Brevet FR2680068A1 — publié le 19930205

La présente invention concerne un sélecteur de signaux à trois entrées, son extension à N entrées et ses applica- tions, notamment à la réalisation de voteurs. On sait que les sélecteurs de signaux sont des disposi- tifs, matériels et/ou logiciels, qui, recevant une pluralité (généralement au moins égale à trois) de signaux d'entrée indépendants, issus de sous-systèmes utilisés en redondance, signaux représentatifs d'une même grandeur, délivrent un nombre inférieur de signaux 1 O de sortie, les signaux décelés comme étant incorrects n'apparaissant pas en sortie. De même, un voteur assure une telle sélection et ne transmet qu'un seul signal, résultant d'un vote spéci- fique Par exemple, dans le cas de trois signaux d'en- trée: le vote est majoritaire et le signal de sortie est la valeur de deux signaux d'entrée identiques; ou le vote concerne la médiane et le signal de sortie est constitué par le signal d'entrée qui est encadré par les deux autres; ou le vote est adaptatif, le signal d'entrée le plus éloigné par rapport aux deux autres étant rejeté et le signal de sortie étant la moyenne des deux signaux d'entrée restants; etc Le rôle d'un voteur à trois entrées est d'assurer à sa sortie un signal correct à partir des trois signaux d'entrée, c'est-à-dire de tolérer la défaillance d'un de ses trois signaux d'entrée, ce qui pose, de par son principe, deux problèmes: lors de la défaillance, dans des états voisins, de deux signaux d'entrée, le vote privilégie les deux signaux d'entrée incorrects, car ils sont majoritaires, et ce fonctionnement non désiré n'est pas vu par le système Les voteurs permettant de détecter l'existence d'une seconde entrée défaillante nécessitent un mécanisme supplémentaire qui rend l'ensemble plus complexe; la sortie unique représente le point critique d'une architecture triplex (système composé de trois sous- systèmes remplissant la même fonction afin de fournir, à un voteur à trois entrées, trois signaux indépen- dants, mais représentatifs d'une même grandeur) car, lors d'une défaillance se manifestant en sortie du voteur, le service ne peut plus être rendu ou, pire, peut être incorrect Autrement dit, un voteur n'est pas tolérant à ses propres défaillances, ce qui entraîne le risque de perdre un service correct sur une simple défaillance au niveau du voteur. Suivant le type de voteur mis en oeuvre, on peut ren- contrer d'autres difficultés: nécessité d'une synchronisation stricte des trois signaux d'entrée les uns par rapport aux autres pour effectuer le vote; problème de traitement de signaux d'entrée corrects, mais non identiques, du fait des tolérances de chaque sous-système d'élaboration desdits signaux d'entrée; problème du taux de détection de mauvais fonctionne- ment (proportion entre les défaillances détectées et non détectées) à partir de trois signaux, qui est plus complexe et moins déterministe que pour les architec- tures duplex (système composé de deux sous-systèmes remplissant la même fonction afin de fournir, à un mécanisme approprié, deux signaux indépendants, mais représentatifs d'une même grandeur) o la détection d'un mauvais fonctionnement du système est une simple comparaison de deux signaux; problème de certains voteurs qui masquent les erreurs sans localiser l'entrée défaillante, d'o l'impossi- bilité d'informer le système quant à l'identité du sous-système défaillant. Les voteurs logiciels permettent de mettre en place un vote évolué, mais au prix d'un temps de calcul non négligeable, qui peut être inexploitable pour les systèmes rapides Aussi ce vote évolué implique un logiciel important qui demande un effort important de 1 O validation. La présente invention a pour but de remédier à ces inconvénients Elle permet, par la mise en oeuvre de moyens simples, à la fois d'augmenter la fiabilité opérationnelle et la sécurité Elle concerne, de plus, tous les types de signaux, ceux-ci pouvant être élec- triques, optiques, pneumatiques, ou autres, analogiques ou numériques, séries ou parallèles Elle est à même d'assurer à un système la continuité d'un service correct sur deux sorties indépendantes ou sur une seule sortie, suivant son application, lorsqu'un de ses sous- systèmes est défaillant et d'isoler la sortie du voteur lorsque celui-ci n'est plus en mesure d'assurer un service correct. A cette fin, selon l'invention, le sélecteur de signaux comportant une première, une deuxième et une troisième entrée aptes à recevoir respectivement un premier, un deuxième et un troisième signal et comportant une première et une seconde sortie, est remarquable en ce qu'il comporte: un premier aiguilleur à deux voies, pourvu d'une entrée active, d'une entrée de repos, et d'une entrée de commande, apte à recevoir un signal de commande forçant, selon son état, ledit aiguilleur à un état actif ou à un état repos, et d'une sortie commune, ladite entrée de repos et ladite entrée active dudit premier aiguilleur étant respectivement reliées auxdites première et deuxième entrées dudit sélecteur, tandis que ladite sortie commune dudit premier aiguil- leur est reliée à ladite première sortie du sélecteur, cette sortie commune transmettant le signal appliqué sur l'entrée active lorsque ledit premier aiguilleur est à l'état actif, et transmettant le signal appliqué sur l'entrée de repos lorsque ledit premier aiguilleur est à l'état repos; une deuxième aiguilleur à deux voies, pourvu d'une entrée active, d'une entrée de repos, et d'une entrée de commande apte à recevoir un signal de commande forçant, selon son état, ledit aiguilleur à un état actif ou à un état repos, et d'une sortie commune, ladite entrée active et ladite entrée de repos dudit deuxième aiguilleur étant respectivement reliées auxdites deuxième et troisième entrées dudit sélec- teur, tandis que ladite sortie commune dudit deuxième aiguilleur est reliée à ladite seconde sortie du sélecteur, cette sortie commune transmettant le signal appliqué sur l'entrée active lorsque ledit aiguilleur est à l'état actif, et transmettant le signal appliqué sur l'entrée de repos lorsque ledit aiguilleur est à l'état repos; un premier moniteur à deux entrées respectivement reliées auxdites première et deuxième entrées dudit sélecteur de signaux, apte à mesurer l'écart entre lesdits premier et deuxième signaux, et dont la sortie est reliée à l'entrée de commande dudit deuxième aiguilleur et est susceptible de commander l'état de ce deuxième aiguilleur; et un deuxième moniteur à deux entrées respectivement reliées auxdites deuxième et troisième entrées dudit sélecteur de signaux, apte à mesurer l'écart entre lesdits deuxième et troisième signaux et dont la sortie est reliée à l'entrée de commande dudit premier aiguilleur et est susceptible de commander l'état de ce premier aiguilleur. Ainsi, ledit sélecteur configure automatiquement les trois signaux d'entrée en deux signaux de sortie Ces deux signaux de sortie sont représentatifs l'un et l'autre du signal appliqué sur ladite deuxième entrée, lorsqu'aucun des signaux appliqués sur les trois entrées 1 O n'est défaillant, et ils sont surveillés par deux moniteurs indépendants En cas de défaillance de l'un des trois signaux d'entrée, le signal d'entrée défail- lant est isolé et les deux signaux de sortie sont représentatifs des deux autres signaux d'entrée, ce qui est favorable à la fiabilité opérationnelle Ces deux sorties dudit sélecteur sont donc tolérantes à une défaillance, par le fait que les deux signaux de sortie sont indépendants d'un signal d'entrée On peut contrô- ler ces deux signaux de sortie l'un par rapport à l'autre ou exploiter ces deux signaux de sortie au moyen de deux systèmes distincts, comme pour les architectures duplex, ce qui est favorable à la sécurité. Les moniteurs et les aiguilleurs peuvent présenter toute structure appropriée. Un mode de réalisation électrique, donné à titre d'exem- ple pour des signaux analogiques ou numériques, séries ou parallèles, est remarquable en ce que chacun desdits moniteurs comprend: des moyens différenciateurs pour mesurer la différence entre les signaux appliqués aux entrées dudit moni- teur; des moyens comparateurs, pour comparer ladite diffé- rence à un seuil prédéterminé, et engendrer un signal d'erreur si la valeur absolue de ladite différence est supérieure à la valeur absolue dudit seuil. Ainsi, ledit moniteur délivre un signal de sortie destiné à commander -dans un état donné l'aiguilleur à deux voies associé, non seulement lorsque les deux signaux appliqués à ses entrées sont identiques, mais encore lorsque ces derniers signaux sont légèrement différents (du fait d'un décalage en amplitude et/ou en phase), ledit seuil permettant de tolérer des différen- ces acceptables en amplitude, tandis qu'une différence trop grande entre les signaux d'entrée entraîne un signal d'erreur (ce qui veut dire le changement d'état du signal de sortie) qui sert à faire changer d'état un aiguilleur de façon à supprimer la transmission du signal incorrect. Avantageusement, afin de masquer l'effet de défauts transitoires, des moyens temporisateurs sont interposés en série sur la sortie du moniteur. Chaque aiguilleur à deux voies peut être du type commu- tateur électrique ou dispositif de commutation électri- que, et constitué d'un ou plusieurs éléments de commu- tation identiques disposés en parallèle. Dans le cas o les signaux d'entrée sont optiques, chaque aiguilleur à deux voies peut être du type multi- plexeur optique à commande électrique, ou dispositif de commutation optique à commande électrique constitué de plusieurs éléments de commutation optique à commande électrique identiques disposés en parallèle. Si les signaux d'entrée sont pneumatiques ou hydrauli- ques, chaque aiguilleur à deux voies est avantageusement du type commutateur hydraulique ou pneumatique ou commutateur hydraulique ou pneumatique constitué de plusieurs éléments de commutation identiques disposés en parallèle Chacun des moniteurs peut comporter un organe soumis à l'action antagoniste des signaux apparaissant aux entrées de signal dudit moniteur et commandant le passage de fluide entre une source de pression et la sortie dudit moniteur De même, chacun desdits aiguil- leurs peut comporter un organe soumis à l'action du signal appliqué à l'entrée de commande dudit aiguilleur, ledit organe étant apte à mettre en communication l'un ou l'autre de deux orifices d'entrée de signal avec un orifice de sortie. Selon une variante, ledit sélecteur de signaux est remarquable en ce que: le premier aiguilleur et