Brevet FR2643995A1 — publié le 19900907

4399S Dispositif calculateur pour des systèmes de commande Dans un système de commande de vol un haut degré de fiabilité est exigé. En cas de défaillance d'un composant le système de commande de vol doit rester capable de fonctionner. Pour quelques fonctions du système de commande de vol qui sont de première nécessité pour la capacité de vol de l'avion, il est exigé que la capacité de fonctionnement du système de commande de vol soit assurée même après défaillance de deux ou trois composants. Pour cette raison des composants dans de tels systèmes de commande de vol sont multipliés. On parle d'une disposition redondante. Des problèmes similaires existent également dans d'autres systèmes de commande dans lesquels la défaillance du système de commande peut avoir de graves conséquences, par exemple dans des robots ou des centrales nucléaires. Cette exigence de la capacité de fonctionnement après défaillance d'un composant vaut également pour des calculateurs utilisés dans un tel système de commande. Un problème particulier apparait cependant dans des calculateurs opérant numériquement. Ces calculateurs opèrent selon un programme relativement compliqué. On ne peut exclure qu'un tel programme présente des erreurs qui n'apparaissent que, dans une combinaison très présise d'états. Il n'est pas possible de prouver qu'un programme est sans fautes. La mise au point d'un programme dans tous les états imaginables est aussi impossible que par exemple jouer d'avance tous les déroulements de jeu possible d'un jeu d'échecs. Si on prévoyait alors deux calculateurs du même mode de construction (matériel) avec des mêmes programmes de manière redondante, une erreur conditliorinée par une erreur de programme appara]trait simultanément dans les deux calculateurs. Une telle erreur ne seraitpsaperçue, malgré la disposition redondante des calculateurs. Ce problème est. résolu par le fait que deux calculateurs se surveillant réciproquement sont programmés indépendamment l'un de l'autre, conventionnellement avec des langages de programmation différents et par des groupes de travail de programmation différents. Comme les opérations demandées peuvent être effectuées de manières très différentes par des programmes, et en plus les langages de programmation différents conditionnent des programmations différentes, la probabilité qu'une erreur de logiciel apparaisse simultanément dans les deux calculateurs est extrêmement faible. En plus, d'autres paires de calculateurs se surveillant réciproquement sont prévues, qui diffèrent des calculateurs' mentionnés ci-dessus également dans la mode de construction (matériel) et qui sont également programmés indépendamment de ceux-ci et l'un de l'autre. Dans des dispositions de calculateurs redondantes connues une unité d'entrée-sortie est associé à chaque calculateur. Celle-ci forme une partie du calculateur. Elle sert à éditer des données obtenues par exemple par des détecteurs, et à amener des données de sortie du calculateur également conformément éditées par exemple à des servomoteurs (actionneurs). Les deuxcalculateurs de chaque paire se surveillent réciproquement. En cas d'erreur de l'un des calculateurs, si les données de sortie ne coincident pas, toute la paire.est mise hors circuit. Il existe plusieurs de ces paires. En cas de défaillance d'une paire, on renverse sur une autre paire. On peut par exemple prévoir pour une certaine fonction en tout quatre paires de calculateurs. En cas de défaillance d'une première paire de calculateurs, un renversement est effectué sur une seconde paire, en cas de défaillance de la seconde paire un renversement sur une troisième paire et, si la troisième paire est également défaillante, un renversement sur la quatrième et dernière paire. Un tel système "survit" alorsà trois défaillances et reste capable de fonctionner. Une quatrième défaillance mettrait le système hors fonctionnement. Ainsi, en