Brevet FR3086639A1 — publié le 20200403

L'invention concerne le domaine des architectures de système de freinage pour aéronef. ARRIERE PLAN DE L'INVENTION Une architecture de système de freinage électrique d'aéronef comporte classiquement une pluralité de freins destinés chacun à freiner une roue d'un atterrisseur de l'aéronef. Chaque frein comporte des organes de friction et des actionneurs électromécaniques indépendants (typiquement quatre actionneurs) destinés à appliquer un effort de freinage sur les organes de friction et ainsi exercer un couple de freinage sur la roue. L'architecture comporte aussi une voie de contrôle qui reçoit une consigne de freinage du pilote et transforme la consigne de freinage en signaux de commande, et un module de puissance qui génère à partir des signaux de commande des courants électriques d'alimentation pour alimenter les moteurs électriques des actionneurs électromécaniques. Une telle architecture présente naturellement et intrinsèquement un niveau de redondance élevé, de par le nombre d'actionneurs électromécaniques indépendants utilisés pour le freinage. Ce niveau de redondance élevé est efficace pour contrer les effets de la défaillance d'un ou de plusieurs composants de l'architecture. Cependant, ce niveau de redondance peut être inefficace vis-à-vis d'une panne de mode commun résultant de la défaillance simultanée de tous les composants d'un même type, par exemple de la défaillance matérielle (ou hardware, en anglais) de tous les microcontrôleurs de la voie de contrôle ou du module de puissance, ou bien résultant d'une erreur, conduisant, par exemple, à la mise en défaut du logiciel hébergé par les microcontrôleurs dans des conditions non prévues lors du développement. 2 Il peut donc s'avérer nécessaire d'implémenter deux voies de contrôle dissimilaires, de sorte qu'en cas de défaillance de mode commun d'une première voie de contrôle, la seconde voie de contrôle reste fonctionnelle 5 et assure le freinage. Une implémentation sous la forme d'une architecture active/passive peut être envisagée. Dans une telle implémentation, la voie de contrôle normalement passive est utilisée uniquement lorsque qu'une panne 10 impacte la voie de contrôle normalement active (c'est-à- dire qu'une panne survient sur la voie elle-même ou bien empêche son fonctionnement). Une implémentation sous la forme d'une architecture active/active peut aussi être envisagée. 15 Dans une telle implémentation, les deux voies de contrôle sont actives simultanément et assurent chacune simultanément le fonctionnement nominal du système de freinage électrique. Par rapport à l'implémentation active/passive, 20 cette implémentation présente notamment les avantages : - d'éviter l'introduction de composants inactifs dans le fonctionnement normal du système de freinage électrique (ayant potentiellement un impact négatif en matière de fiabilité, de masse et de coût) ; 25 - d'éviter l'introduction d'un mécanisme de reconfiguration (de la voie de contrôle normalement active à la voie de contrôle normalement passive) devenant un point critique du système (ses pannes pouvant amener des reconfigurations ou des pertes de contrôle 30 intempestives). La dissimilarité matérielle fournit une protection contre une défaillance de mode commun des composants matériels, résultant par exemple du vieillissement prématuré et d'une défaillance simultanée 35 d'un lot de composants suite à un défaut de fabrication. 3 Cependant, elle n'apporte pas de protection contre de potentielles erreurs conduisant à un défaut pouvant résulter de conditions de fonctionnement spécifiques et non anticipées lors du développement et affectant par 5 exemple les logiques de contrôle. OBJET DE L'INVENTION L'invention a pour objet une architecture de système de freinage pour aéronef qui permet de résoudre l'ensemble des difficultés qui viennent d'être évoquées. 10 RESUME DE L'INVENTION En vue de la réalisation de ce but, on propose une architecture de système de freinage pour aéronef, comportant : - un frein destiné à freiner une roue de 15 l'aéronef et comportant des organes de friction ainsi qu'un premier actionneur électromécanique et un deuxième actionneur électromécanique comprenant respectivement un premier moteur électrique et un deuxième moteur électrique et agencés pour appliquer un effort de 20 freinage sur les organes de friction ; - une voie de contrôle principale et une voie de contrôle alternative comprenant des composants électriques qui sont au moins partiellement différents et agencées pour mettre en oeuvre respectivement un contrôle 25 de freinage principal et un contrôle de freinage alternatif qui sont au moins partiellement différents, de sorte que la voie de contrôle principale et la voie de contrôle alternative génèrent respectivement des signaux de commande principaux et des signaux de commande 30 alternatifs ; - un premier module de puissance et un deuxième module de puissance comprenant des composants électriques qui sont au moins partiellement différents et agencés pour générer, à partir des signaux de commande principaux 35 ou bien des signaux de commande alternatifs, 4 respectivement au moins un premier courant électrique d'alimentation pour alimenter le premier moteur électrique et au moins un deuxième courant électrique d'alimentation pour alimenter le deuxième moteur 5 électrique ; - une unité de surveillance agencée pour assurer que, en fonctionnement normal, les signaux de commande principaux sont utilisés pour générer le premier courant électrique d'alimentation et le deuxième courant 10 électrique d'alimentation et que, en cas de panne impactant la voie de contrôle principale, les signaux de commande alternatifs sont utilisés pour générer le premier courant électrique d'alimentation et le deuxième courant électrique d'alimentation. 