le deuxième aiguilleur comportent respectivement, de plus, une sortie d'état fournissant un signal représentatif de l'état actif ou repos dudit aiguilleur; et en ce qu'il comporte un moyen détecteur à deux entrées reliées respective- ment à la sortie d'état du premier aiguilleur et deuxième aiguilleur, apte à fournir, sur sa sortie, une information significative de la présence à l'état repos de l'un au moins des premier aiguilleur et deuxième aiguilleur; un premier moyen de verrouillage, interposé entre la sortie dudit premier moniteur et l'entrée de commande dudit deuxième aiguilleur, recevant, sur une entrée de commande, ladite information issue de la sortie du moyen détecteur et permettant audit premier moniteur de commander l'état dudit deuxième aiguilleur si ledit moyen détecteur n'a pas préalablement détecté qu'au moins un desdits premier et deuxième aiguilleur est dans son état repos, et, dans l'autre cas, empêchant ledit premier moniteur de commander ledit deuxième aiguilleur; un second moyen de verrouillage, interposé entre la sortie dudit second moniteur et l'entrée de commande dudit premier aiguilleur, recevant, sur une entrée de commande, ladite information issue de la sortie du moyen détecteur et permettant audit deuxième moniteur de commander l'état dudit premier aiguilleur si ledit moyen détecteur n'a pas préalablement détecté qu'au moins un desdits premier et deuxième aiguilleur est dans son état repos, et, dans l'autre cas, empêchant ledit deuxième moniteur de commander ledit premier aiguilleur. On voit que le sélecteur de signaux conforme à la présente invention constitue en lui-même un sélecteur à trois entrées et à deux sorties Il peut donc servir d'étage intermédiaire entre un système triplex et un système duplex De plus, les deux signaux de sortie du sélecteur peuvent être traités de toute manière connue, par exemple à l'aide d'une logique de commutation, afin d'obtenir un seul signal de sortie, ou encore à l'aide d'un second étage qui compare les deux signaux de sortie pour détecter une deuxième défaillance afin d'isoler la (ou les) sortie(s) du sélecteur Il est encore possible de compléter le sélecteur par une logique de maintien avec blocage, comme expliqué ci-dessus, qui le bloque dans son état commuté après détection d'une première erreur dans les signaux d'entrée afin d'éviter qu'une deuxième erreur, intervenant par la suite, pour laquelle les deux signaux incorrects seraient identiques, n'amène le sélecteur à réagir aux deux signaux défaillants comme s'il s'agissait de signaux corrects, c'est-à-dire les sélectionner au détriment de celui qui est correct En d'autres termes, le sélecteur de signaux conforme à la présente invention peut faire l'objet de nombreuses applications, avec ou sans l'adjonction d'éléments additionnels. Selon une application dudit sélecteur de signaux à trois entrées, on réalise un sélecteur de signaux ayant une pluralité de N entrées (avec N entier > 3) et deux sorties, comportant une pluralité de n-2 sélecteurs de signaux à trois entrées, qui est remarquable en ce que lesdits sélecteurs de signaux à trois entrées sont respectivement montés en cascade, les trois entrées du lo premier sélecteur de signaux à trois entrées étant res- pectivement reliées à trois desdites N entrées, alors que, pour chacun des n-3 autres sélecteurs de signaux à trois entrées de rang i (avec ki n-2), deux de ses entrées sont reliées respectivement aux sorties du sélecteur de signaux à trois entrées amont de rang i-l, la troisième desdites entrées du sélecteur de signaux à trois entrées de rang i étant reliée en propre à l'une desdites N entrées dudit sélecteur de signaux à n entrées, tandis que les sorties du sélecteur de signaux le plus en aval sont respectivement reliées aux sorties dudit sélecteur de signaux à N entrées. Ainsi, ledit ou lesdits n-2 sélecteur(s) de signaux constitué(s) desdits premier et deuxième aiguilleurs à deux voies et desdits premier et deuxième moniteurs, forme(nt) un sélecteur à N entrées qui configure automa- tiquement les N signaux d'entrée en deux signaux de sortie, isolant les éventuels signaux d'entrée défail- lants Cela permet de tolérer la défaillance de n-2 signaux d'entrée, et assure ainsi, par le choix d'un nombre N d'entrées suffisant, une bonne fiabilité pour la fourniture de signaux corrects en sortie. Ledit sélecteur de signaux à N entrées peut servir à constituer un voteur à N entrées et une sortie, comportant ledit sélecteur de signaux à N entrées, qui est remarquable en ce qu'il comporte: un premier interrupteur, pourvu d'une entrée active et d'une entrée de commande apte à mettre, ou non, ladite entrée active en relation avec une sortie commune selon que ce premier interrupteur est respectivement à l'état actif ou à l'état repos, en fonction du signal appliqué sur ladite entrée de commande, ladite entrée active et ladite sortie commune dudit premier inter- rupteur étant respectivement reliées à l'une desdites sorties dudit sélecteur de signaux à N entrées et à la sortie dudit voteur à N entrées; et un premier moniteur de sortie, à deux entrées, qui sont respectivement reliées auxdites sorties dudit sélecteur de signaux à N entrées et sont aptes à mesurer l'écart entre les signaux apparaissant sur lesdites sorties du sélecteur de signaux à N entrées, et dont la sortie est reliée à l'entrée de commande dudit premier interrupteur et est susceptible de commander l'état dudit premier interrupteur. Ainsi, ledit sélecteur de signaux à N entrées forme un premier étage qui configure automatiquement les n signaux d'entrée en deux signaux intermédiaires, isolant les éventuels signaux d'entrée défaillants, tandis que ledit premier moniteur de sortie et ledit premier interrupteur forment un second étage qui compare ces deux signaux intermédiaires engendrés par le premier étage pour détecter une défaillance à ce niveau, afin d'isoler la sortie du voteur s'il y a désaccord entre lesdits signaux intermédiaires On augmente ainsi la sécurité En amont du premier étage du voteur se trouve une structure au moins triplex de sous-systèmes en redondance permettant d'augmenter la fiabilité opéra- tionnelle de l'ensemble, alors qu'en aval de ce premier étage est disposé un second étage permettant de il contrôler la cohérence des deux signaux de sortie du premier étage. Les mécanismes mis en oeuvre sont du même type que ceux utilisés pour les structures duplex (les plus simples à réaliser), ce qui permet d'obtenir une bonne détection de mauvais fonctionnement du système et de manière tout aussi déterministe que les architectures duplex (simple comparaison de deux grandeurs indépendantes dont le résultat est "oui" ou "non") Ces mécanismes sont totalement indépendants les uns des autres (pas de point commun), de sorte que la défaillance de l'un d'eux ne peut provoquer la défaillance des autres, ce qui permet de tolérer la défaillance au niveau du premier étage de l'un d'eux (le service est toujours assuré) tout en respectant le critère de sécurité car l'invention assure dans tous les cas de figure une double surveillance. De plus, l'invention permet d'obtenir une meilleure sécurité que les systèmes duplex (dont l'objectif est la sécurité), car dans le cas le plus défavorable pour une structure duplex, il y a risque d'engendrer une sortie incorrecte lors de deux défaillances, alors que pour ledit voteur associé à une structure triplex, toujours dans le cas le plus défavorable, il faut trois défail- lances pour engendrer une sortie incorrecte (la première défaillance est tolérée par le premier étage, ce qui ramène à une structure duplex et, comme précédemment, il faut alors deux autres défaillances pour qu'il y ait risque d'une sortie incorrecte) De plus, avec ledit voteur en mode dégradé (structure duplex), on a toujours30 le même taux de détection de mauvais fonctionnement, ce qui permet d'assurer le même niveau de sécurité que les structures duplex. Le principe de fonctionnement de l'invention est simple et s'adapte à tous les types de signaux, optiques, électriques ou autres Toutefois la réalisation du voteur, en particulier des moniteurs, dépend du type des signaux d'entrée; des contraintes liées aux interactions avec l'envi- ronnement (fonctionnement asynchrone, mécanisme de détection des défaillances, temps de réponse garantie souhaité, etc). 1 o Selon l'application, il en résulte donc une quantité de réalisations dont seulement quelques unes sont décrites dans la présente description. De plus, le système selon l'invention a la possibilité de connaître l'identité du sous-système défaillant en analysant la configuration du voteur, et ainsi le système peut diagnostiquer (en terme de nature et de localisation) sa défaillance afin d'agir en conséquence. De façon à encore améliorer la fiabilité dudit voteur, il peut comporter m interrupteurs, lesdites entrée active et sortie commune de chacun desdits m interrupteurs étant respectivement reliées à l'une desdites sorties dudit sélecteur de signaux à N entrées et à la sortie dudit voteur à N entrées; et m moniteurs de sortie, à deux entrées, dont l'une des deux entrées est reliée à l'une des sorties dudit sélecteur de signaux à N entrées et dont l'autre des deux entrées est reliée à l'autre des sorties dudit sélecteur de signaux à N entrées, aptes à mesurer l'écart entre les signaux apparaissant sur lesdites sorties dudit sélecteur de signaux à N entrées, et dont la sortie est reliée en propre à l'entrée de commande de l'un desdits m interrupteurs, de même rang i, et est susceptible de commander l'état dudit interrupteur. Ainsi, ledit second étage peut comporter plusieurs ensembles interrupteur- moniteur de sortie en parallèle, constituant une structure redondante permettant de masquer des passages à l'état repos d'interrupteurs, dus à des défaillances. Bien entendu, lesdits moniteurs de sortie peuvent être semblables auxdits premier et deuxième moniteurs, tandis1 O que les interrupteurs peuvent être d'un type simplifié de celui des aiguilleurs puisqu'ils n'ont pas d'entrée de repos. Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée Sur ces figures,15 des références identiques désignent des éléments sem- blables. La figure 1 donne le schéma synoptique du sélecteur de signaux à trois entrées conforme à la présente inven- tion. La figure 2 est la table de vérité du sélecteur de signaux à trois entrées de la figure 1. La figure 3 donne le schéma synoptique d'un exemple de réalisation d'un moniteur utilisé dans ledit sélecteur, avec un seuil. La figure 4 montre le schéma synoptique d'une variante, comportant en plus un temporisateur, du moniteur repré- senté sur la figure 3. La figure 5 illustre un mode de réalisation dudit moniteur avec temporisateur, sous forme électronique. Les figures 6 a à 6 f sont des chronogrammes de signaux permettant d'expliquer le fonctionnement du moniteur de la figure 5. La figure 7 donne le schéma synoptique d'un exemple de réalisation d'un aiguilleur à plusieurs voies parallè- les. La figure 8 représente schématiquement un sélecteur de signaux à trois entrées, ayant un fonctionnement avec blocage mémorisant la configuration après un premier défaut. La figure 9 est un graphe de transitions illustrant le fonctionnement du sélecteur avec blocage montré sur la figure 8. La figure 10 montre schématiquement un sélecteur de signaux à N entrées réalisé par une cascade de sélec- teurs de signaux à trois entrées conformes à l'inven- tion. La figure 11 illustre schématiquement l'application d'un sélecteur à N entrées à la réalisation d'un voteur à n entrées. La figure 12 montre un tel voteur à trois entrées. La figure 13 est une table de vérité du voteur montré sur la figure 12. La figure 14 illustre un voteur redondant en sortie. La figure 15 illustre un voteur à trois entrées, comme illustré sur la figure 14, avec une redondance d'ordre 2 en sortie. La figure 16 illustre la réalisation en technique électro-optique du voteur de la figure 11. La figure 17 illustre la réalisation en technique hydraulique ou pneumatique du voteur de la figure 11. Les figures 18 et 19 montrent schématiquement la réali- sation pneumatique ou hydraulique d'un moniteur et d'un aiguilleur à deux voies selon l'invention, respective- ment. Le sélecteur FS de signaux, conforme à la présente invention et montré par la figure 1, est pourvu d'une première entrée El, d'une deuxième entrée E 2 et d'une troisième entrée E 3, ainsi que d'une première sortie Si et d'une seconde sortie 52 Il comporte: un premier aiguilleur AIG 1 à deux voies, pourvu d'une entrée active A, d'une entrée de repos R et d'une entrée de commande EC, premier aiguilleur qui trans- met, à une sortie commune SC, le signal appliqué sur l'entrée active A ou sur l'entrée de repos R selon que ce premier aiguilleur AIG 1 est respectivement à l'état actif ACT ou à l'état repos REP, en fonction du signal reçu sur ladite entrée de commande EC Ladite entrée de repos R et ladite entrée active A dudit premier aiguilleur AIG 1 sont respectivement reliées à la première entrée El et à la deuxième entrée E 2 du sélecteur FS de signaux, tandis que ladite sortie commune SC est reliée à la première sortie 51 de ce sélecteur FS de signaux; un deuxième aiguilleur AIG 2 à deux voies, de même constitution que le premier aiguilleur AIG 1, l'entrée active A et l'entrée de repos R dudit deuxième aiguil- leur AIG 2 étant respectivement reliées à la deuxième entrée E 2 et à la troisième entrée E 3 du sélecteur FS de signaux, tandis que sa sortie commune SC est reliée à la seconde sortie 52 de ce sélecteur FS de signaux; un premier moniteur Ml à deux entrées X, Y, respecti- vement reliées auxdites première et deuxième entrées El et E 2 et dont la sortie U est reliée à l'entrée de commande EC du deuxième aiguilleur AIG 2 et est sus- ceptible de commander l'état dudit deuxième aiguilleur AIG 2; et un deuxième moniteur M 2 à deux entrées X, Y, respec- tivement reliées auxdites deuxième et troisième entrées E 2 et E 3, et dont la sortie U est reliée à l'entrée de commande EC du premier aiguilleur AIG 1 et est susceptible de commander l'état dudit premier aiguilleur AIG 1. Le signal Us en sortie U de chacun des deux moniteurs Ml et M 2 peut prendre un parmi deux états possibles, selon20 que ce moniteur Ml ou M 2 a détecté ou pas une discor- dance entre les signaux d'entrée Xs et Ys appliqués respectivement sur ses deux entrées X et Y Ces deux états possibles peuvent apparaître sous forme de toutes grandeurs, en fonction de la réalisation de ces moni- teurs Ml et M 2, par exemple un signal électrique de niveau constant haut ou bas, ou une valeur de commande numérique, ou encore la présence ou l'absence d'une pression ou toute autre grandeur Dans un but de clarté, on appelle état bas B l'un de ces états, et état haut H30 l'autre état en sortie U des moniteurs Ml et M 2 Comme expliqué ci- dessus, une telle appellation ne préjuge pas de la façon dont ces états sont traduits physiquement, et en particulier pas de la grandeur relative entre les deux signaux traduisant ces états La sortie U est à35 l'état bas B lorsque les deux signaux Xs et Ys reçus sur lesdites entrées X et Y sont différents, et est à l'état haut H lorsque le moniteur Ml ou M 2 reçoit des signaux Xs et Ys identiques sur ses deux entrées X et Y Dans la présente description, on considère comme "différents" des signaux Xs et Ys dont l'écart est hors d'un domaine de tolérance accepté et comme "identiques" des signaux Xs et Ys dont l'écart est dans ledit domaine de tolé- rance Il est à noter que le domaine de tolérance peut être nul et, dans ce cas, le contrôle est la vérifica- tion d'une stricte égalité. Un moniteur Ml ou M 2 commande respectivement l'aiguil- leur AIG 2 ou AIG 1 qu'il contrôle, à l'état actif ACT, lorsqu'il lui fournit un état haut H, et à l'état repos R, lorsqu'il lui fournit un état bas B, sur l'entrée de commande EC. En l'absence d'une source de puissance alimentant le sélecteur FS, les aiguilleurs AIG 1 et AIG 2 sont à l'état repos REP. Le fonctionnement du sélecteur FS de la figure 1 est décrit ci-après, en regard de la table de vérité de la figure 2: la sortie U du moniteur Ml ou M 2 est à l'état bas B lorsque les deux signaux Xs et YS sur ses entrées X et Y sont différents, et à l'état haut H lorsque ces deux signaux sont identiques Dans cette table de vérité, on a désigné par E S 3, E 52 et Es 3 chacun des trois signaux d'entrée appliqués respectivement aux entrées El, E 2 et E 3 De même, on désigne par Ssl et Ss 2 les signaux de sortie apparaissant respectivement aux sorties Si et 52 dudit sélecteur FS de signaux On peut30 avoir les configurations suivantes: 1) le sélecteur FS n'est pas alimenté par une source de puissance Alors, les aiguilleurs AIG 1 et AIG 2 sont dans l'état repos REP, cette situation étant celle représentée sur la figure 1; 2) les trois signaux Esl, Es 2 et Es 3 sont corrects, ce qui est indiqué par la lettre C de la table de vérité de la figure 2 Alors, les moniteurs Ml et M 2 détec- tent respectivement l'identité des signaux Esl et Es 2 et celle des signaux Es 2 et Es 3 et leurs sorties U sont à l'état haut H et commandent les aiguilleurs AIG 1 et AIG 2 à l'état actif ACT Il en résulte que, sur les sorties communes SC des aiguilleurs AIG 1 et AIG 2, apparaissent respectivement des signaux de sortie Ssl et Ss 2 identiques entre eux et égaux au signal Es 2; 3) le signal Esl est incorrect, ce qui est indiqué par la lettre I dans le tableau de la figure 2, alors que les signaux Es 2 et Es 3 sont corrects Le moniteur Mli, constatant la différence des signaux Esl et Es 2, a un état bas B en sortie qui oblige l'aiguilleur AIG 2 à avoir l'état repos REP, de sorte que le signal Ss 2 est égal au signal Es 3 Par ailleurs, le moniteur M 2, constatant l'identité des signaux Es 2 et Es 3, est à l'état haut H en sortie et commande l'aiguilleur AIG 1 à son état actif ACT Le signal S 1 est donc égal au s signal Es 2; 4) si maintenant les signaux Esl et Es 3 sont corrects, mais que le signal Es 2 est incorrect, les sorties U des moniteurs Ml et M 2 sont alors à l'état bas B et les aiguilleurs AIG 1 et AIG 2 sont à l'état repos REP; les signaux 5551 et Ss 2 sont alors égaux respec- tivement aux signaux Esl et Es 3; ) de même, si les signaux Esl et Es 2 sont corrects, mais que le signal Es 3 est incorrect, les sorties U des moniteurs Mi et M 2 sont respectivement à l'état haut H et à l'état bas B et les aiguilleurs AIG 1 et AIG 2 sont respectivement à l'état repos REP et à l'état actif ACT, de sorte que les signaux Ssl et Ss 2 sont respectivement égaux aux signaux Esl et Es 2; 6) si deux des signaux Esl, Es 2, Es 3 sont incorrects et différents, un seul d'entre eux étant correct, les sorties U des moniteurs Ml et M 2 sont à l'état bas B et les aiguilleurs AIG 1 et AIG 2 sont à l'état repos REP, de sorte que les signaux Ssl et Ss 2 sont respec- tivement égaux aux signaux différents Esl et Es 3; le cas particulier o les deux signaux incorrects sont identiques est traité plus loin; 7) enfin, si les trois signaux Esl, Es 2, Es 3 sont incorrects, les signaux Ssl et Ss 2 sont respective- ment égaux aux signaux incorrects, différents dans le cas général, Esl et Es 3. On remarquera que lorsque l'un des trois signaux Esl, E S 2 ou Es 3 est incorrect (lignes 2, 3 et 4 de la figure 2), l'état des sorties U des moniteurs Mi et M 2 et l'état des aiguilleurs AIG 1 et AIG 2 est représentatif de l'identité de l'entrée transmettant un signal incorrect. 20 En effet: 1) si les sorties U des moniteurs M 1 et M 2 sont respec- tivement à l'état bas B et à l'état haut H, ou bien si les aiguilleurs AIG 1 et AIG 2 sont respectivement à l'état actif ACT et repos REP, c'est le signal Es qui est incorrect; 2) si les sorties U des moniteurs Ml et M 2 sont toutes deux à l'état bas B, ou bien si les aiguilleurs AIG 1 et AIG 2 sont tous deux à l'état repos REP, c'est le signal Es 2 qui est incorrect; 3) enfin, si les sorties U des moniteurs Ml et M 2 sont respectivement à l'état haut H et à l'état bas B, ou bien si les aiguilleurs AIG 1 et AIG 2 sont respecti- vement à l'état repos REP ou actif ACT, c'est le signal Es 3 qui est incorrect. Ainsi, il est possible, en surveillant l'état des moniteurs Ml et M 2 et/ou l'état des aiguilleurs AIG 1 et AIG 2, de connaître l'identité du signal d'entrée E s, Es 2, E S 3 incorrect et donc d'identifier le soussystème dont la sortie, reliée à l'une des entrées El, E 2, E 3 du sélecteur FS de signaux, est incorrecte. Par ailleurs, on remarquera que le sélecteur FS de signaux, formé par les couples moniteur-aiguilleur Ml, AIG 2 et M 2, AI Gi est tolérant à sa propre défaillance lo (celle d'un des deux couples) au sens o on conserve sur chaque sortie Si, 52 un des signaux E l, Es 2, E S 3 En effet, si un moniteur Mi, M 2 ou un aiguilleur AIG 1, AIG 2 est le siège d'une panne, les aiguilleurs étant, soit dans l'état actif ACT, soit dans l'état repos REP, la continuité électrique assure toujours la présence, sur chacune des sorties Sl et 52, de l'un des trois signaux d'entrée E i, E 2, E 3. Les moniteurs M peuvent, de