FR2843341A1 - Systeme de controle distribue pour un dispositif de direction et un dispositif de freinage electriques, notamment pour vehicules - Google Patents

Abstract

Le système de contrôle comprend :i. une unité centrale de contrôle contenant une fonction de Gestion haut niveau, plus les fonctions freinage de base, ABS, ESP, (TRAXXAR), ASR, MSR, ACC, Anticollision, Aide au Parking, Système de guidage, Surveillance du niveau d'énergie,ii. un contrôleur Direction Electrique contenant les fonctions Gestion haut niveau et Direction de base,iii. un contrôleur Frein Electrique avec chaîne de contrôle redondante (double) contenant les fonctions de freinage de base, ABS, ESP, (TRAXXAR),iv. un contrôleur Actionneur Direction,v. quatre contrôleurs Actionneur de Frein pour chacune des quatre roues du véhicule contenant la fonction Gestion haut niveau,vi. un bus de communication,vii. un bus synchrone,le système étant adapté pour activer des fonctions de contrôle d'urgence du véhicule.

Description

La présente invention concerne un système de contrôle distribué pour un

dispositif de direction et un dispositif de freinage électriques, en particulier à

commande découplée, notamment pour véhicules automobiles.

Depuis quelque temps, le concept d'un système de contrôle intégral ou 5 global des véhicules automobiles devient de plus en plus courant dans l'industrie automobile. Ce contrôle intégral du véhicule implique l'incorporation dans le véhicule de nombreux et variés systèmes électroniques consacrés à la détection des conditions de conduite et au contrôle des différentes fonctions

du véhicule.

Certains de ces systèmes existent déjà ou seront présents sur le marché

dans les années à venir. On peut citer, par exemple, les systèmes de navigation par satellite (GPS), les systèmes d'aide à la conduite (régulation de vitesse à contrôle de distance, anticollision, aide au parking) ou les systèmes de contrôle de la stabilité et la traction du véhicule (ABS, ESP, TRAXXAR, 15 ASR).

Dans un futur proche, ces systèmes auront par ailleurs un complément idéal pour le contrôle du véhicule: les systèmes de contrôle à commande découplée ou " X-by-wire ", tels que les systèmes de freinage électrique, les suspensions pilotées ou les colonnes de direction électriques. Avec ce type de 20 systèmes il sera possible de contrôler les fonctions du véhicule avec plus de

précision et de prendre en considération un nombre plus élevé de paramètres.

On aura alors la possibilité d'offrir à l'utilisateur du véhicule des prestations

améliorées en termes de sécurité, de comportement sur route et de confort.

Afin d'atteindre ces objectifs, il sera néanmoins nécessaire de répondre à 25 des exigences accrues en termes de fiabilité et sécurité, mais également en termes de processus de développement des systèmes. Il faudra notamment mettre en interaction des systèmes conçus typiquement de façon indépendante afin d'assurer toutes les fonctions du véhicule avec un degré très élevé de fiabilité. Ces exigences sont particulièrement présentes dans la 30 conception des systèmes de contrôle distribué dans lesquels une fonction est

répartie vers différents contrôleurs électroniques.

La présente invention concerne un système de contrôle et une fonction

de contrôle d'urgence pour un véhicule automobile. Ce système ainsi que l'algorithme de contrôle exposé dans la présente description peuvent être appliqués à un système de contrôle global ou de supervision du véhicule. Afin 5 de décrire la présente invention, on utilisera des exemples concernant sa solution préférentielle, un véhicule équipé des systèmes de freinage et de direction à transmission de commande découplée, et des fonctions de contrôle

de stabilité, de traction.et d'aide à la conduite.

Dans les systèmes de direction " by-wire " connus, les actions du io conducteur sur le volant de direction sont d'abord détectées par un capteur.

Elles sont ensuite interprétées et modulées, selon l'information sur l'état du véhicule afin d'améliorer le comportement dynamique de celui-ci. Ces actions sont enfin traduites en commandes et envoyées vers des actionneurs chargés du braquage des roues. Ces systèmes peuvent aussi reconstituer le couple 15 qui serait transmis à la colonne de direction et renvoyer cette valeur à l'actionneur de la colonne de direction, recréant de cette manière la sensation

d'une force au volant ressentie par le conducteur.

Quant aux systèmes de freinage électrique, c'est la course ou la force d'enfoncement de la pédale de frein qui est détectée par un capteur. En 20 fonction du signal provenant du capteur, un système de contrôle émet des

commandes de freinage qui sont acheminées vers les actionneurs des freins.

Ceux-ci agissent sur les cylindres du circuit hydraulique qui sont situés près des roues (systèmes électro-hydrauliques) ou directement sur les plaquettes des freins (systèmes électromécaniques) fournissant la force de freinage 25 souhaitée.

Ce type de système présente l'avantage de pouvoir être intégré dans des systèmes de contrôle de traction électroniques puisque les signaux électriques provenant du volant de direction ou de la pédale de frein peuvent être facilement utilisés par diverses fonctions de contrôle. Néanmoins, les 30 systèmes de direction et de freinage du type " by-wire " conventionnels ont

rarement été intégrés sur un même véhicule dans le passé.

J Les systèmes électriques dits redondants ou sécuritaires de direction ou de freinage proposent le couplage d'un système du type " by-wire " et d'un système auxiliaire parallèle, hydraulique ou mécanique, dédié aux fonctions de sécurité et pouvant agir sur les actionneurs de direction ou des freins. Ces 5 systèmes sont donc capables de transmettre une commande même si un défaut électrique dans le système " by-wire " survient. Dans ce cas, c'est le système redondant mécanique ou hydraulique qui couvre les fonctions de

freinage et de direction et commande les actionneurs.