15 Ainsi, la voie de contrôle principale et la voie de contrôle alternative, qui mettent en oeuvre des fonctions complexes et susceptibles de défaillances et d'erreurs, présentent une dissimilarité matérielle et une dissimilarité fonctionnelle. 20 On limite ainsi les sources d'erreurs potentielles communes entre la voie de contrôle principale et la voie de contrôle alternative. Le premier module de puissance et le deuxième module de puissance, pour lesquels seule une défaillance 25 matérielle doit être considérée comme panne de mode commun, présentent quant à eux une dissimilarité matérielle. L'architecture est donc protégée contre une défaillance de mode commun des composants matériels. 30 La gestion de la reconfiguration entre la voie de contrôle principale et la voie de contrôle alternative est simple et n'introduit pas de complexité ou de similarité susceptibles d'engendrer une panne de mode commun. 35 L'implémentation active/passive s'applique 5 uniquement sur la voie de contrôle principale et la voie de contrôle alternative, et non sur les modules de puissance et les actionneurs électromécaniques, de sorte que les inconvénients de cette implémentation, évoqués 5 plus tôt, sont ici limités. D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit de modes de réalisation particuliers, non limitatifs de l'invention. 10 BREVE DESCRIPTION DES DESSINS Il sera fait référence aux dessins annexés parmi lesquels : - la figure 1 représente une architecture de système de freinage pour aéronef selon un premier mode de 15 réalisation de l'invention, avec deux actionneurs électromécaniques ; - la figure 2 représente l'architecture de la figure 1 en fonctionnement normal ; - la figure 3 représente l'architecture de la 20 figure 1 alors qu'une panne impacte la voie de contrôle principale ; - la figure 4 représente une architecture de système de freinage pour aéronef selon le premier mode de réalisation de l'invention, avec quatre actionneurs 25 électromécaniques ; - la figure 5 représente une architecture de système de freinage pour aéronef selon un deuxième mode de réalisation de l'invention, avec deux actionneurs électromécaniques ; 30 - la figure 6 représente une architecture de système de freinage pour aéronef selon un troisième mode de réalisation de l'invention, avec deux actionneurs électromécaniques. DESCRIPTION DETAILLEE DE L'INVENTION 35 En référence à la figure 1, l'architecture de 6 système de freinage selon un premier mode de réalisation de l'invention comprend un frein destiné à freiner une roue dite « freinée" d'un atterrisseur de l'aéronef. Le frein comporte des organes de friction, par exemple une 5 pile de disques en carbone, ainsi qu'un premier actionneur électromécanique 1 et un deuxième actionneur électromécanique 2 qui sont agencés pour appliquer un effort de freinage sur les organes de friction. Le premier actionneur électromécanique 1 comporte un premier 10 moteur électrique 3 et le deuxième actionneur électromécanique 2 comporte un deuxième moteur électrique 4. Le premier moteur électrique 3 et le deuxième moteur électrique 4 sont pilotés à partir d'un ordre de 15 freinage généré par exemple par un pilote de l'aéronef 5 ou par un système de freinage automatique. L'ordre de freinage est transformé en une consigne de freinage principale Cfp et en une consigne de freinage alternative Cfa qui sont représentatives de l'ordre de freinage et 20 générées via des mécanismes différents afin d'éviter les défauts de mode commun entre ces deux consignes. L'architecture de système de freinage comporte de plus une voie de contrôle principale 6, une voie de contrôle alternative 7 et une unité de surveillance 8. On 25 note ici que chaque voie de contrôle 6, 7 ainsi que l'unité de surveillance 8 peuvent être mises en oeuvre dans un ou plusieurs équipements, sur une ou plusieurs cartes électriques. La voie de contrôle principale 6 comporte des 30 composants électriques comprenant un ou plusieurs composants numériques de traitement, parmi lesquels on peut trouver un microcontrôleur. La voie de contrôle principale 6 est conçue à partir d'une première spécification matérielle (c'est-à-dire que sa conception 35 répond à des exigences matérielles définies par la 7 première spécification matérielle) et à partir d'une première spécification fonctionnelle (c'est-à-dire que sa conception répond à des exigences fonctionnelles définies par la première spécification fonctionnelle). 5 La voie de contrôle principale 6 est tout d'abord destinée à mettre en oeuvre un contrôle de freinage principal. Le contrôle de freinage principal est réalisé par des logiques de contrôle complexes qui sont exécutées par le microcontrôleur. La voie de contrôle principale 6 10 acquiert ainsi la consigne de freinage principale Cfp et génère des signaux de commande principaux Scp à destination du premier actionneur électromécanique 1 et des signaux de commande principaux Scp à destination du deuxième actionneur électromécanique 2 (les signaux de 15 commande principaux Scp sont possiblement différents entre le premier actionneur électromécanique 1 et le deuxième actionneur électromécanique 2). La consigne de freinage principale Cfp est une consigne numérique et chemine sur un bus numérique. Les signaux de commande 20 principaux Scp sont des signaux booléens de type PWM, numériques ou analogiques. Le contrôle de freinage principal met en oeuvre une fonction d'anti-patinage. Le contrôle de freinage principal met aussi en 25 oeuvre des machines d'états pour séquencer différentes phases de fonctionnement du premier actionneur électromécanique 1 et du deuxième actionneur électromécanique 2. Le contrôle de freinage principal met aussi en 30 oeuvre un asservissement de l'effort de freinage basé sur une mesure directe de l'effort de freinage. Alternativement, l'asservissement de l'effort de freinage est basé sur un contrôle d'un enfoncement des pistons dans les organes de friction du frein. 