FR 2768980 A1 19990402 FR 9812152 A 19980929 La présente invention concerne un système de freinage pour véhicule automobile, qui comprend: - une unité de pédale au moyen de laquelle des actionnements de la pédale de frein du véhicule automobile sont détectés, en tant que demande de freinage du conducteur, par plusieurs capteurs, au moins un dispositif électronique de commande analysant les signaux de capteur et produisant des valeurs de consigne pour la force d'actionnement de frein, - des actionneurs de frein à actionnement électrique, associés aux roues du véhicule automobile, et - au moins un canal de transmission reliant entre eux l'unité de pédale, les actionneurs de frein et le dispositif de commande. De nouvelles exigences imposées aux systèmes de freinage des véhicules automobiles - tels que systèmes antiblocage, systèmes de stabilité de conduite, systèmes de glissement de traction ou contrôles de traction, ce qu'il est convenu d'appeler tempomates intelligents, assistants de freinage, etc. - ont conduit, avec la nécessité de réduire les coûts de montage et d'entretien qui sont extrêmement importants dans les systèmes actuels de freinage hydrauliques, au développement de nouveaux systèmes de freinage purement électriques (connus aussi sous l'appellation "brake-by-wire" ou freinage par fil), tels qu'il en est par exemple décrit dans le document DE 196 15 186 Cl constituant le type générique ici considéré. Dans un tel système de freinage électrique, le conducteur est isolé du frein en ce qui concerne la force, ce qui signifie que la demande de couple de freinage provenant du conducteur n'est plus transmise directement sous forme de force au moyen d'un système hydraulique, mais uniquement sous forme de signal au moyen d'une ligne électrique. Un actionneur de frein électrique est commandé par ce signal, cet actionneur exerçant sur un frein, à l'aide d'une alimentation en énergie électrique, une force qui produit le couple de freinage souhaité au moyen d'un élément de frottement. Dans le cas d'un frein à disque, la force produisant le couple de freinage par frottement est appelée force de serrage. L'actionneur de frein (ou organe de réglage de force de freinage) est monté directement sur la roue considérée du véhicule, de façon telle qu'avantageusement, la force de serrage de cette roue n'est pas transmise dans le véhicule sur des étendues importantes, tandis que les dispositifs servant à détecter la demande de couple de freinage du conducteur et la commande de frein sont disposés en un emplacement central, par exemple au voisinage de la pédale de frein. Le système de freinage est ainsi réparti sur l'ensemble du véhicule. La détermination de la demande de couple de freinage du conducteur et la commande de système sont, en tant qu'éléments centralisés, d'une grande importance pour la sécurité du système de freinage. La pédale de frein comportant les capteurs constitue la seule source permettant de détecter le souhait de freinage du conducteur. A partir de celle-ci, la demande de freinage du conducteur est calculée, les valeurs de capteur étant comparées entre elles afin d'établir leur validité et une valeur de consigne de freinage étant calculée, au moyen de règles et tables caractéristiques préfixées, pour commander les actionneurs de frein. Des dispositifs de commande ABS contenus dans des systèmes de freinage hydraulique ont pour rôle une commande centralisée de freinage qui peut modifier les demandes de freinage provenant du conducteur (ABS, fonction TCS (contrôle de traction), etc.). Une telle modification doit satisfaire à des exigences élevées de sécurité, étant donné qu'elle peut influer directement sur l'utilisation du frein. C'est pourquoi des dispositifs de commande ABS sont en général équipés de deux microcalculateurs qui se contrôlent mutuellement (US 4 745 542). Etant donné que ces dispositifs de commande remplissent exclusivement des fonctions supplémentaires du système de freinage qui ne sont pas nécessaires pour le freinage de base par le conducteur, le dispositif de commande possède un état de sécurité, ce qui signifie que, lorsqu'une erreur importante apparaît, il peut faire l'objet d'un