plus, comporter, en sortie, un comparateur à seuil La figure 3 montre le schéma de principe d'un tel moniteur M, apte à traiter des signaux analogiques ou numériques Un moyen différenciateur D reçoit respectivement, sur les deux entrées X et Y, deux signaux Xs et Ys à comparer, et fournit, en sortie, un signal ú proportionnel à la différence de ces deux25 signaux Ce signal S est appliqué à une première entrée d'un comparateur à seuil C, recevant, sur une deuxième entrée, une valeur de seuil prédéterminée (TC), et fournissant, en sortie U, un signal ERR significatif du fait que le signal S est d'amplitude supérieure au30 seuil. La comparaison des signaux Xs et Ys appliqués sur les entrées X et Y des moniteurs M est réalisée par des circuits analogiques et/ou numériques ou en logiciel, selon les applications désirées. La sortie du comparateur à seuil C peut, de plus, être reliée à l'entrée d'un temporisateur DT, tel que repré- senté sur la figure 4, dont la sortie U fournit un signal d'erreur temporisé ERRT après que la sortie du comparateur C ait été au niveau bas, significatif d'une discordance entre les signaux d'entrée Xset Ys, pendant au moins une durée TS prédéterminée. Comme on l'a mentionné ci-dessus, le sélecteur FS peut être utilisé pour des signaux d'entrée Es 1, Es 2 et Es 3 de différents types Sur la figure 5, on a représenté un mode de réalisation des moniteurs Ml et M 2 approprié à des signaux électriques analogiques, avec un comparateur à seuil C. Le moniteur M de la figure 5 comporte un amplificateur différentiel D, jouant le rôle de moyen différenciateur D, dont les entrées sont respectivement reliées aux entrées X et Y dudit moniteur; un premier comparateur C+, dont l'entrée positive reçoit une tension représentative d'un seuil positif TC+ et dont l'entrée négative est reliée à la sortie dudit amplificateur différentiel D; un second comparateur C, dont l'entrée positive est reliée à la sortie dudit amplificateur différentiel D et dont l'entrée négative reçoit une tension repré- sentative d'un seuil négatif TC; une porte logique Pi, de type ET, dont les entrées sont respectivement reliées aux sorties desdits premier et second comparateurs C+ et C; un intégrateur IN, dont l'entrée est reliée à la sortie de la porte Pl; et un étage de sortie ES, comportant un transistor interrupteur Tl dont la base est reliée à la sortie de l'intégrateur IN, le collecteur à une tension d'alimentation Vcc et l'émetteur à la masse par l'intermédiaire d'une résistance Rl (le montage du transistor Tl représenté n'est donné qu'à titre d'illustration du fonctionnement de celui-ci et ne correspond pas obligatoirement au montage réel mis en oeuvre). La sortie U du moniteur M est reliée à l'émetteur du transistor Tl, de manière -qu'en cas de coupure d'ali- mentation ou de destruction du transistor Tl en circuit ouvert, la sortie U du moniteur M soit à une tension voisine de celle de la masse, tension pouvant corres-15 pondre à l'état bas B, et ainsi que l'aiguilleur associé soit à l'état repos REP. Le premier comparateur C+ délivre un signal d'amplitude constante (état haut) à sa sortie, lorsque le signal qu'il reçoit de l'amplificateur différentiel D est20 inférieur au seuil positif TC, et, de façon symétrique, le second comparateur C délivre un signal d'amplitude constante (état haut) à sa sortie, lorsque le signal qu'il reçoit de l'amplificateur différentiel D est supérieur au seuil négatif TC-, si bien que ces deux +_ comparateurs C et C fournissent simultanément un état haut en sortie si le signal issu de l'amplificateur différentiel D est compris entre le seuil positif TC et le seuil négatif TC-, si bien que la porte logique Pl fournit en sortie, dans ce cas seulement, un état haut. Pour illustrer le fonctionnement du moniteur M de la figure 5, on fait appel ci-après aux diagrammes des figures 6 a à 6 f, sur l'axe des abscisses desquels on a porté le temps t. Le chronogramme de la figure 6 a donne un exemple de signaux Xs et Y, dont l'amplitude a est portée sur l'axe des ordonnées On peut voir que les signaux Xs et Ys sont semblables, mais qu'ils sont déphasés de 1 et décalés en amplitude de m Le chronogramme de la figure 6 b représente le signal Ys-xs, à la sortie de l'ampli- ficateur différentiel D, l'amplitude b du signal Ys-Xs étant portée sur l'axe des ordonnées On peut voir que, pour sa plus grande part, l'amplitude b du signal YS-Xs est comprise entre les seuils TC+ et TC des compara- teurs C et C-, sauf en ce qui concerne la portion s, qui dépasse le seuil positif TC+ Il en résulte que, à leurs sorties respectives, le comparateur C+ délivre un signal d'amplitude haute constante cl, sauf en regard de la portion S o le niveau haut du signal cl est interrom- pu (en A) et le comparateur C délivre également un signal d'amplitude haute constante c 2 (figure 6 c) Par suite, le signal d à la sortie de la porte Pl est constant et au niveau haut, sauf en regard de l'inter- ruption A, o il présente une interruption q (figure 6 d) A la sortie de l'intégrateur IN, le signal e est donc constant et au niveau haut, sauf en regard de l'interruption A, o il présente une rampe r correspon- dant à la décharge lente dudit intégrateur IN Si, comme cela est illustré sur la figure 6 e, le signal e et sa rampe r sont supérieurs au seuil de blocage Tb du transistor Tl, celui-ci est conducteur et la tension d'alimentation Vcc se retrouve en grande partie sur la sortie U du moniteur M (voir la figure 6 f sur laquelle30 l'amplitude f du signal Us est portée sur l'axe des ordonnées). Le chronogramme de la figure 6 f correspond à l'état haut H, pris comme étant une tension voisine de Vcc, de la sortie U du moniteur M. On comprendra ainsi que, si l'amplitude b du signal y-Xs sort du couloir TC +, TC (voir la figure 6 b) pendant un temps suffisamment long, la rampe r du signal e passe au-dessous du seuil de blocage Tb du transistor Tl (figure 6 e), de sorte que la conduction de celui-ci est bloquée et que le signal f devient nul La sortie U du moniteur M est alors dans son état bas B. Les tolérances sur les paramètres de détection (TC+ TC-, T) doivent être suffisamment "larges" pour éviter s des déconnexions intempestives, mais doivent cependant être suffisamment "étroites" pour qu'un signal erroné en sortie pendant la durée TS ne soit pas gênant pour le système utilisant ledit sélecteur FS de signaux. Pour ce qui est de l'aiguilleur AIG 1, il peut être du type commutateur de signaux analogiques ou numériques. Il peut ainsi comporter plusieurs commutateurs en parallèle, commandés à l'identique, permettant de transmettre des signaux analogiques ou numériques. Ainsi, la figure 7 représente un aiguilleur AIG paral- lèle à commande électrique, permettant de commuter des signaux codés sur 8 bits Cet aiguilleur AIG peut être réalisé en utilisant des circuits logiques multiplexeurs parallèles ou des relais à position repos/travail, ou des commutateurs optiques. Le sélecteur FS de signaux, tel que décrit précédemment, est apte à masquer un signal d'entrée incorrect Cepen- dant, dans le cas de double défaut sur ces signaux d'entrée, il risque d'induire en erreur les circuits situés en aval Pour y remédier, le sélecteur FS de signaux, tel que représenté sur la figure 8, comporte, de plus, des circuits modifiant son comportement, et devient un sélecteur FS de signaux, avec blocage. Ce sélecteur FS de signaux, avec blocage, a pour but de remédier à deux problèmes non résolus au moyen des sélecteurs FS décrits ci-dessus: dans le cas o les signaux Es 1 et Es 3 d'un sélecteur FS à trois entrées sont incorrects et différents, ce sélecteur FS de signaux à trois entrées se configure de telle sorte que ses deux signaux de sortie Ss 1 et Ss 2 sont respectivement identiques aux deux signaux d'entrée E S 1 et Es 3, et, dans le cas de la réalisation d'un sélecteur de signaux à N entrées, utilisant de tels sélecteurs FS montés en cascade, comme expliqué plus loin, ce cas de figure est gênant car, pour tolérer cette double défaillance (défaillance de Es 1 et E S 3), il faut deux autres étages en aval formés chacun par un sélecteur FS de signaux à trois entrées et recevant un signal correct sur leur troisième entrée E 3; le sélecteur FS de signaux à trois entrées peut aussi être mis en défaut en cas de défaillance séquentielle de deux signaux d'entrée qui prendraient une valeur incorrecte identique, car les signaux de sortie 5551 et S 2 sont alors formés par les deux signaux d'entrée incorrects et identiques, donc non détectables, en tant que signaux incorrects, par un système placé en aval (par exemple un système duplex ou tout simplement par un autre sélecteur FS de signaux à trois entrées permettant de constituer un sélecteur de signaux à n entrées). Ce sélecteur FS de signaux, avec blocage, comporte lesdits premier aiguilleur AI Gi et deuxième aiguilleur AIG 2 comportant respectivement, de plus, une sortie d'état SE fournissant un signal représentatif de l'état actif ACT ou repos RE? dudit aiguilleur AI Gi ou AIG 2; un moyen détecteur DET à deux entrées Dl, D 2 reliées respectivement à la sortie d'état SE du premier aiguilleur AIG 1 et du deuxième aiguilleur AIG 2, apte à fournir, sur sa sortie Q, une information significa- tive de la présence à l'état repos REP de l'un au moins-des premier Al et deuxième A 2 aiguilleurs; un premier moyen de verrouillage Pl, interposé entre la sortie U dudit premier moniteur Ml et l'entrée de commande EC dudit deuxième aiguilleur AIG 2, recevant, sur une entrée de commande E Pi, ladite information issue de la sortie Q du moyen détecteur DET et per- mettant audit premier moniteur Ml de commander l'état dudit deuxième aiguilleur AIG 2 si ledit moyen détec- teur DET n'a pas préalablement détecté qu'au moins un desdits premier aiguilleur AIG 1 et deuxième aiguilleur AIG 2 est dans son état repos REP, et empêchant ledit premier moniteur Ml de commander ledit deuxième aiguilleur AIG 2 si ledit moyen détecteur DET a détecté préalablement qu'un au moins desdits premier aiguil- leur AIG 1 et deuxième aiguilleur AIG 2 est dans son état repos REP; un deuxième moyen de verrouillage P 2, interposé entre la sortie U dudit deuxième moniteur M 2 et l'entrée de commande EC dudit premier aiguilleur AIG 1, recevant, sur une entrée de commande EP 2, ladite information issue de la sortie Q du moyen détecteur DET et permet- tant au dit deuxième moniteur M 2 de commander l'état dudit premier aiguilleur AIG 1 si ledit moyen détecteur DET n'a pas préalablement détecté qu'au moins un desdits premier aiguilleur