FR2927596A3

FR2927596A3 - Procede de commande d'un systeme de controle d'un groupe motopropulseur de vehicule et systeme de controle correspondant

Info

Publication number: FR2927596A3
Application number: FR0851007A
Authority: FR
Inventors: Stephane Georges; Velasco Jean Baptiste Lopez; De Lagny Joseph Regnard
Original assignee: Renault SAS
Current assignee: Renault SAS
Priority date: 2008-02-18
Filing date: 2008-02-18
Publication date: 2009-08-21

Abstract

Le système de contrôle ayant mis en oeuvre un mode dégradé (MDG) dans lequel ledit organe (GMP) présente des performances réduites par rapport à des performances nominales, on désactive au moins temporairement ledit mode dégradé en présence d'une information de désactivation représentative de la volonté du conducteur d'obtenir des performances supérieures auxdites performances réduites.

Description

B07-4387FR ù FZ/cec Projet 8133/DC

Société par actions simplifiée dite : RENAULT s.a.s. Procédé de commande d'un système de contrôle d'un groupe motopropulseur de véhicule automobile et système de contrôle correspondant Invention de : Stéphane GEORGE Jean-Baptiste LOPEZ-VELASCO Joseph REGNARD DE LAGNY

Procédé de commande d'un système de contrôle d'un groupe motopropulseur de véhicule automobile et système de contrôle correspondant L'invention concerne le contrôle d'un organe de véhicule automobile, en particulier le contrôle d'un groupe motopropulseur de véhicule automobile. Les véhicules automobiles modernes font appel pour la réalisation de nombreuses fonctions (en particulier le contrôle du système d'injection du moteur et éventuellement le contrôle d'une boîte de vitesses automatique ou robotisée) à des calculateurs embarqués. Pour permettre à la fois la sécurité des usagers face à une éventuelle défaillance d'un composant du groupe motopropulseur et/ou du système de contrôle et la remise en état par un garagiste, ces calculateurs intègrent diverses stratégies de diagnostic (électrique ou fonctionnel). Ces stratégies de diagnostic permettent le contrôle du bon fonctionnement des composants et/ou fonctions du groupe motopropulseur et/ou du système de contrôle considéré. Dans le cas où une stratégie de diagnostic détecte une défaillance d'un composant ou d'une fonction, l'information concernant cette défaillance est enregistrée dans la mémoire du calculateur concerné pour permettre par la suite sa restitution, via un outil de diagnostic, au réparateur afin de remettre en état le véhicule. Selon l'impact potentiel de la défaillance diagnostiquée sur le système considéré, le calculateur va mettre en oeuvre une ou plusieurs stratégies palliatives (désignées fréquemment par le terme de mode refuge ou mode dégradé ). Ces modes dégradés visent à protéger, d'une part et prioritairement les utilisateurs, d'autre part le système, des conséquences directes de la défaillance et à éviter toute aggravation de celle-ci au cours de l'utilisation du véhicule avant réparation. En effet, il est essentiel, dans la mesure du possible, de permettre à l'utilisateur de poursuivre l'utilisation du véhicule en perturbant aussi peu que possible celle-ci, jusqu'à ce que la réparation puisse être effectuée. Selon la défaillance diagnostiquée et ses conséquences potentielles sur le fonctionnement du système de contrôle du groupe motopropulseur, ces stratégies peuvent venir impacter les performances du groupe motopropulseur. Cet impact peut être direct, par l'application par exemple d'une limitation de couple, de régime et/ou de puissance, visant à limiter le niveau de sollicitation du système afin d'éviter une aggravation rapide de la défaillance pouvant amener un risque potentiellement sécuritaire. I1 peut également être indirect, par la désactivation ou le fonctionnement limité d'une fonction ou d'un composant contributeur de la réalisation des performances du groupe motopropulseur. On peut par exemple citer la désactivation de la fonction suralimentation d'un moteur suralimenté, la désactivation d'un injecteur de carburant, etc.