transfert dans cet état de sécurité, à savoir l'état "hors service". Pour ce faire, il suffit de savoir qu'une telle erreur existe, aucune information concernant la nature de l'erreur n'étant nécessaire. L'invention a pour but de fournir un système de freinage électrique particulièrement bien protégé d'une défaillance. A cet effet, l'invention a pour objet un système de freinage, du type générique considéré, qui est caractérisé - en ce que le dispositif de commande est réalisé sous forme d'une commande centralisée et contient trois unités de calcul au moyen desquelles les valeurs de consigne prévues pour la force d'actionnement de frein sont calculées suivant des règles identiques à partir des signaux de capteur, - en ce que, dans les unités de calcul, les valeurs de consigne calculées sont comparées entre elles et la valeur d'au moins deux valeurs de consigne coïncidantes est délivrée en tant que demande de freinage de roue, - en ce qu'en cas de besoin, dans deux des unités de calcul et à l'aide d'autres signaux de capteur, des signaux de freinage supplémentaires sont produits et comparés entre eux et - en ce qu'en cas de coïncidence des signaux de freinage supplémentaires, la demande de freinage de roue est corrigée à l'aide de ceux-ci et est transmise en tant que signal de commande aux actionneurs de frein. Le système de freinage conforme à l'invention peut aussi présenter une ou plusieurs des particularités suivantes: - il est pourvu de deux canaux de transmission dont chacun est raccordé à l'une, respective, de deux des unités de calcul, - l'unité de pédale comporte au moins trois capteurs au moyen desquels la demande de freinage de conducteur est détectée conformément à deux principes différents de mesure, - au moins l'une des unités de calcul comporte une interface conduisant à un bus de données de véhicule automobile au moyen duquel elle échange des données avec d'autres dispositifs de commande, - le premier canal de transmission est réalisé sous forme d'un bus de données bidirectionnel et le second canal de transmission sous forme d'une ligne unidirectionnelle, à transmission de signaux à modulation d'impulsions en largeur, reliée aux actionneurs de frein, - par l'intermédiaire du premier canal de transmission, le signal de commande corrigé est transmis aux actionneurs de frein avec une identification le rendant identifiable comme étant corrigé et, par l'intermédiaire du second canal de transmission, la demande de freinage de roue non modifiée est transmise en tant que signal de commande, - en cas de défaillance de l'une des trois unités de calcul, les signaux de commande prévus pour les actionneurs de frein sont produits chacun au moyen respectivement des deux autres unités de calcul. Les avantages de l'invention résident notamment dans le fait que les ressources préexistantes de la commande centralisée (pour ABS, etc.) peuvent être utilisés pour cette tâche et qu'ainsi, les composants nécessaires pour le calcul de demandes de freinage de conducteur sont considérablement réduits. On obtient de ce fait non seulement une solution économique, mais aussi une solution plus sûre - en raison du plus faible nombre de composants nécessaires. Les exigences élevées de sécurité existant dans la détermination du souhait du conducteur ne s'étendent pas aux fonctions supplémentaires (pour ABS, etc.) qui, comme précédemment, comportent un état de sécurité ("HORS SERVICE") et pour lesquelles une structure à deux canaux suffit donc. Des exemples de mise en oeuvre de l'invention sont exposés ci-après en regard des dessins. On voit: à la figure 1, en représentation schématique, un véhicule automobile comportant un système de freinage conforme à l'invention et, à la figure 2, une commande centralisée du système de freinage de la figure 1 y compris une unité de pédale. Un véhicule automobile, qui n'est représenté que schématiquement à la figure 1, est pourvu d'un système de freinage 1 qui, sur chacune de ses quatre roues 2, comporte un frein respectif (ici non représenté) qui est actionné par un actionneur de frein ou organe de réglage 4 respectif à commande électrique. Les freins sont actionnés par le conducteur du