Brevet FR2104778A1 — publié le 19720421

La présente invention est relative à un système de calculateurs électroniques à opération instantanée, destiné à la commande d'un appareillage technique, par exemple la commande des moteurs à turbine à gaz de propulsion d'un aéronef. 5 II est connu de faire commander un seul et même appareilla ge par deux calculateurs électroniques, dont l'un constitue aine réserve de sécurité. Il s'ensuit que, dans le cas d'une installation comprenant deux ou plusieurs appareils, le nombre des calculateurs est toujours égal au double de celui des appareils, 10 et que la probabilité d'une panne générale de l'installation, due à une défaillance des calculateurs, est très faible puisqu'une telle panne nécessite la défaillance simultanée et improbable d'un grand nombre de calculateurs. Dans une telle installation, la sécurité est par suite indûment surabondante. 15 II est aussi connu de munir chacun des appareils de l'ins tallation de deux jeux identiques de transducteurs de commande, l'un de ces jeux étant connecté à l'un des calculateurs, et l'autre à l'autre calculateur. Il s'ensuit que toute défaillance de l'un des transducteurs de l'un ou l'autre jeu met complète-20 ment hors d'action le canal de commande calculateur-moteur associé à ce jeu de transducteurs, et que le calculateur de réserve qui agit sur l'autre jeu de transducteurs doit être mis en action. Le système de commande de calculateurs électroniques à 25 opération instantanée conforme à l'invention, destiné à la commande d'un appareil d'une installation technique, comprend deux canaux de commande comportant chacun un calculateur électronique connecté à un dispositif entrée-sortie pouvant être lui-même connecté à l'appareil à commander, des moyens de détection, des 30 défaillances dans les opérations de commande dans ce canal, des moyens de réponse aux défaillances dans ledit canal, qui mettent hors d'action le calculateur, et des moyens de réponse au calculateur du canal mis hors d'action qui connectent le calculateur de l'autre canal au dispositif entrée-sortie du canal mis hors 35 d'action. Les dispositifs entrée-sortie des deux canaux peuvent être respectivement connectés à l'un et à l'autre des appareils à commander. Il en résulte une installation dans laquelle, bien qu'il n'y soit prévu qu'un calculateur électronique par appareil, 71 25156 2 2104778 la défaillance de l'un d'eux n'entraînera pas l'arrêt de la commande des deux appareils. De la sorte, une installation comportant deux ou plusieurs appareils peut n'être équipée que de deux calculateurs électroniques, au moins, et la probabilité 5 d'une panne générale de l'installation, par défaillance d'un calculateur, est égale à celle de la défaillance simultanée d'au moins deux calculateurs. Le nombre des calculateurs supplémentaires à prévoir, en plus des deux précités, dépend du degré de sécurité que l'on désire obtenir et l'on voit donc qu'il 10 n'est pas nécessaire que le nombre total des calculateurs soit supérieur à celui des appareils de l'installation. Les dispositifs entrée-sortie des deux canaux peuvent être respectivement connectés à l'un et l'autre de deux jeux identiques de transducteurs de commande de l'installation de 15 sorte qu'en cas de défaillance de l'un des transducteurs de l'un des jeux, le calculateur électronique peut commander l'installation par le transducteur correspondant de l'autre jeu, et l'installation n'est privée de commande que dans le cas d'une défaillance simultanée de deux transducteurs correspondants. 20 Pour permettre cet emploi sélectif des transducteurs, un dispositif de détection des défaillances est agencé de façon à déterminer lequel des transducteurs est défaillant, et à effectuer alors en conséquence la connexion de l'autre calculateur aux sections de sortie respectives. 25 Si deux installations comportant chacune deux jeux de transducteurs doivent être commandées par le même système, les dispositifs entrée-sortie de chaque canal peuvent être connectés avec l'un des jeux de transducteurs de l'une des installations, et avec l'un des jeux de transducteurs de l'autre ins-30 tallation, et le système comportera alors des moyens qui permettent de connecter le calculateur de chaque canal à la section de sortie de l'autre, en vue de permettre à chacun des calculateurs d'avoir accès aux deux jeux de transducteurs de l'installation associée. L'avantage de cette disposition con-35 siste en ce que, en cas de défaillance de l'une des sections de sortie de l'un des canaux, seul l'un des jeux de transducteurs de chaque installation sera mis hors d'action, et la section de sortie de l'autre canal sera disponible pour la commande des deux installations, par l'intermédiaire des jeux de transduc 71 25156 \ 3 2104778 teurs en ordre de marche. Pour permettre de connecter le calculateur de chacun des canaux à la section de sortie de l'un ou l'autre de ces canaux, chacun d'eux peut comprendre un branchement relié à la section 5 de sortie de l'autre canal par l'intermédiaire d'un commutateur, et permettant de connecter alternativement les calculateurs à cette section. On voit donc que, puisque l'un quelconque des calculateurs peut être connecté à la section de sortie de l'un quelconque des 10 canaux, il importe que toutes les actions déclenchées par la défaillance d'un calculateur soient effectuées rapidement et sûrement, afin d'éviter que le calculateur défaillant prenne en charge la commande des deux sections de sortie. A cet effet le moyen qui, dans chaque canal, agit en réponse à l'apparition 15 d'une défaillancé peut comprendre un premier relais qui agit en réponse à l'apparition d'une défaillance et qui coupe l'accès du calculateur du canal défaillant à la section de sortie et au branchement précité de ce canal, et un deuxième relais qui agit en réponse à l'apparition d'une défaillance et qui coupe l'ali-20 mentation en énergie du calculateur, ce dernier relais agissant par l'intermédiaire d'un moyen de retard, de sorte que l'accès du calculateur à la section de sortie est coupé immédiatement, le calculateur n'étant pas immédiatement désexcité au cas ou la défaillance constatée serait transitoire. 25 L'un quelconque des cansux peut comporter un moyen sensitif qui détecte si l'autre canal est devenu défaillant, et ce dernier moyen peut comprendre un élément sensoriel compris dans l'alimenr-tation en énergie du calculateur de l'autre canal de sorte que, si cette alimentation est coupée par suite de l'apparition d'une 30 défaillance, cette apparition devient évidente, et sa détection est utilisée pour connecter le calculateur du premier canal aux deux sections de sortie. Pour la détection des défaillances et le déclenchement des opérations nécessaires en réponse, l'un quelconque des canaux 35 peut comprendre des moyens permettant de mettre simultanément en action deux compteurs à intervalles de temps réguliers, le premier de ces compteurs ayant un cycle de comptage fixé, et le deuxième un cycle de comptage déterminé par le signal de sortie d'un programmateur de vérification auquel le calculateur du canal 71 25156 4 2104778 est asservi, ce dernier cycle de comptage n'ayant une relation prédéterminée avec le premier que si le calculateur est en bon ordre de marche, et des moyens qui émettent un signal de défaillance si ladite relation prédéterminée n'est pas satisfaite. 5 Cette disposition permet l'obtention, pratiquement à coup sûr, d'un signal indicateur chaque fois qu'un calculateur est défaillant. Un exemple de système de commande conforme à l'invention, appliqué à deux calculateurs commandant les opérations de deux 10 moteurs à turbine à gaz d'un avion, sera donné ci-après, à titre purement explicatif et nullement limitatif, et avec référence aux dessins annexés dans lesquels : - la figure 1 est un schéma de l'ensemble du système; - la figure 2 est un schéma similaire à celui de la figure 15 1, mais simplifié et montrant les effets de l'apparition d'une défaillance de l'un des calculateurs; - la figure 3 est un schéma similaire à celui de la figure 2, mais montrant les effets d'une défaillance dans les connexions qui relient l'un des calculateurs et l'un des moteurs; 20 - la figure 4- est un schéma du système de commande de l'in vention, appliqué à quatre moteurs; - la figure 5 est le schéma de l'organigramme de l'un des calculateurs; - les figures 6.1 et 602 sont des schémas logiques des 25 dispositifs de réponse aux défaillances du système de commande; - la figure 7 est un schéma logique d'un générateur de créneaux appartenant au dispositif de réponse aux défaillances; - la figure 8 est un schéma de détail d'un détecteur de coïncidences compris dans les dispositifs de réponse aux dé- 30 faillances; - la figure 9 est un schéma logique d'un dispositif d'intercouplage du système de commande; - les figures 10.1 et 10.2 sont des schémas logiques des commutateurs de connexion du système de commande; 35 "" la figure 11 est un schéma représentant les connexions d'entrée et de sortie avec les moteurs; - la figure 12 est un graphique chronologique des opérations du système de commande; - la figure 13 fait suite à la figure 12, et montre les 71 25156 5 2104778 effets d'une défaillance d'un calculateur; - la figure 14 fait suite à la figure 13» et montre les effets d'une défaillance dans une connexion; - la figure 15 fait suite à la figure 14, et montre les ^ effets d'une défaillance dans les couplages entre les deux calculateurs ; et - les figures 16 à 23 sont des schémas séquentiels du programme général du système de commande0 DISPOSITION GENERALE DU SYSTEME 10 Sur la figure 1, un premier calculateur électronique numé rique 100, est connecté par un groupe de conducteurs 102 à un commutateur sélecteur 104 lui-même connecté par un groupe de conducteurs 106 à un dispositif entrée-sortie 107 qui est lui-même connecté par des conducteurs 110 à un jeu de transducteurs ^5 112 d'un premier moteur 114 et, par d'autres conducteurs 116, à un autre jeu de transducteurs 218 d'un deuxième moteur 214. De même, un deuxième calculateur électronique numérique 200 est connecté par un groupe de conducteurs 202 à un commutateur sélecteur 204 lui-même connecté par un groupe de conducteurs 206 20 à un dispositif entrée-sortie 207» lui-même connecté par des conducteurs 210 à un jeu de transducteurs 212 du moteur 214 et, par d'autres conducteurs 216, à un jeu de transducteurs 118 du moteur 114. Le groupe de conducteurs 102 comporte une branche 103 qui 25 part d'une jonction 105» et par laquelle le calculateur 100 peut être connecté, par l'intermédiaire du commutateur 204, au groupe de conducteurs 206. Le groupe de conducteurs 202 comporte une branche 203 qui part d'une jonction 205, et par laquelle le calculateur 200 peut 30 être connecté par l'intermédiaire du commutateur 104, au groupe de conducteurs 106. Les groupes de conducteurs 102, 103, 106 et le commutateur 104 constituent le système de voies principales du calculateur 100, et un système correspondant de voies principales dessert 35 le calculateur 200. Les transducteurs 112, 118, 212 et 218 peuvent se présenter soit sous la forme de dispositifs de commande effectuant une certaine action sur le moteur associé, soit sous la forme d'éléments sensoriels qui émettent des signaux d'information relatifs 71 25156 6 2104778 à la marche du moteur ou à son environnement. Il est respectivement associé aux moteurs 114 et 214 une manette de commande 120 et une manette de commande 220 à la disposition du pilote, et par lesquelles celui-ci peut envoyer 5 aux calculateurs un signal de commande de la vitesse ou du débit d'alimentation en combustible du moteur associé, la position donnée à la manette 120 est perçue par chacun des transducteurs 112 et 118, et celle de la manette 220 est perçue par chacun des transducteurs 212 et 218. 