FR 2843353 A1 20040213 FR 0210087 A 20020808 La présente invention concerne un système de contrôle pour des dispositifs de freinage à contrôle électronique distribué et en particulier à commande découplée. L'électrification des systèmes de liaison au sol des véhicules automobiles 5 et l'utilisation de fonctions à commande découplée du type " X-by-Wire " qui suppriment les liens mécaniques entre la commande du conducteur et les actionneurs ouvrent de nouvelles perspectives de progrès pour les systèmes de contrôle du châssis. En effet, il est désormais possible de contrôler ces fonctions avec plus de 0o précision, de prendre en considération un nombre plus élevé de paramètres et de mettre en interaction des systèmes normalement indépendants. Ceci donne la possibilité de.concevoir des systèmes de régulation multi-organes et des systèmes de contrôle distribués dans lesquels une fonction est répartie vers différents contrôleurs électroniques. Outre les avantages en termes de temps et cots de développement de systèmes innovants. Ces nouvelles possibilités permettent d'offrir à l'utilisateur du véhicule des prestations améliorées en termes de confort, de comportement sur route et de sécurité. La présente invention concerne trois fonctions de sécurité développées 20 pour le freinage d'un véhicule équipé d'un système de freinage à commande découplée. Le système de freinage repose sur une architecture à quatre noeuds ou unités de contrôle, dont un redondant, et utilise une architecture de communication, basée à titre d'exemple sur les protocoles TTP/C et CAN. Pour la description de la présente invention, on utilisera des exemples 25 concernant sa solution préférentielle, un système de freinage électromécanique à transmission de commande purement électrique. Dans les systèmes de freinage du type " by-wire " conventionnels, la course ou la force d'enfoncement de la pédale de frein est détectée par un capteur. En fonction du signal provenant du capteur, un système de contrôle électronique émet des commandes de freinage qui sont acheminées vers les actionneurs. Ceux-ci agissent sur les cylindres du circuit hydraulique qui sont situés près des roues et fournissent la pression de freinage souhaitée. Ce type de système présente l'avantage de pouvoir être intégré dans des systèmes de contrôle de traction électroniques puisque les signaux électriques provenant de la pédale de frein peuvent être facilement utilisés par divers contrôleurs afin de moduler la force de freinage. Les systèmes de freinage électriques dits sécuritaires proposent le couplage d'un système du type " by-wire ", dédié aux fonctions de freinage principales, et d'un système mécanique parallèle dédié généralement aux fonctions de sécurité. Les deux systèmes peuvent agir sur un circuit hydraulique traditionnel qui transmet la pression de freinage aux actionneurs io des freins. Ces systèmes sont capables de fournir une force de freinage même si un défaut électrique dans le système " by-wire " survient. Dans ce cas, c'est le système mécanique qui couvre les fonctions de freinage et commande les actionneurs. Dans les systèmes de freinage à contrôle distribué, d'autre part, les fonctions de secours activées par des contrôleurs électroniques en cas de défaillance d'un des systèmes du réseau distribué sont généralement conçues indépendamment des autres systèmes qui forment le réseau. Ces solutions de secours ne concernent pas les défauts du système 20 défaillant et ne cherchent pas à répondre aux défaillances d'un point de vue globale. Ainsi, la fonction de freinage est mise à l'abri lorsqu'une défaillance est constatée mais cette mise à l'abri ne tient pas compte de l'état des autres systèmes. Il est alors difficile de faire face à des défaillances multiples, afin de permettre au système de donner une réponse adaptée à chaque situation. Les systèmes de freinage " by-wire " classiques, présentent l'inconvénient d'une perte possible de contrôle lorsqu'un défaut électrique se produit. Ces défauts peuvent provenir d'un défaut de l'un des capteurs, d'un défaut dans le réseau électrique ou d'une défaillance du contrôleur