tout huit calculateurs avec une unité d'entrée-sortie chacun, sont nécessaires pour cette fonction. Une défaillance d'un calculateur constatée peut être provoquée par un défaut ou une erreur de calculateur ou par un défaut de l'unité d' entrée- sortie. Ceci ne peut être distingué dans les systèmes de commande connus, par exemple des système de commande de vol. Des exigences différement élevées quant à la fiabilité sont posées à des fonctions différentes du système de commande. Quelques fonctions doivent également être maintenues après défaillance de plusieurs composants, par exemple plusieurs calculateurs. Pour d'autres fonctions un degré plus faible de redondance est suffisant. Ainsi, dans uns système de commande de vol l'auto-pilotage, inclusivement le réglage de l'orientation de l'avion et l'amortissement d'oscillations d'orientation de l'avion ainsi que le réglage et la surveillance des servomoteurs, est une fonction qui est de première nécessité pour la capacité de vol de l'avion. Pour cet auto-pilotage, il faut qu'un calculateur soit capable de fonctionner même en cas de défaillance de trois calculateurs ou paires de calculateuers. D'autres fonctions telle que la conduite de vol, c'est à dire l'indication du cap, de la vitesse de montée ou de descente sont généralement moins vitales pour la capacité de vol de l'avion. Elles peuvent en cas d'urgence être assumées par le pilote et n'exigent ainsi, le cas échéant, pas de redondance. Conventionnellement, des calculateurs pour de telles fonctions sont également présentes de manière redondante. Il résulte alors des dépenses considérables pour obtenir la fiabilité nécessaire. Ceci augmente l'encombrement, le poids et les coûts du système de commande de vol. Révélation de l'invention L'invention a pour but de réduire les dépenses nécessaires pour un certain degré de fiabilité dans une disposition de calculateur redondante pour des systèmes de commande de l'espèce définie ci-dessus. Selon l'invention, ce problème est résolu par le fait que (b) les unités d'entrée-sortie sont formées comme composants séparés des calculateurs, et (c) au moins une partie des unités d'entrée-sortie est directement liée à plus d'un calculateur. Les signaux obtenus par les unités d'entrée-sortie peuvent alors -être séléctivement traités par l'un ou l'autre calculateur. Par cela, une augmentation de la redondance peut être obtenue sans augmentation des dépenses de matériel. Avantageusement, en plus au minimum un calculateur est relié à plusieurs unités d'entrée-sortie. Le calculateur peut alors surveiller la fonction des unités d'entrée-sortie et mettre hors circuit les unités d'entrée-sortie défaillantes. Une solution particulièrement avantageuse est constituée par le fait que (a) au moins une première paire et une seconde paire de calculateurs sont prévues, auxquelles sont appliquées les mêmes entrées -d'unités d'entrée- sortie, un renversement sur les-calculateurs (106,108) de la seconde paire étant effectué en cas de déviation des sorties de l'un et de l'autre calculateur (98,100) de la première paire, (b) trois unités d'entrée-sortie séparées des calculateurs sont associées aux deux paires de calculateurs, (c) chaque unité d'entrée-sortie est reliée à chacun des calculateurs, et (d) les calculateurs sont adaptés à la reconnaissance et l'élimination d'une unité d'entrée- sortie, dont les signaux diffèrent notablement des deux autres unités d'entrée-sortie. Les unités d'entrée-sortie sont ainsi séparées des calculateurs. Ceci rend possible d'associer les trois unités d'entrée-sortie simultanément aussi bien à l'une des paires de calculateurs premièrement prête à fonctionner, qu'à l'autre paire de calculateurs disponible. En cas de défaillance de l'une des unités d'entrée-sortie les calculateurs peuvent déterminer par considération multiple, laquelle des trois unités d'entrée- sortie est défaillante,et mettre celle-ci hors circuit. En