10 II doit être bien compris que les transducteurs 112 sont des répliques des transducteurs 118, c'est-à-dire que pour chaque paramètre en jeu^il est prévu une paire 112-118 de transducteurs identiques» De même, les transducteurs 212 et 218 forment aussi des paires. 15 Les dispositifs entrée-sortie 107 et 207 comportent des multiplexeurs 108 et 208 permettant d'adresser individuellement les conducteurs de transducteurs 110, 116, 210 et 216, et ils comprennent d'autre part pour ces conducteurs, des convertisseurs 122 et 222 qui établissent la compatibilité entre les calcula-20 teurs numériques et les transducteurs qui sont en général analogiques. Chacune des voies principales précitées comprend trois conducteurs qui constituent respectivement la voie principale d'entrée 3 des dispositifs sensoriels, la voie principale de 25 sortie 2 des dispositifs d'actionnément, et la voie principale r d'adressage 1 par laquelle le calculateur associé sélectionne le transducteur, ou tout autre élément particulier de l'équipement qui dout lui être connecté pour la réception ou l'émission d'un signal. 30 Sur la figure 1, les commutateurs des voies principales et les dispositifs entrée-sortie sont représentés symboliquement sous la forme de commutateurs à bras tournant. Leur construction réelle sera décrite et illustrée en détail par la suite. A ce stade de la description, il suffit de préciser que ces commuta-35 teurs des voies principales sont actionnés par des signaux d'adressage qui arrivent par une voie principale d'adressage, ces voies principales d'adressage étant elles-mêmes excitées par des signaux d'adressage. De même, les multiplexeurs sont commutés par des signaux d'adressage. 71 25156 7 2104778 Normalement, le calculateur 100 commande le moteur 114 qui constitue son moteur "associé", et le calculateur 200 commande 1 le moteur 214. Les communications entre le calculateur 100 et les transducteurs 112 sont assurées par les conducteurs 110, 5 mais les communications entre ce calculateur et les transducteurs 118 sont assurées par les conducteurs du branchement 103 et par les conducteurs 216. De même, le calculateur 200 peut adresser respectivement les transducteurs 212 et 218 par la voie principale 206 et la voie principale 106. 10 On voit donc que chacun des calculateurs est capable d'adresser les commutateurs 104 et 204 pour accéder aux multiplexeurs, des dispositions étant prises pour empêcher que les deux calculateurs accèdent simultanément au même multiplexeur. Le calculateur 100, son système de voies principales, son 15 système de détection des défaillances (qui sera décrit plus loin), son dispositif entrée-sortie 107 et ses transducteurs 112 et 118, constituent le premier canal de commande 101. Le système comporte un deuxième canal de commande correspondant 201. On voit que le calculateur 100 ne peut accéder aux transducteurs 20 H8 que par le canal 201, par l'intermédiaire de la voie principale 103 et des conducteurs de transducteurs 216. De même, l'accès du calculateur 200 aux transducteurs 218 ne peut se faire que par le canal 101. La ligne de démarcation entre ces deux canaux est arbitrairement indiquée par le trait mixte 0 mais, en réali-25 té, cette ligne de démarcation est plus complexe. Par exemple, en ce qui concerne la voie principale 103» le canal 101 se termine au commutateur 204. Pour des raisons de sécurité, les canaux 101 et 201 sont montés dans l'avion équipé des moteurs qu'ils commandent en des 50 emplacements éloignés le plus possible l'tin de l'autre, et ces canaux sont connectés par trois câbles Cl, C2 et C3 dont deux forment les voies principales 103 et 203» et dont le troisième dessert le système de détection des défaillances (qui sera décrit plus loin). Les connexions entre ces câbles sont assurées par des 35 connecteurs à fiches Pli, P12 et P13 pour le canal 101, et P21, P22 et P23 pour le canal 201. 71 25156 8 2104778 TYPES DE DEFAILLAIT CES. ET LEUR RELATION AVEC LE SCHEMA DU SYSTEME Le calculateur 100 est programmé pour détecter les défaillances spécifiées plus loin, et il comporte des systèmes de dé-5 tection comprenant une connexion 124A entre le conducteur de sortie de la voie principale 102 et le dispositif 126A qui, à l'apparition de certaines défaillances, libère tua. relais 128A et coupe un conducteur 130 qui alimente en énergie le calculateur. Cette coupure est perçue par un élément sensoriel 132A 10 relié par un conducteur de couplage 134R au conducteur d'entrée de la voie principale 202 du calculateur 200, de sorte que toute interruption de l'alimentation en énergie du calculateur 100 est signalée au calculateur 200. Ce dernier comporte, outre son programme de commande du moteur 214, un programme de commande du 15 moteur 114 qu'il tient en réserve et à réception du signal arrivant par le conducteur 134R, le calculateur 200 met en action ce programme tenu en réserve et, par suite, prend en charge la commande du moteur 114 tout en continuant à assurer celle du moteur 214. 20 De même, le calculateur 200 est programmé de façon à déce ler les défaillances, et la commande de son moteur associé 214 est prise en charge par le calculateur 100 dans le cas d'une coupure du conducteur 230 qui l'alimente en énergie électrique. A cet effet, le calculateur 200 est muni d'une connexion 224A qui 25 le relie au dispositif 226A de détection des défaillances, et qui est capable d'agir sur tin relais 228A qui coupe le conducteur 230 et qui, par un élément sensoriel 232A et un conducteur de couplage 234R, signale cette coupure au calculateur 100. Les défaillances que le dispositif de détection de chaque 30 canal est susceptible de détecter sont les suivantes : a) défaillance du calculateur lui-même, y compris les défaillances propres du système de détection des défaillances; b) perte complète de communications qui rend impossible pour le calculateur d'accéder à l'un quelconque des moteurs 114 35 et 214 qu'il peut être en train d'essayer de commander. Une perte complète de communications exige deux défaillances, par exemple un défaut dans chacune des voies principales 103 et 106 rendant impossible au calculateur 100 l'accès au moteur 114, ou une défaillance simultanée de deux transducteurs correspondants 71 25156 9 2104778 112 et 118; ç) Coupure de communication partielle, due par exemple à une défaillance d'un transducteur ou à un défaut dans un conducteur de transducteur, mais n'affectant que l'un des transduc-5 teurs de l'une des paires, de sorte que le moteur peut être commandé par l'intermédiaire de l'autre transducteur de la paire;et d) défaut d'intercouplage qui affecte la correction de la lecture, par l'un des calculateurs, de l'état d'alimentation en énergie électrique de l'autre. 10 Ces diverses défaillances seront examinées en détail plus loin, mais, à ce stade de la description, il y a lieu de préciser que le système de l'invention, par sa disposition générale, est capable de redresser les situations créées par les défaillances de calculateurs et les défauts de communications pré-15 cités. Les relations qui existent entre le système de l'invention et certaines défaillances ou défauts sont précisées ci-après, avec référence aux figures 2, 3 et 4. L'effet d'une défaillance d'un calculateur est illustré 20 par la figure 2, sur laquelle il a été supposé que le calculateur 100 est défaillant et n'est plus alimenté en énergie, de sorte qu'aucun courant ne circule alors dans les voies principales dessinées en traits mixtes. Les voies principales commandées par le calculateur 200 sont dessinées en traits pleins. On 25 voit que, en raison du routage des calculateurs par l'intermédiaire des commutateurs de voies principales 104 et 204, le calculateur 200 peut assurer complètement la commande du moteur 114, simplement par l'utilisation du programme de commande de ce moteur qu'il tient en réserve, et par l'intermédiaire de ces 30 commutateurs d'adressage 104 et 204 qui lui donnent accès au moteur 114. On remarquera aussi qu'il n'y a alors aucune perte d'accès à aucun des transducteurs. L'effet d'un défaut partiel de communications est illustré par la figure 3, dans laquelle il a été supposé qu'il existe un 35 défaut quelque part entre la jonction 105 et le dispositif entrée-sortie 107, de sorte que la voie principale 106 est inopérante, et qu'aucune transmission utile ne peut être effectuée par les trajets dessinés en traits mixtes. Mais du fait que chaque moteur est muni de deux jeux similaires de transducteurs, 71 25156 10 2104778 et que chacun des dispositifs entrée-sortie 107 et 207 est connecté à l'un des jeux de transducteurs d'un moteur et à l'un des jeux de transducteurs de l'autre, la perte de communication par la voie principale 106 ne supprime pas l'accès au moteur 5 114. Le