Brevet FR2680021A1 — publié le 19930205

i 1 La présente invention concerne un voteur à trois entrées. On sait que les voteurs sont des dispositifs, matériels et/ou logiciels, qui, recevant une pluralité (généralement au moins égale à trois) de signaux d'entrée indépendants, issus de sous-systèmes utilisés en redondance, signaux représentatifs d'une même grandeur, délivrent à leur sortie un signal de sortie résultant d'un vote spécifique Par exemple, dans le cas de trois signaux d'entrée: le vote est majoritaire et le signal de sortie est la valeur de deux signaux d'entrée identiques; ou le vote concerne la médiane et le signal de sortie est constitué par le signal d'entrée qui est encadré par les deux autres; ou le vote est adaptatif, le signal d'entrée le plus éloigné par rapport aux deux autres étant rejeté et le signal de sortie étant la moyenne des deux signaux d'entrée restants etc Le rôle d'un voteur à trois entrées est d'assurer à sa sortie un signal correct à partir des trois signaux d'entrée, c'est-à-dire de tolérer la défaillance d'un de ses trois signaux d'entrée, ce qui pose, de par son principe, deux problèmes: lors de la défaillance, dans des états voisins, de deux signaux d'entrée, le vote privilégie les deux signaux d'entrée incorrects, car ils sont majoritaires, et ce fonctionnement non désiré n'est pas vu par le système Les voteurs permettant de détecter l'existence d'une seconde entrée défaillante nécessitent un mécanisme supplémentaire qui rend l'ensemble plus complexe; la sortie unique représente le point critique d'une architecture triplex (système composé de trois sous- systèmes remplissant la même fonction afin de fournir, à un voteur à trois entrées, trois signaux indépendants, mais représenta- tifs d'une même grandeur) car, lors d'une défaillance se manifestant en sortie du voteur, le service ne peut plus 1 être rendu ou, pire, peut être incorrect Autrement dit, un voteur n'est pas tolérant à ses propres défaillances, ce qui entraîne le risque de perdre un service correct sur une simple défaillance au niveau du voteur. Suivant le type de voteur mis en oeuvre, on peut rencontrer d'autres difficultés: nécessité d'une synchronisation stricte des trois signaux d'entrée les uns par rapport aux autres pour effectuer le vote; problème de traitement de signaux d'entrée corrects, mais non identiques, du fait des tolérances de chaque sous-systè- me d'élaboration desdits signaux d'entrée; problème du taux de détection de mauvais fonctionnement (proportion entre les défaillances détectées et non détec- tées) à partir de trois signaux, qui est plus complexe et moins déterministe que pour les architectures duplex (systè- me composé de deux sous-systèmes remplissant la même fonction afin de fournir, à un mécanisme approprié, deux signaux indépendants, mais représentatifs d'une même gran- deur) o la détection d'un mauvais fonctionnement du système est une simple comparaison de deux signaux; problème de certains voteurs qui masquent les erreurs sans localiser l'entrée défaillante, d'o l'impossibilité d'in- former le système quant à l'identité du sous-système défaillant. Les voteurs logiciels permettent de mettre en place un vote évolué, mais au prix d'un temps de calcul non négligeable, qui peut être inexploitable pour les systèmes rapides Aussi ce vote évolué implique un logiciel important qui demande un effort important de validation. La présente invention a pour but de remédier à ces inconvénients Elle permet, par la mise en oeuvre de' moyens simples, à la fois d'augmenter la fiabilité opérationnelle et la sécurité Elle concerne, de plus, tous les types de 1 signaux, ceux-ci pouvant être électriques, optiques, pneuma- tiques, ou autres, analogiques ou numériques, séries ou parallèles Elle est à même d'assurer à un système la continuité d'un service correct sur une seule sortie, lorsqu'un de ses trois sous-systèmes est défaillant, et d'isoler la sortie du voteur lorsque celui-ci n'est plus en mesure d'assurer un service correct. A cette fin, selon l'invention, le voteur comportant une sortie, ainsi qu'une première entrée, une deuxième entrée et une troisième entrée recevant respectivement un premier signal, un deuxième signal et un troisième signal, est remarquable en ce qu'il comporte: un aiguilleur à deux voies, pourvu d'une entrée active, d'une entrée de repos, et d'une entrée de commande apte à recevoir un signal de commande forçant, selon son état, ledit aiguilleur à un état actif ou à un