FR 2877302 A1 20060505 FR 0411568 A 20041029 SYSTEME DE FREINAGE A COMMANDE ELECTRIQUE La présente invention concerne un système de freinage à commande électrique pour véhicule. Actuellement les roues d'un véhicule automobile sont freinées chacune par un actionneur hydraulique relié par une tubulure à un maître cylindre qui est commandé par une pédale de frein. Ces systèmes de freinage sont fiables mais présentent des limites telles que les constructeurs de véhicules automobiles pensent que dans l'avenir ces véhicules seront freinés par des systèmes de freinage à commande électrique dans lesquels les actionneurs hydrauliques sont remplacés par des actionneurs io électromécaniques. Ainsi, divers systèmes de freinage à commande électrique ont été proposés. Ces systèmes de freinage comprennent généralement pour chaque roue du véhicule, un module de contrôle de roue associé à un actionneur électromécanique engendrant l'effort de freinage à ladite roue, un module de contrôle de pédale associé à la pédale de frein, ces modules étant reliés par un réseau de communication à une unité centrale. Les fonctions de contrôle sont ainsi réparties entre les différents modules. Un système de freinage de ce type est décrit par exemple dans l'US 5 952 799. Cependant, les différents modules de contrôle de ces systèmes sont susceptibles de faire l'objet de défaillances qui doivent être gérées par des modes de fonctionnement sécuritaires qui compliquent l'architecture de ces systèmes et augmentent leur coût. Pour cette raison, actuellement, aucun véhicule automobile n'est encore équipé d'un système de freinage à commande électrique. Le but de la présente invention est de remédier aux inconvénients précités en proposant un système de freinage à commande électrique assurant une sécurité améliorée tout en étant moins complexe et moins coûteux. Suivant l'invention, ce système de freinage à commande électrique pour véhicule comprenant pour chaque roue du véhicule un module de contrôle de roue associé à un actionneur électromécanique engendrant l'effort de freinage à ladite roue, un module de contrôle de pédale associé à la pédale de frein, ces modules étant reliés par un réseau de communication à une unité centrale est caractérisé en ce qu'il comprend deux unités centrales qui sont fonctionnellement reliées entre elles, chacune étant reliée à deux modules de contrôle de roue et au module de contrôle de pédale. En cas de défaillance de l'une des deux unités centrales, un mode de freinage de sécurité est néanmoins assuré sur deux roues du véhicule. De préférence, le module de contrôle de pédale comprend deux capteurs aptes à détecter la force exercée par le conducteur sur la pédale de frein, chacun des deux capteurs étant relié à l'une des deux unités centrales. io Ainsi en cas de défaillance de l'une des unités centrales ou de l'un des capteurs, l'autre capteur reste apte à fournir des informations à l'une des deux unités centrales. Selon une version préférée de l'invention, les deux unités centrales sont reliées chacune à deux modules de roue en diagonale, l'une des unités centrales is étant reliée au module de la roue avant droite et au module de la roue arrière gauche et l'autre unité centrale étant reliée au module de la roue avant gauche et au module de la roue arrière droite. De préférence également, dans le mode de fonctionnement nominal, chaque unité centrale est apte à calculer l'effort de freinage à appliquer sur les deux roues à laquelle elle est reliée, en fonction de la force exercée par le conducteur sur la pédale de frein qui est détectée par le capteur correspondant. En cas de défaillance, chaque module de roue est apte à calculer l'effort de freinage à appliquer sur la roue correspondante. Pour réduire encore davantage les risques de défaillance, l'invention prévoit les dispositions suivantes: soit les deux unités centrales sont de conception différente, physiquement séparées et programmées par un logiciel identique ou différent; - soit les deux unités centrales sont de conception différente, réunies dans un même module et programmées par un logiciel identique ou différent; soit les deux unités centrales sont de conception identique, physiquement séparées et programmées par un logiciel différent; soit les deux unités centrales sont de conception identique, réunies dans un même module et programmées par un logiciel différent. D'autres particularités et avantages de l'invention apparaîtront encore tout au long de la description ci-après. Aux dessins annexés, donnés à titre d'exemples, non limitatifs: - la figure 1 est le schéma général du système de commande de freinage selon l'invention, - la figure 2 est un schéma du système de commande qui est mis en oeuvre en cas de défaillance, la figure 3 est un schéma analogue à la figure 1 montrant une variante de l'invention. io Le schéma de la figure 1 représente l'architecture d'un système de commande électronique du freinage d'un véhicule qui comprend