Parallèlement à la mise en place de ces stratégies palliatives, le système de contrôle du groupe motopropulseur déclenche une alerte au conducteur, par l'activation d'un témoin ou d'un message d'alerte au tableau de bord (message visuel et éventuellement sonore). En l'état actuel, l'activation et la désactivation du ou des modes dégradés sont directement liées à l'état de détection de la défaillance. Lorsque le système a détecté une défaillance, le mode dégradé est actif tant que cette défaillance est présente et ne peut être résorbé que par la disparition de la défaillance (réparation en garage ou nouvelle réalisation de la stratégie de diagnostic indiquant la disparition du défaut (cas par exemple du blocage temporaire d'un actuateur, ou défaut électrique intermittent)). Même dans le cas où l'utilisateur est averti du dysfonctionnement du système par un témoin ou message d'alerte, les conséquences sur le fonctionnement de son véhicule ne lui sont pas nécessairement immédiatement perceptibles. En effet, les contraintes associées aux systèmes de contrôle embarqués, au tableau de bord du véhicule et à la simplicité de l'interface homme-machine font qu'en règle générale, il existe au mieux deux niveaux d'alerte pour informer le conducteur d'une défaillance impactant la fiabilité ou la sécurité de son groupe motopropulseur. Selon la situation de conduite dans laquelle la détection de la défaillance conduisant à l'activation d'une limitation directe ou indirecte des performances du groupe motopropulseur intervient, le conducteur peut donc ne pas percevoir immédiatement cette limitation. En effet, ces limitations ne seront perceptibles qu'en cas de sollicitation forte du groupe motopropulseur, lorsque les performances demandées par le conducteur leur sont supérieures. Ces cas peuvent parfois correspondre à des situations potentiellement à risque (dépassement mal évalué par le conducteur, insertion dans un trafic dense, etc.). L'utilisateur peut donc, malgré l'alerte présentée au tableau de bord, se placer dans une situation où la limitation des performances du groupe motopropulseur, bien que justifiée par ailleurs, conduit à une aggravation des risques sécuritaires.

L'invention vise à apporter une solution à ce problème. Selon un aspect de l'invention, il est proposé un procédé de commande d'un système de contrôle d'un organe de véhicule automobile, dans lequel, le système de contrôle ayant mis en oeuvre un mode dégradé dans lequel ledit organe présente des performances réduites par rapport à des performances nominales, on désactive au moins temporairement ledit mode dégradé en présence d'une information de désactivation représentative de la volonté du conducteur d'obtenir des performances supérieures auxdites performances réduites.

Bien que l'invention puisse s'appliquer à tout calculateur potentiellement sécuritaire embarqué à bord d'un véhicule routier quelconque et destiné à surveiller un organe quelconque, comme par exemple un système de freinage ou de direction, l'invention s'applique avantageusement au contrôle du groupe motopropulseur du véhicule automobile. D'une façon générale, la désactivation au moins temporaire du mode dégradé est avantageusement basée sur l'interprétation de la volonté du conducteur vis-à-vis des performances dudit organe du véhicule automobile. Lorsque ledit organe est le groupe motopropulseur, cette volonté peut être mesurée à travers la pédale d'accélérateur du véhicule. Ainsi, on peut élaborer ladite information de désactivation par exemple à partir d'une indication de position de la pédale d'accélérateur. Cette élaboration de ladite information de désactivation peut comporter une comparaison de la position de la pédale d'accélérateur avec un seuil, ce seuil pouvant être un seuil de rétrogradage forcé, communément appelée, en langue anglaise, seuil de kick-down , dans le cas d'un véhicule équipé d'une transmission automatique et/ou d'une fonction régulateur/limiteur de vitesse. On peut également élaborer ladite information de désactivation à partir d'une indication de variation de la position de la pédale d'accélérateur, par exemple une indication représentative de la vitesse de déplacement de celle-ci. Lorsqu'on détecte un besoin de performances élevées, le mode dégradé, induisant une limitation de performance directe ou indirecte pour ledit organe, est momentanément désactivé. Le système de contrôle revient alors à un fonctionnement sous-optimal dans lequel ledit organe présente les performances maximales dont il est capable compte tenu de son état défaillant. Afin d'éviter un trop brusque retour des performances, la transition peut être sécurisée. En d'autres termes, on passe progressivement du mode dégradé au mode sous-optimal, en appliquant par exemple une transition sous forme de rampe temporelle. Pendant la suspension ou désactivation du mode dégradé, la protection de l'organe correspondant du véhicule automobile n'est par contre temporairement plus assurée. I1 est donc préférable de ne pas prolonger inutilement cette désactivation. A cet égard, il a été observé que les situations critiques où l'utilisateur a besoin de performances élevées du groupe motopropulseur par exemple, sont de courte durée (par exemple, dépassement mal évalué, insertion dans un trafic dense, dégagement d'une zone à risque (carrefour ou passage à niveau)).