AIG 1 et deuxième aiguilleur AIG 2 est dans son état repos REP, et empêchant ledit deuxième moniteur M 2 de commander ledit premier aiguilleur AIG 1 si ledit moyen détecteur DET a préala- blement dé tecté qu'au moins un desdits premier aiguilleur AI Gl et deuxième aiguilleur AIG 2 est dans son état repos REP. Le sélecteur FS de signaux, avec blocage, remédie ainsi aux problèmes sus-mentionnés en utilisant un mécanisme de blocage supplémentaire, c'est-à-dire qu'à la première reconfiguration due à un signal d'entrée incorrect, ce mécanisme fige cette nouvelle configuration et ainsi empêche toute nouvelle reconfiguration lorsqu'un deuxième signal d'entrée devient incorrect. * Autrement dit, lors d'une première défaillance d'un de ses trois signaux d'entrée Es 1, Es 2, Es 3, le sélecteur FS de signaux avec blocage se configure de telle sorte qu'il isole l'entrée défaillante et fournit sur ses deux sorties Si et 52 les deux signaux d'entrée indépendants et corrects, mais aussi fige sa nouvelle configuration en bloquant l'état des aiguilleurs AI Gi et AIG 2 De ce fait, lors d'une deuxième défaillance d'un de ses trois signaux d'entrée E s, Es 2, Es 3, le sélecteur FS de signaux avec blocage étant bloqué, il en résulte qu'un et un seul signal de sortie S S ou Ss 2 est affecté par la deuxième défaillance d'un des trois signaux d'entrée Est' Es 2 ou Es 3. Ainsi, ce signal de sortie incorrect pourra facilement être détecté et isolé par un autre (et un seul) sélec- teur FS de signaux à trois entrées placé en aval, qui recevra ainsi, en l'absence d'autre défaut, deux signaux corrects Un sélecteur de signaux à N entrées formé par n-2 sélecteur FS de signaux en cascade sera ainsi tolérant à n-2 défaillances. Le fonctionnement détaillé du sélecteur de signaux avec blocage de la figure 8 est décrit ci-après, en regard du graphe de la figure 9 qui indique l'état des sorties Si et 52 Ce graphe explicite les cas suivants: 1) le sélecteur FS de signaux, avec blocage, n'est pas alimenté par une source de puissance Alors, les aiguilleurs AIG 1 et AIG 2 sont à l'état repos REP, comme représenté sur la figure 8; 2) les trois signaux Es 1, E S 2 et Es 3 sont corrects (état 1 de la figure 9) Alors, les moniteurs Ml et M 2 détectent respectivement l'identité des signaux E s et Es 2 et celle des signaux E S 2 et E S 3 et leurs sorties à l'état haut H commandent respectivement les aiguilleurs AIG 2 et AIG 1 à l'état actif ACT Il en résulte que, sur les sorties communes SC des aiguil- leurs AIGI et AIG 2, apparaissent respectivement des signaux de sortie Ss 1 et Ss 2, identiques entre eux et égaux au signal E S 2 Le moyen DET détecteur recevant respectivement, sur ses deux entrées Dl et D 2, les deux signaux issus respectivement de la sortie d'état SE du premier aiguilleur AI Gi et du deuxième aiguil- leur AIG 2, significatifs de l'état actif ACT ou repos REP de ces aiguilleurs Ce moyen détecteur DET détecte, dans le cas présent, qu'aucun aiguilleur AIG 1 ou AIG 2 n'est dans son état repos REP, et il transmet, par sa sortie Q cette information sous forme d'un signal de commande aux entrées de commande respective E Pl et EP 2 des premier et deuxième moyens de verrouillage Pl et P 2, respectivement montés en série entre la sortie U du moniteur Ml ou M 2 et l'entrée EC de l'aiguilleur AIG 2 ou AIG 1 commandé. Ces premier et deuxième moyens de verrouillage Pl et P 2 sont aptes à transmettre ou non le signal reçu de la sortie U du moniteur Ml ou M 2 associé, selon l'état de ladite commande reçue sur leur entrée de commande E Pl et EP 2; dans le cas ci-dessus, le signal appliqué aux entrées E Pl et EP 2 autorise la transmission du signal Us; 3) si (état 2 de la figure 9) le signal E l est incor- rect, alors que les signaux E S 2 et Es 3 sont corrects (un signal incorrect étant indiqué par son nom surligné sur cette figure 9), le moniteur Ml, constatant la différence des signaux Es 1 et E 52, a sa sortie U à l'état bas B, ce qui oblige l'aiguilleur AIG 2 à avoir l'état repos REP, de sorte que le signal Ss 2 est égal au signal Es 3 Par ailleurs, le moniteur M 2, constatant l'identité des signaux Es 2 et E 53, sa sortie U à l'état haut H commande l'aiguilleur AI Gi à son état actif ACT Le signal S S est donc égal au signal Es 2; le moyen détecteur DET détecte que l'aiguilleur AIG 2 est dans son état repos REP et transmet, par sa sortie Q, cette information aux premier et deuxième moyens de verrouillage Pl et P 2 qui bloquent alors les éventuelles commandes ulté- rieures issues des sorties U des moniteurs Ml et M 2, et, de ce fait, figent le sélecteur FS dans cet état 2; 4) si (état 3 de la figure 9) le signal Es 2 est incor- rect, alors que les signaux Esi et Es 3 sont corrects, on voit que les sorties U des moniteurs Mi et M 2 sont à 11 état bas B et que les aiguilleurs AIG 1 et AIG 2 sont à l'état repos REP; les signaux Ssi et Ss 2 sont alors égaux respectivement aux signaux E S 1 et Es 3; le moyen détecteur DET détecte que les aiguilleurs AI Gi et AIG 2 sont dans leur état repos REP et trans- met, par sa sortie Q, cette information aux premier et deuxième moyens de verrouillage Pl et P 2, qui bloquent alors les éventuelles commandes ultérieures issues des sorties U des moniteurs M 1 et M 2, et, de ce fait, figent le sélecteur FS dans cet état 3; ) de même, si (état 4 de la figure 9) le signal Es 3 est incorrect, alors que les signaux E S et E 52 sont corrects, les sorties U des moniteurs Mi et M 2 sont respectivement à l'état haut H et bas B et les aiguilleurs AI Gi et AIG 2 sont respectivement à l'état repos REP et actif ACT, de sorte que les signaux S S 1 et Ss 2 sont respectivement égaux aux signaux E S et Es 2; le moyen détecteur DET détecte que l'aiguilleur AIG 1 est dans son état repos REP et transmet, par sa sortie Q, cette information aux premier et deuxième moyens de verrouillage Pl et P 2, qui bloquent alors les éventuelles commandes ultérieures issues des sorties U des moniteurs Ml et M 2, et, de ce fait, figent le sélecteur de signaux dans cet état 4; 6) si, après une première défaillance d'un des trois signaux E S 1, Es 2 ou E S 3, comme représenté par les états 2, 3 ou 4 de la figure 9, un deuxième signal d'entrée passe à un état incorrect, un seul de ces signaux d'entrée est correct; il en résulte qu'un et un seul signal de sortie S 1 ou 5552 est affecté par la deuxième défaillance d'un des trois signaux d'entrée Esl, Es 2 ou Es 3, comme représenté par les états 5, 6, 7, 8, 9 et 10 de la figure 9, car l'état du sélecteur FS de signaux a été figé par les premier et deuxième moyens de verrouillage Pl et P 2 lors de la première défaillance (cas 3, 4 ou 5 cités précé- demment); 7) enfin, si les trois signaux d'entrée E S 1, Es 2 et Es 3 sont incorrects, les deux signaux de sortie S S et S 2 sont formés par deux signaux incorrects, et s 4 différents dans le cas général, cette situation n'étant pas représentée sur la figure 9. De façon préférable, ce sélecteur FS de signaux à trois entrées, avec blocage, comporte, en sortie des moniteurs Mi et M 2, un comparateur à seuil C et un temporisateur DT, afin d'éviter que le moyen détecteur DET ne mémorise un passage à l'état repos REP de l'aiguilleur AIGI ou30 AIG 2 qui ne serait que transitoire, à la suite d'une légère discordance entre deux signaux d'entrée. Selon un exemple d'application du sélecteur FS de signaux à trois entrées précédemment décrit, on réalise un sélecteur de signaux GS à N entrées Il à In et à deux sorties Si et 52 en formant une cascade de n-2 tels sélecteurs FS de signaux à trois entrées, identiques entre eux. La variante de réalisation du sélecteur FS de signaux à trois entrées, avec blocage, est la plus appropriée. D'autres réalisations de sélecteurs GS, n'utilisant pas de sélecteurs FS avec blocage, sont cependant possibles. De ce fait, la représentation du sélecteur GS dans les figures suivantes est schématique, et ne représente que sa structure de base. Dans le sélecteur de signaux GS à N entrées montré schématiquement sur la figure 10, on retrouve une pluralité de n-2 sélecteurs FS, avec ou sans blocage, de signaux à trois entrées, portant respectivement les références F 51, F 52, F 53,, F Si,, F Sn-2 Ces sélecteurs F Si de signaux à trois entrées sont montés en cascade de façon à former le sélecteur de signaux GS à n entrées Il à In et à deux sorties, ces deux dernières étant celles Si et 52 du sélecteur F Sn-2 de signaux à trois entrées qui est le plus en aval. Les entrées El, E 2, E 3 du premier sélecteur F 51 de signaux à trois entrées, situé le plus en amont, sont respectivement reliées aux entrées Il, I 2 et I 3, tandis que les sorties Si et 52 du premier sélecteur F 51 de25 signaux à trois entrées sont respectivement reliées aux entrées El et E 2 du deuxième sélecteur F 52 de signaux à trois entrées La troisième entrée E 3 du deuxième sélecteur F 52 de signaux à trois entrées est reliée à l'entrée I 4 De façon plus générale, les entrées El et30 E 2 du sélecteur F Si de signaux à trois entrées de rang i dans la cascade (avec ki vement aux sorties Si et 52 du sélecteur F Si-1 de signaux à trois entrées, de rang immédiatement inférieur, tandis que la troisième entrée E 3 de ce sélecteur F Si de signaux à trois entrées est reliée à l'entrée Ii+ 2 Si tous les signaux apparaissant aux entrées Il à In sont corrects, la table de vérité de la figure 2 permet de comprendre que les signaux apparais- sant aux sorties du sélecteur de signaux GS à N entrées de la figure 10, c'est-à-dire sur les sorties Si et 52 du sélecteur F Sn-2 de signaux à trois entrées, sont chacun constitués par le signal E S 2 appliqué sur l'en- trée I 2. Le fonctionnement d'un sélecteur de signaux GS à n entrées, réalisé à partir de n-2 sélecteurs FS sans blocage en cascade, peut facilement se déduire à partir du fonctionnement du sélecteur FS de signaux à trois entrées représenté à la figure 1, o chaque sélecteur de signaux à trois entrées (F 51, F 52, F 53,, FS, F Sn-2) constituant ledit sélecteur de signaux GS à n entrées est identique à celui décrit précédemment. En effet, on voit d'après la table de vérité de la figure 2, que chaque sélecteur F Si de signaux à trois entrées transmet deux signaux Ss 1 et Ss 2 corrects tant qu'il n'y a pas plus d'un signal incorrect en entrée; chaque étage de ce montage en cascade est ainsi apte à éliminer un défaut apparaissant sur l'une des N entrées. Par exemple, si l'ensemble des signaux I 3 à In est incorrect, chacun des n-2 sélecteurs F Si de signaux à trois entrées effectue le choix des deux signaux