de communication. De leur côté, les systèmes sécuritaires à double chaîne de commande résultent en un encombrement des systèmes de liaison au sol et impliquent la mise en place d'une architecture mécanique et électronique souvent très intriquée. Dans la plupart des cas, I'implémentation de ce type de systèmes est complètement dissociée des contraintes et des exigences imposées par l'architecture fonctionnelle, et inversement. De la même façon que les systèmes " by-wire " et sécuritaires ci5 dessus, les systèmes à contrôle distribué sont souvent incapables de répondre de façon ciblée aux différents types de défaillances (ou combinaisons de défaillances) pouvant survenir lors de l'utilisation du système. La présente invention tolère ce type de défaillances tout en assurant la 10 fonction de freinage du véhicule grâce à la définition de stratégies de contrôle adaptées au type de dysfonctionnement présent dans le système. Elle fait appel au concept de contrôle distribué dans lequel les lois de régulation et de commande sont partagées par différents contrôleurs électroniques. Dans cette description, ne sera décrite que l'implémentation des 15 fonctions de sécurité dans le système de freinage à contrôle distribué sans détailler l'architecture de communication ni le type des messages échangés dans les bus de communication. De la même manière, ne seront pas décrites en détail les caractéristiques des éléments intégrant le système de freinage ni de leurs contrôles que lorsque celles-ci sont essentielles à la compréhension 20 de la présente invention. Suivant l'invention, le système de contrôle pour des dispositifs de freinage à contrôle électronique distribué et en particulier à commande découplée, pour des véhicules automobiles dotés d'un système de régulation de vitesse à contrôle de distance est caractérisé en ce qu'il comprend les 25 éléments suivants: i. une unité de contrôle dédiée à la régulation de vitesse à contrôle de distance (RVCD), ii. une unité de contrôle dédiée à la pédale de frein, redondante double, iii. une unité de contrôle dédiée à un actionneur de frein pour chacune des quatre roues du véhicule, iv. un premier bus de communication, v. un bus de communication TT, l'unité de contrôle dédiée à la pédale formant une première boucle de contrôle avec l'unité de contrôle dédiée aux actionneurs de frein, I'unité de 5 contrôle RVCD formant avec les unités de contrôle dédiées à la pédale et aux actionneurs, une seconde boucle de contrôle, le premier bus de communication étant adapté pour communiquer les informations entre l'unité de contrôle RVCD et des contrôleurs du moteur et de la boite de vitesses du véhicule, le bus de communication (TT) étant adapté pour communiquer les 10 informations entre l'unité de contrôle RVCD et les unités de contrôle de la pédale et des actionneurs, le système étant adapté pour activer au moins une fonction de sécurité du freinage. Selon une caractéristique de l'invention, I'unité de contrôle de régulation de vitesse à contrôle de distance (RVCD) est adaptée pour calculer: 15. une force de freinage lorsqu'un freinage est requis une ouverture du papillon d'admission du dispositif d'alimentation du moteur, lorsqu'une accélération ou une décélération du véhicule est nécessaire, ces valeurs étant calculées à partir des données concernant la distance 20 et la vitesse du véhicule cible obtenues au moyen d'un système de radar lié directement au contrôleur RVCD. Les valeurs ci-dessus sont utilisées pour détecter certaines défaillances de l'unité de contrôle RVCD permettant d'activer une fonction de sécurité de freinage. Selon une autre caractéristique de l'invention, l'unité de contrôle de la pédale redondante double est adaptée pour calculer une force de freinage en fonction de l'enfoncement de la pédale de frein par le conducteur et d'envoyer vers l'unité de contrôle actionneur, la valeur d'une force de freinage de consigne, correspondant à la force de freinage calculée par l'unité de contrôle 30 de la pédale, lorsque le conducteur enfonce la pédale de frein ou à la force de freinage calculée par l'unité de contrôle RVCD