35 La voie de contrôle principale 6 est par ailleurs 8 adaptée à détecter une panne qui l'impacte, qu'elle provienne de la voie de contrôle principale 6 elle-même ou de l'extérieur. Une auto-surveillance et/ou un mécanisme de type watchdog sont mis en oeuvre à cet effet 5 dans la voie de contrôle principale 6. La voie de contrôle principale 6 produit ainsi un signal d'état Se représentatif de l'état (panne ou fonctionnement normal) de la voie de contrôle principale 6. La voie de contrôle principale 6 est aussi reliée 10 à un ou des capteurs 9 qui mesurent un ou des paramètres de la roue, du frein ou des actionneurs électromécaniques. Ces capteurs 9 sont utilisés pour mettre en oeuvre le contrôle de freinage principal. Les capteurs 9 comprennent par exemple un capteur 15 de vitesse de rotation de la roue, qui est utilisé pour mettre en oeuvre une fonction d'anti-patinage. La voie de contrôle alternative 7 n'est pas reliée à un tel capteur, car elle n'assure pas cette fonction. Cependant, on pourrait prévoir que la voie de 20 contrôle alternative 7 mette aussi en oeuvre la fonction d'anti-patinage. On utilise dans ce cas un capteur de vitesse différent de celui de la voie de contrôle principale 6. La voie de contrôle alternative 7 comporte des composants électriques dissimilaires des composants 25 numériques de traitement de la voie de contrôle principale 6, en l'occurrence une pluralité de composants analogiques. Les composants électriques de la voie de contrôle alternative 7 sont ainsi au moins partiellement différents de ceux de la voie de contrôle principale 6. 30 On note que la dissimilarité entre la voie de contrôle principale 6 et la voie de contrôle alternative 7 peut être plus large et porter sur tous les composants électroniques des voies de contrôle. Par ailleurs, le cas d'une voie de contrôle 35 alternative 7 « tout analogique » est un cas particulier. 9 La voie de contrôle alternative pourrait comprendre des composants numériques dissimilaires de ceux de la voie de contrôle principale 6, permettant des logiques simplifiées. 5 La voie de contrôle alternative 7 est tout d'abord destinée à mettre en oeuvre un contrôle de freinage alternatif qui est au moins partiellement différent du contrôle de freinage principal. La voie de contrôle alternative 7 est conçue à partir d'une deuxième 10 spécification matérielle et d'une deuxième spécification fonctionnelle qui sont différentes de celles de la voie de contrôle principale 6. Le contrôle de freinage alternatif est réalisé par des logiques de contrôle simplifiées exécutées par les composants analogiques (ou 15 numériques : voir le paragraphe précédent). Les logiques de contrôle simplifiées assurent un freinage dans un mode dégradé, avec une performance et des fonctionnalités réduites par rapport à la voie de contrôle principale 6. La voie de contrôle alternative 7 acquiert ainsi la 20 consigne de freinage alternative Cfa et génère des signaux de commande alternatifs Sca à destination du premier actionneur électromécanique 1, et des signaux de commande alternatifs Sca à destination du deuxième actionneur électromécanique 2 (les signaux de commande 25 alternatifs Sca sont possiblement différents entre le premier actionneur électromécanique 1 et le deuxième actionneur électromécanique 2). La consigne de freinage alternative Cfa est une consigne analogique. Alternativement, la consigne de 30 freinage alternative Cfa pourrait être une consigne discrète. La consigne de freinage principale Cfp et la consigne de freinage alternative Cfa cheminent respectivement jusqu'à la voie de contrôle principale 6 et la voie de contrôle alternative 7 sur des canaux de 35 communication distincts. 10 Les signaux de commande alternatifs Sca sont des signaux booléens de type PWM, numériques ou analogiques. Le contrôle de freinage alternatif ne met pas en oeuvre de fonction d'anti-patinage. 5 Le contrôle de freinage alternatif ne met ici pas en oeuvre de machine d'états. Le contrôle de freinage alternatif met en oeuvre un asservissement simplifié qui est destiné uniquement à assurer que l'effort de freinage est borné entre un 10 niveau bas permettant une performance de freinage minimale et un niveau haut garantissant l'absence de blocage de la roue. Alternativement, l'asservissement simplifié peut être un asservissement de premiers courants électriques d'alimentation II fournis au premier 15 moteur électrique 3 du premier actionneur électromécanique 1 et de deuxièmes courants électriques d'alimentation 12 fournis au deuxième moteur électrique 4 du deuxième actionneur électromécanique 2. Les moteurs électriques sont ici des moteurs triphasés, ce qui 20 explique que l'on précise que chaque moteur électrique est alimenté par plusieurs courants. Des moteurs de type différent (monophasé, à courant continu, etc.), alimentés chacun par un seul courant, pourraient aussi être utilisés : on aurait alors un premier courant 25 d'alimentation et un deuxième courant d'alimentation. L'asservissement des premiers courants électriques d'alimentation II et des deuxièmes courants électriques d'alimentation 12 se fait sur une consigne de courant prédéterminée correspondant à l'effort de 30 freinage bornée. On pourrait aussi envisager d'utiliser une consigne linéaire plutôt que binaire. Il est possible que la relation entre l'effort de freinage et les courants électriques d'alimentation I1 et 12 soit variable. On pourra dans ce cas définir plusieurs 35 valeurs de la consigne de courant prédéterminée. 