calculateur 100 continue sa commande du moteur 114 par les transducteurs 118, et le calculateur 200 continue sa commande du moteur 214 par les transducteurs 212. Si une défaillance d'un calculateur et un défaut partiel de communications se produisent simultanémeht, le calculateur 10 demeuré en état de marche commande les transducteurs des deux moteurs. La figure 4 représente un système comportant quatre moteurs référencés respectivement 114, 214, 314 et 414, et un nombre correspondant de calculateurs et de voies principales, 15 un calculateur, une voie principale et un dispositif entrée- sortie étant prévus pour chaque moteur. On voit sur cette figure que chaque calculateur a accès aux deux jeux de transducteurs de l'un des moteurs, et à l'un des jeux de transducteurs de l'un des deux moteurs adjacents, de sorte que tous les calculateurs, 20 sauf deux, peuvent être simultanément défaillants sans que la commande des moteurs en soit affectée, pourvu que chacun des calculateurs soit en possession du programme de commande de trois moteurs. Un défaut partiel de communications avec l'un quelconque des moteurs se traduit seulement par une perte d'accès 25 à l'un de ses deux jeux de transducteurs. En modifiant les connexions des transducteurs, il est possible de modifier le schéma des voies d'accès de façon que, par exemple, chaque calculateur puisse avoir accès à tous les moteurs. DETECTION DES DEFAILLANCES 30 Le système de détection des défaillances associé à chacun des canaux 101 et 102 comprend des programmes de détection des défaillances, un système agissant en réponse à l'apparition d'une défaillance, et dont la fonction essentielle est de transformer les signaux de sortie des programmes de détection en ac-35 tions sur son canal associé, un système de couplage par lequel l'état de l'un des canaux est communiqué au calculateur de l'autre canal, et une programmation établie dans l'autre calculateur et qui lui permet, si nécessaire, de prendre en charge l'exécution des opérations du premier calculateur. 71 25156 11 2104778 La figure 5 représente le calculateur 100, qui comprend un élaborateur central 136, un programme de base 137» un programme général 138 pour la commande des moteurs, et deux mémoires 139 et 140. Le programme général 138 comprend sept sections ré-5 férencées 1.0 à 7»0. Ces sections seront décrites en détail plus loin et, à ce stade de la description, il ne sera fait qu'une brève mention du fonctionnement du programme 138. Les défaillances des calculateurs sont détectées par un compteur qui effectue un certain nombre de comptages de vérifi-10 cation dont le résultat est un "nombre de vérification" qui, si le calculateur est en bon état de marche, correspond à un nombre normal prédéterminé. Ce nombre de vérification est envoyé au système de réponse aux défaillances qui le compare audit nombre prédéterminé. 15 Les' défaillances qui affectent les voies principales de communication sont détectées par le calculateur, qui envoie sur la sortie des voies principales tua signal d'essai lequel, si le système de voies principales de communication fonctionne correctement, provoque l'apparition à l'entrée de ce système, de 20 signaux de vérification prédétermihés, et un signal résultant de défaillance ou de non défaillance, qui est envoyé au système qui répond aux défaillances. Les défaillances de transducteurs individuelles peuvent être détectées par exemple par un défaut de l'élément sensoriel qui l'empêche de se conformer à un modèle mis en mémoire dans le 25 calculateur, et qui a pour résultat le non fonctionnement du transducteur fautif. Les défaillances des intercouplages sont détectées directement par un dispositif comparateur appartenant au système de réponse aux défaillances, et elles ont le même effet qu'une 30 perte totale de communications. Il en est de même pour toute autre défaillance dans le système de réponse à celles-ci. Ce système de réponse est agencé de façon, en cas de défaillance d'un calculateur ou de perte complète de communications a couper l'alimentation du calculateur par l'un des relais 35 précités 128A et 228A, mais, ainsi qu'il sera expliqué plus loin, cette coupure subit un certain retard, de sorte qu'il est laissé aux défaillances transitoires le temps de se corriger d'elles-mêmes. Toutefois, dans le cas d'une défaillance d'un calculateur, 71 25156 12 2104778 les voies principales de ce calculateur sont déconnectées immédiatement, pour éviter qu'un calculateur défaillant prenne en charge l'exécution d'un programme de commande. Avant de poursuivre la description du système de réponse 5 aux défaillances, il y a lieu de préciser certains détails du système de commande considéré dans son ensemble. Ainsi qu'on le voit sur les figures 1 et 5, la voie principale 102 est constituée par les conducteurs 1, 2 et 3 dans lesquels circulent respectivement les signaux d'adressage, de 10 sortie et d'entrée. Chaque signal de sortie ou d'entrée, pour avoir tin effet, doit être accompagné d'un signal d'adressage qui est lu par un décodeur d'adresses agencé de façon à émettre un signal distinct sur un conducteur connecté au dispositif considéré, un transducteur par exemple, auquel ce signal enjoint de 15 se commuter pour la réception d'un signal de sortie émis par le calculateur, en vue de la transmission d'un signal d'entrée au calculateur. A moins que le présent contexte ne l'exige, les signaux d'adressage et les décodeurs ne sont pas représentés sur les dessins annexés, la seule indication des signaux d'entrée 20 et de sortie étant en général suffisante. Dans certains cas, il suffit seulement d'un signal d'adressage pour déclencher une action, par exemple dans le cas de la commande d'un bivibrateur. En ce qui concerne le système de réponse aux défaillances, le programme 138 envoie ledit nombre de vérification dans la 25 mémoire 140, à partir de laquelle il est lu sur la voie principale de sortie, sous forme d'un signal d'information 144A accompagné d'un signal d'adresse 145A sur le conducteur d'adressage. Dans le cas d'une perte complète de communications, le signal 144A est accompagné par un signal d'adressage 146A. En d'autres 30 termes, le signal 144A est lu dans la mémoire soit par le signal d'adressage 145A, soit par le signal d'adressage 146A selon qu'il s'agit d'une défaillance du calculateur, ou d'une perte complète de communications. Un signal 234RY, qui indique si le calculateur 200 est excité ou non, est lu dans la mémoire et lu 35 à nouveau (pour vérification) comme signal d'adressage 147A. Ces quatre lectures effectuées dans la mémoire fournissent le groupe des signaux de défaillance "A". Il existe un groupe similaire de signaux de défaillance "B", qui sont affectés du suffixe "B", et qui sont lus directement après les signaux "A". les signaux de défaillance sont lus et transmis au système 71 25156 13 2104773 de réponse aux défaillances, et, à ce sujet, on remarquera que ce système bénéficie du fait que les canaux sont commandés suivant la même méthode de prélèvement d'informations, de sorte que le programme tout entier du système est répété à des intervalles 5 de temps courts, savoir 50 millisecondes dans l'exemple considéré, la fréquence de ces répétitions étant appelée par la suite "période des prélèvements d'informations". La lecture des signaux de défaillance s'effectue au commencement de chacune des périodes de prélèvement d'informations, la vérification elle-10 même des défaillances ayant été effectuée à la fin de la période de prélèvement précédente. Ceci signifie que cet intervalle de tenrps constant que représente chaque période de prélèvement est utilisé comme une norme avec laquelle sont comparés les signaux 144 porteurs des nombres de vérification (c'est-à-dire les 15 signaux 144A et 144B), pour permettre au système de réponse aux défaillances d'établir si une défaillance existe ou non. Chaque période de prélèvement d'informations est déclenchée par un compteur ou chronomètre des prélèvements 150 (voir aussi figure 6.1, lequel, à la fin de chacun de ses comptages, 20 envoie un signal d'interruption 151 qui arrête le programme de base du calculateur et déclenche le programme général du système dont la première action, avant toute lecture des signaux de défaillance, est de réenclencher le compteur 150 en préparation de son comptage suivant, en provoquant la connexion de la 25 mémoire 159, dans laquelle se trouve le nombre de réenclenchement, avec le compteur 150, de sorte que ce nombre de réenclen— chement, sous la forme d'un signal 152, est reçu par le compteur 150 qui commence immédiatement un comptage correspondant à la période de prélèvement d'informations suivante. 50 SYSTEME DE REPONSE AUX DEFAILLANCES Le système de réponse aux défaillances du canal 101 comprend le dispositif de réponse 126A précité, et un dispositif identique 126B, ainsi qu'on le voit sur la figure 6.1. Les dispositifs 126A et 126B reçoivent respectivement les 35 signaux de défaillance "A" et "B", et ils les traduisent en actions nécessaires pour la sauvegarde du bon fonctionnement des moteurs. Seul le dispositif 126A sera décrit en détail ci-après, et mention n'est faite du dispositif 126B que lorsqu'il est nécessaire de préciser les couplages entre ces deux dispositifs, 40 ou bien une différence mineure dans leurs connexions à d'autres 71 25156 14 2104778 systèmes. Les signaux de défaillance sont transmis par la voie principale 102 au dispositif 126A, dans lequel le signal 144A représentant le nombre de vérification est envoyé dans un compteur 5 14-8A. Les signaux 145A, 146A et 147A sont lus par un décodeur d'adresses 149A capable d'établir une différence entre ces signaux et de les envoyer, comme représenté, sur des conducteurs séparés. La réception du signal 144A approprié,règle le compteur 10 148A pour le comptage d'un nombre égal à celui représenté par ce signal 144A. Le programme 138 est agencé de façon que, si le calculateur est en ordre de marche, le nombre de vérification représenté par le signal 144A peut être compté par le compteur 148A dans un intervalle de temps ayant une relation prédétermi-15 née avec la période de prélèvement d'informations, c'est-à-dire une relation prédéterminée avec le nombre représenté par le signal 152 qui détermine cette période. Dans le mode de