lorsque la pédale de frein n'est pas enfoncée. Les deux unités de contrôle redondantes de la pédale sont adaptées à effectuer une comparaison entre les forces de freinage calculées par chacune desdites unités, les résultats de cette comparaison étant utilisés pour l'activation d'une fonction de sécurité. L'unité de contrôle actionneur est adaptée pour: ò appliquer la force de freinage de consigne déterminée soit par l'unité de contrôle pédale, soit par l'unité de contrôle RVCD en serrant les mâchoires des plaquettes de frein, À mesurer la force de freinage réellement appliquée, À calculer la différence entre la force appliquée et la force de freinage de consigne et renvoyer ces informations aux deux autres unités de contrôle. Les résultats du calcul de la différence entre la force appliquée et la force 15 de freinage de consigne sont utilisés pour activer une fonction sécurité. Selon une particularité importante de l'invention, le système de contrôle est adapté pour activer au moins l'une des trois fonctions de sécurité suivantes: i. " Frein d'urgence " correspondant à une défaillance de l'unité de 20 contrôle pédale qui est corrigée par l'élaboration et l'application d'une force de freinage maximale commandée par l'unité de commande RVCD, ii. " Frein moteur " correspondant à une défaillance des actionneurs des freins, lorsque ceux-ci ne sont pas en mesure d'appliquer la 25 force de freinage requise, qui est corrigée par des actions de rétrogradage et de décélération visant à ralentir le véhicule grâce au frein moteur. iii. " ACC défaut frein " correspondant à une défaillance de l'unité de contrôle RVCD qui est corrigée par l'élaboration et l'application 30 d'une force de freinage moyenne commandée par les unités de contrôle pédale. D'autres particularités et avantages de l'invention apparaîtront encore dans la description ci-après. Aux dessins annexés, donnés à titre d'exemples non limitatifs - la figure 1 est un schéma de l'architecture du système de contrôle, - la figure 2 est un schéma montrant les deux boucles de contrôle du système de freinage, - la figure 3 montre l'organigramme de l'automate de contrôle/commande du système de freinage. Afin d'illustrer les fonctions décrites ci-après, le système de commande/régulation des composants et organes du système de freinage sera représenté en faisant appel à une architecture de modèle d'automate à états finis (voir figure 3). Cet automate fournit une architecture utile pour l'aide à la décision et à l'optimisation des régulations des systèmes complexes, car il permet d'aborder des aspects habituellement conflictuels pour ce type de systèmes. Dans la description ci-après on utilisera le mot " noeud " pour désigner une unité de contrôle. La figure 1 montre un schéma de l'architecture électronique du système. 20 Les quatre sous-systèmes 1, 2, 3, 4 faisant l'objet de la présente invention (RVCD, 1er et 2ème pédale, actionneur) échangent des messages par le bus de communication TTP/C 5. Celui-ci est chargé de la synchronisation de la communication entre les sous-systèmes 1, 2, 3, 4. Les messages circulant par ce bus sont dédiés au contrôle de la fonction de freinage du véhicule. Le noeud RVCD communique avec les contrôleurs du moteur 6 et de la boîte de vitesses 7 via le bus CAN 8 qui est par ailleurs utilisé par d'autres fonctions du véhicule. Le RVCD reçoit des messages concernant l'état du moteur et de la boîte (couple moteur, rapport engagé) et envoie, selon le cas, des commandes d'ouverture du papillon d'admission au moteur et de 30 rétrogradages à la boîte de vitesses suivant la logique de contrôle décrite plus loin. La figure 2 montre les deux principales boucles de contrôle du système. La première boucle, entre les noeuds pédale 2, 3 et l'actionneur 4, est relative au contrôle de la force de freinage et détecte les différences entre la force commandée par le conducteur (via la pédale de frein) 9 et la force réellement appliquée. La deuxième boucle concerne la régulation de vitesse du véhicule par le noeud RVCD. Celui-ci élabore des commandes de freinage lorsque le ralentissement du véhicule est nécessaire