Les systèmes de direction sécurisés purement électriques reposent 10 quant à eux sur un système de contrôle à boucle alternativement fermée et ouverte constitué généralement de deux contrôleurs électroniques en parallèle. Chaque contrôleur transmet des signaux à un de deux actionneurs qui agissent sur un seul et même axe de direction, créant ainsi deux soussystèmes de contrôle similaires mais indépendants. Pendant un cycle 15 d'opération normal, un seul des deux systèmes contrôle la direction, mais les

deux contrôleurs se surveillent mutuellement. En cas de défaillance de l'un des systèmes, le système non défaillant éteint le système défaillant et assume le contrôle de la direction. Ce principe, appelé fonction " watch dog ", est également appliqué aux systèmes de freinage à commande purement 20 électrique.

Dans le cas des systèmes de contrôle distribués, les fonctions de secours activées par des contrôleurs électroniques en cas de défaillance d'un des systèmes du réseau distribué sont généralement conçues indépendamment des autres systèmes qui forment le réseau. Ces solutions de 25 secours ne visent à résoudre que les défauts du seul système défaillant et ne cherchent pas à répondre aux défaillances du point de vue du système

véhicule global.

Les systèmes " by-wire " non renforcés peuvent présenter des défauts pouvant conduire à une perte de contrôle lorsqu'un défaut sur le réseau électrique se produit. Ce défaut peut provenir d'un défaut de l'un des capteurs, d'un défaut dans le réseau électrique ou d'une défaillance du contrôleur de communication. Les systèmes sécurisés à double contrôleur (avec système et chaîne de contrôle renforcés) sont également sensibles à ce type de défaillance. Les systèmes sécuritaires renforcés avec un deuxième type de transmission de commande, hydraulique ou mécanique, résultent souvent en 5 un encombrement des systèmes du véhicule et impliquent la mise en place d'une architecture mécanique et électronique intriquée. De plus, le système de sécurité n'entre en action que sur un défaut du système " by-wire " qu'il renforce, l'appel à ce système de sécurité par d'autres systèmes véhicules

étant alors impossible.

De même, dans la plupart des systèmes à contrôle distribué, un soussystème du réseau ne peut généralement pas faire appel à des fonctionnalités pilotées par un autre sous-système. La sécurité du système distribué est alors affaiblie car le système de contrôle a une capacité de réponse limitée face aux différents types de défaillances (ou combinaisons de défaillances) pouvant 15 survenir lors de l'utilisation du système.

Dans les systèmes distribués récents, lorsqu'une défaillance d'un des

éléments du réseau distribué est constatée, certaines fonctions du véhicule peuvent être mises à l'abri de façon isolée par le système de contrôle qui les pilote, mais cette mise à l'abri ne tient pas compte de l'état des autres 20 systèmes.

En opposition aux processus de conception classiques, la présente

invention aborde les aspects sécuritaires du véhicule du point de vue du système global. Le système de contrôle présenté dans la présente description tolère différentes défaillances de ses sous-systèmes tout en assurant les 25 fonctions de freinage et direction du véhicule.

L'invention propose une fonction de contrôle d'urgence qui permet de mettre le véhicule à l'abri de façon sécurisée lorsqu'une dégradation de ses fonctions représente un risque important pour le conducteur. Elle fait appel au concept de contrôle distribué dans lequel les lois de régulation et de

commande sont partagées par différents contrôleurs électroniques.

Dans cette description, on décrira uniquement l'implémentation de ce

système de contrôle dans un véhicule automobile sans détailler l'architecture s

électrique ni de communication. De la même manière, on ne décrira en détail les caractéristiques techniques des éléments intégrés dans le véhicule que lorsque cette description s'avère essentielle à la compréhension de la

présente invention.

Suivant l'invention, le système de contrôle distribué pour un dispositif de direction et un dispositif de freinage électriques, en particulier, à commande découplée, notamment pour des véhicules automobiles, est caractérisé en ce qu'il comprend: i. une unité centrale de contrôle contenant une fonction de Gestion io haut niveau, plus les fonctions freinage de base, ABS, ESP, (TRAXXAR), ASR, MSR, ACC, Anticollision, Aide au Parking, Système de guidage, Surveillance du niveau d'énergie, ii. un contrôleur Direction Electrique contenant les fonctions Gestion haut niveau et Direction de base, 15 iii. un contrôleur Frein Electrique avec chaîne de contrôle redondante (double) contenant les fonctions de freinage de base,

ABS, ESP; (TRAXXAR),

iv. un contrôleur Actionneur Direction, v. quatre contrôleurs Actionneur de Frein pour chacune des quatre 20 roues du véhicule contenant la fonction Gestion haut niveau, vi. un bus de communication, vii. un bus synchrone, dans lequel, - les contrôleurs Direction Electrique, Freinage Electrique, Unité Centrale, Actionneur de direction et Actionneur de Frein échangent des messages par le bus synchrone, les messages circulant par ce bus étant dédiés au contrôle des fonctions de direction, de freinage et de stabilité du 30 véhicule, I'unité centrale communique avec des contrôleurs du moteur et de la boîte des vitesses via le bus de communication et envoie des commandes d'ouverture du papillon d'admission au moteur et de rétrogradages à la boîte de vitesse provenant des fonctions qu'elle contient: ESP (TRAXXAR), ASR, ACC, Anticollision, - des boucles de contrôle de base sont établies entre les contrôleurs Direction Electrique et Frein Electrique et leurs respectifs actionneurs, pour contrôler la direction et le freinage, - et une boucle de contrôle dynamique est établie entre les boucles de régulation de base et les fonctions chargées du o0 contrôle de la trajectoire et de la traction du véhicule, le

système étant adapté pour activer des fonctions de contrôle d'urgence du véhicule.