présence de trois unités entrée-sortie, en cas de défaillance de l'une de ces unités les deux autres fournissent encore des signaux conformes déviant du signal de l'unité défaillante. Par cela l'unité défaillante peut être identifiée. Un renversement des calculateurs n'est alors pas encore nécessaire. Lorsque les calculateurs de la première paire établissent une déviation l'un de l'autre et sont mis hors circuit, les calculateurs de la seconde paire sont alors mis en circuit à larplace. Dans une telle disposition, on obtient le même degré de sécurité que dans une disposition avec deux paires de calculateurs dont chacun présente une unité d'entrée-sortie. Ceci est cependant obtenu avec trois au lieu de quatre unités d'entrée-sortie. Dans une disposition avec en tout quatre paires de calculateurs il résulte une économie de deux unités d'entrée-sortie. Une autre économie résulte par le fait que (a) des premiers calculateurs sont prévus pour une première fonction ayant des exigences de redondance élevées, (b) des seconds calculateurs sont prévus pour une fonction ayant de faibles exigences de redondance, (c) les seconds calculateurs sont additionnellement programmés pour la première fonction, (d) les seconds calculateurs sont également reliés aux unités d'entrée-sortie des premiers calculateurs, et (e) en cas de défaillance d'un premier calculateur (98,100l;102,104) au moins un second calculateur (106,108;110, 112) avec la première fonction peut être mis en circuit. On peut par exemple prévoir deux paires de premiers calculateurs qui sont programmés pour la première fonction "auto-pilotage". De même, on prévoit deux paires de calculateurs qui sont programmées pour la fonction moins critique "conduite de vol". Les seconds calculateurs sont cependant additionnellement programmés pour la fonction "auto-, pilotage" et également applicables à cette fin. Les deux fonctions sont ainsi occupées de manière doublement redondante par des paires de calculateurs se surveillant réciproquement. Lorsqu'une première paire de premiers calculateurs est défaillante, sa fonction est assumée par la seconde paire de premiers calculateurs. Si cette paire de premiers calculateurs est également défaillante un renversement sur une paire de seconds calculateurs est effectué. Cette paire de seconds calculateurs est cependant effectué maintenant avec le programme "auto-pilotage". La "conduite de vol" n'est plus chargée que d'une seule paire de calculateurs. Une redondance des calculateurs pour la conduite de vol est cependant prescrite dans certains cas, par exemple pour l'atterissage dans le brouillard. De tels états peuvent cependant généralement être évités. En cas d'urgence, lorsque également la troisième paire de seconds calculateurs est défaillante, on peut utiliser même la quatrième paire 2643995. de seconds calculateurs pour l'auto-pilotage. La fonction de conduite de vol doit alors être assumée par le pilote manuellement. Ce type de "redondance dynamique" est permis dans le système de commande de vol par le fait que les unités d'entrée-sortie sont séparées des calculateurs de sorte que les calculateurs différents, le cas échéant avec des fonctions de base différentes, peuvent coopérer avec des unités d'entrée-sortie conjointes. Deux exemples d'exécution de l'invention sont décrits ci-après en référence aux dessins annexés. Courte description des dessins Fig. 1 montre schématiquement un avion ayant un système de commande de vol dans lequel des calculateurs sont prévus de manière redondante. Fig. 2 montre le gouve.nail de direction de l'avion. Fig. 3 est un diagramme en blocs d'un système de commande de vol pour un avion à utilisation militaire. Dans la fig. 1, un avion est désigné par 10. L'avion 10 a une pluralité de surfaces de commande ajustables par des servomoteurs hydrauliques. Des surfaces de commande essentielles sont respectivement commandables de manière redondante par plusieurs