et les envoie aux noeuds pédale 2, 3 qui, selon le cas, les transmet ou les substitue par la commande du 10 conducteur sur la pédale 9 avant de les envoyer aux actionneurs 4. La figure 3 montre l'automate de contrôle du système global qui contient les états de fonctionnement du système (représentés par des blocs), à savoir l'état nominal (avec un premier mode o le système est contrôlé par le RVCD et un deuxième mode o le système est contrôlé par les noeuds pédale), plus 15 les trois modes de fonctionnement sécuritaires (Frein moteur, Frein moteur d'urgence, ACC défaut de frein), qui seront décrits plus loin. A l'intérieur de ces modes sont représentés les noeuds (RVCD, Pédales, Actionneurs) et les tâches principales réalisées par ces noeuds dans le mode correspondant. Les transitions entre les modes ou les états (représentées par des flèches entre 20 les blocs) correspondent aux conditions d'activation et désactivation des fonctions nominales et de sécurité telles qu'elles seront décrites ciaprès. Dans le mode d'opération nominal, le système de freinage électrique comprend deux boucles de contrôle (voir figure 2). 1. Une boucle de contrôle de base entre le noeud pédale et le 25 noeud actionneur qui fourni une force de freinage en fonction de l'action du conducteur sur la pédale de frein. Le noeud pédale calcule alors une force de freinage en fonction de la course d'enfoncement de la pédale et envoie cette valeur vers le noeud actionneur. Le noeud actionneur applique cette force aux roues au travers des plaquettes, mesure la 30 valeur de la force de freinage réellement appliquée et l'envoie aux autres noeuds. 2. Une boucle de contrôle dynamique qui comprend le noeud de régulation de vitesse à contrôle de distance (appelé " RVCD " par la suite), le noeud pédale et le noeud actionneur, et qui communique avec les contrôleurs du moteur et la boîte de vitesses. Le noeud RVCD calcule 5 une force de freinage et une ouverture du papillon d'admission motorisé en fonction des informations de l'environnement (distance et vitesse relatives de la cible) et de l'état du moteur et de la boîte de vitesses. La force de freinage demandée par le noeud RVCD est envoyée vers le noeud pédale. Le noeud pédale transfère alors une force de freinage qui i0 sera égale à la force calculée par le RVCD, lorsque la pédale de frein n'est pas enfoncée (" ACC Brake Control ") ou égale à la force calculée par le noeud pédale lorsque le client appuie sur la pédale de frein (" Pedal Brake Control "), préemption du RVCD par la pédale). On va maintenant détailler les différentes fonctions de sécurité mises en òeuvre par le système selon l'invention. Cas de la défaillance du noeud pédale: fonction de sécurité " Frein d'urgence ". Les conditions d'entrée en défaillance du noeud redondant pédale sont les suivantes. (1) le contrôleur de communication TTP ne reçoit pas de message de l'un des deux noeuds au moment requis; (2) une erreur interne aux noeuds a lieu, comme la panne d'un capteur, par exemple; (3) les deux noeuds " pédale " calculent des forces de freinage trop différentes. Dans ce cas, le noeud RVCD définit une force de freinage maximale et le 25 noeud actionneur doit ignorer toute force de freinage venant du noeud pédale, lire la valeur de cette force maximale et l'appliquer aux roues. Si dans ce mode une défaillance du noeud RVCD ou du noeud actionneur est détectée, le système entre en mode " Frein moteur ", décrit cidessous. Le système ne revient au mode de fonctionnement nominal que si 30 aucun noeud ne présente des défaillances, c'est-à-dire, si tous les noeuds fonctionnent correctement. Cas de la défaillance du noeud actionneur: fonction de sécurité " Frein moteur ". Les conditions d'entrée en défaillance du noeud actionneur sont les suivantes. (1) le contrôleur de communication TTP ne reçoit pas de message du noeud au moment requis; (2) la valeur de la force réellement appliquée diffère trop de la force de freinage de consigne demandée par le noeud pédale. Dans ce cas, le noeud RVCD demande une fermeture du papillon d'admission et des rétrogradages de rapports successifs à la boîte