces phénomènes. C'est pourquoi la fidélité des transitoires est plus importante qu'une courbe régulière et nette.

Le niveau de détail d'un modèle a un coût ; il convient donc de le consacrer aux points où les actions de contrôle sont sensibles. Le niveau de détail de la commutation électrique est important pour certains essais d'onduleurs. Les modèles basés sur la valeur moyenne suffisent pour de nombreux contrôles de supervision. Les programmes HIL performants adaptent la profondeur du modèle à la question posée, puis comparent la réponse obtenue sur banc d'essai aux courbes mesurées lors d'essais au banc de puissance ou sur véhicule.

Les systèmes ADAS HIL nécessitent des modèles de capteurs adaptés aux cas limites

Les tests HIL pour les systèmes ADAS nécessitent des modèles de capteurs et de scènes qui reproduisent des cas difficiles, et pas seulement des détections « propres ». Les caméras, les radars, les lidars et les logiciels de fusion de données échouent souvent dans les situations limites. Or, ce sont ces situations limites qui déterminent le comportement du système. Si le banc d'essai ne parvient pas à reproduire des phénomènes tels que l'occlusion, l'éblouissement, les interférences ou les variations de synchronisation, le taux de réussite n'est pas vraiment significatif.

Les systèmes de prévention des collisions frontales ont permis de réduire de 50 % parmi les paires de véhicules étudiées par l’IIHS, ce qui montre pourquoi la qualité de la validation va bien au-delà des simples mesures en laboratoire. Une configuration ADAS efficace doit simuler un piéton surgissant de derrière une camionnette garée, une moto arrivant sous un angle étroit ou une insertion dans le trafic lorsque le soleil est bas. Le contrôleur doit alors démontrer la rapidité de détection, la classification des objets et la logique de repli dans des conditions répétées.

La précision des capteurs n'est qu'un aspect du travail. L'ensemble du système dépend également de l'synchronisation des horodatages, des temps de réponse des actionneurs, ainsi que de la réactivité du freinage et de la direction. Des maillons faibles peuvent donner une image plus flatteuse de la perception que ne l'est réellement le système. Le HIL ADAS prend tout son sens lorsque la situation, les capteurs et la réponse du véhicule restent parfaitement alignés au sein d'une boucle fermée.

Des interfaces de mauvaise qualité faussent les résultats des essais HIL avant les essais sur véhicule

Des interfaces de mauvaise qualité peuvent fausser les résultats des tests HIL, même lorsque le contrôleur et le modèle sont fiables. La plupart des erreurs de banc d'essai trouvent leur origine dans les détails de la configuration. Le conditionnement des signaux, la mise à la terre, la mise à l'échelle et l'émulation de charge déterminent ce que perçoit l'ECU. C'est là que peut se produire aussi bien un faux « réussi » qu'un faux « échec ».

Une entrée d'accélérateur calibrée de 0 à 5 V sur banc d'essai peut masquer une plage de mesure réelle du capteur comprise entre 0,5 et 4,5 V et fausser la logique de plausibilité du contrôleur. Une entrée de vitesse de roue générant des ondes carrées nettes peut ne pas détecter le bruit et les dents manquantes présents sur le matériel réel. C'est pourquoi les cartes d'interface, les boîtiers de charge et les faisceaux de dérivation méritent d'être examinés avec le même soin que le modèle de l'installation. Ils font partie intégrante du système de test.

Vous devez considérer la validation des interfaces comme une tâche à part entière. Les vérifications du mappage des broches, la revue de l'étalonnage et les simulations d'injection de défauts permettent de détecter la plupart des erreurs commises au banc d'essai avant qu'elles ne compromettent toute une campagne d'essais. Une fois les interfaces validées, les défaillances peuvent être attribuées à la logique de l'ECU avec une bien plus grande certitude. C'est là toute la différence entre des résultats HIL exploitables et de simples simulations au banc d'essai.

Les chaînes d'outils ouvertes permettent de réutiliser les bancs d'essai HIL dans différents programmes de véhicules

Les chaînes d'outils ouvertes permettent aux bancs d'essai HIL de rester utiles, car les programmes automobiles évoluent plus rapidement que les budgets des laboratoires. Les modèles, scripts et interfaces réutilisables évitent que le travail de validation ne doive repartir de zéro à chaque fois qu'un calculateur ou un réseau change. Cela importe davantage que la fidélité à une pile technologique en particulier. Cela permet de maintenir l'effort consacré aux bancs d'essai en lien avec la valeur technique.

Un laboratoire capable de remplacer un contrôleur de batterie par un calculateur d’onduleur, de conserver les mêmes automatisation et de rediriger les E/S sans avoir à reconfigurer le banc d’essai pourra valider davantage de cas avec le même personnel. Ce besoin pratique explique l’intérêt de plateformes telles qu’OPAL-RT, où l’ouverture et l’exécution déterministe favorisent la réutilisation des travaux sur le groupe motopropulseur, le châssis et les systèmes ADAS. La fiabilité des outils repose toutefois sur des hypothèses de modélisation solides et une conception rigoureuse des tests.

Un travail HIL de qualité inspire confiance parce qu’il est précis. Il permet de valider la synchronisation, les interfaces, la gestion des défauts et la réponse des commandes dans des conditions reproductibles. Lorsque cette rigueur est de mise, le HIL devient le lien le plus solide entre la fiabilité du logiciel et celle du véhicule. C’est la norme à laquelle votre laboratoire doit se conformer.