11 C'est le cas typiquement lorsque le premier actionneur électromécanique 1 et le deuxième actionneur électromécanique 2 présentent des frottements internes, résultant de la viscosité de leur lubrification, qui 5 peuvent être fonction de la température ambiante. Dans ce cas, les courants d'alimentation sont asservis sur deux niveaux possibles : un niveau bas et un niveau haut. Le niveau bas est utilisé pour un ordre de freinage bas, typiquement pour une consigne pédale 10 inférieure à 50% ou pour un contacteur de park en position intermédiaire. Le niveau bas permet d'atteindre l'effort critique prédéterminé pour une plage de température ambiante moyenne. Le niveau haut est utilisé pour un ordre de freinage haut, typiquement pour une 15 consigne pédale supérieure à 50% ou pour un contacteur de park en position haute. Le niveau haut permet d'atteindre l'effort critique prédéterminé pour une plage de température ambiante basse. L'unité de surveillance 8 comporte quant à elle 20 des composants électriques numériques et/ou des composants électriques analogiques. Ces composants électriques permettent de mettre en oeuvre un module de surveillance 10, une porte OU 11, une porte NON 12 et un temporisateur 13. 25 Une première entrée de la porte OU 11 est reliée à une sortie du module de surveillance 10. L'entrée de la porte NON 12 est reliée à la sortie de la porte OU 11. L'entrée du temporisateur 13 est reliée à la sortie de la porte OU 11. La sortie de la porte NON 12 est reliée à la 30 voie de contrôle principale 6. La sortie du temporisateur 13 est reliée à la voie de contrôle alternative 7. Un signal d'activation Sap de la voie de contrôle principale 6 est présent sur la sortie de la porte NON 12. Lorsque le signal d'activation Sap prend la valeur 35 binaire « 1 », la voie de contrôle principale 6 est 12 activée. Lorsque le signal d'activation Sap prend la valeur binaire « 0 », la voie de contrôle principale 6 est désactivée. De même, un signal d'activation Saa de la voie de 5 contrôle alternative 7 est présent sur la sortie du temporisateur 13. Lorsque le signal d'activation Saa prend la valeur binaire « 1 », la voie de contrôle alternative 7 est activée. Lorsque le signal d'activation Saa prend la valeur binaire « 0 », la voie de contrôle 10 alternative 7 est désactivée. Le module de surveillance 10 reçoit, de la voie de contrôle principale 6, les signaux de commande principaux Scp à destination du premier actionneur électromécanique 1 sur sa première entrée, les signaux de 15 commande principaux Scp à destination du deuxième actionneur électromécanique 2 sur sa deuxième entrée, ainsi que le signal d'état Se sur sa troisième entrée. Le module de surveillance 10 reçoit aussi la consigne de freinage principale Cfp sur sa quatrième entrée et la 20 consigne de freinage alternative Cfa sur sa cinquième entrée. L'unité de surveillance 8 peut aussi recevoir un ordre de reconfiguration Or produit par le pilote ou par l'avionique. L'ordre de reconfiguration Or est appliqué 25 sur une deuxième entrée de la porte OU 11. L'architecture de système de freinage comporte de plus un premier module de puissance 15 et un deuxième module de puissance 16. Le premier module de puissance 15 et le deuxième module de puissance 16 comprennent des 30 composants électriques qui sont au moins partiellement différents au niveau matériel. Ainsi, le premier module de puissance 15 et le deuxième module de puissance 16 sont conçus selon une même spécification fonctionnelle, mais selon des spécifications matérielles différentes. 35 On note que le premier module de puissance 15 et 13 le deuxième module de puissance 16 peuvent chacun être mis en oeuvre dans un ou plusieurs équipements, sur une ou plusieurs cartes électriques. Le premier module de puissance 15 comprend tout 5 d'abord une porte OU 18. La porte OU 18 comprend une première entrée reliée à une sortie de la voie de contrôle principale et une deuxième entrée reliée à une sortie de la voie de contrôle alternative. Le premier module de puissance 15 comporte aussi 10 un onduleur 19 (et ses drivers). La sortie de la porte OU 18 est reliée à l'entrée de l'onduleur 19. L'onduleur 19 reçoit une première tension d'alimentation continue d'une source de puissance principale 20 de l'aéronef. L'onduleur 19 génère à partir des signaux en sortie de la 15 porte OU 18, c'est-à-dire à partir des signaux de commande principaux Scp ou bien des signaux de commande alternatifs Sca, et à partir de la première tension d'alimentation continue, les premiers courants électriques d'alimentation II pour alimenter le premier 20 moteur électrique 3 du premier actionneur électromécanique 1. Le premier module de puissance 15 comporte de plus un ou des capteurs 21, en l'occurrence un capteur de position d'un rotor du premier moteur électrique 3 et/ou 25 un capteur de courant qui mesure les premiers courants électriques d'alimentation II et/ou un capteur d'effort. Les mesures produites par les capteurs 21 du premier module de puissance 15 sont acquises à la fois par la voie de contrôle principale 6 et par la voie de contrôle 30 alternative 7, et permettent à la voie de contrôle principale 6 de réaliser le contrôle de freinage principal et à la voie de contrôle alternative 7 de réaliser le contrôle de freinage alternatif. De même, le deuxième module de puissance 16 35 comprend tout d'abord une porte