cor- rects qu'il reçoit et élimine le troisième qui est incorrect. Par contre, si au moins deux des trois signaux Il, I 2, I 3 appliqués sur le premier sélecteur F 51 de signaux à trois entrées sont incorrects, les sorties 51 et 52 de ce premier sélecteur F 51 de signaux à trois entrées fournissent les signaux Il et I 3, c'est-à-dire un ou deux signaux incorrects Dans le cas o Il et I 3 sont incorrects tous les deux, le deuxième sélecteur F 52 de signaux à trois entrées reçoit donc ces deux signaux Il et I 3 incorrects sur ses entrées El et E 2, et le signal I 4 sur son entrée E 3 Il fournit donc, d'après la table de vérité de la figure 2, les deux signaux reçus sur sa première El et troisième E 3entrée, c'est-à-dire Il, incorrect, et I 4, correct a priori, sur ses sorties respectives Si et 52. Le troisième sélecteur F 53 de signaux à trois entrées reçoit alors les signaux Il, incorrect, I 4, correct a priori, et I 5, correct a priori Il va donc transmettre les signaux I 4 et I 5; on a ainsi éliminé, de la chaîne de propagation, les signaux Il et I 3 incorrects On voit ainsi que l'élimination des signaux incorrects se réalise grâce à l'introduction, dans la chaîne de propagation, de signaux corrects sur l'entrée E 3 des sélecteurs F Si de signaux à trois entrées, la deuxième introduction d'un signal correct étant détectée par comparaison, ce qui établit une transmission de deux signaux corrects. Selon un exemple d'application dudit sélecteur de signaux GS à N entrées, on réalise un voteur Vi à n entrées représenté sur la figure 11, comportant: un sélecteur de signaux GS à N entrées, tel que décrit précédemment; un premier interrupteur INT 1, pourvu d'une entrée active A et d'une entrée de commande EC apte à mettre, ou non, ladite entrée active A en relation avec une sortie commune SC selon que ce premier interrupteur INT 1 est respectivement à l'état actif ou à l'état repos, en fonction du signal appliqué sur ladite entrée de commande EC, ladite entrée active A et ladite sortie commune SC dudit premier interrupteur INT 1 étant respectivement reliées à ladite sortie Sl dudit sélecteur de signaux GS à N entrées et à la sortie dudit voteur Vl à N entrées, c'est-à-dire que ce premier interrupteur INT 1 peut avoir un état actif pour lequel sa sortie commune SC est reliée à son entrée active A, et un état repos pour lequel sa sortie SC n'est pas reliée; il peut avoir la même constitution qu'un aiguilleur AIGI qui n'aurait pas d'entrée de repos R; un premier moniteur de sortie M 51, identique auxdits premier et deuxième moniteurs Ml et M 2, dont les deux entrées X et Y sont respectivement reliées auxdites sorties Sl et 52 dudit sélecteur de signaux GS à n entrées pour mesurer l'écart entre les signaux appa- raissant sur ces sorties Si et 52, la sortie U dudit premier moniteur de sortie M 51 étant reliée à l'entrée de commande EC dudit premier interrupteur INTI, et étant susceptible de commander l'état dudit premier interrupteur INT 1. Ainsi, ledit sélecteur de signaux GS à N entrées, constitué de n-2 (avec nk 3) sélecteurs FS de signaux à trois entrées en cascade, forme un premier étage qui configure automatiquement les N entrées en deux signaux25 intermédiaires Ss 1 et Ss 2, isolant les éventuels signaux d'entrée défaillants, ce qui est favorable à la fiabi- lité opérationnelle Avantageusement, la réalisation de ce premier étage, à partir de n-2 sélecteurs F Si de signaux, avec blocage, en cascade, permet d'obtenir un30 système masquant la défaillance de n-2 signaux d'entrée parmi les N signaux d'entrée issus de N sous-systèmes redondants, ainsi que celle des sélecteurs F Si de signaux à trois entrées associés qui constituent le premier étage Par ailleurs, ledit premier moniteur de35 sortie M 51 et ledit premier interrupteur INT 1 forment un second étage qui compare les deux signaux intermédiaires SS et S 52 transmis par le premier étage, pour détecter une n-lème défaillance, afin d'isoler la sortie du voteur à N entrées, le premier interrupteur INT 1 coupant alors la connexion entre sa sortie commune SC et ladite entrée active A s'il y a désaccord entre lesdits signaux. intermédiaires S 51 et S 52 On augmente ainsi la sécuri- té En amont du premier étage du voteur Vl à N entrées se trouve une structure comportant une redondance d'ordre N de sous-systèmes, méthode pour augmenter la fiabilité opérationnelle d'un système, alors qu'en aval de ce premier étage se trouve une structure duplex permettant de contrôler la cohérence des deux signaux de sortie S 51 et S 52 de ce premier étage, au moyen du15 second étage. Dans le but de simplifier la compréhension du fonction- nement du voteur Vl à N entrées, l'exposé de son f onc- tionnement est fait à partir d'un voteur V 2 à trois entrées dont le premier étage est constitué d'un seul20 sélecteur FS de signaux à trois entrées. Ainsi, le voteur V 2 à trois entrées, conforme à la présente invention et montré sur la figure 12, comporte le sélecteur FS de signaux à trois entrées décrit précédemment, dont les entrées El, E 2, E 3 forment les25 trois entrées dudit voteur V 2 à trois entrées, qui par ailleurs est pourvu d'une sortie S En plus du sélecteur FS, le voteur V 2 à trois entrées comporte: ledit premier interrupteur INT 1, pourvu d'une entrée active A, d'une entrée de commande EC et d'une sortie commune SC, ladite entrée active A et ladite sortie commune SC dudit premier interrupteur INT 1 étant respectivement reliées à ladite sortie commune SC dudit premier aiguilleur AIG 1 et à la sortie S dudit voteur V 2 à trois entrées; et ledit premier moniteur de sortie M 51 à deux entrées X et Y respectivement reliées auxdites sorties communes SC desdits premier et deuxième aiguilleurs AIGI et AIG 2 et susceptible de commander, par sa sortie U, l'entrée de commande EC du premier interrupteur INT 1. Tout comme pour les moniteurs Ml et M 2, la sortie U du premier moniteur de sortie M 51 peut prendre un état bas B ou un état haut H et commander le premier interrupteur INT 1 à l'état actif ACT, lorsqu'elle est dans son état haut H, et le commander à l'état repos REP, lorsqu'elle est dans son état bas B, ce qui isole alors sa sortie SC de son entrée active A. Le fonctionnement du voteur V 2 à trois entrées de la figure 12 est décrit ci-après, en regard de la table de vérité de la figure 13, qui inclut celle de la figure 2. Dans cette table de vérité, le signal de sortie de ce voteur V 2 est désigné par la référence S s On reprend ci-après les différents cas pouvant se produire: 1) ledit voteur V 2 à trois entrées n'est pas alimenté par une source de puissance Alors, les aiguilleurs AIG 1 et AIG 2 et le premier interrupteur INT 1 sont à l'état repos REP, de sorte que la sortie S est isolée des entrées El, E 2, E 3, comme représenté par la figure 12; 2) les trois signaux E S 1, Es 2 et Es 3 sont corrects On a vu qu'alors les signaux de sortie Ss 1 et Ss 2 du sélecteur FS de signaux à trois entrées sont égaux au signal E S 2 Le premier moniteur de sortie M 51 cons- tate l'égalité des signaux Ss 1 et Ss 2, et sa sortie U est à l'état haut H et force l'interrupteur INT 1 à l'état actif ACT Le signal de sortie Ss est donc égal au signal E S 2; 3) le signal Esl est incorrect, alors que les signaux Es 2 et Es 3 sont corrects On a vu qu'alors le signal de sortie Ss 2 est égal au signal Es 3 et que le signal de sortie Ssl est égal au signal Es 2 Il en résulte que les signaux de sortie Ssl et Ss 2 sont identiques et que le premier interrupteur INT 1 est à l'état actif ACT sous la commande de la sortie U du premier moniteur de sortie M 51 Le signal de sortie Ss du voteur V 2 est donc égal au signal Es 2; 4) si le signal E 2 est incorrect, alors que les signaux s Esl et Es 3 sont corrects, on a vu que les signaux de sortie Ssl et Ss 2 sont égaux respectivement aux signaux Esl et Es 3, de sorte que la sortie U du premier moniteur de sortie M Sl est à l'état haut H et que le premier interrupteur INT 1 est à l'état actif ACT, le signal de sortie S du voteur V 2 étant alors s égal au signal E 1; ) de même, si le signal Es 3 est incorrect, alors que les signaux Esl et Es 2 sont corrects, on a vu que les signaux Ssl et Ss 2 sont respectivement formés par les signaux Esl et Es 2, de sorte que la sortie du premier moniteur de sortie M Sl est à l'état haut H et l'inter- rupteur IN T 1 à l'état actif ACT, le signal de sortie Ss du voteur V 2 étant alors égal au signal Esl; 6) si deux des signaux Esl, Es 2, Es 3 sont incorrects et non identiques, un seul d'entre eux étant correct, on a vu que les signaux Ssl et Ss 2 sont respectivement égaux aux signaux différents Esl et Es 3, de sorte que la sortie U du premier moniteur de sortie M 51, à l'état bas B, force le premier interrupteur INT 1 à l'état repos REP La sortie S du voteur V 2 est alors isolée des entrées El, E 2, E 3; dans la table de vérité de la figure 13, l'isolement de la sortie S est symbolisé par la lettre Z; 7) enfin, si les trois signaux Esl, Es 2, Es 3 sont incorrects, on a vu que les signaux Ssl et Ss 2 sont respectivement formés par les signaux E S et Es 3, non identiques en général, de sorte que la sortie S est isolée des entrées El, E 2, E 3. Comme expliqué précédemment, il est souhaitable de temporiser la sortie des moniteurs MI et M 2, et aussi celle du premier moniteur de sortie M 51, de façon à éviter des commutations intempestives dues à des discordances passagères, d'autant plus nombreuses qu'il y a plus d'entrées et qui feraient passer à l'état verrouillé des sélecteurs F Si de signaux à trois entrées, avec blocage Cette temporisation peut n'être effectuée que sur le premier moniteur M 51 de sortie, dans la mesure o le système aval utilisant le signal issu du voteur Vl peut tolérer des micro-coupures sur ce signal, dues à des commutations dans le premier étage. Comme indiqué précédemment, le premier étage du voteur V 2 à N entrées est tolérant à ses n-2 défaillances Pour qu'il en soit de même de l'ensemble de ce voteur V 2 à n entrées, il est avantageux de prévoir une duplication du second étage, comme cela est illustré sur la figure 14, qui comporte m interrupteurs IN Tj (j entier = 1 à m), chacun pourvu d'une entrée active A, d'une entrée de commande EC et d'une sortie commune SC, ladite entrée active A et ladite sortie commune SC desdits m interrupteurs IN Tj étant respectivement reliées à ladite sortie Si dudit sélecteur de signaux GS à N entrées et à la sortie S dudit voteur à N entrées; et m moniteurs de sortie M 51,, M Sj,, M Sm à deux entrées X,Y, dont l'une, X, des deux entrées est