de vitesses lo afin de freiner le véhicule le plus rapidement possible grâce au frein moteur, et aucune force de freinage n'est ni demandée ni appliquée. Le noeud actionneur ouvre donc les mâchoires des freins, au cas o les plaquettes seraient défectueuses. Le système ne revient au mode de fonctionnement nominal que si aucun 1s noeud ne présente des défaillances, c'est-à-dire, si tous les noeuds fonctionnent correctement. Cas de la défaillance du noeud RVCD: fonction de sécurité " ACC défaut de frein ". Les conditions d'entrée en défaillance du noeud RVCD sont les 20 suivantes. (1) le contrôleur de communication TTP ne reçoit pas de message du noeud au moment requis; (2) une erreur interne au noeud a lieu, comme une erreur de calcul ou une force de freinage en dehors du domaine d'application, par exemple. Ce mode de défaillance n'est pris en compte que si la fonction 25 RVCD est activée par le conducteur et si le conducteur n'actionne pas la pédale de frein. Dans ce cas, le noeud pédale envoie une valeur de force de freinage moyenne (au lieu de la force de freinage provenant du noeud RVCD) vers le noeud actionneur qui l'applique aux roues afin de prévenir le conducteur de la 30 défaillance du système RVCD. Si dans ce mode une défaillance du noeud pédale est détectée, le système entre en mode " Frein d'urgence ", décrit ci-dessus. Si dans ce mode une défaillance du noeud actionneur est détectée, le système entre en mode " Frein moteur " décrit ci-dessus. Le système ne revient au mode de fonctionnement nominal que si aucun noeud ne présente des défaillances, c'est-à-dire, si tous les noeuds fonctionnent correctement. On va maintenant expliquer les avantages du système de contrôle selon l'invention. Les fonctions de sécurité qui font l'objet de la présente invention ont été conçues dans une optique inter-système, en rupture avec les approches de conception traditionnelles. Cette optique permet de faire face aux possibles défaillances des composants et des organes contrôlés qui constituent le système de freinage. Par ailleurs, les trois fonctionnalités présentées dans cette description sont des fonctions distribuées, c'est-à-dire elles sont partagées par plusieurs sous-systèmes dotés, chacun de contrôleurs dédiés. Ce type de solution 15 permet de mieux pondérer les contraintes de sécurité auxquelles les éléments de contrôle et les organes du système global freinage seront soumis, suivant l'état du système global. Un autre avantage de l'invention réside dans le fait que, lors de son implémentation des systèmes existants et les signaux produits par ces 20 systèmes peuvent être utilisés. En effet, I'invention repose sur une exploitation intelligente des fonctionnalités inhérentes aux composants du système. Les composants et leurs fonctionnalités peuvent donc avoir été conçus au préalable et de façon indépendante par différents développeurs. Cette exploitation des informations et des tâches repose essentiellement sur trois 25 éléments: À les tâches " basses " (traitements, calculs, mise en forme des données) réalisées d'ordinaire par chaque noeud ou soussystème; * les tâches " hautes " ou globales définies par l'élément de supervision intégré dans chaque noeud du réseau les propriétés du protocole de communication TTP/C permettant la synchronisation des différentes tâches. 1l Afin de réaliser l'intégration des composants de contrôle du système, il est nécessaire de définir premièrement le système d'exploitation du système global. Il faut également établir un arbitrage entre les tâches de contrôle et régulation réalisées de façon individuelle. L'automate décrit plus haut est chargé de réaliser ces opérations de supervision et d'arbitrage. Cette démarche d'intégration favorise en outre la réutilisation, par d'autres applications ou d'autres systèmes, des différents composants mis en oeuvre dans la présente invention. Les exemples utilisés pour la description de la présente invention, 10 concernent la solution préférentielle pour son implémentation. Cette réalisation préférentielle est un système de freinage électromécanique dont les commandes sont transmises uniquement