servomoteurs. Des ailerons sont désignés par 12 et 14. L'aileron 12 est ajustable par deux servomoteurs 16 et 18. L'aileron 14 est ajustable par deux servomoteurs 20 et 22. Les servomoteurs de chaque paire 16,18 et 20,22, respectivement, sont raccordés à des réseaux hydrauliques différents caractérisés par les lettres "G" (vert) et'"B"(bleu) conformément à la couleur des conduites hydrauliques utilisées pour ces réseaux. Grâce à cette mesure, on veut obtenir qu'en cas de défaillance d'un réseau hydraulique un servomoteur à la fois 16 ou 18 et 20 ou 22, respectivement, soit encore capable de fonctionner. Des déporteurs 28,30,32,34 et 36 sont situés sur l'aile 24. Des déporteurs 38,40,42,44 et 46 sont situés sur l'aile 26. Les déporteurs sont déstinés au freinage et supportent les ailerons lors du commencement d'un mouvement de roulement. Les déporteurs sont ajustables par des servomoteurs 48,50,52,54 et 56 et 58,60,62,64 et 66. Les servomoteurs sont de nouveau raccordés à des réseaux hydrauliques différents. A part les réseaux hydrauliques G et B déjà mentionnés,un troisième réseau hydraulique Y (" jaune") est prévu. Un aileron 68 au gouvernail de direction 70 est commandé de manière trois fois redondante par trois servomoteurs 72,74 et 76. Les trois servomoteurs 72,74 et 76 sont alimentés par les trois réseaux hydrauliques différents B,G et Y. Des gouvernails horizontaux 80 et 82 sont situés sur un empennage horizontal 78. Le gouvernail horizontal 80 est commandé de manière doublement redondante par deux servomoteurs 84 et 86. Le servomoteur 84 est alimenté par le réseau hydraulique G. Le servomoteur 86 est alimenté par le réseau hydraulique B. Le gouvernail horizontal 82 est alimenté de manière doublement redondante par deux servomoteurs 88 et 90. Le servomoteur 88 est alimenté par le réseau hydraulique B. Le servomoteur 90 est alimenté par le réseau hydraulique Y. Une disposition de servomoteuis92 commande des volets d'atterissage 94 et 96. Les servomoteurs sont commandés par des calculateurs par des unités d'entrée-sortie. Les calculateurs sont prévus en paires. Deux paires de calculateurs sont respectivement associées à trois unités d'entrée-sortie séparées de celles-ci. Une première paire de "premiers" calculateurs 98 et 100 est programmée pour l'auto-pilotage (commande de vol). Ceci englobe l'auto-pilotage au sens propre, c'est-à-dire le réglage de l'avion dans une orientation de l'avion commandée et l'amortissement d'oscillations d'orientation. En outre, ceci englobe le réglage et la surveillance des servomoteurs. Le calculateur règle alors un servomoteur de sorte qu'il occupe une certaine position. En outre, le calculateur vérifie si le servomoteur s vraiment assumé une position commandée et met, le cas échéant, le servomoteur défaillant hors circuit. En outre, la "commande de vol" englobe la surveillance du rayon d'action. Le calculateur surveille par exemple, si l'avion vole suffisamment au- dessus de la vitesse de décrochage. Enfin, la "reduction de charoe des ailes" fait partie des fonctions de la "commande de vol". Si lors d'états de vol déterminés des oscillations propres des ailes sont incitées, qui pourraient provoquer une charge critique des ailes, de telles oscillations propres sont amorties par actionnement des surfaces de commande. Une seconde paire de "premiers" calculateurs 102 et 104 est également déstinée à l'auto-pilotage. Une paire de "seconds" calculateurs 106 et 108 est déstinée à la conduite de vol ("enveloDpe de guida- ge de vol"). Ceci englobe les fonctions d'auto-pilotage, c'est-à-dire par exemple l'indication d'un cap déterminé ou d'un angle de montée ou de descente. En outre, la fonction de "directeur de vol", c'est-à-dire l'indication de la déviation d'un rayon de guidage lors de l'atterissage fait partie de cette conduite de vol. cette déviation pouvant ensuite être corrigée par le pilote manuellement. Enfin, la "commande et la surveillance