reliée à l'une, Si, des sorties dudit sélecteur de signaux GS à N entrées et dont l'autre, Y, des deux entrées est reliée à l'autre, 52, des sorties dudit sélecteur de signaux GS à N entrées, pour mesurer l'écart entre les signaux Ssl, Ss 2 apparaissant sur lesdites sorties Sl et 52, et susceptibles de comman- der, par leur sortie Uj, l'entrée de commande E Cj de l'interrupteur associé IN Ti de même rang i. * 5 Ainsi, le second étage du voteur à N entrées selon l'invention comporte m ensembles moniteur de sortie M Sj et interrupteur IN Tj identiques, montés en parallèle, permettant d'éviter les effets de m-l pannes à l'état repos des ensembles moniteur de sortie M Sj et interrup- teur IN Tj. En pratique, la probabilité de défaut d'un ensemble moniteur de sortie M Sj et interrupteur IN Tj est faible devant la probabilité de défaut d'un sélecteur de l'étage d'entrée et des sous-systèmes associés, du fait que ces sous-systèmes comportent usuellement de nombreux composants De ce fait, une redondance m d'ordre infé- rieur à N suffit, d'autant plus qu'un nombre m de moniteurs de sortie M Sj et d'interrupteurs IN Tj excessif va à l'encontre de la sécurité, car la présence d'un seul moniteur de sortie Mj et interrupteur IN Tj en panne à l'état actif empêche les autres d'isoler la sortie S du voteur à N entrées par rapport au monde Par exemple, on peut simplement réaliser le second étage du voteur à n entrées avec m = 2 ensembles moniteur de sortie M Sj et interrupteur IN Tj, montés en parallèle, permettant ainsi d'éviter les effets d'une panne à l'état repos de l'un des deux L'homme de métier connaît cependant des montages séries et parallèles d'interrupteurs permettant de tolérer un blocage à l'état actif ACT. La figure 15 montre, à titre d'exemple, une réalisation d'un voteur V 3 à trois entrées totalement tolérant à une défaillance du système complet constitué de trois sous-systèmes redondants (non représentés), fournissant les signaux appliqués aux entrées El, E 2 et E 3, et du voteur V 3. Il est à noter que les entrées actives A des interrup- teurs INT 1 et INT 2 peuvent être reliées à l'une ou l'autre des sorties Si ou 52 du sélecteur de signaux GS, puisque la sortie S du voteur V 3 transmet l'un des deux signaux apparaissant sur ces sorties Si ou 52, lorsque ces signaux sont identiques, et aucun lorsqu'ils sont différents. De même, il est envisageable de relier l'entrée active A de certains interrupteurs IN Tj à la sortie Si, et l'entrée active A des autres interrupteurs IN Tj à la sortie 52, ce qui fournit une liaison redondante per- mettant de tolérer la coupure de la liaison allant de la sortie Si aux entrées actives A des interrupteurs IN Tj. Ceci suppose cependant que deux des signaux appliqués aux entrées El à E 3 puissent être reliés, au niveau de la sortie S du voteur V 3. Sur la figure 16, on a représenté un mode de réalisation d'un tel voteur Vl sous forme électro-optique V 4 Dans ce cas, les aiguilleurs AIG 1 et AIG 2 à deux voies sont des multiplexeurs optiques à commande électrique, l'interrupteur INT 1 pouvant être du même type, avec une seule entrée utilisée, alors que les moniteurs Mi, M 2 et M 51 sont de type électrique, tel que décrit précédem- ment. Les entrées optiques El, E 2 et E 3 sont respectivement reliées aux aiguilleurs optiques AIG 1 et AIG 2 et à l'interrupteur INTI par des fibres optiques 10, 11 et 12 Sur la fibre optique 10, alimentant l'entrée de repos R de l'aiguilleur AIG 1, est prévu un coupleur optique 13 en "Y" dont la branche dérivée commande une cellule photoélectrique 14 constituant l'entrée X du moniteur Ml De même, sur la fibre optique 12, reliée à l'entrée de repos R de l'aiguilleur AIG 2, est prévu un coupleur optique 15 en "Y" dont la branche dérivée commande une cellule photoélectrique 16 constituant l'entrée Y du moniteur M 2 La fibre optique 11, reliée à l'entrée E 2, alimente un coupleur optique 17 en "Y", à deux branches dérivées qui commandent respectivement des cellules photoélectriques 18 et 19 formant respective- ment les entrées Y du moniteur MI et X du moniteur M 2. De plus, le coupleur optique 17 alimente en énergie optique un coupleur optique 20, qui est relié aux entrées actives A des aiguilleurs AIG 1 et AIG 2 par des fibres optiques 21 et 22, respectivement Les coupleurs optiques 17 et 20 peuvent être constitués d'un seul composant à quatre sorties. La sortie de l'aiguilleur AIG 1 est reliée à l'entrée active A de l'interrupteur INT 1 par une fibre optique 23, sur laquelle est monté un coupleur optique 24 en "Y" dont la branche dérivée commande une cellule photoélec- trique 25 constituant l'entrée X du premier moniteur de sortie M 51 La sortie de l'aiguilleur AIG 2 est reliée à une cellule photoélectrique 26 par une fibre optique 27, ladite cellule 26 formant l'entrée Y du premier moniteur de sortie M 51. La sortie S de ce voteur V 4 est formée par une fibre optique 28 reliée à la sortie SC de l'interrupteur INT 1. Les moniteurs Ml, M 2 et M 51 commandent respectivement, par leur sortie U, l'entrée de commande EC des aiguil-30 leurs AIG 2 et AI Gi et de l'interrupteur INT 1. Il est possible de réaliser un tel voteur V 4 électro- optique comportant plusieurs fibres en parallèle, en dupliquant les fibres optiques, les coupleurs et interfaces électro-optiques et en utilisant des aiguil- leurs et interrupteurs optiques capables de commuter plusieurs fibres, par exemple des relais électro- optiques repos/ travail à plusieurs fibres en sortie, comme schématisé sur la figure 7, ou une association de plusieurs tels relais à une seule fibre de sortie. L'interrupteur INT 1 peut être réalisé de la même ma- nière, avec des relais optiques à état actif passant. Un tel voteur V 4 peut évidemment comporter les diverses adjonctions de seuil, temporisation et blocage précé- demment exposées. On constate aisément que le fonctionnement de ce voteur électro-optique V 4 est identique à celui du voteur Vl décrit précédemment. Sur la figure 17, on a représenté un mode de réalisation d'un tel voteur Vl sous forme hydraulique (ou encore pneumatique) V 5 comportant une source de fluide sous pression 30 appliquée à un boîtier 31 comportant une entrée 32 d'alimentation, source qui peut être remplacée20 par trois sources indépendantes alimentant chacune un moniteur Ml, M 2, M 51, ce qui permet de tenir compte aussi des défaillances possibles d'alimentation. On comprend facilement que chacun de ces moniteurs Mi, M 2, M 51, pour une réalisation hydraulique, peut consis-25 ter, schématiquement, en un tiroir 33 faisant communi- quer l'entrée d'alimentation 32 et la sortie U 34 du moniteur, uniquement lorsqu'il est en position centrale. Ce tiroir 33 est maintenu dans cette position centrale grâce à deux ressorts antagonistes 35 et 36 commandés30 par les deux signaux Xs et Ys contrôlés, appliqués aux entrées X et Y, respectivement repérées 37 et 38, ceci tant que les signaux contrôlés E s, Es 2, Es 3 sont corrects, et est repoussé d'un côté ou de l'autre, interrompant la communication entre l'entrée d'alimen- tation 32 et la sortie U 34 du moniteur M, dès qu'une différence se présente entre les deux des signaux Es 1, Es 2, Es 3 contrôlés par le moniteur M concerné. La figure 18 présente schématiquement un exemple de réalisation d'un moniteur pneumatique Ml, M 2, M 51, formé par un distributeur M, constitué d'un boîtier 41, d'un orifice d'entrée 42 d'alimentation et comportant un piston mobile 43 se déplaçant dans ce boîtier 41 et commandant la mise sous pression d'un orifice de sortie 44, piston soumis à l'action antagoniste de deux res- sorts 45 et 46, comme dans le cas du moniteur M hydrau- lique précédent, et commandé par les deux signaux Xs et Ys contrôlés appliqués aux entrées X et Y, respective- ment repérées 47 et 48 Suivant les valeurs respectives des pressions des signaux Xs et Ys, le piston 43 met en communication l'un avec l'autre l'orifice d'entrée 42 d'alimentation du boîtier 41 recevant la pression de la source 30 et l'orifice de sortie 44 dudit boîtier 31 constituant la sortie U du moniteur M, ou bien met cette sortie U 44 en communication avec l'atmosphère à travers des orifices 49 ou 50. Tout comme pour une réalisation électronique, il est possible de créer un seuil sur l'action du moniteur M, en ayant des ressorts 45 et 46 non fortement comprimés à l'état d'équilibre du moniteur Ml, ce qui nécessite la fourniture d'un travail pour comprimer l'un des ressorts 45 ou 46, l'autre ressort ne compensant pas l'effort de compression par sa propre détente. De même, l'action du moniteur M peut être temporisée par utilisation, par exemple, d'orifices de faible diamètre, ne permettant qu'un passage à faible débit du fluide. De même encore, les aiguilleurs peuvent être bloqués après une première reconfiguration résultant de l'appa- rition d'une première défaillance, ce qui permet de retrouver le même fonctionnement que le voteur avec blocage. De plus, chaque aiguilleur AIG 1 et AIG 2 à deux voies est constitué par un distributeur DIS représenté sur la figure 19 formé d'un boîtier 51 comportant un orifice d'entrée de commande EC, repéré 52, et un piston mobile 53 apte à se déplacer dans ce boîtier 51, sous l'action de la pression transmise par ladite entrée de commande EC 52 à laquelle s'oppose celle d'un ressort 55 Suivant la valeur de la pression dudit signal EC, le piston 53 met en communication l'un ou l'autre de deux orifices d'entrée de signal 57 et 58 du boîtier 51 avec l'orifice de sortie 54, lesdits orifices d'entrée de signal 57 et 58 correspondant respectivement aux entrées de repos R et active A. Les aiguilleurs AIG et interrupteurs INT hydrauliques et pneumatiques décrits ci-dessus peuvent être rendus aptes à commuter plusieurs signaux en parallèle, en dupliquant les éléments nécessaires à chaque signal. Là encore, on constate facilement que le fonctionnement du voteur V 5 de la figure 17 est semblable à celui du25 voteur Vl décrit précédemment. REVENDICATIONS 1 Sélecteur (FS) de signaux comportant une première entrée (El), une deuxième entrée (E 2) et une troisième entrée (E 3) aptes à recevoir respectivement un premier signal (Esl), un deuxième signal (Es 2) et un troisième signal (Es 3) et comportant une première sortie (Si) et une seconde sortie ( 52), caractérisé en ce qu'il comporte: un premier aiguilleur (AIG 1) à deux voies, pourvu d'une entrée active (A), d'une entrée de repos (R), et d'une entrée de commande (EC) apte à recevoir un signal de commande forçant, selon son état, ledit premier aiguilleur (AIG 1) à