Selon une particularité de l'invention, les contrôleurs sont adaptés pour calculer des commandes de freinage et de braquage des roues en fonction, 15 respectivement, de la course d'enfoncement de la pédale et de l'angle du volant de direction, les valeurs ainsi calculées étant envoyées vers les actionneurs correspondants qui les appliquent aux roues, au travers des plaquettes des freins ou des pignons / crémaillères de l'axe de direction, les actionneurs sont adaptés pour mesurer la valeur de la force de freinage ou du 20 déplacement de l'axe de direction réellement appliqués et pour les renvoyer sur le bus synchrone et la boucle de contrôle dynamique est adaptée pour effectuer une modulation des commandes de freinage et de braquage suivant les conditions de conduite instantanées du véhicule (trajectoire, conditions d'adhérence) effectuée par les fonctions chargées du contrôle du 25 comportement dynamique du véhicule, telles que l'ESP, I'ABS ou l'Anticollision. Selon une autre particularité de l'invention, dans le cas d'un freinage contrôlé par l'ACC, la boucle de contrôle de base est établie entre l'ACC, le contrôleur des freins et les actionneurs des freins, la fonction ACC communique avec les contrôleurs du moteur et la boîte de vitesses, I'ACC est adapté pour calculer une force de freinage et une ouverture du papillon d'admission motorisé du moteur en fonction des informations sur l'environnement provenant du système radar (distance et vitesse relatives de la cibles) et de l'état du moteur et de la boîte de vitesses, la force de freinage demandée par l'ACC étant envoyée vers le contrôleur des freins, ce dernier étant adapté pour transférer les commandes des forces de freinage qui 5 correspondront à la force calculée par l'ACC lorsque la pédale de frein n'est pas enfoncée ou à la force calculée par le noeud pédale lorsque le conducteur

appuie sur la pédale de frein.

Dans le système de contrôle selon l'invention la fonction Gestion haut

niveau est adaptée pour détecter les différentes défaillances des contrôleurs, lo et pour déclencher les fonctions de secours suivant l'origine de la défaillance.

Selon une autre particularité, le système de contrôle selon l'invention est adapté pour activer au moins l'une des fonctions de secours suivantes i. Freinage Secours, correspondant à une défaillance du contrôleur Frein Electrique (chargé d'interpréter la volonté du conducteur) 15 qui est corrigée par l'élaboration et l'application d'une force de freinage maximale commandée par la fonction ACC et une prise en charge du freinage par l'unité centrale, ii. Freinage Défaillance ACC, correspondant à une défaillance de la fonction ACC qui est corrigée par l'élaboration et l'application 20 d'une force de freinage moyenne commandée par le contrôleur Frein Electrique ou, en présence d'une défaillance de celui-ci, par l'unité centrale; iii. Contrôle d'Urgence, correspondant à une défaillance grave du système de freinage, lorsque celui-ci n'est pas en mesure de 25 satisfaire la fonction de freinage du véhicule, qui est corrigée par

une mise à l'abri du véhicule.

D'autres particularités et avantages de l'invention apparaîtront encore

dans la description ci-après.

Aux dessins annexés, donnés à titre d'exemples non limitatifs.

- la figure 1 est un schéma de l'architecture du système de contrôle, - la figure 2a représente schématiquement la boucle de régulation de base du système de direction, - la figure 2b représente schématiquement la boucle de régulation de base du système de freinage, - la figure 2c représente schématiquement les boucles dynamiques de régulation des systèmes de direction et de freinage, - la figure 3 représente l'organigramme de l'automate de gestion haut

niveau du système selon l'invention.

io L'invention concerne un système de contrôle électronique dédié à la gestion et au contrôle dynamique du véhicule et une fonction de contrôle d'urgence du véhicule. Le système gère les fonctions du véhicule qui font principalement appel aux systèmes de freinage et de direction et, dans une

moindre mesure, aux systèmes de contrôle de la transmission et du moteur.

La figure 1 montre l'exemple d'une réalisation préférentielle de

l'architecture du système de contrôle. Ce schéma représente un placement type des différentes fonctions de contrôle dans une architecture distribuée.

Pour réaliser le système de contrôle exposé dans ce document, il est bien entendu possible de placer les fonctions dans les contrôleurs électroniques 20 pouvant équiper le véhicule d'une façon différente sans s'écarter de l'esprit de la présente invention. Ces différents placements peuvent alors être considérés

comme des éléments faisant partie de la présente invention.

Le véhicule de la solution préférentielle est équipé de systèmes électromécaniques de direction et de freinage à transmission de commande 25 électrique. Le système de direction est par ailleurs renforcé par un système de sécurité mécanique *ou hydraulique, élaboré suivant l'état de l'art correspondant, qui permet au conducteur de commander la direction lorsque

le système électromécanique est défaillant.

Dans cette réalisation préférentielle, le système de freinage électrique a 30 un système de contrôle double (deux capteurs, deux logiques de contrôle, deux messageries) travaillant en parallèle qui permet de vérifier la cohérence

des informations produites par ce système.

