FR 2882716 A1 20060908 FR 0550571 A 20050303 "Procédé et dispositif de commande d'un système de freinage à commande électrique" La présente invention concerne un procédé et un dispositif de commande d'un système de freinage à commande électrique. Dans l'état de la technique, il a été décrit des réalisations pour commander un système de freinage à commande électrique. Par exemple, dans le document US-B-5.952.799, il a été décrit un système de freinage à commande électrique pour un véhicule qui comporte plusieurs modules de commande capables to de régler la force de freinage sur les roues du véhicule. Un module de commande détermine si le conducteur a produit un ordre de freinage. Plusieurs systèmes de communication permettent de transporter les données entre les différents modules de commande de manière redondante. is Le fait que plusieurs chemins de communication peuvent être suivis pour acheminer les données échangées permet de renforcer la sécurité puisque le système de freinage reste opérationnel même en cas de défaillance de l'un des systèmes de communication. Dans l'architecture de cet état de la technique, les quatre roues du véhicule comportent chacune un contrôleur des actionneurs de freinage. Chaque paire de contrôleurs des actionneurs de freinage est alors connectée par son propre système de communication d'une part à l'unité de contrôle de la pédale de frein et d'autre part à un unique contrôleur de freinage. La présente invention apporte remède à ces inconvénients de l'état de la technique. En effet, l'invention concerne un procédé de commande d'un système de freinage à commande électrique. Le procédé consiste à placer le système de freinage dans un mode pris parmi un mode nominal, un mode de défaillance. Selon un autre aspect de l'invention, le système de freinage comportant une unité de freinage pour chaque roue du système de freinage, le procédé consiste en mode nominal, à exécuter une étape de calcul d'une consigne de décélération exécutée par chaque unité de freinage et exécutée à la détection d'un ordre de freinage issu d'un organe de commande de freinage. Selon un autre aspect de l'invention, le procédé consiste à prendre en compte une information de défaillance pour décider d'un mode de défaillance. Selon un autre aspect de l'invention, pour détecter un mode de défaillance, l'étape de calcul d'une consigne de lo décélération est aussi exécutée dans chaque unité centrale et les diverses étapes de calcul d'une consigne de décélération sont exécutées identiquement sur chaque organe de sorte qu'un écart entre les consignes déterminées à un instant donné déclenche le mode de défaillance. Selon un autre aspect de l'invention, lorsqu'une panne est détectée sur l'un des capteurs ou sur un contrôleur du module de commande de freinage, les unités centrales ainsi que les modules étant en architecture en tolérance de panne exécutent alors un mode refuge comprenant notamment le calcul d'une consigne de décélération à partir des autres capteurs du module de commande de freinage. L'invention concerne aussi un dispositif de commande pour système de freinage du genre comportant deux systèmes de communication entre un organe de commande de freinage et deux paires d'unités de frein de roue et mettant en oeuvre le procédé selon l'invention. Chaque paire d'unités de freinage est connectée à une unité centrale qui lui est réservée et qui reçoit aussi les informations issues d'un organe de commande de freinage. Selon un autre aspect de l'invention, chaque unité centrale comporte une liaison directe à un capteur de freinage qui lui est réservé, et les deux unités centrales sont interconnectées par leur propre réseau de communication. Selon un autre aspect de l'invention, le module de commande de freinage est à architecture à extinction en cas de panne de sorte qu'il n'envoie pas d'information erronée aux unités centrales et/ou aux modules de freinage, et le module de commande de freinage est à architecture à tolérance de panne en cas de panne simple dans le bloc de commande de freinage. Selon un autre aspect de l'invention, il comporte des moyens de diagnostic et des moyens de surveillance de ses capteurs d'enfoncement de pédale et de ses contrôleurs. Selon un autre aspect de l'invention, les unités centrales sont à architecture à extinction en cas de panne de sorte io qu'aucune information erronée n'est envoyée aux modules de roue, des unités pour générer une même consigne de décélération sont activées sur chacun des modules de roue et sur leurs unités centrales et les modules de roue sont à architecture à tolérance de panne. D'autres caractéristiques et avantages de la présente invention seront mieux compris à l'aide de la description détaillée qui va suivre et des dessins annexés parmi lesquels la figure 1 est un schéma bloc représentant les éléments principaux du dispositif de commande de l'invention. Le dispositif de commande de l'invention a été représenté à la figure unique dans un mode particulier de réalisation. Deux essieux sont prévus sur un véhicule et qui rassemblent quatre groupes d'actionneurs de freinage (non représentés). Chaque actionneur de freinage est commandé par l'intermédiaire d'un contrôleur d"actionneur de freinage, dit aussi module de roue, puisqu'il est localisé sur l'étrier de freinage, mais non nécessairement, et référencé au dessin respectivement 6-Al et 6-BI pour l'essieu avant et 6-A2 et 6-B2 pour l'essieu arrière. Chaque contrôleur