OU 23. La porte OU 23 14 comprend une première entrée reliée à une sortie de la voie de contrôle principale 6 et une deuxième entrée reliée à une sortie de la voie de contrôle alternative 7. La porte OU 23 reçoit sur sa première entrée les signaux 5 de commande principaux Scp et sur sa deuxième entrée les signaux de commande alternatifs Sca. Le deuxième module de puissance 16 comporte aussi un onduleur 24 (et ses drivers). La sortie de la porte OU 23 est reliée à l'entrée de l'onduleur 24. L'onduleur 24 10 reçoit une deuxième tension d'alimentation continue d'une source de puissance alternative 25 de l'aéronef. La source de puissance principale 20 et la source de puissance alternative 25 appartiennent à des réseaux de puissance différents. L'onduleur 24 génère à partir des 15 signaux en sortie de la porte OU 23, c'est-à-dire à partir des signaux de commande principaux Scp ou bien des signaux de commande alternatifs Sca, et à partir de la deuxième tension d'alimentation continue, des deuxièmes courants électriques d'alimentation 12 pour alimenter le 20 deuxième moteur électrique 4 du deuxième actionneur électromécanique 2. Le deuxième module de puissance 16 comporte de plus un ou des capteurs 26, en l'occurrence un capteur de position d'un rotor du deuxième moteur électrique 4 et/ou 25 un capteur de courant qui mesure les deuxièmes courant électrique d'alimentation 12 et/ou un capteur d'effort. Les mesures produites par les capteurs 26 du deuxième module de puissance 16 sont acquises à la fois par la voie de contrôle principale 6 et par la voie de contrôle 30 alternative 7, et permettent à la voie de contrôle principale 6 de réaliser le contrôle de freinage principal et à la voie de contrôle alternative 7 de réaliser le contrôle de freinage alternatif. On décrit maintenant plus en détail le 35 fonctionnement de l'architecture de système de freinage. 15 En référence à la figure 2, dans un mode de fonctionnement normal, qui correspond à une situation où la voie de contrôle principale 6 fonctionne normalement, la voie de contrôle alternative 7 est désactivée. Les 5 canaux de communication en pointillés sur la figure 2 sont inactifs. Le module de surveillance 10 de l'unité de surveillance 8 ne détecte pas de panne. La sortie du module de surveillance 10, et donc la première entrée de 10 la porte OU 11, prennent la valeur 0. Aucun ordre de reconfiguration Or n'est reçu, et donc la deuxième entrée de la porte OU 11 a pour valeur O. La sortie de la porte OU 11 a pour valeur 0, et donc la sortie de la porte NON 12 a pour valeur 1, alors que la sortie du temporisateur 15 13 a pour valeur 0. Le signal d'activation Sap de la voie de contrôle principale 6 est égal à 1, de sorte que la voie de contrôle principale 6 est activée. Au contraire, le signal d'activation Saa de la voie de contrôle alternative 7 est égal à 0, de sorte que la voie de 20 contrôle alternative 7 est désactivée. Ainsi, la voie de contrôle principale 6 produit les signaux de commande principaux Scp, alors que les signaux de commande alternatifs Sca de la voie de contrôle alternative 7 sont à l'état inactif. 25 L'unité de surveillance 8 est donc agencée pour activer la voie de contrôle principale 6 et désactiver la voie de contrôle alternative 7 en fonctionnement normal. En sortie de la porte OU 18 du premier module de puissance 15, on trouve donc, tout comme en sortie de la 30 porte OU 23 du deuxième module de puissance 16, les signaux de commande principaux Scp. Les signaux de commande principaux Scp pilotent l'onduleur 19 du premier module de puissance 15 et l'onduleur 24 du deuxième module de puissance 16, et donc sont utilisés pour 35 générer les premiers courants électriques d'alimentation 16 Il et les deuxièmes courants électriques d'alimentation 12. En référence à la figure 3, il est possible qu'une panne impacte la voie de contrôle principale 6. 5 Cette panne peut avoir son origine directement dans la voie de contrôle principale 6, ou bien peut avoir son origine à l'extérieur de la voie de contrôle principale 6 mais avoir pour conséquence un dysfonctionnement de la voie de contrôle principale 6. Par exemple la panne peut 10 se produire en amont de la voie de contrôle principale 6 et avoir pour conséquence un défaut de la transmission de la consigne de freinage principale Cfp, due par exemple à un défaut de la couche avionique de traitement ou du bus numérique. 15 Dans ce cas, le module de surveillance 10 peut détecter lui-même la panne. Si la panne a pour conséquence un défaut de la transmission de la consigne de freinage principale Cfp, cette panne peut être détectée par le module de surveillance 10 par comparaison 20 de la consigne de freinage principale Cfp (qu'il reçoit sur sa quatrième entrée) et de la consigne de freinage alternative Cfa (qu'il reçoit sur sa cinquième entrée). La voie de contrôle principale 6 peut aussi détecter elle-même la panne et transmettre un message de 25 panne au module de surveillance 10 de l'unité de surveillance 8. Dans cette dernière hypothèse, le signal d'état Se que reçoit le module de surveillance 10 sur sa troisième entrée est représentatif d'une panne. La sortie du module de surveillance 10, et donc 30 la première entrée de la porte OU 11, prennent la valeur 1. Aucun ordre de reconfiguration Or n'est reçu, et donc la deuxième entrée de la porte OU 11 a pour valeur 0. La sortie de la porte OU 11 a pour valeur 1, et donc la sortie de la porte NON 12 a pour valeur 0, alors que la 35 sortie du temporisateur 13 a pour valeur 1. Le signal 17 d'activation Sap de la voie de contrôle principale 6 passe donc à 0, de sorte que la voie de contrôle principale 6 est désactivée. Au