Le véhicule est équipé au moins des fonctions suivantes: freinage de base, ABS, ESP, (TRAXXAR), ASR, MSR, ACC, Anticollision, Aide au parking, Système de guidage, Surveillance du niveau d'énergie, développées suivant les règles de l'art. Il est entendu que le véhicule est également équipé 5 de tous les capteurs, actionneurs et autres organes (tels que radars, sonars, capteurs infrarouges, accéléromètres, inclinomètres, capteurs d'effort, etc.)

nécessaires à l'opération de ces fonctions.

La gestion de ces fonctions est assurée par une autre fonction appelée Gestion haut niveau qui contient la logique d'opération du système global, y io compris la gestion des défaillances, telles qu'elles seront exposées plus en

détail plus loin.

L'unité centrale communique, d'une part, avec les unités de contrôle de la direction, du freinage, des actionneurs des freins et de l'actionneur de la colonne de direction par le bus de communication TTP/C tolérant aux 15 défaillances. Ce premier réseau comprend les fonctions qui font

principalement appel aux systèmes de freinage et de direction du véhicule.

D'autre part, la même unité centrale communique avec les unités de contrôle du moteur et.de la boîte de vitesses par le bus de communication CAN. Ce deuxième réseau permet la transmission de données et de 20 commandes entre les systèmes qui peuvent faire appel au moteur ou à la boîte de vitesses (ESP, ACC, ASR, Anticollision) et les contrôleurs associés. Il comprend aussi d'autres fonctions du véhicule comme, par exemple, le

guidage par satellite ou le contrôle de l'habitacle.

Le fonctionnement et l'architecture des deux bus de communication 25 TTP/C et CAN ne sont pas du ressort de la présente invention et ne seront

donc pas plus amplement décrits.

Dans le mode d'opération nominal, les systèmes de direction et de

freinage sont contrôlés en premier lieur par le conducteur. A la demande du conducteur, la vitesse du véhicule peut également être contrôlée par la 30 fonction de conduite automatique, ACC.

Dans le premier cas, deux boucles de contrôle de base distinctes sont établies pour le système de freinage (voir figure 2a) et pour la direction (voir

figure 2b). Les contrôleurs calculent des commandes de freinage et de braquage des roues en fonction, respectivement, de la course d'enfoncement de la pédale et de l'angle du volant de direction. Ces valeurs sont envoyées vers les actionneurs correspondants qui les appliquent aux roues, au travers 5 des plaquettes des freins ou des pignons / crémaillères de l'axe de direction.

Les actionneurs mesurent enfin les valeurs de la force de freinage ou du déplacement de l'axe de direction réellement appliqués et les renvoient sur le

bus TTP/C.

Dans le cas d'un freinage contrôlé par l'ACC, la boucle de contrôle de îo base est établie entre l'ACC, le contrôleur des freins et les actionneurs des

freins. La fonction ACC communique par ailleurs avec des contrôleurs du moteur et la boîte de vitesses. L'ACC calcule une force de freinage et une ouverture du papillon d'admission motorisé du moteur en fonction des informations sur l'environnement provenant du système radar (distance et s 5 vitesse relatives de la cible) et de l'état du moteur et de la boîte de vitesses.

La force de freinage demandée par I'ACC est envoyée vers le contrôleur des freins. Celui-ci transfère alors les commandes des forces de freinage qui correspondront à la force calculée par 'ACC lorsque la pédale de frein n'est pas enfoncée ou à la force calculée par le noeud pédale lorsque le client 20 appuie sur la pédale de frein.

Le mode d'opération nominal contient enfin une boucle de contrôle dynamique établie au-dessus des deux boucles de base exposées précédemment (voir figure 2c). Cette boucle consiste en une modulation des commandes de freinage et de braquage suivant les conditions de conduite 25 instantanées du véhicule (trajectoire, conditions d'adhérence) effectuée par les fonctions chargées du contrôle du comportement dynamique du véhicule,

comme l'ESP, I'ABS ou l'Anticollision.

On va maintenant expliquer la gestion des défaillances.

La fonction Gestion haut niveau (voir figure 3) supervise le comportement global du système et décide de l'activation des différentes fonctions suivant l'état de fonctionnement du véhicule. Elle est implantée dans Il tous les contrôleurs associés aux sous-systèmes équipant le véhicule afin

d'assurer un comportement global homogène du véhicule.

La Gestion haut niveau détecte les différentes défaillances de ses soussystèmes et déclenche les fonctions de secours suivant l'origine de la 5 défaillance. Les défaillances gérées par cette fonction peuvent provenir des différents sous-systèmes équipant le véhicule (Unité Centrale, Direction Electrique, Frein électrique, Actionneur de direction, Actionneurs des freins)

ou des fonctions gérées localement par ces sous-systèmes.

Les fonctions ESP (TRAXXAR), ABS, ASR, MSR peuvent intégrer leurs o0 propres modes dégradés sans que ceux-ci ne soient perçus par le conducteur.

Ces modes dégradés sont gérés en interne par lesdites fonctions et ne sont pas du ressort de la présente invention. De plus, ces modes n'interfèrent pas avec la gestion des défaillances conçue d'un point de vue global qui est le

point central de l'invention.

Cas de la défaillance du contrôleur Frein Electrique: fonction de sécurité

" Freinage Secours ".

Les conditions d'entrée en défaillance du contrôleur Frein Electrique sont

les suivantes.

(1) le contrôleur de communication TTP ne reçoit pas de message de l'un des deux systèmes du contrôle double au moment requis; (2) une erreur interne au contrôleur Frein Electrique a lieu, comme la panne d'un capteur, par exemple; (3) les deux.systèmes du contrôle double calculent des forces de

freinage trop différentes.