d'actionneur de freinage 6 comporte: - un moyen de contrôle pour recevoir un ordre de freinage et pour exécuter localement une consigne de décélération; - un moyen de commande pour exécuter la consigne de décélération sous forme d'un signal d'activation de l'actionneur de freinage; et - un moyen d'observation pour retourner un vecteur d'état de freinage et un vecteur d'état de panne totale ou partielle à destination de l'unité centrale 1A ou 1B qui lui est affectée Chaque contrôleur d'actionneur de freinage est donc connecté à une unité de commande de freinage ou unité centrale respectivement 1A pour les contrôleurs 6-Al et 6-A2 et unité centrale 1B pour les contrôleurs de roue 6-B1 et 6-B2 de sorte que les unités centrales de freinage sont reliées chacune à deux modules de roue en diagonale: la roue avant droite avec la roue o arrière gauche et la roue avant gauche avec la roue arrière droite. Les deux unités centrales 1A et 1B sont interconnectées par un canal de communication 2, indépendant d'un autre réseau de communications 5 qui sera décrit plus loin. Les deux unités centrales 1A et 1B comportent des moyens pour élaborer, puis ls échanger des informations de diagnostic des modules de roue d'une part et des informations d'état de freinage des modules de roue qui leur sont associés d'autre part. Dans un mode particulier de réalisation, il est prévu des moyens d'alimentation et/ou d'activation des unités centrales 1A et 1B qui sont conçus de manière à ce que la défaillance des moyens d'alimentation et/ou d'activation de l'une des unités centrales 1A ou 1B n'entraîne aucun effet adverse à l'encontre des moyens d'alimentation et/ou d'activation de l'autre unité centrale 1B ou 1A. Selon une caractéristique essentielle de l'invention, les quatre modules de roue 6 et les deux unités centrales 1 sont connectés à un unique réseau de communications 5. A cet effet, le réseau de communication 5 comporte: un point d'accès 5A pour les communications entre les modules de roue 6-A et l'unité centrale associée 1A; - un point d'accès 5B pour les communications entre les modules de roue 6-B et l'unité centrale associée 1 B. Enfin le dispositif de commande de l'invention comporte un module 4 d'interprétation d'une situation de freinage. Particulièrement, le module 4 d'interprétation d'une situation de freinage comporte une pédale de freinage installée au poste de conduite ainsi que des capteurs de degré d'enfoncement de la pédale de freinage. Dans un mode particulier de réalisation, les capteurs de degré d'enfoncement de la pédale de freinage sont dédoublés en un capteur de degré d'enfoncement 3A connecté par sa propre liaison électrique à l'unité centrale 1A et un capteur de degré d'enfoncement 3B connecté par sa propre liaison électrique à l'unité centrale I B. Chaque capteur de degré d'enfoncement 3A ou 3B est connecté à la ligne qui le relie à son io unité centrale 1A ou 1B par l'intermédiaire d'un contrôleur non représenté qui comporte essentiellement: un moyen de traitement du signal issu de capteur pour le transformer en un signal interprétable par l'unité centrale 1A ou 1B auquel il est transmis; un moyen pour produire un signal de diagnostic à destination de l'unité centrale 1A ou I B. Selon une caractéristique importante de l'invention, les modules de roue 6 et leurs unités centrales 1 respectives présentent une architecture à tolérance de panne ( fault tolerant ), une architecture à extinction en cas de panne ( fail silent ) ou une architecture combinant la tolérance de panne ( fault tolerant ) et l'extinction en cas de panne ( fail silent ). L'extinction en cas de panne est une architecture matérielle et logicielle qui permet d'interdire à une unité électronique d'envoyer au moins une information erronée aux unités électroniques auxquelles elle est connectée. Dans un mode particulier de réalisation, le module 4 de commande de freinage présente une architecture d'extinction en cas de panne relativement aux unités centrales 1A et I B. Le module 4 de commande de freinage comporte un moyen pour exécuter le diagnostic et la surveillance des capteurs 3A et 3B de degré d'enfoncement de la pédale de freinage ainsi que des unités de traitement des signaux de détection de l'enfoncement, afin de mettre en oeuvre l'architecture à extinction en cas de panne. Le module 4 de commande de freinage comporte un moyen pour tester la cohérence des données entre les différents capteurs de degré d'enfoncement 3A et 3B de façon à mettre en oeuvre l'architecture à extinction en cas de panne. Le module 4 de commande de freinage comporte un moyen pour assurer la disponibilité des informations concernant le degré d'enfoncement de la pédale de frein en cas de panne simple io détectée par son architecture à tolérance de panne. Dans un mode particulier de réalisation, les unités centrales 1A et 1B présentent une architecture à extinction en cas de panne au bénéfice des modules de roue 6A et 6B. Pour assurer un diagnostic de panne, les unités centrales 1A et 1B et les modules de roue 6A et 6B comportent des moyens identiques pour élaborer une consigne de décélération et les signaux d'élaboration de la consigne de décélération sont ensuite échangés avec des circuits de détection de défaut d'équivalence pour placer l'un ou l'autre des unités centrales et/ou des modules de roue en mode de tolérance de panne. Dans un mode de réalisation, les modules de roue 6A et 6B présentent une architecture à tolérance