Ainsi, est-il avantageusement envisagé de réactiver le mode dégradé lorsqu'une durée de temporisation s'est écoulée après la désactivation du mode dégradé. Cette temporisation pourra être par exemple réglée à une valeur de l'ordre de la minute. Cela étant, en particulier lorsque l'organe surveillé est le groupe motopropulseur, un relâchement de la pédale d'accélérateur par le conducteur indique clairement qu'il n'a plus besoin de performances élevées pour le groupe motopropulseur. Dans ces conditions, on peut avantageusement réactiver le mode dégradé en présence d'un relâchement de la pédale d'accélérateur.

Selon un autre aspect de l'invention, il est proposé un système de contrôle d'un organe de véhicule automobile, par exemple le groupe motopropulseur, comprenant des premiers moyens aptes à mettre en oeuvre un mode dégradé dans lequel ledit organe présente des performances réduites par rapport à des performances nominales, des deuxièmes moyens aptes à délivrer une information de désactivation représentative de la volonté du conducteur d'obtenir des performances supérieures auxdites performances réduites, et des moyens de commande aptes à désactiver au moins temporairement les premiers moyens en présence de ladite information de désactivation.

Selon un mode de réalisation, les deuxièmes moyens comportent un capteur apte à délivrer une indication de position de la pédale d'accélérateur. Selon un mode de réalisation, les deuxièmes moyens comportent des moyens de comparaison aptes à comparer ladite indication de la position de la pédale d'accélérateur avec un seuil. Selon un autre mode de réalisation, les deuxièmes moyens comportent des moyens de détermination d'une indication de variation de la position de la pédale d'accélérateur, par exemple une indication de la vitesse de déplacement de la pédale d'accélérateur.

Selon un autre mode de réalisation, les moyens de commande sont aptes à réactiver les premiers moyens en présence d'un relâchement de la pédale d'accélérateur. Selon un mode de réalisation, le système comprend en outre des troisièmes moyens aptes à mettre en oeuvre un mode sous-optimal dans lequel ledit organe présente les performances maximales dont il est capable compte tenu de son état défaillant, et les moyens de commande sont aptes, après désactivation du mode dégradé, à activer progressivement les troisièmes moyens.

Selon un mode de réalisation, les moyens de commande sont aptes à réactiver les premiers moyens lorsqu'une durée de temporisation s'est écoulée après la désactivation de ces premiers moyens. D'autres avantages et caractéristiques de l'invention apparaîtront à l'examen de la description détaillée de modes de mise en oeuvre et de réalisation, nullement limitative, et des dessins annexés, sur lesquels : - la figure 1 illustre de façon schématique des étapes d'un mode de mise en oeuvre de l'invention, - la figure 2 illustre de façon schématique un mode de réalisation d'un système de contrôle selon l'invention, et - la figure 3 est un exemple de chronogramme temporel illustrant un exemple d'application de l'invention.