Dans ce cas, la fonction ACC définit une force de freinage maximale que les actionneurs appliquent une seule fois aux roues ignorant toute force de freinage venant du contrôleur Frein Electrique. Par la suite, c'est l'unité 30 centrale qui définit et envoie aux actionneurs la force de freinage à appliquer

en utilisant les fonctions ABS et freinage de base qu'elle contient.

Accessoirement, la fonction ACC peut envoyer un signal vers le contrôleur de l'habitacle afin d'allumer un voyant spécifique pour prévenir le conducteur de

la défaillance du Frein Electrique.

Si dans ce mode une nouvelle défaillance des fonctions ABS et freinage

de base de l'unité centrale ou des actionneurs est détectée, avant que le 5 contrôleur Frein Electrique se rétablisse, le système entre en mode " Contrôle d'Urgence ", décrit ci-dessous.

Le système ne revient au mode de fonctionnement nominal que si tous

les sous-systèmes fonctionnent correctement à nouveau.

Cas de la défaillance de la fonction ACC: fonction de sécurité " Freinage 10 Défaillance ACC ".

Les conditions d'entrée en défaillance de la fonction ACC sont les suivantes. (1) le contrôleur de communication TTP ne reçoit pas de message de la fonction au moment requis; (2) une erreur interne à la fonction a lieu, comme une erreur de calcul ou une force de freinage en dehors du domaine d'application, par exemple. Ce mode de défaillance n'est pris en compte que si la fonction ACC est activée par le conducteur et si le conducteur n'actionne pas la pédale de frein. 20 Dans ce cas, le contrôleur Frein Electrique envoie des commandes de force de freinage moyenne (au lieu de la force de freinage provenant de l'ACC) vers les actionneurs qui les appliquent aux roues afin de prévenir le conducteur de la défaillance du système ACC. Accessoirement, le contrôleur Frein Electrique peut envoyer un signal vers le contrôleur de l'habitacle afin 25 d'allumer un voyant spécifique pour prévenir le conducteur de la défaillance et

de mise en veille du système ACC.

Si dans ce mode une défaillance du contrôleur Frein Electrique est détectée, I'unité centrale définit la force de freinage à appliquer en utilisant les fonctions ABS et freinage de base qu'elle contient. En cas de défaillance des fonctions ABS et freinage de base de l'unité centrale ou en cas de défaillance

des actionneurs, le système entre en mode " Contrôle d'Urgence ", décrit cidessous.

Le système ne revient au mode de fonctionnement nominal que si tous

les sous-systèmes fonctionnent correctement à nouveau.

La fonction Contrôle d'Urgence est activée lorsque le système de freinage n'est pas en mesure de satisfaire les commandes de freinage demandées par les différentes fonctions de contrôle. Cette condition est validée par l'un des événements suivants: (1) les conditions d'entrée en mode " Contrôle d'Urgence "

décrites ci-dessus sont satisfaites.

(2) Les valeurs des forces réellement appliquées par les actionneurs diffèrent trop des forces de freinage de consigne commandées par le contrôleur Frein Electrique ou par l'unité centrale; (3) Les actionneurs émettent un signal d'alarme indiquant que le niveau d'énergie électrique, renseigné par le système de 15 surveillance du niveau d'énergie, est descendu en dessous

d'un seuil limite réduisant leurs capacités de freinage de façon critique.

Dans ce cas, la fonction ACC demande une fermeture du papillon 20 d'admission et des rétrogradages de rapports successifs à la boîte de vitesses

afin de freiner le véhicule le plus rapidement possible grâce au frein moteur.

Aucune force de freinage n'est demandée par le contrôleur Frein Electrique ni par l'unité centrale. Afin de ne pas perturber la stabilité du véhicule, les actionneurs ouvrent donc les mâchoires des freins, au cas o les plaquettes 25 seraient défectueuses.

En même temps, le contrôleur de direction utilise les informations provenant des capteurs d'obstacles avant, arrière, et latéraux des fonctions ACC, Anticollision et Aide au Parking, pour: (1) décider du côté de la route le plus approprié et déterminer la 30 trajectoire pour rabattre le véhicule sur ledit côté de la route en fonction des obstacles fixes et des conditions de circulation instantanées;

(2) envoyer les commandes nécessaires à l'actionneur de l'axe de direction afin de diriger automatiquement le véhicule vers ledit côté de la route suivant la trajectoire choisie.

Si le système de direction électromécanique est en mode dégradé (l'axe de direction étant alors actionné par le système de sécurité mécanique ou hydraulique) le contrôleur de direction envoie un signal vers le contrôleur de l'habitacle afin d'afficher un message indiquant auconducteur qu'il doit

contrôler la trajectoire du véhicule.

Accessoirement, la fonction ACC peut envoyer des signaux vers le contrôleur de l'habitacle afin d'allumer les feux de détresse et d'allumer un voyant spécifique signalant au conducteur qu'un arrêt d'urgence est en cours d'exécution. Ces signaux peuvent également servir, par exemple, à l'émission d'un message radio de détresse indiquant la position du véhicule, selon les informations provenant du système de navigation, vers un centre d'assistance

ou de secours déterminé.