réalisation décrit, cette relation est telle que le compteur 148A effectue son comptage dans un temps légèrement plus court que 20 celui mis par le compteur 150 pour effectuer le sien, ces deux temps étant respectivement, par exemple, 49,2 millisecondes et 50 millisecondes. Le compteur 148A est agencé pour émettre en fin de comptage un signal 153A qui provoque l'exécution par un autre compteur 25 154A d'un comptage d'une durée relativement courte, et pendant lequel il émet un signal 155A qui sera appelé ci-après "créneau". La combinaison des deux compteurs 148A et 154A sera appelée ci-après "générateur de créneau". Du fait que les signaux de défaillance sont lus suivant une relation prédéterminée avec le 30 signal 151 du compteur 150, il s'ensuit que si un signal 144A qui représente le nombre de vérification qui est lu au début d'une période de prélèvement normale est correct, le compteur 148A effectue un comptage complet, correspondant à cette période, et que le créneau résultant s'ouvre pendant l'intervalle de 35 temps correspondant au passage des signaux de défaillance de la période de prélèvement suivante. Plus précisément, et ainsi qu'on le voit sur .la figure 12, le signal 155A dure suffisamment longtemps pour permettre aux signaux 147A et 145A de. se manifester pendant sa durée, et le 71 25156 15 2104778 signal 144-1 est tel que, lorsque le nombre de vérification, du calculateur est correct, les signaux 147A et 145A sont émis effectivement pendant la durée du signal 155A. En cas de perte complète de communications, le signal 146A remplace le signal 5 145A. Le compteur 154A est agencé pour ramener le signal 145A à zéro après ladite période relativement courte, mais si des signaux de défaillance apparaissent pendant cette période, ils ramènent eux-mêmes le signal 155A à zéro. 10 On voit donc que la raison pour laquelle la durée du comp tage du compteur 148A est légèrement moindre que celle du comptage du compteur 150 est d'assurer que le signal 144A qui suit immédiatement aura le temps de passer correctement pendant la durée du signal 155A. L'affectation du même signal 144A à la 15 fois aux défaillances du calculateur et aux défauts de communications permet d'utiliser le même compteur 148A pour ces deux genres de panne. Le système de réponse aux défaillances correspondant au canal 201 est représenté sur la figure 6.2, la seule différence 20 entre les deux systèmes étant que les références des éléments du canal 101 commencent par le chiffre "1", alors que celles des éléments du canal 201 commencent par le chiffre "2". GENERATEUR JE CRENEAU Le générateur de créneau 148A-154A, est décrit en détail 25 ci-après, avec référence à la figure 7« Le compteur 148A comprend des bivibrateurs 1.481 connectés à la façon bien connue de manière à constituer un compteur binaire. Ce compteur est agencé pour effectuer un comptage à rebours à partir d'un nombre déterminé par les signaux émis par des portes ET 1482 par l'ac-30 tion desquels les bivibrateurs 1481 peuvent être commutés de façon que leur signal de sortie représente le chiffre "1" ou le chiffre "0", de manière à former un nombre donné. Les portes ET 1482 reçoivent chacune par l'une de leurs entrées des signaux 145A ou 146A, émis par une porte OU 169A. Les autres entrées des 35 portes 1482 fournissent respectivement les chiffres du signal 144A représentés par quatre conducteurs correspondant aux quatre conducteurs de la voie principale de sortie 1022. En pratique, « cette voie principale comporte 12 conducteurs, qui permettent le passage d'un signal 144A à 12 bits. Ce compteur 148A est actionné 71 25156 16 2104778 par un oscillateur 176. Les signaux de sortie 1483 sont inversés et pris par l'intermédiaire d'une porte ET 1484 dont le signal de sortie 153A est "0" (c'est-à-dire inactif) à moins que les signaux 1483 ne soient tous des "0". A ce stade des opérations, 5 le compteur est arrêté par une connexion entre le signal 153A et line porte ET 1485. Le compteur 154A est constitué par une série de bivibrateurs 1541 interconnectés de façon à effectuer un comptage à rebours à partir d'un état initial pour lequel le signal de sor-10 tie 1542 de chacun des bivibrateurs est réglé de façon à représenter le chiffre "1"« Comme représenté, ces bivibrateurs peuvent être mis dans cet état par le signal 145A ou par le signal 146A. Le compteur 154A est actionné par l'oscillateur 176 par l'intermédiaire d'une porte ET 1543 mise en état de transmettre 15 par le signal 153A et d'une porte NI-ET 1544 qui l'empêche de transmettre lorsque les signaux de 1543 sont tous des "0", c'est-à-dire lorsque le compteur a terminé son comptage à rebours. Les signaux 1542 représentent le signal 155A, du fait qu'ils sont prélevés par l'intermédiaire d'une porte NI-OU 1545 20 dont le signal de sortie est le chiffre "1" tant que le signal reçu sur l'une quelconque de ses entrées est le chiffre "0" et, finalement, par l'intermédiaire d'une porte ET 1546 montée de façon à être mise hors d'état de transmettre (c'est-à-dire mise à l'état inactif) lorsque le compteur atteint le comptage 0, ou 25 est mis en action par le signal 145A ou par le signal 146A. Il apparaît donc que les compteurs 148A et 154A agissant en co-opération émettent un signal 155A après écoulement d'un intervalle de temps qui est déterminé par le signal 144A, et que ce signal 155A demeure présent pendant un intervalle de temps 30 qui commence à l'apparition du signal 153A et qui se termine à la fin du comptage maximum du compteur 154A, ou à l'apparition du signal 145A ou du signal 146A suivant. La correspondance dans le temps de ces signaux est visible aussi sur la figure 12. Il est clair qu'il est indifférent que les compteurs 148A 35 et 154A soient agencés pour effectuer des comptages normaux ou des comptages à rebours. Le compteur 150 (figure 6.1) est de construction similaire à celle du compteur 154, et il ne sera pas décrit en détail. Ce compteur 150 est actionné par un oscillateur (non représenté) 71 25156 17 2104778 distinct de l'oscillateur 1760 II effectue ses comptages en sens opposé (c'est-à-dire dans le sens normal si le compteur 148A effectue des comptages à rebours). Cette disposition diminue les risques de non détection d'une panne d'oscillateur, ou d'une 5 panne similaire. Les trois types de défaillances représentés par les signaux 144A et 145A (défaillance d'un calculateur), 144A et 146A (défaut de communications) et 147A (vérification du couplage), seront considérés en détail ci-après, en ce qui concerne le 10 système de réponse aux défaillances, et le système de couplage. BEPONSE AUX DEFAILLANCES DE CALCULATEUR Les signaux 145A et 155A sont envoyés dans un détecteur de coïncidences 156A (voir figure 8) dont l'une des sorties 157A devient active si, et seulement si, le signal 145A apparaît 15 en entier pendant la durée du signal 155A, cette sortie étant maintenue active après le passage de ce signal, à moins que la condition précitée ne soit pas satisfaite à l'apparition des signaux 145A et 155A suivants. Le détecteur 156A est décrit en détail plus loin avec référence à la figure 9. 20 l»a sortie 157A est connectée avec un compteur de retard 158A dont la sortie 159A est connectée au relais 128A précité de la ligne 132 d'alimentation en énergie électrique du calculateur. Ainsi à moins que le signal 157A ne soit actif, le calculateur est désexcité après écoulement du temps de retard 25 introduit par le compteur 15SA, retard qui, dans le mode de réalisation décrit, est de 0,5 s, et les opérations de prise en charge de la commande par le calculateur 200 commencent. Ce temps de retard, égal à 10 périodes de prélèvement d'informations, est introduit pour que les faux signaux de dé-jO faillance puissent passer sans avoir d'effet mais, pour assurer qu'aucun dommage ne se produise entre-temps, les voies principales sont déconnectées immédiatement par un deuxième détecteur de coïncidences 160A qui reçoit aussi les signaux 155A et 145A, et dont l'un des signaux de sortie 161A devient actif dans les 35 mêmes conditions que celles indiquées pour le détecteur 158A. Le signal 161A est envoyé dans une porte ET 162A dont la sortie 163A est active si ses deux entrées le sont, et dont l'autre entrée 164A est effectivement active en l'absence de toute défaillance du couplage des calculateurs (voir plus loin 71 25156 18 2104778 la description des effets du signal 147A). Le signal 163A est envoyé dans un relais 165 cLe sorte que, si ce signal est inactif, une alimentation en énergie 166 est coupée, ce qui a pour effet de désexciter des coupleurs opto-électroniques 167 et 168 qui 5 connectent respectivement la jonction de voies principales 105 à la voie principale 103 et au commutateur de voie principale 104. Ainsi, l'absence d'une coïncidence entre les signaux 145A et 155A pendant le passage du créneau a pour effet, en plus du départ du temps de retard de 0,5 s précité, le désaccouplement des voies 10 principales. Cet état est représenté sur la figure 13. Si la défaillance du calculateur n'est que transitoire et se corrige d'elle-même pendant ce temps de retard, les coupleurs des voies principales sont à nouveau excités, du fait que le signal 163A est devenu actif. De même, le compteur de retard est 15 ramené à 0, ou commence un comptage à rebours, si le signal 157A devient actif. De préférence, le compteur 158A est agencé de façon, si le signal 157A est inactif, a effectuer un comptage à rebours à une vitesse plus grande que celle du comptage normal qu'il effectue lorsque ce signal est actif. Il s'ensuit que les dé-20 faillances intermittentes d'une durée inférieure à 0,5 s sont décelées si leur fréquence est suffisante pour qu'elles prennent de vitesse ledit comptage à rebours. De telles défaillances, si elles n'étaient pas décelées, auraient un effet nuisible sur la commande des moteurs. 