véhicule, celui-ci fournissant une demande de couple de freinage au moyen d'une pédale de frein 5 qui est reliée à une unité de pédale 6. Cette unité de pédale 6 joue le rôle d'un simulateur de force de pédale et est pourvue d'un ressort 7 et de plusieurs capteurs, par exemple deux capteurs de force et au moins un capteur de course (voir figure 2), qui détectent l'actionnement de la pédale de frein 5 par le conducteur et le transforment en signaux électriques. Ces capteurs sont représentés en étant regroupés sous forme d'un bloc 8 "détermination du souhait du conducteur". Le bloc 8 est relié à une commande centralisée 10 et celle-ci est pour sa part reliée aux actionneurs de frein 4 au moyen d'un premier canal de transmission de données ou bus de données 12 et d'un second canal de transmission de données ou bus de données 13. Le système de freinage 1 assure dans chaque cas la transmission du souhait du conducteur aux organes de réglage 4. Une défaillance du système de freinage n'est pas admissible, étant donné qu'un freinage du véhicule ne serait alors plus possible. Outre la défaillances de l'action de freinage, un freinage non souhaité constitue aussi un type dangereux d'erreur. Celui-ci aussi doit être dans chaque cas évité. Une structure à trois canaux du système de freinage offre la sécurité la plus grande, étant donné que non seulement une erreur est relevée, mais la valeur exacte est aussi constatée. Une disponibilité la plus large du système de freinage est encore assurée après une erreur importante. Par ailleurs, cette disponibilité doit être assurée le plus longtemps possible, ce qui signifie qu'après une autre erreur, au moins encore un freinage d'urgence doit être possible. Un véhicule se trouvant dans une telle situation n'a donc pas à être immédiatement mis à l'arrêt, mais peut encore rouler un certain temps jusqu'à un atelier. A cet effet, des erreurs doivent être constatées d'une manière sûre et un canal de remplacement doit être disponible. La figure 2 représente la structure d'une commande centralisée 10. Le souhait du conducteur, qui se manifeste par l'enfoncement de la pédale de frein 5, est mesuré sur cette pédale de frein 5 à l'aide d'eau moins trois capteurs - par exemple un capteur de force 15 et deux capteurs de course 16, 17 - qui détectent la force de pédale et la course de pédale. Les valeurs détectées par ces capteurs sont transmises, en tant que signaux de capteur, à au moins trois unités de calcul (ou CPU) 18, 19 et 20. Les unités de calcul 18 à 20 calculent toutes les trois, à partir des signaux de capteur et conformément aux mêmes règles et tables caractéristiques rangées en mémoire, la demande de freinage du conducteur. Les valeurs calculées sont comparées entre elles dans les trois unités de calcul. Si elles sont identiques entre elles dans les limites de tolérances étroites préfixées, elles constituent le couple de freinage demandé par le conducteur, lequel correspond par exemple à une force de serrage d'étrier de frein. Par ailleurs, à partir d'autres signaux de capteur que l'unité de calcul 18 reçoit par l'intermédiaire d'un bus de véhicule 22 et d'une interface de bus 23, ou à partir de capteurs 28 directement raccordés, ou par l'intermédiaire du canal de transmission 12, cette unité de calcul 18 calcule des demandes de freinage électronique ou signaux de commande de freinage supplémentaires correspondant par exemple aux fonctions suivantes: ABS, contrôle de traction (TCS), régulation de stabilité de conduite (VCS = "vehicle stability control" = commande de stabilité de véhicule), freinage d'urgence (PBA), etc.. Les signaux de commande de freinage supplémentaires modifient éventuellement le couple de freinage demandé par le conducteur (ils le réduisent dans le cas de l'ABS) ou le remplacent (dans le cas de la fonction TCS, ils produisent un couple de freinage indépendant du souhait du conducteur). Les signaux de capteur reçus reproduisent en premier lieu les vitesses de rotation de roue et éventuellement d'autres valeurs de mesure, telles que par exemple l'angle de braquage, l'accélération transversale, la vitesse de lacet, etc.. Dans le cas du fonctionnement normal de