Une fois que le véhicule est arrivé à un arrêt total, I'unité centrale demande la coupure du moteur au contrôleur du moteur et l'immobilisation du véhicule. Cette immobilisation se traduit par l'émission d'une commande 20 d'enclenchement au mécanisme du frein de parking et d'une autre commande d'enclenchement d'un rapport (première, marche arrière ou " Drive ") à la boîte de vitesse. Les actions permettant le signalement de l'arrêt du véhicule peuvent rester actives jusqu'à ce qu'un seuil limite du niveau d'énergie soit atteint. Le système ne revient au mode de fonctionnement nominal que si tous

les sous-systèmes fonctionnent correctement à nouveau.

On va maintenant expliquer les avantages du système de contrôle selon l'invention. L'approche de conception inter-système utilisée pour l'élaboration du o0 système de contrôle et des fonctions de secours qui font l'objet de la présente invention, permet de faire face aux possibles défaillances des composants et des organes contrôlés qui participent aux fonctions de direction et de freinage ]5 du véhicule. Cette approche est en rupture avec les méthodes typiquement utilisées dans le développement des systèmes et des lois de contrôle des

systèmes électroniques.

Les fonctions présentées dans cette description sont des fonctions 5 distribuées, partagées par plusieurs fonctions ou sous-systèmes. Le système de contrôle indépendant de l'architecture électronique et du placement des fonctions de contrôle dans cette architecture, ce qui facilite l'adaptation des

solutions exposées dans cette description à d'autres architectures distinctes.

Ce type de solution permet également de pondérer d'une façon 10 innovante (suivant l'état du global du véhicule) les contraintes de sécurité auxquelles les éléments de contrôle et les organes des systèmes de direction

et de freinage seront soumis.

Un autre avantage de l'invention réside dans le fait que, lors de son implémentation, des systèmes existants et les signaux produits par ces 1s systèmes peuvent être utilisés. En effet, I'invention repose sur une exploitation des fonctionnalités inhérentes aux composants du système. Les composants et leurs fonctionnalités peuvent donc être conçus au préalable et de façon indépendante par différents développeurs, comme c'est le cas de l'ABS, ESP, (TRAXXAR), etc. Néanmoins, pour réaliser l'intégration des composants développés de façon indépendante, il est nécessaire de définir d'une façon globale le système d'exploitation, c'est-à-dire, le comportement macroscopique, du système. Ensuite, il faut établir un arbitrage entre les tâches de contrôle et régulation réalisées de façon individuelle par chacun des composants. Ces 25 opérations de supervision et d'arbitrage sont réalisées dans la présente

invention par l'automate de Gestion haut niveau décrit plus haut.

Comme il a été établi plus haut, I'automate de Gestion haut niveau est implanté dans tous les contrôleurs associés aux sous-systèmes équipant le véhicule afin d'assurer un comportement global homogène du véhicule. En 30 effet, puisque le fonctionnement des sous-systèmes dépend des états macroscopiques définis par un même automate, on peut affirmer que tous les éléments participant aux fonctions de direction et de freinage se trouvent dans

un seul et même état au même instant.

La démarche d'intégration que l'on vient de décrire favorise en plus la réutilisation, par d'autres applications ou d'autres systèmes, des différents composants mis en oeuvre dans la présente invention.

Les exemples utilisés pour la description de la présente invention,

concernent la solution préférentielle pour son implémentation. Cette réalisation préférentielle est un véhicule automobile équipé de systèmes électromécaniques de direction et de freinage à transmission de commande 1o électrique. Le système de direction a un système redondant de sécurité mécanique ou hydraulique, élaboré suivant les règles de l'art. Le système de freinage compte avec une redondance par double chaîne de contrôle (double capteur pédale, double logique de contrôle, deux messageries) qui

fonctionnent en parallèle.

Le véhicule de la solution préférentielle est équipé au moins des

fonctions de freinage de base, ABS, ESP (TRAXXAR), ASR, MSR, ACC, Anticollision, Aide au Parking, Système de guidage, Surveillance du niveau d'énergie, dont la description n'est pas du ressort de la présente invention. Il est entendu que le véhicule est également équipé de tous les capteurs, 20 actionneurs, et autres organes (tels que radars, sonars, capteurs infrarouges,

accéléromètres, inclinomètres, capteurs d'effort, etc.) Dans les paragraphes suivants, on décrira en détail les principaux composants du système de contrôle qui participent aux fonctions de contrôle

faisant l'objet de la présente invention.

Le contrôleur direction électrique est chargé de calculer l'angle de braquage des roues en fonction de l'angle du volant de direction requis par le conducteur et d'envoyer vers l'actionneur de l'axe de direction la valeur du

braquage de consigne..

Cette valeur correspond à la requête du client en mode nominal lorsque 30 celui-ci tourne le volant de direction ou à l'angle de braquage calculé par le contrôleur Direction Electrique lorsque la fonction contrôle d'urgence est activée. Le contrôleur de l'actionneur de l'axe de direction est chargé de trois tâches principales: appliquer à l'axe de direction le déplacement correspondant au braquage de consigne (provenant du contrôleur Direction Electrique) en actionnant le système de pignons de l'axe ò mesurer le braquage réellement appliqué; ò calculer la différence entre le braquage appliqué et le braquage de

consigne et renvoyer ces informations vers le bus TTP/C.

io C'est grâce à ces valeurs que les défaillances du système de direction électromécanique peuvent être détectées et que le système de sécurité mécanique ou hydraulique est enclenché, selon ce qui a été décrit précédemment. Les fonctions ACC et fonction Anticollision (Unité Centrale) sont 15 chargées de calculer: À une force de freinage lorsqu'un freinage sans requête du client est requis; ò une ouverture du papillon d'admission lorsqu'une accélération

(fonction ACC uniquement) ou une décélération du véhicule est 20 nécessaire.