25 Dans le cas du dispositif 126B de réponse aux défaillances, le signal référencé 163B émis par la porte ET correspondante 162B n'est pas envoyé dans un relais semblable au relais 165 » mais il est envoyé au commutateur de voies principales 104. Des détails sur cette disposition seront donnés plus loin, au cours de la 30 description du commutateur de voies principales. Le conducteur du signal 163B comporte un branchement qui envoie un signal 163B1 au commutateur 204 du calculateur 200. C'est là la seule différence entre les dispositifs 126A et 126B. REPONSE A PME PERTE COMPLETE DE COMMUNICATIONS 35 Dans le cas d'une défaillance de calculateur, le compteur 158A est mis en action pour désexciter le calculateur en 0,5 s, et le relais 128 est actionné pour déconnecter immédiatement le calculateur. Mais, dans le cas d'une perte complète de communications, 40 seul le compteur 158A est mis en action et la connexion de voie 71 25156 19 2104778 principale est laissée en l'état, pour que le calculateur puisse poursuivre la vérification de cette voie au cours de chacune des périodes de prélèvement d'informations qui passeront avant que le compteur 158A désexcite le calculateur» Ceci se produit essen-5 tiellement du fait que, alors que le signal 14 5A est envoyé dans le compteur 148A et aux deux détecteurs 156A et 160A, le signal 146A est envoyé au compteur 148A et au détecteur 160A seulement. Par conséquent, en cas de perte complète de communications, le détecteur de défaillances 160A est adressé tant par les signaux 10 146A que 155A et maintient actif le relais 128A, alors que le détecteur 156A est adressé seulement par le signal 155A, de sorte que sa sortie 157A fournit un signal inactif et que le compteur de retard 158A démarre. Les conditions d'une perte^ complète de communications sont représentées sur la figure 14. 15 DETECTEURS JE COÏNCIDENCES Les détails de construction des détecteurs de coïncidences, savoir des détecteurs 156A, 16OA et 174A par exemple, sont donnés sur la figure 8 qui représente le détecteur 156A. Les autres détecteurs de coïncidences sont de construction similaire, 20 mais ils sont munis d'entrées et de sorties différentes appropriées. Ainsi qu'on le voit sur la figure 8, les signaux 145A et 155A sont envoyés dans une porte ET 1561 dont le signal de sortie 1562 n'est actif que si les signaux qu'elle reçoit sur ses deux 25 entrées le sont. Le signal 1562 est envoyé coifime signal de chronométrie dans un bivibrateur JK 1563 dont la sortie Q qui fournit le signal précité 157A (figure 6) passe de l'état inactif à l'état actif pourvu que le signal de réenclenchement 1564 soit inactif, ce qui est normalement le cas. Ainsi, dès que le 30 signal 145A devient actif pendant le passage du signal 155A, le signal 157A devient actif, ou le demeure. Le signal 155A est aussi envoyé directement sur l'entrée J d'un autre bivibrateur 1565 et, par l'intermédiaire d'un inverseur, sur l'entrée K de ce bivibrateur. Le signal 145A est envoyé 35 comme signal de chronométrie au bivibrateur 1565, de sorte que si les signaux reçus sur les entrées J et K sont respectivement actif et inactif, ledit signal de chronométrie rend la sortie Q de ce bivibrateur active, ou la laisse active. La sortie Q du bivibrateur fournit, par l'intermédiaire d'un inverseur 1566, le 71 25156 20 2104778 signal de réenclenchement 1564, et l'on voit aisément que si le signal 145A devient actif pendant que le signal 155A l'est, ce signal de réenclenchement 1564 est inactif, ce qui est la condition nécessaire pour permettre au signal 157A de devenir 5 actif. Si, par suite de l'apparition d'une défaillance, le signal 145A devient actif avant que le signal 155A ne le devienne, le signal 1562 demeure inactif, les entrées J et K du bivibrateur 1565 sont respectivement inactive et active et, par conséquent, 10 le signal 145A envoyé dans le bivibrateur a pour effet de rendre inactive sa sortie Q. Il s'ensuit que le signal 1564 devient actif, ce qui a pour effet de rendre inactif le signal 157A, et d'indiquer ainsi l'apparition d'une défaillance. Si, par la suite, il se produit une coïncidence correcte 15 des signaux 155A et 145A, le signal 1564 est alors inactif, et le signal 1562, alors actif, peut prendre en charge la commande du bivibrateur 1563 et rendre à nouveau actif le signal 157A. Le signal 1562 n'est efficace que par son front et, puisque du fait du retard introduit par l'inverseur 1566 le signal 20 1564 ne devient inactif que légèrement après le passage du front du signal 1562, le signal 157A devient actif non pas à la première mais bien à la deuxième coïncidence entre les signaux 155A et 145A, après l'apparition d'une défaillance. Il s'ensuit qu'une période de prélèvement d'informations complète doit s'écouler 25 avant que la défaillance puisse être détectée. Ceci est désirable du fait que, si la défaillance n'apparaît que très peu de temps avant la fin d'une période de prélèvement d'informations, il se pourrait que le relais 165 (figure 6) n'ait pas le temps de répondre avant que la défaillance soit détectée au début de 30 la période de prélèvement d'informations suivante. Une défaillance qui se répéterait de cette façon pourrait ne pas être détectée, s'il n'était pas prévu un temps de retard dans l'inverseur 1566. D'autres perfectionnements (non représentés) peuvent être 35 apportés au détecteur 156A pour assurer la détection d'autres défauts des signaux, par exemple pour détecter la double apparition d'un signal 145A pendant le passage du signal 155A. 71 25156 21 2104778 SYSTEME DE COUPLAGE ET DEFAUTS DE COUPLAGE Dans le cas d'un défaut de couplage, la détection de ce défaut, et la réponse qui y est faite, s'effectuent dans le système de réponse aux défaillances. Le calculateur lit simplement 5 le signal 147A dans le but de vérifier si le signal 234-RY a fourni une information correcte. Cette vérification s'effectue de la façon suivante. Ainsi qu'on le voit sur les figures 6.1; 6.2 et 9, un signal 234-R en provenance du calculateur 200 est reçu par le con-10 necteur 111 et est divisé par tin distributeur 170C en trois signaux 234-R1, 234-R2 et 234-R3 qui sont respectivement envoyés au calculateur, au dispositif de réponse 126A et au dispositif de réponse 126B. La vérification consiste à comparer le signal tel qu'il est reçu par le calculateur avec les signaux reçus par les 15 dispositifs de réponse respectifs. Ainsi qu'on le voit sur les figures précitées, le signal 234-R1 est envoyé au calculateur 100 par l'intermédiaire d'une porte OU I7.IC dont le signal de sortie 234-RY passe par une porte OU 175 (figure 6.1) donnant accès à l'entrée de la voie princi-20 pale 102. Le signal 234-R2 est envoyé dans une porte OU 171A dont la sortie 234-SY constitue l'entrée d'un détecteur d'équivalences. 172A dont l'appellation définit clairement la fonction et qui est muni d'une deuxième entrée 173A qui reçoit les signaux du détecteur de coïncidences 174A (figure 6.1) dont les entrées re-25 çoivent les signaux 155A etl47A. Le signal 234-R3 est envoyé dans une porte OU 171B, dont le signal de sortie 234-TY est envoyé sur l'une des entrées d'un détecteur d'équivalences 172B (figure 6.1) dont la deuxième entrée reçoit les signaux émis par un détecteur de coïncidences 174B qui reçoit sur ses entrées les 30 signaux 155B et 147B. En l'absence de toute défaillance, les signaux 234-SY et 173A sont identiques, de même que les signaux 234-TY et 173B. Si les deux entrées de chacun des détecteurs 172A et 172B sont simultanément actives, cela signifie que le calculateur 100 a lu 35 le signal 234R1 qui lui indique que le calculateur 200 est excité et que la lecture qu'il a faite correspond aux signaux 234-8 et 234-T. Si les deux entrées de chacun des détecteurs 172A et 172B sont simultanément inactives, cela signifie que le calculateur 200 a été interrogé et a été trouvé désexcité. 71 25156 22 2104778 S'il n'y a pas équivalence entre les signaux reçus sur ses deux entrées par le détecteur 172A, la lecture faite pour constater la position du calculateur 200 est dite fautive, la sortie 161A du détecteur d'équivalences devient inactive, le 5 signal 163A devient inactif et le relais 165 coupe le courant sur les coupleurs 167 et 168 ce qui a pour effet de déconnecter le calculateur 100 de la voie principale 103 et du commutateur 204. Une situation similaire s'établit si les deux entrées du détecteur 172B reçoivent chacune un signal différent, mais, 10 dans ce cas, le signal 163B est envoyé dans les commutateurs 104-et 204- pour, ainsi qu'il sera expliqué plus loin, couper une certaine connexion. En supposant que le calculateur 100 soit lui-même en ordre de marche (sauf en ce qui concerne une défaillance possible ayant pour effet une lecture erronée du signal 234-R1), 15 la déconnexion des voies principales est détectée par le calculateur 100 sous la forme d'une perte complète de communications, ce qui a pour effet de faire couper l'alimentation en énergie électrique du calculateur 100 par les relais 128A et 128B après écoulement du temps de retard de 0,5 s. En d'autres termes, le 20 calculateur 100 est désexcité si les trois signaux 234-RY, 234-SY et 234-TY ne sont pas tous trois identiques. Si le calculateur 200 est désexcité, et si le calculateur 100 ne lit pas correctement cet état du calculateur 200, il s'établit alors une condition pour laquelle les deux calculateurs sont simultanément 25 désexcités. En l'occurence d'une telle condition, dont la probabilité d'apparition est faible, les moteurs demeurent normalement dans le dernier état de réglage qui leur a été donné, mais ils risquent d'être bloqués par la disparition des alimentations en énergie de leurs éléments d'entrée et de sortie, alimentations 30 dont le maintien est assuré par les signaux en provenance des calculateurs. Pour assurer au système de couplage un coefficient de sécurité élevé, il est prévu en supplément à l'élément sensoriel 232A deux autres éléments sensoriels 232B et 232C situés sur des 35 trajets différents, entre chacun des canaux et l'autre. Le signal de sortie 234-S de l'élément sensoriel 232B est envoyé par l'intermédiaire .de connecteurs P22 et PI3 dans le dispositif 126A, dans lequel un distributeur 17.0A divise ce signal 234-S en un signal 234-S3 envoyé au détecteur d'équivalences 172B, un 71 25156 2104778 signal 234-S1 envoyé sur l'entrée de voie principale 1023, et un signal 234-S2 envoyé au détecteur d'équivalences 172A. Le signal de sortie 234-T de l'élément sensoriel 232C est envoyé par l'intermédiaire de connecteurs P23 et P12 au dispositif 126B, dans 5 lequel un distributeur 170B divise ce signal 234-T en un signal 234-T1 envoyé sur l'entrée de voie principale 1023» un signal 234-T2 envoyé au détecteur d'équivalences 172A, et un signal 234-T3 envoyé au détecteur d'équivalences 172B. De la sorte, chacun des éléments sensoriels 232A, 232B et 232C est connecté au 10 calculateur 100 et à chacun des détecteurs 172A et 172B, ce qui donne au système de couplage un coefficient de sécurité élevé. Le calculateur 200 est évidemment agencé pour détecter si le calculateur 100 est excité, de la même façon que ce calculateur 100 est agencé pour détecter l'état du calculateur 200. 