On va maintenant décrire plus en détail un exemple d'application de l'invention à la surveillance et au contrôle du groupe motopropulseur d'un véhicule automobile, bien que l'invention ne soit pas limitée à cette application particulière. Sur la figure 1, on suppose tout d'abord que le groupe motopropulseur GMP est dans un mode nominal de fonctionnement MDN dans lequel il ne présente aucune défaillance et peut par conséquent offrir des performances nominales. En cas d'une détection 100 d'une défaillance du groupe motopropulseur GMP, un mode dégradé MDG est mis en oeuvre. Dans ce mode dégradé, le niveau de performances disponibles du groupe motopropulseur est réduit et ce niveau de réduction dépend de la défaillance. A titre indicatif, le niveau de performances peut être égal à 50% du niveau nominal prévu dans le mode nominal MDN.

En cas de détection (étape 101) d'un besoin de performances élevées pour le groupe motopropulseur GMP, un mode sous-optimal MDSN va être mis en oeuvre. Ce mode sous-optimal est un mode dans lequel par exemple, le groupe motopropulseur est capable de fournir les performances maximales compte tenu de son état défaillant. A titre indicatif, le groupe motopropulseur pourra par exemple fournir 90% de ses performances dans ce mode sous optimal. La détection 101 d'un besoin de performances élevées résulte d'une volonté du conducteur et peut être élaborée en utilisant la pédale d'accélérateur, en prenant en compte par exemple la position et/ou sa vitesse de déplacement. A cet égard, et à titre indicatif non limitatif, on pourrait par exemple considérer que si l'enfoncement de la pédale d'accélérateur est supérieur à un seuil, par exemple 95%, on détecte un besoin de performances élevées.

De même, dans un autre mode de mise en oeuvre, on peut considérer que l'on détecte un besoin de performances élevées si l'enfoncement de la pédale d'accélérateur devient supérieur à un seuil et ce avec un gradient (vitesse de déplacement de la pédale) supérieur à un autre seuil.

Dans le cas d'un véhicule équipé d'une transmission automatique et/ou d'une fonction régulateur/limiteur de vitesse, la pédale d'accélérateur intègre un seuil dit de rétrogradage forcé ou seuil de kick-down selon une dénomination anglo-saxonne habituellement utilisée, c'est-à-dire un point dur au-delà duquel on détecte en fonctionnement nominal, que le conducteur souhaite un rétrogradage (dans le cas d'une transmission automatique) ou la suspension temporaire de la fonction régulateur/limiteur de vitesse. Dans ce cas, ce seuil de kick-down peut être également utilisé en tant que seuil de détection d'un besoin de performances élevées.

Afin de ne pas prolonger inutilement la désactivation du mode dégradé, il est particulièrement avantageux de déclencher, après la détection d'un besoin de performances élevées, une temporisation (étape 102) au terme de laquelle le mode dégradé sera réactivé (étape 103). Cette temporisation pourra être réglée par exemple à une valeur de l'ordre de la minute. La pédale d'accélérateur peut être également utilisée pour permettre la réactivation du mode dégradé. En effet, un relâchement de la pédale d'accélérateur par le conducteur peut indiquer clairement qu'il n'a plus besoin des performances maximales du groupe motopropulseur qui lui étaient fournies dans le mode sous-optimal. Enfin, dans la mesure où l'inhibition temporaire des stratégies palliatives de limitation de performances du groupe motopropulseur GMP conduit à un risque de fiabilité pour celui-ci (d'autant plus que dans cette période d'inhibition le groupe motopropulseur GMP est par principe fortement sollicité), il est préférable de tracer aussi précisément que possible ces inhibitions. Ceci permettra, lors de la réparation de la défaillance source du véhicule en atelier, l'estimation par le responsable d'atelier des contraintes subies par le groupe motopropulseur GMP et des contrôles et éventuelles réparations supplémentaires à effectuer. A cette fin, le calculateur de contrôle du groupe motopropulseur GMP enregistrera de façon non volatile des informations pertinentes. On peut citer par exemple : - un compteur du nombre de fois où une sortie de limitation de performance telle que décrite précédemment a eu lieu, - un compteur du temps total de fonctionnement du système sous défaillance et limitation de performance suspendue, - le kilométrage parcouru par le véhicule depuis la première et la dernière sortie de limitation de performance. Ces différentes informations ne seront accessibles et réinitialisables qu'au travers de l'outil de diagnostic après-vente.