freinage, non perturbé, les couples de freinage produits dans la commande centralisée 10 sous forme de signaux de réglage sont transmis aux actionneurs de frein 4 par l'intermédiaire d'un étage d'attaque de bus 24 et du premier canal de transmission de données 12. Le souhait du conducteur, non modifié, est transmis aux actionneurs de frein 4 par l'intermédiaire du canal de transmission de données 13. Dans le cas normal, le premier canal de transmission de données 12 est desservi, c'est-à-dire alimenté en signaux de commande, par la première unité de calcul 18, mais il peut aussi être desservi par la deuxième unité de calcul 19. Les données arrivant sur le canal de transmission de données 12 sont lues par la deuxième unité de calcul 19. Le second canal de transmission 13 est desservi par la troisième unité de calcul 20, le contenu transmis sur ce canal étant lu par les unités de calcul 18 et 19. Des informations concernant les fonctions, qui permettent de mettre hors service une unité de calcul, reconnue comme étant défectueuse, au moyen des deux autres unités de calcul, sont échangées entre l'ensemble des trois unités de calcul par l'intermédiaire de lignes de données 25 et 26. Des données qui permettent de surveiller les demandes de couple de freinage électroniques calculées dans la première unité de calcul 18 et en outre l'état de l'unité de calcul 18, au moyen de la deuxième unité de calcul 19, sont échangées entre les unités de calcul 18 et 19 par l'intermédiaire d'une autre ligne de données 27. Ainsi, la commande centralisée 8 est en mesure de procéder à une détermination redondante triple des demandes de freinage de conducteur, à un calcul doublement redondant des demandes électroniques supplémentaires de freinage et à une transmission par l'intermédiaire de deux canaux de transmission de données totalement indépendants l'un de l'autre. Le canal de transmission de données 12 permet qu'ait lieu une transmission bidirectionnelle sûre, qui est par exemple réalisée sous forme d'un bus de données CAN à protocole sécurisé. Le canal de transmission de données 13 permet qu'ait lieu au moins une transmission de données unidirectionnelle protégée des perturbations, se présentant par exemple sous forme de signaux à modulation PWM (= "Pulse Width Modulation" = modulation d'impulsions en largeur). En revanche, un relevé des couples de freinage supplémentaires déterminés électroniquement n'a pas à être constamment assuré et, lors de l'apparition d'une erreur, les fonctions peuvent être amenées dans un état de sécurité. Dans cet état, ces fonctions sont mises hors service. Ainsi, seule l'apparition d'une erreur doit être établie d'une manière fiable, afin qu'en réaction à celle- ci, il soit procédé à un passage à l'état de sécurité. Une structure à deux canaux du système de freinage, notamment de la commande centralisée 10, est suffisante à cet effet. Les capteurs groupés sous le repère 28 détectent des grandeurs de mesure qui sont liées au comportement dynamique de conduite du véhicule, telles que les vitesses de rotation de roue, la vitesse du véhicule, la vitesse de lacet, etc.. Le fonctionnement de la commande centralisée 10 est exposé ci-après, à l'aide d'un déroulement des fonctions, dans le cas de perturbations (comportant une constatation d'erreur et une réaction à l'erreur). Etant donné qu'une prise en considération complète de toutes les erreurs imaginables serait trop vaste, seules sont présentées ici des erreurs d'ensemble provenant de sous-unités et constituées par le résultat d'erreurs individuelles. - L'unité de calcul 18 (appelée ci-après CPU 1, voir aussi figure 2) fait l'objet d'une défaillance: la CPU 2 (unité de calcul 19) constate la défaillance au moyen de la surveillance de processus; les fonctions de freinage électroniques ou supplémentaires sont mises hors service et la CPU 2 reçoit la transmission du souhait du conducteur sur le canal de transmission de données 12. - la CPU 1 produit une demande de freinage électronique défectueuse: la CPU 2 constate la différence à l'aide de calculs qui lui sont propres; les fonctions de freinage supplémentaires sont mises hors service et seul le souhait du