15 COMMUTATEUR DES VOIES PRINCIPALES Ainsi qu'on le voit sur la figure 10.1, le conducteur d'adresses 102/1 et le conducteur de sortie 102/2 de la voie principale 102 sont respectivement connectés par l'intermédiaire de portes ET 1801X et 1802X et de portes OU 1811X et 1812X au 20 conducteur d'adresses 106/1X et au conducteur de sortie 106/2X de la voie principale 106 , et le conducteur d'entrée 102/3 est connecté à la sortie d'une porte ET 18032 dont l'une des entrées est connectée au conducteur de voie principale 106/3. De façon similaire, la voie principale 203 est connectée à 25 la voie principale 106 par l'intermédiaire des portes ET 2801Y, 28021 et 2803Y. Sur cette figure, les voies principales 102 et 106 qui doivent être connectées et tous les signaux qui doivent être actifs dans les conditions supposées sont représentés en traits forts et les signaux qui doivent être inactifs sont 30 représentés en traits mixtes fins. De plus, il est prévu un intercouplage tel que, lorsque la voie principale 102 est connectée à la voie principale 106, la voie principale 203 ne l'est pas. La connexion de la voie principale 102 est effectuée par 35 un décodeur d'adresses 184-X connecté à cette voie principale, et qui est agencé de façon à rendre actif le signal d'adresse 182X, ce qui a pour effet de commuter un bivibrateur 1852 et de faire devenir actif l'un 185AX de ses signaux de sortie, et inactif l'autre signal de sortie 185BX. 71 25156 24 2104778 La déconnexion de la voie principale 203 est effectuée par un décodeur d'adresses 284-Y connecté à cette voie principale, et agencé pour rendre actif un signal d'adresse 283Y, ce qui a pour effet de commuter un bivibrateur 285Y dont l'un des 5 signaux de sortie 285BY devient actif, tandis que l'autre signal de sortie 285AY devient inactif. L'intercouplage réalisé est tel que, pour que la voie principale 102 soit connectée, les signaux 185AX et 285BY doivent tous deux être actifs. A cet effet, ces deux signaux sont 10 envoyés dans line porte ET 187X dont la sortie est connectée, lorsque les signaux qu'elle reçoit sur ses deux entrées sont actifs, de façon à commuter un bivibrateur 188 et rendre ainsi actif un signal 188A. Ce dernier signal peut être utilisé directement pour rendre conductrices les portes ET 180X, c'est-à-dire 15 les portes 1801X, 1802X et 1803X. Mais, pour éviter les conséquences qu'aurait un défaut de fonctionnement possible du bivibrateur 188, ie signal 185AX est envoyé en compagnie du signal 188A dans une porte ET 186X dont la sortie est connectée de façon à rendre conductrices les portes ET 180X. 20 La connexion de la voie principale 203 avec la voie prin cipale 206 exige une commutation des bivibrateurs 285Y et 185X qui rend actifs leurs signaux.respectifs 285AX et 185BX en vue de rendre conductrice une porte ET 287Y et de commuter le bivibrateur 188, ce qui rend actif le signal 188BX envoyé à une porte 25 ET 286Y don# l'autre entrée reçoit le signal 285AY. Si les deux signaux 188BX et 285AY sont actifs, le signal de sortie de la porte ET 286Y devient actif, ce qui rend conductrices les portes 280Y, c'est-à-dire les portes 2801Y, 2802Y et 2803Y. L'intercouplage en question est effectué par les signaux 30 185BX et 285BY. Il apparaît clairement que si le calculateur 200 essaie d'accéder par la voie principale 203 à la voie principale 106 pendant que la voie principale 202 est connectée de la même façon, la commutation du bivibrateur 285Y nécessaire pour rendre actif le signal 285AY est sans effet, puisque le signal 185BX 35 est inactif, et que la porte ET 287Y ne peut donc pas être rendue conductrice. Il est prévu respectivement une porte ET 197X et une porte ET 198X pour la lecture des signaux de sortie de la porte 286Y, et celle des signaux de sortie de la porte 186X, ces lectures 71 25156 25 2104778 s'effectuant dans le conducteur d'entrée de voie principale 102/3. Les signaux de sortie des portes 286Y et 186X peuvent être aussi lus directement dans le conducteur d'entrée de voie principale 203/3 par l'intermédiaire respectivement d'une porte 5 ET 297Y et d'une autre porte ET 298Y„ Ainsi qu'il a été indiqué dans la description du SYSTEME DE REPONSE AUX DEFAILLANCES et ailleurs aussi, le signal 163B est envoyé dans les commutateurs 104 et 204. Ainsi qu'on le voit sur la figure 10.1, le signal 163B est envoyé au bivibrateur 10 185X pour le bloquer lorsque, simultanément, le signal 185AX est inactif, et le signal 185BX est actif. Ceci a pour effet de déconnecter la voie principale 102 de la voie principale 106. Le commutateur 204 de la figure 10.2 est sous tous ses aspects identique au commutateur 104 de la figure 10.1 et les 15 différents éléments de ce commutateur sont désignés par les mêmes références numériques que ceux du commutateur 104, les références des éléments actionnés par les signaux d'adresses présents dans la voie principale 103 étant affectées de préfixe "1" et du suffixe "Y", les éléments actionnés par les signaux d'adresses présents dans la voie principale 202 étant désignés 20 par des références affectées du préfixe "2" et du suffixe "X". Le signal 163B1 est envoyé au bivibrateur 185Y pour déconnecter la voie principale 103. D'autres signaux similaires 263B et 263B1, en provenance du dispositif de réponse aux défaillances 226B, sont évidemment fournis aux bivibrateurs 285X (figure 10.2) et 25 285Y (figure 10.1). MULTIPLEXEURS ET TRANSDUCTEURS Ainsi qu'on le voit sur la figure 11, le multiplexeur 108 du dispositif entrée-sortie 107 comprend, pour chaque transducteur 112, des portes ET 189 et 190 qui connectent respectivement 30 le transducteur approprié à la voie principale 106/2 et à la voie principale 106/3. Cette connexion est effectuée par les signaux d'adresse 181, en provenance d'un décodeur 192 connecté au conducteur de voie principale 106/1. Les conducteurs de transducteurs 110 sont représentés excités par des signaux 1102A 35 et 1103A. Ces signaux sont envoyés par l'intermédiaire d'un convertisseur 122 dans deux transducteurs analogiques 1122A et 1123A, ces connexions s'effectuant respectivement par l'intermédiaire d'un convertisseur 1222 et d'un convertisseur 1223 qui 71 25156 26 2104778 transforment respectivement les signaux de sortie numériques en signaux analogiques, et les signaux d'entrée analogiques en signaux numériques. Le transducteur 1122A est un moteur électrique accouplé de façon à commander une soupape 194 portée par 5 la tuyauterie d'alimentation en combustible 195 du moteur 114. Le transducteur 1123A est tm élément sensoriel qui perçoit la position de cette soupape. Les multiplexeurs, les convertisseurs et les transducteurs qui viennent d'être mentionnés sont des appareils bien connus, qu'il n'est donc pas nécessaire de dé-10 crire en détail. Les transducteurs qui sont la réplique de ceux mentionnés sont référencés 1182A et 1183A, le moteur constituant le transducteur 1182A étant accouplé au moteur 1122A par l'intermédiaire d'un différentiel 193, de sorte que l'un ou l'autre de ces deux 15 moteurs peut actionner la soupape 194. La figure 11 représente aussi le dispositif entrée-sortie 207 cLes transducteurs 212 et 218 du moteur 214. Les éléments qui se correspondent dans les deux canaux portent les mêmes références numériques sauf que, comme ailleurs dans le présent 20 exposé, les références des éléments du canal 101 commencent par le chiffre "1", tandis que celles des éléments du canal 201 commencent par le chiffre "2". On voit aussi que les conducteurs de transducteurs 116 sont parcourus par un signal 1162A de commande du moteur 2182A 25 et par un signal 1163A de lecture d'un élément sensoriel 2183A sensible à la position d'une soupape 2940 De même, des signaux 2162A et 2163A assurent respectivement la commande du moteur 1182A et la lecture de l'élément sensoriel 1183A. On remarquera que le suffixe "A" est utilisé pour désigner 30 la première d'une pluralité de séries A, B, C,...N de transducteurs. PROGRAMME GENERAL DU SYSTEME La description ci-après est celle du programme 138 du calculateur 100. Le calculateur 200 comporte un programme iden-35 tique 238 (figure 7) qui n'a été représenté que pour montrer son emplacement. Le programme 138 utilise des signaux indicateurs de défaillances qui sont tenus en mémoire, qui sont inscrits ou effacés par certaines sections du programme 138, et qui four-40 nissent des informations aux autres sections de ce programme. 71 25156 27 2104778 L*effacement simultané de tous ces signaux indique une absence de toute défaillance. Ces signaux, référencés MO à M7, indiquent respectivement : MO : une perte complète de communications, c'est-à-dire l'im-5 possibilité du calculateur d'accéder à son moteur associé, Ml: un défaut dans la connexion entre le calculateur 100 et le dispositif entrée-sortie 107, M2î un défaut dans la connexion entre le calculateur 100 et le dispositif entrée-sortie 207, 10 Mune panne du moteur 1122A, M4: une panne du moteur 1182A, M5: une coupure de l'alimentation de l'autre calculateur, c'est- à-dire en l'espèce du calculateur 200, M6: une panne du moteur 2122A, et 15 M7: une panne du moteur 2182A. Il doit être bien entendu que, dans l'exemple de réalisation décrit, il est prévu des signaux indicateurs pour tous les transducteurs d'actionnement mais aucun pour les transducteurs sensoriels. 20 La mémoire du programme comporte des emplacements pour les signaux 144A et 144B correspondant à toutes les données fournies par les transducteurs•sensoriels, et pour le dispositif qui sera décrit plus loin sous la dénomination "compteur de connexion des voies principales". 