Dans une réalisation particulière de l'invention, les compteurs précédents pourront être utilisés afin d'intensifier le niveau d'alerte au conducteur (sévérisation de ce niveau en fonction de l'état d'aggravation de la défaillance estimée par ces compteurs.

La figure 2 illustre schématiquement et de façon simplifiée un exemple d'architecture d'un système de contrôle capable de mettre en oeuvre un mode de mise en oeuvre de l'invention. Le calculateur de contrôle CAC du groupe motopropulseur reçoit des informations d'un ensemble de capteurs CPT implantés notamment sur le groupe motopropulseur (on peut par exemple citer les capteurs de position angulaire du vilebrequin, de température du liquide de refroidissement ou de l'air d'admission, etc.). Parmi ces capteurs, figure le capteur de position de la pédale d'accélérateur PA. Le calculateur de contrôle CAC commande également des actuateurs ACT tels que par exemple les injecteurs de carburant, le boîtier papillon motorisé de certains moteurs à allumage commandé, etc.... En fonction des informations reçues des capteurs, des moyens d'élaboration MEB élaborent une consigne représentative du niveau de performances du groupe motopropulseur souhaité par le conducteur, et commandent les actuateurs ACT afin de réaliser cette consigne. Un gestionnaire de pannes GP analyse les informations reçues des capteurs et des actuateurs et retransmet les informations de pannes éventuelles. La structure et la fonctionnalité d'un tel gestionnaire de pannes sont bien connues de l'homme du métier. Outre ces moyens, il est également prévu des moyens MO aptes à mettre en oeuvre un mode de fonctionnement nominal pour le groupe motopropulseur GMP, des premiers moyens Ml aptes à mettre en oeuvre un mode dégradé, des deuxièmes moyens M2 aptes à délivrer une information de désactivation représentative de la volonté du conducteur d'obtenir des performances supérieures aux performances réduites fournies dans le mode dégradé, et des troisièmes moyens M3 aptes à mettre en oeuvre un mode sous-optimal en cas de besoin de performances élevées de la part du conducteur.

I1 est par ailleurs prévu des moyens de commande MC, comportant ici un bloc de commande BC recevant le signal de désactivation SD de la part des deuxièmes moyens M2, et un interrupteur SW commandé notamment par le signal de commande SC délivré par le bloc de commande BC. En fonctionnement normal, l'interrupteur SW est dans la position 0 reliant les moyens MO aux moyens d'élaboration MEB de façon à réaliser une consigne correspondant au mode nominal de fonctionnement.

En présence d'une panne détectée et signalée par le gestionnaire de pannes, l'interrupteur SW vient alors en position 1 reliant les premiers moyens Ml aux moyens MEB, de façon à élaborer une consigne correspondant à la mise en oeuvre du mode dégradé. Enfin, en présence d'un signal de désactivation SD représentatif de la volonté du conducteur d'obtenir un besoin de performances élevées pour le groupe motopropulseur, le bloc de commande BC élabore le signal SC qui place alors l'interrupteur SW dans la position 3, désactivant les premiers moyens Ml et par conséquent le mode dégradé de façon à permettre l'élaboration par les moyens M3 d'une consigne correspondant au mode sous-optimal. Bien entendu, les différents moyens MO, Ml, M2, M3, le bloc BC et l'interrupteur SW ne sont là que pour illustrer des fonctions particulières du calculateur et peuvent, à cet égard, être réalisés par des modules logiciels.