un état actif (ACT) ou à un état repos (REP), et d'une sortie commune (SC), ladite entrée de repos (R) et ladite entrée active (A) dudit premier aiguilleur (AIG 1) étant respectivement reliées auxdites première entrée (El) et deuxième entrée (E 2) dudit sélecteur (FS) de signaux, tandis que ladite sortie commune (SC) dudit *premier aiguil- leur (AIG 1) est reliée à ladite première sortie (Si) du sélecteur (FS) de signaux, cette sortie commune (SC) transmettant le signal appliqué sur l'entrée active (A) lorsque ledit premier aiguilleur (AIG 1) est à l'état actif (ACT), et transmettant le signal appliqué sur l'entrée de repos (R) lorsque ledit premier aiguilleur (AIG 1) est à l'état repos (REP); un deuxième aiguilleur (AIG 2) à deux voies, pourvu d'une entrée active (A), d'une entrée de repos (R), et d'une entrée de commande (EC) apte à recevoir un signal de commande forçant, selon son état, ledit aiguilleur (AIG 2) à un état actif (ACT) ou à un état repos (REP), et d'une sortie commune (SC), ladite entrée active (A) et ladite entrée de repos (R) dudit deuxième aiguilleur (AIG 2) étant respectivement reliées auxdites deuxième entrée (E 2) et troisième entrée (E 3) dudit sélecteur (FS) de signaux, tandis que ladite sortie commune (SC) dudit deuxième aiguil- leur (AIG 2) est reliée à ladite seconde sortie ( 52) du sélecteur (FS) de signaux, cette sortie commune (SC) transmettant le signal appliqué sur l'entrée active (A) lorsque ledit deuxième aiguilleur (AIG 2) est à l'état actif (ACT), et transmettant le signal appliqué sur l'entrée de repos (R) lorsque ledit deuxième aiguilleur (AIG 2) est à l'état repos (REP); un premier moniteur (Ml) à deux entrées (X, Y) res- pectivement reliées auxdites première entrée (El) et deuxième entrée (E 2) dudit sélecteur (FS) de signaux, apte à mesurer l'écart entre lesdits premier signal (Esl) et deuxième signal (E 52) et dont la sortie (U) est reliée à l'entrée de commande (EC) dudit deuxième aiguilleur (AIG 2) et est susceptible de commander l'état de ce deuxième aiguilleur (AIG 2); et un deuxième moniteur (M 2) à deux entrées (X, Y) res- pectivement reliées auxdites deuxième entrée (E 2) et troisième entrée (E 3) dudit sélecteur (FS) de signaux, apte à mesurer l'écart entre lesdits deuxième signal (E 2) et troisième signal (E 3) et dont la sortie (U) est reliée à l'entrée de commande (EC) dudit premier aiguilleur (AIG 1) et est susceptible de commander l'état de ce premier aiguilleur (AIG 1). 2 Sélecteur (FS) de signaux selon la revendication 1, dans lequel lesdits moniteurs (M) sont du type apte à traiter des signaux analogiques ou numériques, séries ou parallèles,30 caractérisé en ce que chacun desdits moniteurs (M) comprend: des moyens différenciateurs (D) pour mesurer la différence entre les signaux appliqués aux entrées (X, Y) dudit moniteur (M); des moyens comparateurs (C), pour comparer ladite différence à un seuil prédéterminé (TC, TC-) et engendrer un signal d'erreur si la valeur absolue de ladite différence est supérieure à la valeur absolue dudit seuil (TC, TC-). 3 Sélecteur (FS) de signaux selon la revendication 1 ou 2, caractérisé en ce que des moyens temporisateurs (DT) sont interposés en série sur la sortie (U) d'au moins un 1 o moniteur (M). 4 Sélecteur (FS) de signaux selon l'une quelconque des revendications 1 à 3, caractérisé en ce que chaque aiguilleur (AIG) à deux voies est du type commutateur électrique ou dispositif de commutation électrique constitué de plusieurs élé- ments de commutation identiques disposés en parallèle. Sélecteur (FS) de signaux selon l'une quelconque des revendications 1 à 3, caractérisé en ce que chaque aiguilleur (AIG) à deux voies est du type multiplexeur optique à commande électrique ou commutateur optique à commande électrique constitué de plusieurs éléments de commutation optique identiques disposés en parallèle. 6 Sélecteur (FS) de signaux selon l'une quelconque des revendications 1 à 3, caractérisé en ce que chaque aiguilleur (AIG) à deux voies est du type commutateur hydraulique ou pneumatique ou commutateur hydraulique ou pneumatique constitué de plusieurs éléments de commutation identiques disposés en30 parallèle. 7 Sélecteur (FS) de signaux selon la revendication 6, dans lequel lesdits moniteurs (M) sont aptes à traiter des signaux de pression fluide, caractérisé en ce que chacun desdits moniteurs (M) comporte un organe ( 43) soumis à l'action antagoniste des signaux apparaissant aux entrées de signal (X, Y) dudit moniteur (M) et commandant le passage de fluide entre une source de pression ( 30) et la sortie (U) dudit moniteur (M). 8 Sélecteur (FS) de signaux selon la revendication 6 ou 7, caractérisé en ce que chacun desdits aiguilleurs (AIG) comporte un organe ( 53), soumis à l'action du signal appliqué à l'entrée de commande (EC) dudit aiguilleur (AIG), ledit organe ( 53) étant apte à mettre en communi- cation l'un ou l'autre de deux orifices d'entrée de signal ( 57,58) avec un orifice de sortie ( 54). 9 Sélecteur (FS) de signaux selon l'une quelconque des revendications 1 à 8, caractérisé en ce que: le premier aiguilleur (AIG 1) et le deuxième aiguilleur (AIG 2) comportent respectivement, de plus, une sortie d'état (SE) fournissant un signal représentatif de l'état actif (ACT) ou repos (REP) dudit aiguilleur (AIG 1, AIG 2); et en ce qu'il comporte: un moyen détecteur (DET) à deux entrées (D 1,D 2) reliées respectivement à la sortie d'état (SE) du premier aiguilleur (AIG 1) et du deuxième aiguilleur (AIG 2), apte à fournir, sur sa sortie (Q), une infor- mation significative de la présence à l'état repos (REP) de l'un au moins des premier aiguilleur (AIG 1) et deuxième aiguilleur (AIG 2); un premier moyen de verrouillage (Pi), interposé entre la sortie (U) dudit premier moniteur (M 1) et l'entrée de commande (EC) dudit deuxième aiguilleur (AIG 2), recevant, sur une entrée de commande (EP 1), ladite information issue de la sortie (Q) du moyen détecteur (DET) et permettant audit premier moniteur (Ml) de commander l'état dudit deuxième aiguilleur (AIG 2) si ledit moyen détecteur (DET) n'a pas préalablement détecté qu'au moins un desdits premier aiguilleur (AIG 1) et deuxième aiguilleur (AIG 2) est dans son état repos (REP), et, dans l'autre cas, empêchant ledit premier moniteur (Ml) de commander ledit deuxième aiguilleur (AIG 2); un second moyen de verrouillage (P 2), interposé entre la sortie (U) dudit second moniteur (M 2) et l'entrée de commande (EC) dudit premier aiguilleur (AIG 1), recevant, sur une entrée de commande (EP 2), ladite information issue de la sortie (Q) du moyen détecteur (DET) et permettant audit deuxième moniteur (M 2) de commander l'état dudit premier aiguilleur (AIG 1) si ledit moyen détecteur (DET) n'a pas préalablement détecté qu'au moins un desdits premier aiguilleur (AIG 1) et deuxième aiguilleur (AIG 2) est dans son état repos (REP), et, dans l'autre cas, empêchant ledit deuxième moniteur (M 2) de commander ledit premier aiguilleur (AIG 1). Sélecteur de signaux (GS) ayant une pluralité de n entrées (Il à In) et deux sorties (Si, 52), comportant une pluralité de n-2 sélecteurs (F Sl à F Sn-2) de signaux à trois entrées (avec N entier 23), selon l'une quel- conque des revendications 1 à 9, caractérisé en ce que lesdits sélecteurs (F 51 à F Sn-2) de signaux à trois entrées sont respectivement montés en cascade, les trois entrées (El, E 2, E 3) du premier35 sélecteur (F 51) de signaux à trois entrées étant respectivement reliées à trois (Il, I 2, I 3) desdites n entrées (Il à In), alors que, pour chacun des (n-3) autres sélecteurs (F Si) de signaux à trois entrées de rang i (avec ki n-2), deux de ses entrées (El, E 2) sont reliées respectivement aux sorties (Si, 52) du sélecteur (F Si-1) de signaux à trois entrées amont de rang i-l, la troisième (E 3) desdites entrées du sélecteur (F Si) de signaux à trois entrées de rang i étant reliée en propre à l'une desdites N entrées (Il à In) dudit sélecteur de signaux (GS) à N entrées, tandis que les sorties (Si, 52) du sélecteur (F Sn-2) de signaux le plus en aval sont respectivement reliées aux sorties (Si, 52) dudit sélecteur de signaux (GS) à N entrées. 11 Voteur (V) à N entrées (Il, I 2, I 3,, Ii,, In), et une sortie (S), comportant un sélecteur de signaux (GS) à N entrées tel que défini dans la reven- dication 10, caractérisé en ce qu'il comporte: un premier interrupteur (INT 1), pourvu d'une entrée active (A) et d'une entrée de commande (EC) apte à mettre, ou non, ladite entrée active (A) en relation avec une sortie commune (SC) selon que ce premier interrupteur (INT 1) est respectivement à l'état actif ou à l'état repos, en fonction du signal appliqué sur ladite entrée de commande (EC), ladite entrée active (A) et ladite sortie commune (SC) dudit premier interrupteur (INT 1) étant respectivement reliées à l'une desdites sorties (Si, 52) du sélecteur de signaux (GS) à N entrées et à la sortie (S) dudit voteur à N entrées; et un premier moniteur de sortie (M 51), à deux entrées (X,Y), tel que défini dans les revendications 1 à 10, dont les deux entrées (X, Y) sont respectivement reliées auxdites sorties (Si et 52) du sélecteur de signaux (GS) à N entrées et sont aptes à mesurer l'écart entre les signaux (Ssl, Ss 2) apparaissant sur lesdites sorties (Si, 52) du sélecteur de signaux (GS) à N entrées, et dont la sortie (U) est reliée à l'entrée de commande (EC) dudit premier interrupteur (INT 1) et est susceptible de commander l'état dudit premier interrupteur (INT 1). 12 Voteur (V) à N entrées selon la revendication 11, caractérisé en ce qu'il comporte: m interrupteurs (IN Tj) (avec i entier = 1 à m) tels que définis dans la revendication 11, lesdites entrée active (A) et sortie commune (SC) de chacun desdits m interrupteurs (IN Tj) étant respectivement reliées à l'une desdites sorties (Si, 52) dudit sélecteur de signaux (GS) à N entrées et à la sortie (S) dudit voteur (V) à N entrées; et m moniteurs de sortie (Msj), à deux entrées (Xj, Yj), dont l'une (Xj) des deux entrées est reliée à l'une (Si) des sorties dudit sélecteur de signaux (GS) à n entrées et dont l'autre (Yj) des deux entrées est reliée à l'autre ( 52) des sorties dudit sélecteur de signaux (GS) à N entrées, aptes à mesurer l'écart entre les signaux (Ssl, Ss 2) apparaissant sur lesdites sorties (Si, 52) dudit sélecteur de signaux (GS) à n entrées, et dont la sortie (Uj) est reliée en propre à l'entrée de commande (E Cj) de l'un desdits m interrup- teurs (IN Tj), de même rang J, et est susceptible de commander l'état dudit interrupteur (IN Tj).