25 Les sept sections (figure 5) du programme 138 sont décri tes ci-après avec référence aux schémas de fonctionnement annexés. Section 1,0 (figure 16), Cette section du programme 138 assure la mise en action du chronomètre de prélèvement d'informations, et l'émission des signaux de défaillance. L'envoi par le chronomètre 150 du signal 151 a pour effet la déconnexion du programme de base 137, st le démarrage du programme 138. La première opération de la section 1.0 est de permettre l'émission du signal 152 (cadre 1.1) qui réenclenche le chronomètre 150o Après quoi, cet-35 te section lit le signal 234RY (cadre 1.2) qui, s'il est actif (décision 1.3), indique que le calculateur 200 est excité. Si le calculateur 200 est excité, cette section du programme permet l'émission des signaux 147 A et 147B qui effacent le signal indicateur M5 (cadre 1.4). Si le calculateur 200 n'est 71 25156 28 2104778 pas excité, ces signaux ne sont pas émis, et le signal indicateur M5 est inscrit (cadre 1.5)• Si aucun défaut de communication n'est apparu au cours de la période de prélèvement d'informations précédentes, le signal 5 indicateur MO aura été inscrit. Par conséquent si, dans la section 1.0, le signal MO a été ainsi inscrit (décision 1.6) cette section envoie les signaux 144A et 144B respectivement aux adresses 146A et 146B (cadre 1.7). Sinon, ces signaux 144A et 144B sont respectivement envoyés aux adresses 145A et 145B (cadre 10 1.8). Section 2.0 (figure 17)« Cette section essaie de connecter le calculateur 100 au dispositif entrée-sortie 107 et par mesure de sécurité elle vérifie que, lorsque ce calculateur est connecté au dispositif 107, il n'est pas connecté aussi au dispositif 15 entrée-sortie 207 et que le calculateur 200 n'est pas connecté au dispositif 107» Cette section n'est pas spécifiquement synchronisée avec la section correspondante du calculateur 200, de sorte que les deux programmes peuvent essayer simultanément d'accéder au dispositif entrée-sortie 107» En conséquence, il 20 est prévu le compteur de connexion des voies principales précité, dont le rôle est de faire durer la tentative du programme dë connexion du calculateur 100 plus longtemps que la période pendant laquelle le calculateur 200 est, dans l'exécution de son propre programme, connecté au dispositif 107. Dès que le calcu-25 lateur 200 a terminé son action, le calculateur 100 peut rendre effective sa tentative d'accès. Ensuite, et en supposant qu'aucune défaillance ne s'est produite, le programme permet au calculateur d'accéder aux transducteurs 112 en vue de leur utilisation normale, et il permet son accès aux transducteurs 218, dans le cas où le calculateur 200 serait désexcité. Ainsi qu'on le voit sur la figure 17, la tentative de connexion au dispositif entrée-sortie 107 est effectuée dans la sous-section 2.1 par adressage du commutateur des voies principales 104 par l'intermédiaire d'un signal 182X, et par vérifica- 35 tion aue cette connexion a été réellement effectuée, en contrô--§ue-- ' lant/le signal 186X est actif. Si cette connexion n'a pas été effectuée, la tentative de connexion est répétée sous la commande du compteur de connexion des voies principales. Si cette connexion n'a pas été effectuée lorsque ce compteur a atteint un comp 71 25156 29 2104778 tage maximum prédéterminé, le signal indicateur Ml est inscrit (cadre 2.2). Si la connexion avec le dispositif entrée-sortie 107 est effectuée, la sous-section 2.3 vérifie s'il existe ou non une 5 connexion simultanée avec le dispositif entrée-sortie 207, par détermination de l'activité ou de la non-activité du signal 186Y. Si une telle connexion simultanée existe, il est émis un signal 183Y qui essaie de supprimer cette connexion, puis le signal 186Y est à nouveau interrogé. Si la connexion avec le 10 dispositif 207 persiste, le signal indicateur Ml est inscrit (cadre 2.2. Si la connexion avec le dispositif 107 est établie, et s'il n'existe aucune connexion avec le dispositif 207, une vérification est faite pour déterminer si le signal 286Y est actif 15 ou non (cadre 2.4), c'est-à-dire pour déterminer si le calculateur 200 est connecté au dispositif 107 par suite d'un défaut dans le commutateur de voies principales 104. Si le signal 286Y est actif, le signal indicateur Ml est inscrit. Sinon, la section effectue sur la connexion entre le calctilateur 100 et le 20 dispositif 107 une vérification "en écho" 2.5 de type courant et bien connu, et qui est une sorte de vérification decontinuité. Si le résultat de cette vérification en écho est positif (décision 2.6), le signal Ml est effacé (cadre 2.7). Sinon, ce signal Ml est inscrit (cadre 2.2). 25 L'inscription du signal indicateur Ml, pour quelque raison que ce soit, est suivie de la déconnexion du dispositif 107 (cadre 3.5» figure 18). Section 3.0 (figure 18). Dans cette section, le calculateur 100 s'adresse lui-même aux transducteurs d'actionnement 1122, pour 30 faire effectuer les opérations prescrites au cours de la période de prélèvement d'informations précédente par le programme de commande du moteur 114 et pour utiliser les transducteurs sensoriels (1123 en vue d'obtenir les données nécessaires pour l'exécution du programme de commande du moteur pendant la période de 35 prélèvement en cours. Le calculateur 100 a, de façon similaire, accès aux transducteurs 218 si la lecture d'un signal indicateur inscrit dans la section 1.0 montre que le calculateur 200 est désexcité. Le programme lit d'abord les signaux indicateurs inscrits au cours de la période de prélèvement d'informations 71 25156 30 2104778 précédente, signaux qui le renseignent sur la possibilité d'utilisation de certains transducteurs d'actionnement, et effectue ses opérations sur la base de ces lectures» Ainsi qu'on le voit sur la figure 18, un signal 1102A 5 est émis pour la mise en marche du moteur 1122A (cadre 3.3), les éléments sensoriels 1123 sont lus (cadre 3.4) et, finalement, le calculateur est déconnecté du dispositif 107 (cadre 3.5). Si le moteur 1122A n'est pas en état de fonctionner (décision 3.1), le programme bloque son moteur (cadre 3.2), c'est-à-10 dire qu'il le débranche de son alimentation en courant électrique, et applique un frein sur son arbre. A ce stade des opérations, aucun essai d'utilisation du moteur 1122A n'est effectué (cette opération est faite dans la section 5*0). En ce qui concerne la commande du moteur 214, le programme détermine si 15 le calculateur 200 est excité ou non (décision 3.6) et, s'il ne l'est pas, si le moteur 2182A doit ou non être utilisé, car c'est ce moteur auquel le calculateur 100 a, à ce stade des opérations, directement accès. Si le moteur 2182A n'est pas en état de fonctionner (décision 3.7) et si le moteur 1182A l'est 20 (décision 3®8), ce dernier moteur est alors utilisé pour la commande, et est mis en marche (cadre 3.9). Sinon, le moteur 2182A est bloqué (cadre 3.10). Les dispositifs sensoriels 2183 sont lus en 3.11 avant que le calculateur 100 soit déconnecté du dispositif 107 (cadre 3.5). 25 Section 4.0 (figure 19). Cette section essaie de connecter le calculateur 100 au dispositif entrée-sortie 207 et, par mesure de sécurité, elle vérifie que, lorsque le calculateur 100 est ainsi connecté, il n'est pas connecté aussi au dispositif 107, et que le calculateur 200 n'est pas lui-même connecté au 50 dispositif 207. Cette section est une réplique de la section 2.0, sauf en ce qui concerne la destination des signaux émis. La section 4.0 ne sera par conséquent pas décrite spécifiquement, mais il importe de remarquer qu'elle permet au calculateur 100 d'accéder aux transducteurs 118, dans le cas d'un défaut dans 35 les conducteurs de voies principales, ou dans les conducteurs de transducteurs affectant les transducteurs 112. De plus, la section 4.0 permet au calculateur 100 d'accéder aux transducteurs 212, et de les utiliser lorsque le calculateur 200 est désexcité. 71 25156 51 2104778 Section 5.0 (figure 20). Cette section est une réplique de la section 3.0 mais elle s'adresse elle-même aux transducteurs 118, dans le cas où l'un quelconque des transducteurs 112 est défaillant bien que, par raison de commodité, cette section lise 5 les transducteurs 1185 aussi bien en cas de défaillance que de non-défaillance de l'un des transducteurs sensoriels 1123» D'autre part, cette section 5«0 s'adresse d'elle-même aux transducteurs 212 si le calculateur a été désexcité sauf que, en ce qui concerne les transducteurs d'actionnement 2122, elles ne 10 s'adresse pas à ces transducteurs si la section 3,0 les a signalés hors de service et si, par suite, cette section 3®0 utilise les transducteurs d'actionnement 2182. Section 6.0 (figures 21 et 22). Cette section vérifie l'état de tous les transducteurs 112 et, si l'un quelconque d'entre eux 15 est défaillant, vérifie l'état du transducteur correspondant 1180 Si ce dernier est en bon état de marche, il sera utilisé. S'il ne l'est pas, il existe alors un défaut de communications et le signal indicateur MO est inscrit et produit ses effets dans la section 1.0 au cours-de la période de prélèvement d'informations 20 suivante. En ce qui concerne les transducteurs sensoriels 112, la section 7*0 (qui est'décrite plus loin) ne s'occupe que de ces transducteurs 112 et ignore les transducteurs sensoriels 118. Par conséquent si, dans la section 6.0, un transducteur sensoriel 25 quelconque 112 est reconnu défaillant (décisions 6.1, 6.2 et 6.3) et si le transducteur sensoriel 118 correspondant est en état de marche (décisions 6.4, 6,5 et 6.6), la lecture du transducteur sensoriel 112 est remplacée dans la mémoire du calculateur par la lecture du transducteur sensoriel 118 correspondant 30 (cadres 6.7, 6.8 et 6.9)• Si aucun des transducteurs 118 n'est en état de marche, le signal indicateur MO est inscrit (cadre 6.17). En ce qui concerne les transducteurs d'actionnement 112 et 118, les sections 3»0 et 5«0 sont programmées de façon à n'adres-35 ser que ceux d'entre eux pour lesquels les signaux indicateurs ont été effacés. Par conséquent, dans la section 6.0, si un transducteur d'actionnement 112 est en état de marche (décision 6.10), son signal indicateur est effacé (cadre 6.11) et le signal indicateur du transducteur 118 correspondant est inscrit 71 25156 3a 2104778 (cadre 6.12), de sorte que, dans les sections 3.0 et 5»0, il n'existe aucun doute sur celui des transducteurs d'actionnement 112 et 118 qui doit être adressé. Si l'un quelconque des transducteurs 112 n'est pas en état de marche, son signal indicateur 5 est inscrit (cadre 