d'enveloppe", c'est-à-dire le guidage de l'avion à l'intérieur d'un "tuyau de tolérance d'espace" fait partie de la conduite de vol. Les seconds calculateurs sont additionnellement programmés pour la fonction de l'auto-pilotage comme les premiers calculateurs. En cas de nécessité ils peuvent être renversés à cette fonction et assumer ensuite la fonction d'une paire de "premiers" calculateurs défaillante. Enfin, on a encore prévu une autre paire de "seconds" calculateurs 110 et 112. Les calculateurs recoivent des signaux de détecteurs par des unités d'entrée-sortie et fournissent des données de sortie, par exemple des instructions de commande pour les servomoteurs ou des informations pour un appareil de mannoeuvre 114 dans le cockpit de l'avion, par ces unités d'entrée-sortie. Trois unités d'entrée-sortie 116,118 et 120 sont associées aux paires de calculateurs 98,100 et 106,108. Trois unités d'entrée-sortie 122,124 et 126 sont associées aux paires de calculateurs 102,104 et ,112. Chaque unité d'entrée-sortie 116,118 et 120 est reliée à chacun des calculateurs 98,100,106 et 108. Chaque unité d'entrée-sortie 122,124 et 126 est reliée à chacun des calculateurs 102,104,110 et 112. Des signaux de sortie sont captés parallèlement par les unités d'entrée-sortie 118 et 120. De même, des signaux de sortie sont captés par des unités d'entrée- sortie 124 et 126. Les unités d'entrée-sortie 116 et 122 ne fournissent pas de signaux de sortie. Les calculateurs de chaque paire, par exemple 98 et 100 se surveillent réciproquement. A cette fin, ils sont reliés l'un à l'autre, comme illustré dans la fig. 3. Lorsqu'un calculateur est défaillant, de sorte que ses données de sortie se différencient de celles de l'autre calculateur de la paire, toute, la paire de calculateurs est mise hors circuit. Sa fonction est assumée par une autre paire. La construction de la disposition de calculateurs est illustrée en détail dans la fig. 3. Afin d'éviter des erreurs systémmatiques qui peuvent se produire par des erreurs de mat6riel et qui ne pouraient être - découvertes parce qu'elles apparaîtraient dans Ies deux calculateurs d'une paire, on procède comme suit. Pour la même fonction, à savoir ici pour l'auto- pilotage et pour la conduite de vol, on prévoit deux systèmes de calculateurs illustrés à gauche et à droite de la ligne séparatrice 128. Ces systèmes de calculateurs sont construits pour respectivement les mêmes fonctions avec un matériel différent. Les calculateurs de chaque paire sont construits avec la même matériel mais programmés différemment, c'est-à- dire avec des langages de programmation, différents et par des équipes de travail de programmation différentes. Ainsi, le calculateur 98 est programmé avec un programme "A" pour la fonction "auto-pilotage" et le calculateur 100 avec un programme "B" également pour la fonction "autopilotage". Le calculateur 108 est programmé pour un programme, "A" pour la fonction "conduite de vol" et additionnellement pour la fonction "autopilotage". Le calculateur 106 est programmé avec un programme "B" également pour la fonction "conduite de vol" et additionnellement pour la fonction "auto- pilotage". Similairement, mais avec un autre matériel, le calculateur 104 est programmé avec un programme "C" pour la fonction "auto-pilotage". Le calculateur 102 est programmé avec un programme "D" également pour la fonction "auto-pilotage". Le calculateur 112 est programmé pour un programme "C" pour la fonction "conduite de vol" et additionnellement de manière renversable pour la fonction "auto-pilotage". Enfin, le calculateur 110 est programmé avec un programme "D" églement pour la fonction "conduite de vol" et additionnellement pour la fonction "autopilotage". La fonction additionnelle peut être mise en application très facilement dans les calculateurs 108,106,112 et par un élément de programme supplémentaire. Les calculateurs 98 et 100 surveillent les unités