I1 en est de même en ce qui concerne le gestionnaire de pannes GP et les moyens d'élaboration MEB. En fonction de la position physique de la pédale d'accélérateur, exprimée par exemple en millimètres ou en angle d'enfoncement par rapport à sa position de repos ( pied levé ), le capteur de position PA fournit au calculateur de contrôle CAC une tension représentative de cette position. A titre indicatif, une tension de 0,5 volts représente une position pied levé tandis qu'une tension de 4,5 volts correspond à une position de plein enfoncement de la pédale d'accélérateur.

Ainsi, à titre d'exemple, un besoin des pleines performances du groupe motopropulseur peut être détecté lorsque la tension mesurée par le capteur PA dépasse 3, 9 volts. Si l'on veut prendre en compte la vitesse d'enfoncement de la pédale d'accélérateur, on peut considérer que l'on détecte un besoin de performances élevées lorsque le gradient de tension est supérieur à 20 volts/seconde par exemple. Bien entendu, pour éviter toute fausse détection ou oscillation entre deux modes, les seuils évoqués précédemment seront préférablement couverts par des hystérésis.

La figure 3 est un chronogramme illustrant un exemple de comportement du système de contrôle au cours d'une utilisation du véhicule avec apparition d'une défaillance. A partir de l'instant tl, le groupe motopropulseur est dans sont état nominal de performances (100%), c'est-à-dire qu'il est dans le mode nominal MDN. Le groupe motopropulseur conserve cet état nominal MDN entre les instants tl et t2. Entre les instants t2 et t3, le groupe motopropulseur n'est plus dans son état nominal puisqu'une défaillance est apparue. Par contre, le calculateur CAC n'a pas encore détecté cette défaillance. Mais, du fait de la défaillance, le niveau de performances disponibles est, dans cet exemple, amoindri. En d'autres termes, on se trouve dans le mode sous-nominal MDSN dans lequel le niveau de performances est à 90% du nominal. Entre les instants t3 et t4, le calculateur a détecté la défaillance et met en oeuvre le mode dégradé avec un niveau de performances de 50%. Entre les instants t4 et t5, le conducteur a besoin de disposer d'un niveau de performances élevées du groupe motopropulseur, en raison par exemple d'une situation de risques sécuritaires liés aux conditions de roulage. I1 accélère donc fortement (pied à fond et/ou enfoncement rapide de la pédale d'accélérateur). Le calculateur détecte le besoin de performances élevées du comparateur. A cet égard, les moyens M2 comportent des moyens de comparaison CMP (figure 2) qui peuvent comparer la position de la pédale d'accélérateur avec le seuil choisi TH. Le signal de désactivation SD est alors délivré au bloc de contrôle BC, qui délivre un signal de commande SC désactivant le mode dégradé MDG. En conséquence, la limitation de performances est inhibée et le niveau de performances disponible atteint, et le niveau de performances sous défaillance, c'est-à-dire qu'on se retrouve dans le mode sous- optimal MDSN. Entre les instants t5 et t6, la situation de risques sécuritaires a disparu, l'utilisateur ne maintient pas son accélérateur appuyé à fond. Le calculateur détecte donc l'absence de besoin de performances élevées et réactive le mode dégradé MDG limitant le niveau de performances du groupe motopropulseur à 50% du nominal. A l'instant t6, le véhicule n'est plus utilisé.

Claims

REVENDICATIONS

1. Procédé de commande d'un système de contrôle d'un organe de véhicule automobile, caractérisé par le fait que le système de contrôle ayant mis en oeuvre un mode dégradé (MDG) dans lequel ledit organe (GMP) présente des performances réduites par rapport à des performances nominales, on désactive au moins temporairement ledit mode dégradé en présence d'une information de désactivation représentative de la volonté du conducteur d'obtenir des performances supérieures auxdites performances réduites.