Pour calculer ces valeurs, les fonctions utilisent les données concernant la distance et la vitesse d'une cible qu'elles obtiennent grâce aux capteurs liés directement au contrôleur (radars, sonars). Les données produites par ces 25 capteurs sont utilisées par la fonction ACC et par le contrôleur Direction Electrique pour exécuter la fonction contrôle de secours, selon ce qui a été établi plus haut. Ces mêmes données sont utilisées pour détecter certaines défaillances de la fonction ACC permettant d'activer la fonction décrite précédemment. La fonction freinage de base (Contrôleur frein électrique et unité centrale) est chargée de calculer une force de freinage en fonction de l'enfoncement de la pédale de frein par le conducteur et d'envoyer vers les actionneurs des

forces de freinage de consigne.

Ces forces correspondent à la force dd freinage calculé par la fonction

freinage de base lorsque le conducteur enfonce la pédale de frein ou à la 5 force de freinage calculée par les fonctions ACC ou Anticollision lorsque la pédale de frein n'est pas enfoncée.

La redondance du contrôleur Frein Electrique permet de réaliser les diagnostiques sur la cohérence de la force de freinage calculée et de vérifier l'état de fonctionnement du contrôleur. Cette information, plus l'information 10 concernant l'état des fonctions freinage de base et ACC de l'unité centrale,

sont utilisées pour l'activation de la fonction décrite plus haut.

Les contrôleurs des actionneurs des freins sont dotés d'une intelligence limitée. Ils sont chargés de trois tâches principales: * appliquer la roue correspondante la force de freinage de consigne 15 (provenant soit du contrôleur Frein Electrique soit de l'unité centrale) en serrant les mâchoires des plaquettes de frein À mesurer la force de freinage réellement appliquée; * calculer la différence entre la force appliquée et la force de

freinage de consigne et renvoyer ces informations vers le bus 20 TTP/C.

C'est grâce à ces valeurs que les défaillances des actionneurs peuvent en partie être détectées et que la fonction de contrôle de secours peut être

déclenchée, selon ce qui a été décrit précédemment.

L'unité centrale communique avec les contrôleurs du moteur à combustion interne et de la boîte de vitesses à travers le bus de communication CAN. C'est par ce réseau que l'unité centrale reçoit des données provenant de ces deux contrôleurs afin de les utiliser pour les calculs

de certaines des fonctions qu'elle contient.

La présente invention ne fait pas appel aux propriétés du contrôleur du

réseau CAN pour la mise en place des fonctions de sécurité.

La communication entre les contrôleurs concernant les systèmes de

direction et de freinage est réalisée vis al bus de communication TTP/C. Le contrôleur de ce bus synchronise l'envoie et la réception des données et renseigne sur la disponibilité (état) des données produites par chaque contrôleur.

Ces renseignements sont également utilisés pour détecter certaines défaillances des composants du système global et pour activer les fonctions

de sécurité décrites précédemment.

Claims (10)

REVENDICATIONS

1. Système de contrôle distribué pour un dispositif de direction et un dispositif de freinage électriques, en particulier à commande découplée notamment pour des véhicules automobiles, caractérisé en ce qu'il comprend: 5 i. une unité centrale de contrôle contenant une fonction de Gestion haut niveau, plus les fonctions freinage de base, ABS, ESP, (TRAXXAR), ASR, MSR, ACC, Anticollision, Aide au Parking, Système de guidage, Surveillance du niveau d'énergie, ii. un contrôleur Direction Electrique contenant les fonctions 10 Gestion haut niveau et Direction de base, iii. un contrôleur Frein Electrique avec chaîne de contrôle redondante (double) contenant les fonctions de freinage de base, ABS, ESP, (TRAXXAR), iv. un contrôleur Actionneur Direction, v. quatre contrôleurs Actionneur de Frein pour chacune des quatre roues du véhicule contenant la fonction Gestion haut niveau, vi. un bus de communication, vii. un bus synchrone, dans lequel, - les contrôleurs Direction Electrique, Freinage Electrique, Unité Centrale, Actionneur de direction et Actionneur de Frein échangent des messages par le bus synchrone, les messages circulant par ce bus étant dédiés au contrôle des fonctions de 25 direction, de freinage et de stabilité du véhicule, I'unité centrale communique avec des contrôleurs du moteur et de la boîte des vitesses via le bus de communication et envoie des commandes d'ouverture du papillon d'admission au moteur et de rétrogradages à la boîte de vitesse provenant des fonctions 30 qu'elle contient: ESP (TRAXXAR), ASR, ACC, Anticollision, - des boucles de contrôle de base sont établies entre les contrôleurs Direction Electrique et Frein Electrique et leurs respectifs actionneurs, pour contrôler la direction et le freinage, - et une boucle de contrôle dynamique est établie entre les 5 boucles de régulation de base et les fonctions chargées du

contrôle de la trajectoire et de la traction du véhicule, le système étant adapté pour activer des fonctions de contrôle d'urgence du véhicule.

o0

2. Système de contrôle selon la revendication 1, caractérisé en ce que les contrôleurs sont adaptés pour calculer des commandes de freinage et de braquage des roues en fonction, respectivement, de la course d'enfoncement de la pédale et de l'angle du volant de direction, les valeurs ainsi calculées étant envoyées vers les actionneurs correspondants qui les appliquent aux s 5 roues, au travers des plaquettes des freins ou des pignons / crémaillères de l'axe de direction en ce que les actionneurs sont adaptés pour mesure les valeurs de la force de freinage ou du déplacement de l'axe de direction réellement appliqués et pour les renvoyer sur le bus synchrone et en ce que la boucle de contrôle dynamique est adaptée pour effectuer une modulation des 20 commandes de freinage et de braquage suivant les conditions de conduite instantanées du véhicule (trajectoire, conditions d'adhérence) effectuée par les fonctions chargées du contrôle du comportement dynamique du véhicule,

telles que l'ESP, I'ABS ou l'Anticollision.