état repos, et d'une sortie commune, ladite entrée de repos et ladite entrée active dudit aiguilleur étant respectivement reliées auxdites première et deuxième entrées dudit voteur, tandis que ladite sortie commune dudit aiguilleur est reliée à ladite sortie dudit voteur, cette sortie commune transmet- tant le signal appliqué sur l'entrée active lorsque ledit aiguilleur est à l'état actif, et transmettant le signal appliqué sur l'entrée de repos lorsque ledit aiguilleur est à l'état repos; et un premier moniteur à deux entrées respectivement reliées auxdites deuxième et troisième entrées dudit voteur, apte à mesurer l'écart entre lesdits deuxième signal et troisième signal, et dont la sortie est reliée à l'entrée de commande dudit aiguilleur et est susceptible de commander l'état de cet aiguilleur. Ce voteur est ainsi apte à détecter la défaillance desdits deuxième et/ou troisième signaux d'entrée et à transmettre en sortie un autre signal d'entrée. 1 Le premier moniteur peut présenter toute structure appro- priee. Un mode de réalisation électrique, donné à titre d'exemple pour des signaux analogiques ou numériques, séries ou parallèles, est remarquable en ce que ledit premier moniteur comprend des moyens différenciateurs pour mesurer la différence entre les signaux appliqués aux entrées dudit premier moniteur; des moyens comparateurs, pour comparer ladite différence à un seuil prédéterminé, et engendrer un signal d'erreur si la valeur absolue de ladite différence est supérieure à la valeur absolue dudit seuil. Ainsi, ledit premier moniteur délivre un signal de sortie destiné à commander dans un état donné l'aiguilleur à deux voies associé, non seulement lorsque les deux signaux appliqués à ses entrées sont identiques, mais encore lorsque ces derniers signaux sont légèrement différents (du fait d'un décalage en amplitude et/ou en phase), ledit seuil permettant de tolérer des différences acceptables en ampli- tude, tandis qu'une différence trop grande entre les signaux d'entrée entraîne un signal d'erreur servant à faire changer d'état l'aiguilleur de façon à supprimer la transmission du signal incorrect. Avantageusement, afin de masquer l'effet de défauts transi- toires, des moyens temporisateurs sont interposés en série sur la sortie du premier moniteur. L'aiguilleur à deux voies peut être du type commutateur électrique ou dispositif de commutation électrique, et constitué d'un ou plusieurs éléments de commutation identi- ques disposés en parallèle. 1 Dans le cas ou les signaux d'entrée sont optiques, l'aiguil- leur à deux voies peut être du type multiplexeur optique à commande électrique, ou commutateur optique à commande électrique constitué de plusieurs éléments de commutation optique identiques disposés en parallèle. Si les signaux d-'entrée sont pneumatiques ou hydrauliques, l'aiguilleur à deux voies est avantageusement du type commutateur hydraulique ou pneumatique ou commutateur hydraulique ou pneumatique constitué de plusieurs éléments de commutation identiques disposés en parallèle Ce premier moniteur peut comporter un organe soumis à l'action antago- niste des signaux apparaissant aux entrées de signal dudit premier moniteur et commandant le passage de fluide entre une source de pression et la sortie dudit moniteur En particulier, ledit voteur hydraulique ou pneumatique peut comporter au moins une deuxième porte logique OU ou une troisième porte logique ET qui sont réalisées à l'aide d'au moins un piston On peut ainsi réaliser toute fonction logique ET ou bien OU sur les signaux hydrauliques ou pneumatiques. Ledit premier moniteur peut être un moniteur sécurisé comportant au moins deux moniteurs jumelés dont les entrées sont respectivement branchées en parallèle, et dont les sorties sont respectivement reliées aux entrées d'une troisième porte logique à deux entrées, de type ET, dont la sortie est apte à fournir un signal dont un état correspond en propre à la détection de l'identité des deux signaux appliqués sur les entrées des moniteurs lorsque lesdits deux moniteurs jumelés fournissent chacun en sortie un tel signal de détection d'identité, ladite sortie de cette troisième porte logique fournissant un signal d'état différent dans les autres cas. La probabilité de défaillance entraînant un blocage de la sortie du moniteur sécurisé à l'état actif est ainsi réduite, ce qui augmente la sécurité. 