par voie électrique et sans redondance par un système auxiliaire mécanique ou hydraulique. Les éléments constituant l'architecture du système (voir figure 1) sont décrits cis après. Le noeud de régulation de vitesse à contrôle de distance (RVCD) Il est chargé de calculer: À une force de freinage lorsqu'un freinage est requis; * une ouverture du papillon d'admission lorsqu'une accélération ou 20 une décélération du véhicule est nécessaire. Pour calculer ces valeurs, le noeud RVCD utilise les données concernant la distance et la vitesse du véhicule cible qu'il obtient grâce à un système de radar lié directement au contrôleur. Ces mêmes valeurs sont utilisées pour détecter certaines défaillances du noeud RVCD permettant d'activer la fonction 25 de sécurité " ACC défaut de frein ". Le noeud " pédale redondant " (double) Il est chargé de calculer une force de freinage en fonction de l'enfoncement de la pédale de frein par le conducteur et d'envoyer vers le noeud actionneur la force de freinage de consigne. Cette force correspond à la force de freinage calculé par le noeud pédale lorsque le conducteur enfonce la pédale de frein ou à la force de freinage calculé par le noeud RVCD lorsque la pédale de frein n'est pas enfoncée. La redondance de ce noeud permet de réaliser les diagnostics sur la cohérence de la force de freinage calculée et de vérifier l'état de fonctionnement de ces noeuds. Cette information est utilisée pour l'activation de la fonction de sécurité " Frein d'urgence ". Le noeud " actionneur ": Le noeud actionneurest doté d'une intelligence limitée. Il est chargé de trois tâches principales: * appliquer à la roue la force de freinage de consigne (provenant soit du noeud pédale soit du noeud RVCD) en serrant les o0 mâchoires des plaquettes de frein, * mesurer la force de freinage réellement appliquée, calculer la différence entre la force appliquée et la force de freinage de consigne et renvoyer ces informations aux deux autres noeuds. C'est grâce à ces valeurs que les défaillances de l'actionneur peuvent en partie être détectées et que la fonction de sécurité dédiée (Frein moteur) peut être déclenchée. Le bus de communication CAN Le RVCD communique avec les contrôleurs du moteur à combustion 20 interne et de la boîte de vitesses à travers le réseau CAN. C'est par ce réseau que le RVCD reçoit des données provenant de ces deux contrôleurs afin de les utiliser pour ses calculs internes. Le noeud RVCD sert en quelque sorte de portail entre les réseaux CAN et TTP/C. La présente invention ne fait pas appel aux propriétés du contrôleur du 25 réseau CAN pour la mise en place des fonctions de sécurité. Le bus de communication TTP/C: La communication entre les noeuds concernant le système de freinage est réalisée via le bus TTP/C. Le contrôleur de ce bus synchronise l'envoie et la réception des données et renseigne sur la disponibilité (état) des données 30 produites par chaque contrôleur. Ces renseignements sont également utilisés pour détecter certaines défaillances des noeuds et pour activer les fonctions de sécurité décrites plus haut suivant le type de défaillance présente dans le réseau. Les fonctions de sécurité du système décrit sont adaptées pour permettre: i. le redémarrage (relance) de l'élément ou organe défaillant tout en assurant le ralentissement du véhicule en cas de panne, ii. la réhabilitation de la fonction de freinage du véhicule de façon sécurisée uniquement lorsque les systèmes participant à ladite fonction marchent correctement. REVENDICATIONS 1) Système de contrôle pour des dispositifs de freinage à contrôle électronique distribué et en particulier à commande découplée, pour des véhicules automobiles dotés d'un système de régulation de vitesse à contrôle de distance, caractérisé en ce qu'il comprend les éléments suivants i une unité de contrôle (1) dédiée à la régulation de vitesse à contrôle de distance (RVCD), ii. une unité de contrôle (2, 3) dédiée à la pédale de frein (9), redondante, double, iii. une unité de contrôle (4) dédiée à un actionneur de frein pour chacune des quatre roues du véhicule, iv. un bus de communication (8), v. un bus de communication TT (5), ]5 l'unité de contrôle (2, 3) dédiée à la pédale (9) formant une première bouche de contrôle avec l'unité de contrôle (4) dédiée aux actionneurs de frein, I'unité de contrôle RVCD (1) formant avec les unités de contrôles (2, 3, 4) dédiées à la pédale et aux actionneurs, une seconde boucle de contrôle, le premier bus de communication (8) étant adapté pour 20 communiquer les informations entre l'unité de contrôle RVCD (1) et des contrôleurs (6, 7) du moteur et de la boîte de vitesses du véhicule, le bus de communication TT (5) étant adapté pour communiquer les informations entre l'unité de contrôle RVCD (1) et les unités de contrôle (2, 3, 4) de la pédale et des actionneurs, le système étant adapté pour activer au moins 25 une fonction de sécurité du freinage. 2) Système de contrôle selon la revendication 1, caractérisé en ce que l'unité de contrôle (1) de régulation de vitesse à contrôle de distance (RVCD) est adaptée pour calculer: * une force de freinage lorsqu'un freinage est requis, À une ouverture du papillon d'admission du dispositif d'alimentation du moteur, lorsqu'une accélération ou une décélération du véhicule est nécessaire, ces valeurs étant calculées à partir des données concernant la distance et 5 la vitesse du véhicule cible obtenues au moyen d'un système de radar lié directement au contrôleur du moteur. 3) Système de contrôle selon la revendication 2, caractérisé en ce que lesdites valeurs sont utilisées pour détecter certaines défaillances de 10 l'unité de contrôle RVCD permettant d'activer une fonction de sécurité. 4) Système de contrôle selon l'une des revendications 1 à 3, caractérisé en ce que l'unité de contrôle de la pédale, redondante, double est adaptée pour calculer une force de freinage en fonction de l'enfoncement de la pédale de frein (9) par le conducteur et d'envoyer vers l'unité de contrôle actionneur, la valeur d'une force de freinage de consigne, correspondant à la force de freinage calculée par l'unité de contrôle de la pédale, lorsque le conducteur enfonce la pédale de frein (9) ou à la force de freinage calculée par l'unité de contrôle RVCD lorsque la 20 pédale de frein n'est pas enfoncée. ) Système de contrôle selon la revendication 4, caractérisé en ce que les deux unités de contrôle redondantes de la pédale sont adaptées à effectuer une comparaison entre les forces de freinage calculées par 25 chacune desdites unités, les résultats de cette comparaison étant utilisés pour l'activation d'une fonction de sécurité. 6) Système de contrôle selon l'une des revendications 1 à 5, caractérisé en ce que l'unité de contrôle actionneur est adaptée pour: * appliquer.. la force de freinage de consigne déterminée soit par l'unité de contrôle pédale soit par l'unité de contrôle RVCD en serrant les mâchoires des plaquettes de frein, * mesurer la force de freinage réellement appliquée, calculer la différence entre la force appliquée et la force de freinage de consigne et renvoyer ces informations aux deux autres unités de contrôle. 7) Système de contrôle selon la revendication 6, caractérisé en ce que les résultats du calcul de la différence entre la force appliquée et la force de freinage de consigne sont utilisés pour activer une fonction sécurité. 8) Système de contrôle selon l'une des revendications 1 à 7, caractérisé en ce que le bus de communication (8) est un bus CAN et est adapté pour transmettre à l'unité de contrôle RVCD des données provenant du moteur à combustion interne et de la boîte de vitesse du 15 véhicule. 9) Système de contrôle selon l'une des revendications 1 à 8, caractérisé en ce que le bus de communication TT (5) est un bus TTP/C et est adapté pour transmettre des données entre les unités de 20 contrôle pédale et actionneur. ) Système de contrôle selon l'une des revendications 1 à 9, caractérisé en ce qu'il est adapté pour activer au moins l'une des trois fonctions de sécurité suivantes: i. " Frein d'urgence " correspondant à une défaillance de l'unité de contrôle pédale qui est corrigée par l'élaboration et l'application d'une force de freinage maximale commandée par l'unité de commande RVCD, ii. " Frein moteur " correspondant à une défaillance des 30 actionneurs des freins, lorsque ceux-ci ne sont pas en mesure d'appliquer la force de freinage requise, qui est corrigée par des actions de rétrogradage et de décélération visant à ralentir le véhicule grâce au frein moteur, iii. " ACC défaut frein " correspondant à une défaillance de l'unité de contrôle RVCD qui est corrigée par l'élaboration et 5 lI'application d'une force de freinage moyenne commandée par les unités de contrôle pédale. 