d'entrée-sortie 116,118 et 120 au moyen de considerations majoritaires. Lorsque l'une de ces unités 116,118 ou 120 est défaillante ses signaux d'entrée se différencient des signaux d'entrée des deux autres unités de plus d'une zone de tolérance prédéterminée. L'unité d'entrée-sortie est alors mise hors circuit. Lorsque la paire de calculateurs 98 et 100 établit une déviation entre les résultats de calcul la paire de calculateurs 98 et 100 se met hors circuit. La fonction de cette paire est alors assumée par la paire de calculateurs 102 et 104. Ces deux calculateurs 102,104 se surveillent également réciproquement. En cas de défaillance de cette paire de calculateurs 102,104, lorsque les calculateurs établissent les déviations des résultats de calcul, la paire de calculateurs 106 et 108 assument leur fonction. Les calculateurs 106 et 108 sont alors renversés au programme "auto-pilotage". Il n'y a alors plus qu'une paire de calculateurs pour la fonction "conduite de vol". Cette fonction n'est cependant généralement pas aussi importante pour la sécurité que la fonction "auto-pilotage". Comme déjà mentionné ci-dessus, une redondance des calculateurs pour cette fonction n'est demandée que pour des manoeuvres de vol spéciales, par exemple pour l'atterissage en brouillard. Il faut alors éviter de telles manoeuvres après défaillance des calculateurs 98 à 104. Si également la paire de calculaturs 106,108 était défaillante, sa fonction est assumée par la paire de calculateurs 110,112 de nouveau après renversement au- programme "auto-pilotage". La fonction "conduite de vol" peut en cas d'urgence être assumée par le pilote manuellement. En cas de fonctionnement normal, la fonction "conduite de volt est également occupée par deux paires de calculateurs non similaires se surveillant réciproquement. Fig. 4 montre un système de commande de vol pour un avion de combat. Le système de commande de vol de la fig. 4 comprend trois calculateurs 130,132 et 134 pour la fonction "auto-pilotage". En outre, le système de commande de vol comprend trois calculateurs 136,138 et pour la fonction "conduite de vol et données de l'air" ("guidage de vol" et "données de VOl").Trois autres calculateurs 142,144 et 146 sont prévus pour la fonction "unité de mesure d'inertie" et deux autres calculateurs 148 et 150 pour le réglage du propulseur. Les calculateurs prévus respectivement en triple pour la même fonction se surveillent réciproquement par considérations majoritaires, comme indiqué dans la fig. 4. A chaque calculateur est associée une unité d'entrée-sortie séparée de celui: une unité d'entrée- sortie 152 est associée au calculateur 130. Une unité d'entrée-sortie 154 est associée au calculateur 132. Une unité d'entrée-sortie 156 est associée au calculateur 134. Les unités d'entrée-sortie 152,154 et 156 sont reliées aux servomoteurs. Une unité d'entrée-sortie 160 est associée au calculateur 138. Une unité d'entrée-sortie est associée au calculateur 140. Les unités d'entréesortie 160 et 162 sont reliés à un Bus (MIL-BUS) de l'avion. Une unité d'entrée-sortie 164 est associée au calculateur 142. Une unité d'entrée-sortie 166 est associée au calculateur 144. Une unité d'entréesortie 168 est associée au calculateur 146. Les unités d'entrée-sortie 164,166 et 168 sont reliées à des gyroscopes et à des détecteurs d'accélération. Les calculateurs 148 et 150 sont reliés chacun à une unité d'entrée-sortie 170 et 172, respectivement. Les unités d'entrée-sortie 170 et 172 sont reliées à un dispositif d'ajustement du carburant. La plupart des unités d'entrée-sortie sont reliées dans la disposition selon la fig. 4 au calculateur associé. En plus, les calculateurs 136,138, 140 et les calculateurs 142,144,146 sont reliés aux unités d'entréesortie 152,154 et 156. Les calculateurs 132 et 134 sont reliés aux unités d'entrée-sortie 160,162. Egalement les calculateurs 148 et 150 sont reliés aux unités d'entrée-sortie 170 et 