1 Tout voteur tel que précédemment décrit peut comporter, de plus: un interrupteur pourvu d'une entrée active, d'une entrée de commande apte à recevoir un signal de commande forçant, selon son état, ledit interrupteur à un état actif ou à un état repos, et d'une sortie commune, ladite entrée active et ladite sortie commune dudit interrupteur étant respective- ment reliées à ladite sortie commune dudit aiguilleur et à la sortie dudit voteur; un deuxième moniteur, de fonction identique à celle du premier moniteur, dont les deux entrées sont respectivement reliées auxdites première et troisième entrées dudit voteur, apte à mesurer l'écart entre lesdits premier et troisième signaux; un troisième moniteur, de fonction identique à celle du premier moniteur, dont les entrées sont respectivement reliées auxdites première et deuxième entrées dudit voteur, apte à mesurer l'écart entre lesdits premier signal et deuxième signal; et une deuxième porte logique à trois entrées, de type OU, dont la sortie est apte à fournir un signal dont un état correspond en propre à la détection de l'identité des deux signaux appliqués sur les entrées d'un moniteur lorsque l'un au moins desdits moniteurs fournit en sortie un tel signal de détection d'identité, ladite sortie de cette deuxième porte logique fournissant un signal d'état différent dans l'autre cas, les entrées de ladite deuxième porte logique OU étant respectivement reliées aux sorties desdits premier, deuxième et troisième moniteurs, et sa sortie étant reliée à l'entrée de commande dudit interrupteur et étant susceptible de commander l'état de cet interrupteur. Ainsi, le voteur selon l'invention est tolérant à la défaillance d'un des signaux d'entrée, les moniteurs et ladite deuxième porte logique OU isolant la sortie du voteur lorsque deux signaux d'entrée sont défaillants, ce qui améliore la sécurité. 1 Le principe de fonctionnement de l'invention est simple et s'adapte à tous les types de signaux, optiques, électriques ou autres Toutefois la réalisation du voteur, en particu- lier du ou des moniteurs et de l'aiguilleur dépend du type des signaux d'entrée; des contraintes liées aux interactions avec l'environne- ment (fonctionnement asynchrone, mécanisme de détection des défaillances, temps de réponse garantie souhaité, etc). Selon l'application, il en résulte donc une quantité de réalisations dont seulement quelques unes sont décrites dans la présente description. De plus, le voteur selon l'invention a la possibilité de connaître l'identité du sous-système défaillant en analysant l'état des moniteurs du voteur, et ainsi peut diagnostiquer sa défaillance afin d'agir en conséquence. Les figures du dessin annexé feront bien comprendre comment l'invention peut Atre réalisée Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 donne le schéma synoptique du voteur à trois entrées conforme à la présente invention. La figure 2 est la table de vérité dudit voteur à trois entrées de la figure 1. La figure 3 donne le schéma synoptique d'un exemple de réalisation d'un moniteur utilisé dans ledit voteur, avec un seuil. La figure 4 montre le schéma synoptique d'une variante, comportant un temporisateur, du moniteur représenté sur la figure 3. 1 La figure 5 illustre un mode de réalisation dudit moniteur avec temporisateur, sous forme électronique. Les figures 6 a à 6 f sont des chronogrammes de signaux permettant d'expliquer le fonctionnement du moniteur de la figure 5. La figure 7 donne le schéma synoptique d'un exemple de réalisation d'un aiguilleur à plusieurs voies parallèles. La figure 8 montre un schéma synoptique d'un voteur selon l'invention, ayant une sécurité de fonctionnement accrue. La figure 9 est la table de vérité du voteur représenté à la figure 8. La figure 10 montre un voteur selon l'invention, comportant un moniteur sécurisé. La figure 11 illustre la réalisation du voteur en technique électro-optique. La figure,12 illustre la réalisation du voteur en technique hydraulique ou pneumatique. Les figures 13 et 14 montrent schématiquement la réalisation pneumatique ou hydraulique d'un moniteur et d'un aiguilleur à deux voies selon l'invention, respectivement. Les figures 15 et 16 montrent schématiquement et respective- ment des exemples de réalisation hydraulique ou pneumatique d'une porte ET et d'une porte OU. La figure 17 montre la réalisation intégrée de portes ET et OU comme illustrées par les figures 15 et 16. 