conducteur est envoyé sur le canal de transmission de données 12 (un calcul défectueux dans la CPU 2 a le même effet). - la CPU 2 fait l'objet d'une défaillance: la CPU 1 constate la défaillance à l'absence d'échange de données: les fonctions de freinage supplémentaires sont mises hors service. - la CPU 2 calcule les fonctions de freinage supplémentaires d'une manière défectueuse: la CPU 1 constate la différence à l'aide de calculs qui lui sont propres; les fonctions de freinage supplémentaires sont mises hors service et seul le souhait du conducteur est envoyé sur le canal de transmission de données 13 (un calcul défectueux dans la CPU 1 a le même effet). - la CPU 1 calcule une fausse demande de freinage de conducteur à partir des signaux de capteur entrants; cette situation est constatée à partir d'une comparaison avec le résultat de la CPU 2 (par échange de données) et celui de la CPU 3 (à l'entrée du canal de transmission de données 13): la CPU 1 est mise hors service (par contrôle de fonction par la CPU 2), les fonctions de freinage supplémentaires sont mises au repos et la CPU 2 envoie le souhait du conducteur sur le canal de transmission de données 12. - la CPU 2 calcule une fausse demande de freinage de conducteur à partir des signaux de capteur entrants; cette situation est constatée à partir d'une comparaison avec le résultat de la CPU 1 (par échange de données) et celui de la CPU 3 (à l'entrée du canal de transmission de données 13: la CPU 2 est mise hors service (par contrôle de fonction par la CPU 1), les fonctions de freinage supplémentaires sont mises au repos et la CPU 1 envoie le souhait du conducteur sur le canal de transmission de données 12. Il ressort de ce qui précède qu'au moyen du système de freinage, toutes les erreurs possibles sont constatées et, en cas de nécessité, il est possible que soient engagées des réactions adéquates qui évitent une erreur dangereuse dans le système de freinage (panne, freinage non souhaité). Le système de freinage conforme as l'invention joue le rôle, en ce qui concerne la détermination du souhait du conducteur, d'une structure redondante à caractéristique deux- sur-trois conforme à la norme DIN V VDE 0801 (paragraphe B.1.3.2, page 73) et, en ce qui concerne la détermination de demandes de freinage électroniques, d'une structure à deux canaux à état de sécurité ("AUS"). Pour clarifier l'importance de la disponibilité d'un tel système de freinage après l'apparition d'une première erreur, c'est-à-dire pendant combien de temps un système de freinage peut encore fonctionner avec un risque supportable, il convient de prendre en considération le risque dû à une seconde erreur. Une telle erreur ne doit pas conduire à une demande de freinage importante non souhaitée, ni à un état dans lequel un freinage d'urgence n'est plus possible. Il suffit à cet effet de prendre en considération la détermination et la transmission du souhait du conducteur aux canaux de transmission de données et aux organes de réglage. Grâce à la structure à deux canaux qui subsiste après une erreur, l'apparition d'une autre erreur est simple à constater. Le problème réside dans l'identification de la valeur non perturbée. il Il est nécessaire de prendre à cette effet des mesures de constatation d'erreur qui peuvent par exemple être exécutées conformément aux prescriptions de DIN V VDE 0801, paragraphe B.l.l.2, page 68; paragraphe B.2.1.1.3, pages 79 - 80). Après l'apparition d'une erreur, on passe d'un processus de décision deux-sur-trois à un processus de décision un-sur-trois. Dans le cas d'une défaillance ou d'une erreur d'une autre CPU, des calculs de contrôle et des comparaisons des résultats des unités de calcul restantes permettent de conclure quelle est la CPU qui calcule des valeurs défectueuses (dans le cas de la détermination du souhait du conducteur, il s'agit de calculs relativement simples). Dans des cas qui n'autorisent ici aucune décision, un freinage de secours serait engagé soit au moyen d'une action supplémentaire de commande du conducteur (par exemple par actionnement du frein à main), soit d'une manière automatique. En tout état de cause, un tel cas est suffisamment peu probable