172. L'unité d'entrée-sortie 158 est en attente pour le cas que l'une des unités d'entrée-sortie 152,154 ou 156 soit défaillante. Egalement cette disposition permet similairement à la disposition selon la fig. 3 une "redondance dynamique", c'est-à-dire le remplace- ment d'un calculateur défaillant par d'autres calculateurs qui sont également disponibles de manière redondante mais qui remplissent des fonctions moins importantes pour la sécurité. REVENDICATIONS 1. Dispositif calculateur pour des systèmes de commande, comprenant (a) une pluralité de calculateurs en disposition redondante auxquels sont appliqués des entrées d'unités d'entrée-sortie, des calculateurs défaillants pouvant être éliminés par surveillance réciproque des calculateurs, caractérisé par le fait que (b) les unités d'entrée-sortie (116,118,120,122,124,126) sont formées comme composants séparés des calculateurs, et (c) au moins une partie des unités d'entrée-sortie (116, 118,120,122,124,126) est directement liée à plus d'un calculateur (98,100;102,104). 2. Dispositif calculateur redondant selon la revendication 1, caractérisé par le fait qu'un calculateur (98) est relié à plusieurs unités d'entrée- sortie (116,118,120). 3. Dispositif calculateur redondant selon la revendication 2, caractérisé par le fait que (a) au moins une première paire et une seconde paire de calculateurs (98,100;106,108) sont prévues, auxquelles sont appliquées les mêmes entrées d'unités d'entrée-sortie (116,118,120), un renversement aux calculateurs (106,108) de la seconde paire étant effectué en cas de déviation des sorties de l'un et de l'autre calculateur (98,100) de la première paire, (b) trois unités d'entrée-sortie (116,118,120) séparées des calculateurs sont associées aux deux paires de calculateurs (98,100; 106,108), (c) chaque unité'd'entrée-sortie (116,118,120) est reliée à chacun des calculateurs, et (d) les calculateurs (98,100) sont adaptés à la reconnaissance et l'élimination d'une unité d'entrée- sortie (116,118,120), dont les signaux diffèrent notablement des deux autres unités d'entrée-sortie. 4'. Dispositif calculateur redondant selon la revendication 1, caractérisé par le fait que (a) des premiers calculateurs (98,100,102,104) sont prévus pour une première fonction ayant des exigences de redondance élevées, (b) des seconds calculateurs (106,108;110,112) sont prévus pour une fonction ayant de faibles exigences de redondance, (c) les seconds calculateurs (106,108;110,112) sont additionnellement programmés pour la première fonction, (d) les seconds calculateurs (106,108;110,112) sont également reliés aux unités d'entrée-sortie (116,118,120,120;122,124,126) des premiers calculateurs, et (e) en cas de défaillance d'un premier calculateur (98,100;102,104) au moins un second calculateur (106,108;110, 112) avec la première fonction peut être mis en circuit. 5. Dispositif calculateur redondant selon la revendication 4, caractérisé par le fait que plusieurs paires de premiers calculateurs (98,100;102,104) et plusieurs paires de seconds calculateurs (106,108;110,112) sont prévues, les calculateurs de chaque paire se contrôlant réciproquement et déclenchant la mise hors circuit de la paire concernée en cas de déviations l'un de l'autre. 6. Dispositif calculateur redondant selon la revendication 5, caractérisé par le fait que les calculateurs de chaque paire sont programmés différemment. 7. Dispositif calculateur redondant selon la revendication 6, caractérisé par le fait que des paires de calculateurs d'un premier mode de construction et des paires de calculateurs d'un second mode de construction non similaire au premier sont prévues pour chaque fonction. 8. Dispositif calculateur redondant selon la revendication 4, caractérisé par le fait que la première fonction englobe l'auto-pilotage d'un avion. 9. Dispositif calculateur selon la revendication 8, caractérisé par le fait que la deuxième fonction englobe la conduite de l'avion.