contraire, le signal d'activation Saa de la voie de contrôle alternative 7 5 passe à 1, après un court retard produit par le temporisateur 13, de sorte que la voie de contrôle alternative 7 est activée. Ainsi, la voie de contrôle alternative 7 produit les signaux de commande alternatifs Sca, alors que les 10 signaux de commande principaux Scp de la voie de contrôle principale 6 sont à l'état inactif. On note que le court retard permet d'éviter que les signaux de commande principaux Scp (produits avant la survenue de la panne) et les signaux de commande alternatifs Sca (produits à 15 partir de la survenue de la panne) ne se superposent. En sortie de la porte OU 18 du premier module de puissance 15, on trouve donc, tout comme en sortie de la porte OU 23 du deuxième module de puissance 16, les signaux de commande alternatifs Sca. Les signaux de 20 commande alternatifs Sca pilotent l'onduleur 19 du premier module de puissance 15 et l'onduleur 24 du deuxième module de puissance 16, et donc sont utilisés pour générer les premiers courants électriques d'alimentation II et les deuxièmes courants électriques 25 d'alimentation 12. L'unité de surveillance 8 est donc agencée pour désactiver la voie de contrôle principale 6 et activer la voie de contrôle alternative 7 en cas de panne impactant la voie de contrôle principale 6. 30 La reconfiguration de l'architecture, c'est-à- dire le changement de voie active, est donc réalisée par l'unité de surveillance 8. Cependant, cette reconfiguration peut aussi être réalisée par le pilote si celui-ci détecte un comportement anormal du système, afin 35 de mettre en oeuvre un contrôle par la voie de contrôle 18 alternative 7. La reconfiguration peut également être activée de façon automatique par l'avionique. Cette reconfiguration utilise l'ordre de reconfiguration Or qui est appliqué sur la deuxième entrée de la porte OU 11. 5 Lorsque la voie de contrôle principale 6 est active et que la première entrée de la porte OU a pour valeur 0, un ordre de reconfiguration Or égal à 1 permet de faire passer le signal d'activation Sap de la voie de contrôle principale 6 de 1 à 0 et le signal d'activation Saa de la 10 voie de contrôle alternative 7 de 0 à 1 : la voie de contrôle principale 6 est désactivée et la voie de contrôle alternative 7 est activée. En référence à la figure 4, on voit qu'un frein complet comporte quatre actionneurs qui sont pilotés par 15 deux blocs de contrôle principal 6 redondants et par deux blocs de contrôle alternatif 7 redondants. La voie de contrôle principale 6 est formée par les deux blocs de contrôle principal 6, et la voie de contrôle alternative 7 est formée par les deux blocs de contrôle alternatifs 20 7. La voie de contrôle principale 6 génère des signaux de commande principaux Scp à destination des deux premiers modules de puissance 15, et donc des deux premiers actionneurs électromécaniques 1, et à 25 destination des deux deuxièmes modules de puissance 16, et donc des deux deuxième actionneur électromécanique 2. De même, la voie de contrôle alternative 7 génère des signaux de commande alternatifs Sca à destination des deux premiers modules de puissance 15, et donc des deux 30 premiers actionneurs électromécaniques 1, et à destination des deux deuxièmes modules de puissance 16, et donc des deux deuxième actionneur électromécanique 2. Les premiers modules de puissance 15 et les deuxièmes modules de puissance 16 sont conçus selon des 35 spécifications matérielles différentes. 19 Les onduleurs des premiers modules de puissance 15 sont alimentés par la source de puissance principale 20, et les onduleurs des deuxièmes modules de puissance 16 sont alimentés par la source de puissance alternative 5 25. On note que la perte de la source de puissance principale 20 ou de la source de puissance alternative 25 entraîne la perte de freinage sur la moitié seulement des actionneurs (c'est-à-dire sur les premiers actionneurs 10 électromécaniques 1 ou sur les deuxièmes actionneurs électromécaniques 2). Des principes de sécurisation des réseaux de puissance ou de compensation des actionneurs inactifs par les actionneurs restant actifs sont connus pour éviter ou 15 limiter l'impact de ce type de défaut (par la voie principale). On note aussi qu'une défaillance simple ou de mode commun, affectant un composant simple (onduleur, porte OU en amont de l'onduleur, capteurs), impacterait 20 possiblement soit tous les premiers modules de puissance, soit tous les deuxièmes modules de puissance. Une telle défaillance entraîne la perte de freinage sur l'un ou la totalité des moteurs des actionneurs associés. Les autres actionneurs restant actifs permettent 25 de conserver une capacité de freinage réduite mais acceptable dans des conditions de fonctionnement en mode dégradé. Des principes de compensation des actionneurs inactifs par les actionneurs restant actifs sont connus 30 pour limiter l'impact de ce type de défaut (par la voie de contrôle principale). On note que, suivant les technologies utilisées, tout ou partie des composants « simples » peuvent être considérés non-susceptibles de pannes de mode commun, et 35 donc implémentés sans dissimilarité. 20 En référence à la figure 5, dans une architecture de système de freinage selon un deuxième mode de réalisation de l'invention, le premier module de puissance 115 et le deuxième module de puissance 116 5 comportent chacun un capteur principal 121 et un capteur alternatif 122. Le capteur alternatif 122 est ici un capteur à seuil d'effort agencé pour se refermer lorsque l'effort de freinage atteint l'effort critique prédéterminé. Le capteur principal 121 est l'un de ceux 10 décrits dans le premier mode de réalisation de l'invention (capteur de position, capteur de courant ou capteur d'effort autre qu'un contacteur). Le capteur alternatif 122 et le capteur principal 121 sont donc différents. 