6.13) et le transducteur correspondant 118 est vérifié (cadre 6.14). Si ce dernier est en état de marche, son signal indicateur est effacé (cadre 6.15); s'il ne l'est pas, son signal indicateur est inscrit (cadre 6.12). Une vérification des défauts de communications s'effectue en vérifiant si 10 les signaux indicateurs des deux transducteurs d'actionnement 112 et 118 de la même paire sont tous deux inscrits ou non (cadre 6,16). Si ces deux signaux sont inscrits, le signal indicateur MO est inscrit (cadre 6.17). Cette section inscrit aussi le signal MO si les signaux 15 Ml et M2 (décision 6.18) sont inscrits (voir sections 2.0 et 4.0), sinon, le signal MO est effacé (cadre 6.19). Si le calculateur 200 n'est pas excité, le calculateur 100 prend en charge la commande du moteur 214, à condition qu'il n'y ait pas perte complète de communications entre lui-même et le 20 moteur. A cet effet, la section vérifie si le calculateur 200 est excité ou non (cadre 6.20) et, s'il l'est, il effectue une vérification sur les transducteurs 212 et 218 similaire à celles effectuées sur les transducteurs 112 et 118 (sous-section 6.21, figure 22). Si, en ce qui concerne les transducteurs 212 et 218, 25 une perte complète de communications est constatée, les signaux indicateurs de tous ces transducteurs sont inscrits, ce qui a pour conséquence de bloquer effectivement le moteur 214. On remarquera qu'une perte complète de communications entre le calculateur 100 et le moteur 214 n'a pas pour résultat l'inscription 30 du signal indicateur MO, pour la raison que le calculateur 100 peut, évidemment, commander le moteur 114. La vérification proprement dite des transducteurs s'effectue essentiellement par comparaison soit avec un modèle, soit avec une lecture faite dans une réplique d'un dispositif senso-55 riel. Par exemple, la vérification de la position que le moteur 1122A a atteinte en réponse à un signal d'entraînement demandant la prise d'une position donnée est effectuée en comparant la lecture fournie par l'élément sensoriel 1123A avec un signal de sortie fourni par un modèle des caractéristiques dynamiques con .71 25156 53 2104778 nues de ce moteur. Ce modèle est constitué"par un programme qui modifie le signal de demande selon lesdites caractéristiques, et simule ainsi la position que l'on désire voir prendre par le moteur. Le signal émis par ce modèle est ensuite comparé avec 5 la lecture faite dans le transducteur sensoriel 1123A qui indique la position réelle du moteur. Section 7.0 (figure 23). Cette section exécute le programme de commande du moteur, c'est-à-dire qu'elle détermine à partir des lectures faites dans les éléments sensoriels les signaux 10 d'actionnement nécessaires pour assurer la bonne marche des moteurs. Dans le mode de réalisation représenté, cette section détermine (cadre 7«1) le signal 1102A d'alimentation en combustible nécessaire pour que le moteur 114 satisfasse à la demande de vitesse faite par le pilote, ou bien détermine la 15 restriction à faire subir au débit d'alimentation en combustible en fonction des variations de l'altitude de l'avion. Ces procédés de réglage sont bien connus et ne seront pas décrits en détail. De plus, la section 7«0 comprend tin programme de contrôle 20 général 7«2 par lequel l'élément qui élabore les signaux de commande du calculateur est actionné au moyen de données numériques prédéterminées de façon que, si cet élément est en bon ordre de marche, il fournit un nombre prédéterminé de longueur double (144A-144B) qui constitue l'information définissant les 25 signaux 144A et 144B. Ce programme de contrôle général ne détecte évidemment que les défaillances permanentes et les défaillances transitoires qui se présentent lorsqu'il est lui-même en cours d'utilisation. Pour la détection des défaillances transitoires qui se 30 produisent hors des périodes d'activité du programme général, le programme de commande du moteur est lu deux fois, une fois avant (cadre 7*1) et une autre fois (cadre 7«3) après lecture du programme de contrôle général 7»2. La lecture du programme 7.2 provoque l'émission d'un signal 1102AX qui est soustrait 35 du signal 1102A, le résultat de cette différence étant ajouté au signal double (144A-144B) (cadre 7»4). Si une défaillance transitoire s'est produite pendant la lecture de l'un ou l'autre des programmes 7»1 et 7*3 de commande des moteurs, la probabilité pour que les signaux 1102A et 1102A.X ne soient pas 71 25156 5» 2104778 égaux est très forte. En conséquence, la différence entre ces deux signaux a une valeur significative, et elle affecte la donnée (144A-144B). Si le calculateur 200 n'est pas excité (cadres 7.5, 7*6 et 5 7*7)» la section 7«0 exécute le programme de commande des moteurs (cadres 7-8 et 7*9) et aussi, pour le moteur 214, les opérations de vérification du calculateur (cadre 7«10) (autres que l'exécution du programme de contrôle général) sur la base des lectures fournies par les transducteurs sensoriels de ce 10 moteur. La fin des opérations de la section 7.0 fait cesser l'interruption de l'exécution du programme de base 137* Ainsi qu'il a été déjà indiqué, les programmes 138 et 238 sont identiques. Par conséquent, les signaux dont la réfé-15 rence numérique commence par le chiffre "1", par exemple le signal référencé 183X, doivent s'entendre comme appartenant au "canal associé", alors que si ce premier chiffre est un "2", comme c'est le cas pour le signal 2832:, ces signaux doivent s'entendre comme appartenant à "l'autre canal". 20 Selon une variante du mode de réalisation décrit, le pro gramme est organisé de façon que le calculateur 100 commande normalement les deux moteurs, le calculateur 200 n'opérant que dans la section 1.0 (figure 16) de son programme 238. Si le calculateur 100 est désexcité, le programme 238 se termine avec 25 sa section 1.0; sinon, il continue de commander les deux moteurs selon la suite de son propre programme. Dans ces circonstances, un certain nombre de simplifications peuvent être apportées aux programmes 138 et 238. L'inconvénient de ces simplifications réside en ce que la sécurité du système est moindre, du fait que 30 toute défaillance non détectée dans le calculateur 100 affecte les deux moteurs. Selon une autre variante, les deux calculateurs sont utilisés pour la commande d'un seul moteur, le moteur 114 par exemple. Dans ce cas, le dispositif entrée-sortie 107 ne s'adresse 35 qu'aux transducteurs 112, et le dispositif entrée-sortie 207 ne s'adresse qu'aux transducteurs 118. Bien entendu, la présente invention n'est pas limitée aux modes de réalisation décrits, mais s'étend à toutes les variantes conformes-à son esprit. 71 25156 35 2104778 REVENDICATIONS 1. Système de calculateurs électroniques à opération instantanée destiné à la commande d'un appareil utilisé pour des opérations techniques, et muni de deux canaux de commande, ce système étant caractérisé en ce que chacun de ces canaux comprend: 5 un calculateur (100) qui peut être connecté à un dispositif entrée-sortie (107) pouvant lui-même être connecté à l'appareil; des moyens (138) de détection des défaillances de commande dans le canal (101); des moyens de réponse aux défaillances (126) agencés de façon à agir en réponse à l'apparition d'une défail-10 lance dans le premier canal (101), et qui désexcitent alors le calculateur (100); et des moyens (134, 238, 203 et 104) répondant au fait que le calculateur de l'un des canaux (101) est désexcité et qui connectent alors le calculateur (200) de l'autre canal (201) au dispositif entrée-sortie (107) du premier 15 canal (101). 2. Système selon la Revendication 1, caractérisé en ce qu'il comporte un appareil ou machine commandé (114) muni de deux jeux identiques de transducteurs de commande (112, 118); des moyens (138, 104) qui permettent de connecter sous contrôle 20 l'un des calculateurs -(100) à l'un desdits jeux de transducteurs; et des moyens (i38, 204) agissant en réponse à une défaillance de l'un des transducteurs (112) de l'un desdits jeux de transducteurs et qui connectent alors le premier calculateur (100), par l'intermédiaire du dispositif entrée-sortie (207) de l'autre 25 canal (201), au transducteur correspondant (118) de l'autre jeu de transducteurs. 3o Système selon la Revendication 1, caractérisé en ce qu'il conforte deux appareils commandés (114, 214) munis chacun de deux jeux de transducteurs de commande (respectivement 30 112, 118 et 212, 218); des moyens (138, 104, 107) associés au premier canal (101) et qui connectent le premier calculateur (100) à l'un des jeux de transducteurs (112) de l'un des appareils (114) pour la commande de celui-ci; des moyens (238, 204, 207) associés au deuxième canal (201) et qui connectent l'autre cal-35 culateur (200) au premier jeu de transducteurs (212) de l'autre appareil (214) pour la commande de celui-ci; et des moyens (138, 204, 207) agissant en réponse à l'apparition d'une défaillance 1\ 25156 36 2104778 de l'un, des transducteurs (112) du premier jeu de transducteurs du premier appareil (114) et qui connectent alors le premier calculateur (100) par l'intermédiaire du dispositif entrée-sortie (207) 4. Système selon la Revendication 1, caractérisé en ce qu'il comporte au moins en ce qui concerne l'un des canaux (par exemple le canal 101), des moyens (138, 150, 151) qui émettent un premier signal (144) à des intervalles de temps réguliers 10 prédéterminés, le premier signal (144) ayant une amplitude de base correspondant à l'absence de toute défaillance; des moyens (148, 154) qui établissent un intervalle de temps déterminé par l'amplitude de ce premier signal (144) et qui émettent alors un deuxième signal (155) à 1'expiration dudit intervalle de temps, 15 l'amplitude de base du premier signal (144) étant telle qu'il y a coïncidence dans le temps entre tout premier signal (144) et le deuxième signal (155) émis comme suite au passage du premier signal (144) immédiatement précédent; des moyens agissant en réponse à l'apparition d'une défaillance dans ledit canal (le ca-20 nal 101 par exemple), qui modifient l'amplitude du premier signal (144) de façon à supprimer ladite coïncidence; et des moyens (156) agissant en réponse à l'absence de coïncidence et qui émettent alors en réponse un signal de défaillance (157) qui désexcite le calculateur (100).