pour chaque roue du véhicule un module 6 de contrôle de roue associé à un actionneur électromécanique 9 engendrant l'effort de freinage à ladite roue, un module 4 de contrôle de pédale, associé à la pédale de frein. Ces modules 6, 4 sont reliés par i5 un réseau de communication 5 à une unité centrale. Conformément à l'invention, le système de commande comprend deux unités centrales 1, 1' qui sont fonctionnellement reliées entre elles par une liaison 2. Chacune de ces unités 1, 1' est reliée à deux modules 6 de contrôle de roue et au module 4 de contrôle de pédale de freinage. Le module 4 de contrôle de pédale comprend deux capteurs 3 distincts aptes à détecter la force exercée par le conducteur sur la pédale de frein. Chacun des deux capteurs 3 est relié à l'une des deux unités centrales 1, 1'. Dans l'exemple représenté sur la figure 1, les deux unités centrales 1, 1' sont reliées par le réseau de communication 5, chacune à deux modules de roue 6 en diagonale, ce qui veut dire que l'une des unités centrales 1, 1' est reliée au module 6 de la roue avant droite et au module 6 de la roue arrière gauche et l'autre unité centrale est reliée au module 6 de la roue avant gauche et au module 6 de la roue arrière droite. Par ailleurs, dans le mode de fonctionnement nominal, chaque unité centrale 1, 1' est apte à calculer l'effort de freinage à appliquer sur les deux roues à laquelle elle est reliée, en fonction de la force exercée par le conducteur sur la pédale de frein qui est détectée par le capteur 3 correspondant. En cas de défaillance, chaque module de roue 6 est apte à calculer l'effort de freinage à appliquer sur la roue correspondante. De préférence, les deux unités centrales 1, 1' sont de conception différente, physiquement séparées et programmées par un logiciel identique ou différent. Les deux unités centrales 1, 1' peuvent également être de conception différente, réunies dans un même module et programmées par un logiciel identique ou différent. Dans une autre version, les deux unités centrales 1, 1' sont de conception identique, physiquement séparées et programmées par un logiciel différent. io Dans une autre variante, les deux unités centrales 1, 1' sont de conception identique, réunies dans un même module et programmées par un logiciel différent. A titre d'exemple, les deux unités centrales 1, 1' pourraient comporter chacune un microcontrôleur, mais les deux microcontrôleurs seraient d'un type différent d'un même fabricant ou fournis par des fabricants différents. Dans un autre exemple, l'une des unités centrales 1, 1' pourrait comporter un microcontrôleur et l'autre un DSP. Dans le cas de l'utilisation d'un DSP dans chaque unité centrale 1, 1', les deux DSP seraient d'un type différent d'un même fabricant ou fournis par des fabricants différents. Dans le cas de l'utilisation d'un DSP dans l'une des unités centrales et d'un microcontrôleur dans l'autre unité, les logiciels associés sont forcément différents. Dans le cas de l'utilisation d'un microcontrôleur ou d'un DSP dans chaque unité centrale, les logiciels associés sont de préférence développés indépendamment l'un de l'autre. Toutes les dispositions ci-dessus permettent de limiter les risques de défaillance simultanée ou commune des deux unités centrales 1, 1'. Dans le cas où les unités 1 et 1' sont intégrées dans un seul module, le couplage de chacune des unités doit être réalisé en garantissant un découplage des deux diagonales formées par le réseau de communication 5. Lorsque ces deux unités 1 et 1' sont physiquement distinctes, elles seront reliées par un réseau de communication 2, sinon, la liaison entre les deux lignes de code est interne au module et chacune des unités 1 et 1' est reliée à une diagonale du réseau de communication 5. Dans la configuration de base, le module pédale de frein 4 comprend au minimum deux capteurs 3 qui peuvent être de même nature mais de conception différente. Une partie des capteurs est reliée à une des unités centrales 1 ou 1'. Le réseau de communication sera de préférence un réseau déterministe qui s garantit que la tâche demandée à un module sera exécutée à un instant précis. Afin d'atteindre le niveau de sécurité voulu, le protocole est dit sécurisé. La communication est déterministe: tous les noeuds sont synchronisés, chaque noeud exécute sa tâche à un instant et dans un délai précis et chacun peut détecter une éventuelle erreur. io La figure 2 représente les organes du mode dégradé qui permettront au véhicule d'atteindre l'arrêt en cas de défaillance du mode nominal. Au moins deux modules 7 et 8 sont reliés par des liaisons filaires 10, 11 aux modules 6 de roue avant. La technologie des modules 7 et 8 peut être du type graduelle (commande progressive) ou type tout ou rien et comporter par exemple un bouton sur le tableau de bord 7 et un contact sur la pédale de frein 8. Le réseau de communication 5 pourra également être exploité dans ce mode pour actionner les roues arrières, permettant