dans la structure décrite pour autoriser encore un fonctionnement pendant un intervalle de temps limité. Cela signifie que le comportement ultérieur de la commande de frein dépend de la nature de la première erreur. Dans le cas de certaines erreurs, une disponibilité supplémentaire ne peut être assurée que difficilement. La tâche consistant à maintenir ces cas aussi réduits et peu probables que possible est remplie d'une manière économique au moyen du système de freinage conforme à l'invention. En outre, le nombre réduit des composants nécessaires limite la probabilité d'erreur. REVENDICATIONS 1. Système de freinage (1) pour véhicule automobile, qui comprend: - une unité de pédale (6) au moyen de laquelle des actionnements de la pédale de frein (5) du véhicule automobile sont détectés, en tant que demande de freinage du conducteur, par plusieurs capteurs (15, 16, 17), - au moins un dispositif électronique de commande analysant les signaux de capteur et produisant des valeurs de consigne pour la force d'actionnement de frein, - des actionneurs de frein (4) à actionnement électrique, associés aux roues (2) du véhicule automobile, et - au moins un canal de transmission (12) reliant entre eux l'unité de pédale (6), les actionneurs de frein (4) et le dispositif de commande, caractérisé - en ce que le dispositif de commande est réalisé sous forme d'une commande centralisée (10) et contient trois unités de calcul (18, 19, 20) au moyen desquelles les valeurs de consigne prévues pour la force d'actionnement de frein sont calculées suivant des règles identiques à partir des signaux de capteur, en ce que, dans les unités de calcul (18, 19, 20), les valeurs de consigne calculées sont comparées entre elles et la valeur d'au moins deux valeurs de consigne coincidantes est délivrée en tant que demande de freinage de roue, - en ce qu'en cas de besoin, dans deux des unités de calcul (18, 19) et à l'aide d'autres signaux de capteur, des signaux de freinage supplémentaires sont produits et comparés entre eux et - en ce qu'en cas de coïncidence des signaux de freinage supplémentaires, la demande de freinage de roue est corrigée à l'aide de ceux-ci et est transmise en tant que signal de commande aux actionneurs de frein (4). 2. Système de freinage suivant la revendication 1, caractérisé en ce qu'il est pourvu de deux canaux de transmission (12, 13) dont chacun est raccordé à l'une, respective, de deux des unités de calcul (18 - 20). 3. Système de freinage suivant l'une quelconque des revendications précédentes, caractérisé en ce que l'unité de pédale (6) comporte au moins trois capteurs (15, 16, 17) au moyen desquels la demande de freinage de conducteur est détectée conformément à deux principes différents de mesure. 4. Système de freinage suivant l'une quelconque des revendications précédentes, caractérisé en ce qu'au moins l'une des unités de calcul (18 - 20) comporte une interface (23) conduisant à un bus de données de véhicule automobile (22) au moyen duquel elle échange des données avec d'autres dispositifs de commande. 5. Système de freinage suivant l'une quelconque des revendications 2 à 4, caractérisé en ce que le premier canal de transmission (12) est réalisé sous forme d'un bus de données bidirectionnel et le second canal de transmission (13) sous forme d'une ligne unidirectionnelle, à transmission de signaux à modulation d'impulsions en largeur, reliée aux actionneurs de frein (4). 6. Système de freinage suivant la revendication 5, caractérisé en ce que, par l'intermédiaire du premier canal de transmission (12), le signal de commande corrigé est transmis aux actionneurs de frein (4) avec une identification le rendant identifiable comme étant corrigé et en ce que, par l'intermédiaire du second canal de transmission (13), la demande de freinage de roue non modifiée est transmise en tant que signal de commande. 7. Système de freinage suivant l'une quelconque des revendications précédentes, caractérisé en ce qu'en cas de défaillance de l'une des trois unités de calcul (18 - 20), les signaux de commande prévus pour les actionneurs de frein (4) sont produits chacun au moyen respectivement des deux autres unités de calcul.