15 Le capteur principal 121 est relié à la voie de contrôle principale 106 pour mettre en oeuvre le contrôle de freinage principal et le capteur alternatif 122 est relié à la voie de contrôle alternative 107 pour mettre en oeuvre le contrôle de freinage alternatif. L'unité de 20 surveillance 108 est semblable à celle du premier mode de réalisation de l'invention. On augmente ainsi la dissemblance entre la voie de contrôle principale 106 et la voie de contrôle alternative 107. On simplifie par ailleurs le contrôle de 25 freinage alternatif en utilisant un capteur alternatif 122 qui est relativement simple. On décrit maintenant, en référence à la figure 6, une architecture de freinage selon un troisième mode de réalisation de l'invention. 30 L'unité de surveillance 208 comporte à nouveau un module de surveillance 210, une porte OU 211, une porte NON 212 et un temporisateur 213. Le module de surveillance 210 comprend une première entrée par laquelle il reçoit les signaux de 35 commande principaux Scp produits par la voie de contrôle 21 principale 206 à destination du premier actionneur électromécanique 201, une deuxième entrée par laquelle il reçoit les signaux de commande principaux Scp produits par la voie de contrôle principale 206 à destination du 5 deuxième actionneur électromécanique 202, une troisième entrée par laquelle il reçoit le signal d'état Se produit par la voie de contrôle principale 106, une quatrième entrée par laquelle il reçoit la consigne de freinage principale Cfp, une cinquième entrée par laquelle il 10 reçoit les signaux de commande alternatifs Sca produits par la voie de contrôle alternative 207 à destination du premier actionneur électromécanique 201, une sixième entrée par laquelle il reçoit les signaux de commande alternatifs Sca produits par la voie de contrôle 15 alternative 207 à destination du deuxième actionneur électromécanique 202, et une septième entrée par laquelle il reçoit la consigne de freinage alternative Cfa. Cette fois, la sortie de la porte NON 212 est reliée à une entrée de la porte OU 218 du premier module 20 de puissance 215, et la sortie du temporisateur 213 est reliée à une entrée de la porte OU 223 du deuxième module de puissance 216. Les portes OU 218, 223 du premier module de puissance 215 et du deuxième module de puissance 216, situées en amont des onduleurs 219 et 224, 25 sont pilotables en fonction de logiques produites par le module de surveillance 210. Dans le troisième mode de réalisation de l'invention, la voie de contrôle principale 206 et la voie de contrôle alternative 207 sont toutes deux actives 30 en même temps et en permanence. Le module de surveillance 210 traite les signaux qu'il acquiert par ses sept entrées, et établit un diagnostic de la voie de contrôle principale 206 et de la voie de contrôle alternative 207. En fonction du résultat de ce diagnostic, le module de 35 surveillance 210 sélectionne, parmi les signaux de 22 commande principaux Scp et les signaux de commande alternatifs Sca, ceux qui pilotent les onduleurs 219, 224 du premier actionneur électromécanique 201 et du deuxième actionneur électromécanique 202 et donc qui génèrent les 5 premiers courants électriques d'alimentation I1 et les deuxièmes courants électriques d'alimentation 12. La sélection est réalisée en pilotant les portes OU 218, 223 du premier module de puissance 215 et du deuxième module de puissance 216. 10 Ici, les signaux de commande principaux Scp sont sélectionnés en fonctionnement normal par l'unité de surveillance 208. Si le module de surveillance 210 détecte une panne de la voie de contrôle normale 206, ce sont les signaux de commande alternatifs Sca qui sont 15 sélectionnés. L'invention n'est pas limitée aux modes de réalisation particuliers qui viennent d'être décrits, mais, bien au contraire, couvre toute variante entrant dans le cadre de l'invention tel que défini par les 20 revendications. Il est bien sûr possible de prévoir que chaque voie de contrôle soit reliée non pas à deux actionneurs électromécaniques, mais à un nombre différent d'actionneur(s) électromécanique(s), REVENDICATIONS1. Architecture de système de freinage pour aéronef, comportant : - un frein destiné à freiner une roue de l'aéronef et comportant des organes de friction ainsi qu'un premier actionneur électromécanique (1 ; 101 ; 201) et un deuxième actionneur électromécanique (2 ; 102 ; 202) comprenant respectivement un premier moteur électrique (3) et un deuxième moteur électrique (4) et agencés pour appliquer un effort de freinage sur les organes de friction ; - une voie de contrôle principale (6 ; 106 ; 206) et une voie de contrôle alternative (7 ; 107 ; 207) comprenant des composants électriques qui sont au moins partiellement différents et agencées pour mettre en oeuvre respectivement un contrôle de freinage principal et un contrôle de freinage alternatif qui sont au moins partiellement différents, de sorte que la voie de contrôle principale et la voie de contrôle alternative génèrent respectivement des signaux de commande principaux (Scp) et des signaux de commande alternatifs (Sca) ; - un premier module de puissance (15 ; 115 ; 215) et un deuxième module de puissance (16 ; 116 ; 216) comprenant des composants électriques qui sont au moins partiellement différents et agencés pour générer, à partir des signaux de commande principaux ou bien des signaux de commande alternatifs, respectivement au moins un premier courant électrique d'alimentation (I1) pour alimenter le premier moteur électrique et au moins un deuxième courant électrique d'alimentation (I2) pour alimenter le deuxième moteur électrique ; - une unité de surveillance (8 ; 108 ; 208) agencée pour assurer que, en fonctionnement normal, les 24 signaux de commande principaux sont utilisés pour générer le premier courant électrique d'alimentation et le deuxième courant électrique d'alimentation et que, en cas de panne impactant la voie de contrôle principale, les 5 signaux de commande alternatifs sont utilisés pour générer le premier courant électrique d'alimentation et le deuxième courant électrique d'alimentation. 