ainsi une meilleure efficacité du freinage. L'ordre de freinage étant communiqué par des liaisons filaires 10, 11, la force de freinage à appliquer sur le disque des roues est calculée par les modules 6. Les avantages d'un tel système sont que les objectifs de sûreté de fonctionnement peuvent être atteints avec une architecture présentant un compromis coût / disponibilité et sécurité intéressant. De plus, les redondances sont optimisées et permettent une moindre complexité tout en assurant une disponibilité satisfaisante et un fonctionnement sûr du système de freinage. Cette architecture permet de moins contraindre les modules de roue car les modules 6 se comportent, en mode nominal, en esclave et le calcul de la consigne de freinage se fait dans les unités 1 et 1'. Ce principe réduit la complexité et l'électronique des modules 6 réduisant ainsi le coût car l'intégration de l'électronique au niveau des roues est coûteuse à cause des contraintes d'environnement particulièrement sévères. Une partie de l'électronique habituellement intégrée dans les roues est ainsi reportée dans les unités centrales 1, 1'. Le schéma de la figure 3 représente une autre disposition du réseau de communication entre les unités centrales 1, 1' et les modules de roue 6. Dans cette variante, le réseau de communication n'est pas disposé en diagonale, mais l'unité centrale 1 est reliée aux modules 6 des roues avant par un réseau de communication 5a, tandis que l'unité centrale 1' est reliée aux deux modules 6 des roues arrière par un autre réseau de communication 5a. Dans cette variante, en cas de défaillance, le module 7 et le module 8 sont reliés uniquement aux modules 6 des roues avant par des liaisons filaires. Toutefois, dans ce cas, des liaisons filaires peuvent également relier les io modules 6 des roues arrière, afin que le freinage de secours puisse s'appliquer sur les quatre roues. REVENDICATIONS 1. Système de freinage à commande électrique pour véhicule comprenant pour chaque roue du véhicule un module de contrôle de roue (6) associé à un actionneur électromécanique (9) engendrant l'effort de freinage à ladite roue, un module de contrôle de pédale (4) associé à la pédale de frein, ces modules (6, 9) étant reliés par un réseau de communication (5) à une unité centrale (1), caractérisé en ce qu'il comprend deux unités centrales (1, 1') qui sont fonctionnellement reliées entre elles, chacune étant reliée à deux modules (6) de contrôle de roue et au module de contrôle de pédale (4). 2. Système de commande selon la revendication 1, caractérisé en ce que le module de contrôle de pédale (4) comprend deux capteurs (3) aptes à détecter la force exercée par le conducteur sur la pédale de frein, chacun des deux capteurs (3) étant relié à l'une des deux unités centrales (1, 1'). 3. Système de commande selon l'une des revendications 1 ou 2, caractérisé en ce que les deux unités centrales (1, 1') sont reliées chacune à deux modules de roue (6) en diagonale, l'une des unités centrales (1, 1') étant reliée au module (6) de la roue avant droite et au module (6) de la roue arrière gauche et l'autre unité centrale étant reliée au module (6) de la roue avant gauche et au module (6) de la roue arrière droite. 4. Système de commande selon l'une des revendications 1 à 3, caractérisé en ce que dans le mode de fonctionnement nominal, chaque unité centrale (1, 1') est apte à calculer l'effort de freinage à appliquer sur les deux roues à laquelle elle est reliée, en fonction de la force exercée par le conducteur sur la pédale de frein qui est détectée par le capteur (3) correspondant. 5. Système de commande selon l'une des revendications 1 à 4, caractérisé en ce qu'en cas de défaillance, chaque module de roue (6) est apte à calculer l'effort de freinage à appliquer sur la roue correspondante. 6. Système de commande selon l'une des revendications 1 à 5, caractérisé en ce que les deux unités centrales (1, 1') sont de conception différente, physiquement séparées et programmées par un logiciel identique ou différent. 7. Système de commande selon l'une des revendications 1 à 5, caractérisé en ce que les deux unités centrales (1, 1') sont de conception différente, réunies dans un même module et programmées par un logiciel identique ou différent. 8. Système de commande selon l'une des revendications 1 à 5, io caractérisé en ce que les deux unités centrales (1, 1') sont de conception identique, physiquement séparées et programmées par un logiciel différent. 9. Système de commande selon l'une des revendications 1 à 5, caractérisé en ce que les deux unités centrales (1, 1') sont de conception identique, réunies dans un même module et programmées par un logiciel différent. 10. Système de commande selon l'une des revendications 1 à 9, caractérisé en ce qu'il comprend en outre deux modules (7, 8) reliés par des liaisons filaires (10, 11) aux modules (6) des roues avant pour commander le freinage de ces roues, en cas de défaillance du système.