3. Système de contrôle selon l'une des revendications 1 ou 2,

caractérisé en ce que dans le cas d'un freinage contrôlé par l'ACC, la boucle de contrôle de base est établie entre î'ACC, le contrôleur des freins et les actionneurs des freins, la fonction ACC communique avec les contrôleurs du moteur et la boîte de vitesses, I'ACC est adapté pour calculer une force de 30 freinage et une ouverture du papillon d'admission motorisé du moteur en fonction des informations sur l'environnement provenant du système radar (distance et vitesse relatives de la cible) et de l'état du moteur et de la boîte de vitesses, la force de freinage demandée par l'ACC étant envoyée vers le contrôleur des freins, ce dernier étant adapté pour transférer les commandes des forces de freinage qui correspondront à la force calculée par l'ACC lorsque la pédale de frein n'est pas enfoncée ou à la force calculée par le noeud pédale lorsque le conducteur appuie sur la pédale de frein.

4. Système de contrôle selon l'une des revendications 1 à 3,

caractérisé en ce que la fonction Gestion haut niveau est adaptée pour détecter les différentes défaillances des contrôleurs et pour déclencher les îo fonctions de secours suivant l'origine de la défaillance.

5. Système de contrôle selon l'une des revendications 1 à 4,

caractérisé en ce qu'il est adapté pour activer au moins l'une des fonctions de secours suivantes: i. Freinage Secours, correspondant à une défaillance du contrôleur Frein Electrique (chargé d'interpréter la volonté du conducteur) qui est corrigée par l'élaboration et l'application d'une force de freinage maximale commandée par la fonction ACC et une prise en charge du freinage par l'unité centrale, 20 ii. Freinage Défaillance ACC, correspondant à une défaillance de la fonction ACC qui est corrigée par l'élaboration et l'application d'une force de freinage moyenne commandée par le contrôleur Frein Electrique ou, en présence d'une défaillance de celui-ci, par l'unité centrale; iii. Contrôle d'Urgence, correspondant à une défaillance grave du

système de freinage, lorsque celui-ci n'est pas en mesure de satisfaire la fonction de freinage du véhicule, qui est corrigée par une mise à l'abri du véhicule.

6. Système de contrôle selon la revendication 5, caractérisé en ce que les conditions d'entrée en défaillance du contrôleur Frein Electrique sont les suivantes: (1) le contrôleur de communication TTP ne reçoit pas de message de l'un des deux systèmes du contrôle double au moment requis; (2) une erreur interne au contrôleur Frein Electrique a lieu, comme la panne d'un capteur, par exemple; (3) les deux systèmes du contrôle double calculent des forces de

freinage trop différentes.

7. Système de contrôle selon l'une des revendications 5 ou 6,

caractérisé en ce que les conditions d'entrée en défaillance de la fonction 10 ACC sont les suivantes: (1) le contrôleur de communication TTP ne reçoit pas de message de la fonction au moment requis; (2) une erreur interne à la fonction a lieu, telle qu'une erreur de calcul

ou une force de freinage en dehors du domaine d'application.

8. Système de contrôle selon l'une des revendications 5 à 7,

caractérisé en ce que la fonction " Contrôle d'Urgence " est activée lorsque le système de freinage n'est pas en mesure de satisfaire les commandes de freinage demandées par les différentes fonctions de contrôle, cette condition 20 étant validée par l'un des événements suivants: (1) les conditions d'entrée en mode " Contrôle d'Urgence " sont satisfaites; (2) les valeurs des forces réellement appliquées par les actionneurs diffèrent trop des forces de freinage de consigne commandées par 25 le contrôleur Frein Electrique ou par l'unité centrale; (3) les actionneurs émettent un signal d'alarme indiquant que le niveau d'énergie électrique, renseigné par le système de surveillance du niveau d'énergie, est descendu d'un seuil limite réduisant leurs

capacités de freinage de façon critique.

9. Système de contrôle selon l'une des revendications 5 à 8, caractérisé en ce que lesdites fonctions de secours sont adaptées pour permettre:

i. le redémarrage (relance) de l'élément ou organe défaillant tout en assurant la manoeuvrabilité et le ralentissement du véhicule; ii. la réhabilitation de la fonction de freinage du véhicule de façon sécurisée uniquement lorsque les systèmes participant à ladite

fonction marchent correctement.

10. Système de contrôle selon l'une des revendications 5 à 9, caractérisé en ce que ladite fonction Contrôle d'Urgence est adaptée pour permettre:

i. l'arrêt du véhicule en utilisant le frein moteur; ii. la conduction automatique du véhicule ou les indications nécessaires au conducteur pour qu'il guide la voiture lui-même vers le côté de la route; iii. l'algorithme décidant la meilleure trajectoire à suivre pour réaliser ladite conduite automatique; iv. le signalement de l'arrêt d'urgence au conducteur; v. le signalement de l'arrêt d'urgence et de la position de la voiture aux centres d'assistance ou de secours déterminés; vi. l'arrêt du moteur et l'immobilisation du véhicule une fois atteint

l'arrêt total de ce dernier.

20