2. Architecture selon la revendication 1, dans 10 laquelle l'unité de surveillance est agencée pour activer la voie de contrôle principale (6 ; 106) et désactiver la voie de contrôle alternative (7 ; 107) en fonctionnement normal, et pour désactiver la voie de contrôle principale et activer la voie de contrôle alternative en cas de 15 panne impactant la voie de contrôle principale. 3. Architecture selon la revendication 1, dans laquelle la voie de contrôle principale (206) et la voie de contrôle alternative (207) sont activées en 20 permanence, et dans laquelle l'unité de surveillance (208) est agencée pour sélectionner les signaux de commande principaux pour générer les premiers courants électriques d'alimentation et les deuxièmes courants électriques d'alimentation en fonctionnement normal, et 25 les signaux de commande alternatifs pour générer les premiers courants électriques d'alimentation et les deuxièmes courants électriques d'alimentation en cas de panne impactant la voie de contrôle principale. 30 4. Architecture selon l'une des revendications précédentes, dans laquelle l'unité de surveillance et la voie de contrôle principale sont chacune agencées pour détecter une panne impactant la voie de contrôle principale. 35 5. Architecture selon l'une des revendications 25 précédentes, dans laquelle l'unité de surveillance comprend un module de surveillance (10 ; 210), une porte OU (11 ; 211), une porte NON (12 ; 212) et un temporisateur (13 ; 213). 5 6. Architecture selon l'une des revendications précédentes, dans laquelle la voie de contrôle principale comprend au moins un composant numérique de traitement agencé pour mettre en oeuvre le contrôle de freinage 10 principal, et dans laquelle la voie de contrôle alternative comprend des composants analogiques agencés pour mettre en oeuvre le contrôle de freinage alternatif. 7. Architecture selon l'une des revendications 15 précédentes, dans laquelle la voie de contrôle principale et la voie de contrôle alternative reçoivent respectivement une consigne de freinage principale (Cfp) et une consigne de freinage alternative (Cfa), qui sont représentatives d'un ordre de freinage produit par un 20 pilote de l'aéronef ou par un système de freinage automatique, et qui cheminent jusqu'à la voie de contrôle principale et la voie de contrôle alternative par des canaux de communication distincts. 25 8. Architecture selon l'une des revendications précédentes, dans laquelle le premier module de puissance et le deuxième module de puissance sont alimentés par des sources de puissance distinctes appartenant à des réseaux de puissance différents. 30 9. Architecture selon l'une des revendications précédentes, dans laquelle le contrôle de freinage principal met en oeuvre, contrairement au contrôle de freinage alternatif, une fonction d'anti-patinage ainsi 35 que des machines d'états pour séquencer différentes phases de fonctionnement du premier actionneur 26 électromécanique et du deuxième actionneur électromécanique. 10. Architecture selon l'une des revendications 5 précédentes, dans laquelle le contrôle de freinage principal met en oeuvre un asservissement de l'effort de freinage basé sur une mesure directe de l'effort de freinage ou bien sur un contrôle d'un enfoncement de pistons du premier actionneur électromécanique et du 10 deuxième actionneur électromécanique, et dans laquelle le contrôle de freinage alternatif met en oeuvre un asservissement simplifié qui est destiné uniquement à assurer que l'effort de freinage est borné entre un niveau bas permettant une performance de freinage 15 minimale et un niveau haut garantissant l'absence de blocage de la roue. 11. Architecture selon la revendication 10, dans laquelle l'asservissement simplifié est un 20 asservissement, sur une consigne de courant prédéterminée correspondant à l'effort critique prédéterminé, du premier courant électrique d'alimentation (I1) et du deuxième courant électrique d'alimentation (I2). 25 12. Architecture selon l'une des revendications précédentes, dans laquelle le premier module de puissance et le deuxième module de puissance comportent chacun un capteur principal (121) et un capteur alternatif (122) différent du capteur principal, le capteur principal 30 étant relié à la voie de contrôle principal pour mettre en oeuvre le contrôle de freinage principal et le capteur alternatif étant relié à la voie de contrôle alternative pour mettre en oeuvre le contrôle de freinage alternatif. 35 13. Architecture selon la revendication 12, dans laquelle le capteur principal est un capteur de courant 27 ou un capteur de position de rotor ou un capteur d'effort, et dans laquelle le capteur alternatif est un capteur à seuil d'effort. 5 14. Architecture selon l'une des revendications précédentes, dans laquelle le premier module de puissance et le deuxième module de puissance comportent chacun une porte OU ayant une première entrée reliée à la voie de contrôle principale et une deuxième entrée reliée à la 10 voie de contrôle alternative.