2. Procédé selon la revendication 1, dans lequel ledit organe est le groupe motopropulseur (GMP).

3. Procédé selon la revendication 2, dans lequel on élabore ladite information de désactivation (SD) à partir d'une indication de position de la pédale d'accélérateur (PA).

4. Procédé selon la revendication 3, dans lequel l'élaboration de ladite information de désactivation (SD) comporte une comparaison de la position de la pédale d'accélérateur avec un seuil (TH).

5. Procédé selon la revendication 4, dans lequel ledit seuil comporte un seuil de rétrogradage forcé.

6. Procédé selon l'une des revendications 2 à 5, dans lequel on élabore ladite information de désactivation à partir d'une indication de variation de la position de la pédale d'accélérateur (PA).

7. Procédé selon la revendication 6, dans lequel on élabore ladite information de désactivation à partir d'une indication de la vitesse de déplacement de la pédale d'accélérateur.

8. Procédé selon l'une des revendications 2 à 7, dans lequel on réactive (103) le mode dégradé en présence d'un relâchement de la pédale d'accélérateur.

9. Procédé selon l'une des revendications précédentes, dans lequel après désactivation du mode dégradé, on met en oeuvre un mode sous- optimal (MDSN) dans lequel ledit organe présente les performancesmaximales dont il est capable compte tenu de son état défaillant, et on passe progressivement du mode dégradé au mode sous-optimal.

10. Procédé selon l'une des revendications précédentes, dans lequel on réactive (103) le mode dégradé lorsqu'une durée de temporisation (102) s'est écoulée après la désactivation du mode dégradé.

11. Système de contrôle d'un organe de véhicule automobile, caractérisé par le fait qu'il comprend des premiers moyens (Ml) aptes à mettre en oeuvre un mode dégradé (MDG) dans lequel ledit organe présente des performances réduites par rapport à des performances nominales, des deuxièmes moyens (M2) aptes à délivrer une information de désactivation (SD) représentative de la volonté du conducteur d'obtenir des performances supérieures auxdites performances réduites, et des moyens de commande (MC) aptes à désactiver au moins temporairement les premiers moyens en présence de ladite information de désactivation.

12. Système selon la revendication 10, dans lequel ledit organe est le groupe motopropulseur (GMP).

13. Système selon la revendication 12, dans lequel les deuxièmes 20 moyens (M2) comportent un capteur (PA) apte à délivrer une indication de position de la pédale d'accélérateur.

14. Système selon la revendication 13, dans lequel les deuxièmes (M2) moyens comportent des moyens de comparaison (CMP) aptes à comparer ladite indication de la position de la pédale d'accélérateur avec 25 un seuil (TH).

15. Système selon la revendication 14, dans lequel ledit seuil comporte un seuil de rétrogradage forcé.

16. Système selon l'une des revendications 12 à 15, dans lequel les deuxièmes moyens (M2) comportent des moyens de détermination 30 d'une indication de variation de la position de la pédale d'accélérateur.

17. Système selon la revendication 16, dans lequel les moyens de détermination (M2) sont aptes à déterminer une indication de la vitesse de déplacement de la pédale d'accélérateur.

18. Système selon l'une des revendications 12 à 17, dans lequel les moyens de commande (MC) sont aptes à réactiver les premiers moyens en présence d'un relâchement de la pédale d'accélérateur.

19. Système selon l'une des revendications 10 à 18, comprenant en outre des troisièmes moyens (M3) aptes à mettre en oeuvre un mode sous-optimal (MDSN) dans lequel ledit organe présente les performances maximales dont il est capable compte tenu de son état défaillant, et les moyens de commande sont aptes, après désactivation du mode dégradé, à activer progressivement les troisièmes moyens.

20. Système selon l'une des revendications 10 à 19, dans lequel les moyens de commande (MC) sont aptes à réactiver les premiers moyens lorsqu'une durée de temporisation s'est écoulée après la désactivation de ces premiers moyens.