11) Système de contrôle selon la revendication 10, caractérisé en ce que les conditions d'activation de la fonction de sécurité " Frein moteur ", 10 en cas de défaillance à l'entrée de l'unité de contrôle redondante pédale sont les suivantes: (1) le contrôleur de communication TTP ne reçoit pas de message de l'une des deux unités de contrôle au moment requis, (2) une erreur interne aux deux unités de contrôle a lieu, telle que la 15 panne d'un capteur, (3) les deux unités de contrôle pédale, calculent des forces de freinage trop différentes, dans ce cas, I'unité RVCD est adaptée pour définir une force de freinage maximale et l'unité actionneur doit ignorer toute force de freinage venant de l'unité pédale, lire 20 la valeur de cette force maximale et l'appliquer aux roues. 12) Système de contrôle selon la revendication 12, caractérisé en ce que si une défaillance de l'unité RVCD ou de l'unité actionneur est détectée, le système est adapté pour activer la fonction " Frein moteur ", 25 le système étant adapté pour ne revenir au mode de fonctionnement nominal que si toutes les unités fonctionnent correctement. 13) Système de contrôle selon l'une des revendications 10 à 12, caractérisé en ce que les conditions d'activation de la fonction de sécurité 30 " Frein moteur ", en cas de défaillance à l'entrée de l'unité actionneur sont les suivantes: (1 1 0 1) le contrôleur de communication TTP ne reçoit pas de message de l'unité actionneur au moment requis, (2) la valeur de la force réellement appliquée diffère trop de la force de freinage de consigne demandée par l'unité pédale, dans ce cas, I'unité RVCD est adaptée à demander une fermeture du papillon d'admission et des rétrogradages de rapports successifs à la boîte de vitesses afin de freiner le véhicule le plus rapidement possible grâce au frein moteur, et aucune force de freinage n'est ni demandée ni appliquée, le système étant adapté pour ne revenir au mode de fonctionnement nominal que si toutes les unités fonctionnent correctement. 14) Système de contrôle selon l'une des revendications 10 à 13, caractérisé en ce que les conditions d'activation de la fonction de sécurité "ACC défaut frein ", en cas de défaillance de l'unité RVCD, sont les suivantes: (1) le contrôleur de communication TTP ne reçoit pas de message de l'unité au moment requis, (2) une erreur interne à l'unité a lieu, telle qu'une erreur de calcul ou une force de freinage en dehors du domaine d'application, dans ce cas, I'unité pédale est adaptée pour envoyer une valeur de force de freinage moyenne (au lieu de la force de freinage fournie par l'unité RVCD) vers l'unité actionneur qui l'applique aux roues afin de prévenir le conducteur de la défaillance de l'unité RVCD. 20 25 ) Système de contrôle selon la revendication 14, caractérisé en ce que si une défaillance de l'unité pédale est détectée, le système est adapté pour activer la fonction " Frein d'urgence " et si une défaillance de l'unité 30 actionneur est détectée, le système est adapté pour activer la fonction " Frein moteur ", le système étant adapté pour ne revenir au mode de fonctionnement nominal que si toutes les unités fonctionnent correctement. 16) Système de contrôle selon l'une des revendications 10 à 15, caractérisé en ce que lesdites fonctions de sécurité sont adaptées pour permettre: i. le redémarrage (relance) de l'élément ou organe défaillant tout en assurant le ralentissement du véhicule en cas de panne, ii. la réhabilitation de la fonction de freinage du véhicule de façon sécurisée uniquement lorsque les systèmes participant à ladite fonction marchent correctement.