de panne. Selon le procédé de l'invention, une première étape du procédé consiste à placer le système de freinage dans un mode pris parmi un mode nominal, un mode de détection de faute et un mode de détection de panne. En mode nominal, le procédé comporte une étape de calcul d'une consigne de décélération exécutée par chaque unité de freinage et exécutée à la détection d'un ordre de freinage issu d'un organe de commande de freinage 4. En permanence, le procédé consiste alors à prendre un compte une information de défaillance pour décider d'un mode de détection de faute ou d'un mode de détection de panne. Pour entrer dans un mode de détection de faute, l'étape de calcul d'une consigne de décélération est aussi exécutée dans chaque unité centrale 1A; I B. Les diverses étapes de calcul d'une consigne de décélération sont exécutées identiquement sur chaque organe de sorte qu'un écart entre les consignes déterminées à un instant donné déclenche le mode de détection de faute. Lorsqu'une panne est détectée sur l'un des capteurs 3A, 3B ou sur un contrôleur du module 4 de commande de freinage, io les unités centrales 1A et 1B ainsi que les modules 6A et 6B étant en architecture en tolérance de panne exécutent alors le calcul d'une consigne de décélération à partir des autres capteurs du module 4 de commande de freinage. Ainsi, sur la base de l'architecture à tolérance de panne et à extinction en cas de panne du module 4 de commande de freinage, une information valide de la volonté du conducteur, ou plus généralement d'une commande de freinage, est toujours présente et le procédé de l'invention consiste en l'exécution d'un mode refuge comme celui basé sur l'exécution d'une consigne de décélération. REVENDICATIONS 1 Procédé de commande d'un système de freinage à commande électrique, caractérisé en ce qu'il consiste à placer le système de freinage dans un mode pris parmi un mode nominal s dans lequel le procédé consiste à détecter un ordre de freinage, et un mode de défaillance, dans lequel le procédé consiste à prendre en compte une information de défaillance pour décider d'un mode de défaillance. 2 Procédé selon la revendication 1, le système de io freinage comportant une unité de freinage pour chaque roue du système de freinage, caractérisé en ce que, en mode nominal, il comporte une étape de calcul d'une consigne de décélération exécutée par chaque unité de freinage et exécutée à la détection d'un ordre de freinage issu d'un organe de commande de freinage (4). 3 Procédé selon la revendication 1, caractérisé en ce qu'en mode de défaillance, il comporte une étape pour détecter une faute du système de freinage et une étape pour détecter une panne du système de freinage. 4 - Procédé selon la revendication 2 et la revendication 3, caractérisé en ce que pour détecter une défaillance, l'étape de calcul d'une consigne de décélération est aussi exécutée dans chaque unité centrale (1A; 1B) et en ce que les diverses étapes de calcul d'une consigne de décélération sont exécutées identiquement sur chaque organe de sorte qu'un écart entre les consignes déterminées à un instant donné déclenche le mode de défaillance. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, lorsqu'une panne est détectée sur l'un des capteurs (3A, 3B) ou sur un contrôleur du module (4) de commande de freinage, les unités centrales (1A; 1B) ainsi que les modules (6A; 6B) étant en architecture en tolérance de panne exécutent alors un mode refuge comprenant notamment le calcul d'une consigne de décélération à partir des autres capteurs du module (4) de commande de freinage. 6 - Dispositif de commande pour système de freinage du genre comportant deux systèmes de communication entre un organe de commande de freinage et deux paires d'unités de frein de roue et mettant en oeuvre le procédé selon l'une des revendications 1 à 5, caractérisé en ce que chaque paire d'unités de freinage (6-Al, 6-A2; 6-B1, 6-B2) est connectée à une unité centrale (1A; 1B) qui lui est réservée et qui reçoit aussi les io informations issues d'un organe de commande de freinage (4). 7 - Dispositif selon la revendication 6, caractérisé en ce que chaque unité centrale (1A; 1B) comporte une liaison directe à un capteur de freinage (3A; 3B) qui lui est réservé, et en ce que les deux unités centrales (1A; 1B) sont interconnectées par leur propre réseau de communication (2). 8 Dispositif selon la revendication 7, caractérisé en ce que le module (4) de commande de freinage est à architecture à extinction en cas de panne de sorte qu'il n'envoie pas d'information erronée aux unités centrales (1A; 1B) etlou aux modules de freinage (6A; 6B), et en ce que le module (4) de commande de freinage est à architecture à tolérance de panne en cas de panne simple dans le bloc de commande de freinage (4). 9 Dispositif selon la revendication 8, caractérisé en ce qu'il comporte des moyens de diagnostic et des moyens de surveillance de ses capteurs d'enfoncement de pédale (3A; 3B) et de ses contrôleurs (4). Dispositif selon la revendication 7, caractérisé en ce que les unités centrales (1A; 1B) sont à architecture à extinction en cas de panne de sorte qu'aucune information erronée n'est envoyée aux modules de roue (6A; 6B), en ce que des unités pour générer une même consigne de décélération sont activées sur chacun des modules de roue (6A; 6B) et sur leurs unités centrales (1A; 1B) et en ce que les modules de roue (6A; 6B) sont à architecture à tolérance de panne.