1 Le voteur Vi, conforme à la présente invention et montré par la figure 1, est pourvu d'une première entrée El, d'une deuxième entrée E 2 et d'une troisième entrée E 3 ainsi que d'une sortie Si Il comporte: un aiguilleur AIG 1 à deux voies, pourvu d'une entrée active A, d'une entrée de repos R et d'une entrée de commande EC, aiguilleur qui transmet, à une sortie commune SC, le signal appliqué sur l'entrée active A ou sur l'entrée de repos R selon que l'aiguilleur AIG 1 est respectivement à l'état actif ACT ou à l'état repos REP, en fonction du signal reçu sur ladite entrée de commande EC Ladite entrée de repos R et ladite entrée active A dudit aiguilleur AIG 1 sont respectivement reliées à la première entrée El et à la deuxième entrée E 2 du voteur Vi, tandis que ladite sortie commune SC est reliée à ladite sortie Si; et un premier moniteur Mi à deux entrées X, Y respectivement reliées auxdites deuxième entrée E 2 et troisième entrée E 3 et dont la sortie U est reliée à l'entrée de commande EC de l'aiguilleur AIG 1 et est susceptible de commander l'état dudit aiguilleur AIG 1. Le signal Us en sortie U du premier moniteur Mi peut prendre un parmi deux états possibles, selon que ce premier moniteur Ml a détecté ou pas une discordance entre les signaux d'entrée Xs et Ys appliqués respectivement sur ses deux entrées X et Y Ces deux états possibles peuvent apparaître sous forme de toutes grandeurs, en fonction de la réalisa- tion de ce premier moniteur Ml, par exemple un signal électrique de niveau constant haut ou bas, ou une valeur de commande numérique, ou encore la présence ou l'absence d'une pression ou toute autre grandeur Dans un but de clarté, on appelle état bas B l'un de ces états, et état haut H l'autre état en sortie U du premier moniteur Mi Comme expliqué ci-dessus, une telle appellation ne préjuge pas de la façon dont ces états sont traduits physiquement, et en particulier 1 O 1 pas de la grandeur relative entre les deux signaux tradui- sant ces états La sortie U est à l'état bas B lorsque les deux signaux Xs et Ys reçus sur lesdites entrées X et Y sont différents, et est à l'état haut H lorsque le premier moniteur Ml reçoit des signaux Xs et Ys identiques sur ses deux entrées X et Y Dans la présente description, on considère comme "différents" des signaux Xs et Ys dont l'écart est hors d'un domaine de tolérance accepté et comme "identiques" des signaux Xs et Ys dont l'écart est dans ledit domaine de tolérance Il est à noter que le domaine de tolérance peut être nul, et dans ce cas le contrôle est la vérification d'une stricte égalité. Le premier moniteur Ml commande l'aiguilleur AIG 1 à l'état actif ACT lorsqu'il lui fournit un état haut H, et le commande à l'état repos REP lorsqu'il lui fournit un état bas B, sur l'entrée de commande EC. En l'absence d'alimentation du voteur Vl, l'aiguilleur AIG 1 est à l'état repos REP, indépendamment de l'état du signal sur son entrée de commande EC. Le fonctionnement du voteur Vl de la figure 1 est décrit ci-après, en regard de la table de vérité de la figure 2: la sortie U du premier moniteur Ml est à l'état bas B lorsque les deux signaux Xs et Ys sur ses entrées X et Y sont différents, et à l'état haut H lorsque ces deux signaux sont identiques Dans cette table de vérité, on a désigné par Es 1, E 52 et Es 3 chacun des trois signaux d'entrée appliqués respectivement aux entrées El, E 2 et E 3 De même, on désigne par Ssl le signal de sortie apparaissant à la sortie Si dudit voteur Vi On peut avoir les configurations suivantes: 1) le voteur Vi n'est pas alimenté par une source de puis- sance Alors, l'aiguilleur AIGI est à l'état repos REP, cette situation étant celle représentée sur la figure 1; 1 1 1 2) les trois signaux Es 1, Es 2 et Es 3 sont corrects, ce qui est indiqué par la lettre C de la table de vérité de la figure 2 Alors, le premier moniteur M 1 détecte l'identité des signaux Es 2 et Es 3 et sa sortie U est à l'état haut H et commande l'aiguilleur AIG 1 à l'état actif ACT Il en résulte que, sur la sortie commune SC de l'aiguilleur AIG 1, apparaît un signal de sortie S S 1 identique au signal E S 2; 3) le signal Es 1 est incorrect, ce qui est indiqué par la lettre I dans le tableau de la figure 2, alors que les signaux E 52 et Es 3 sont corrects Le premier moniteur M 1, constatant l'identité des signaux Es 2 et Es 3, est à l'état haut H en sortie U et commande l'aiguilleur AIG 1 à son état actif ACT Le signal Ssl est donc égal au signal Es 2; 4) si maintenant les signaux Es 1 et Es 3 sont corrects, mais que le signal E 52 est incorrect, le premier moniteur M 1 constate une différence entre les signaux E 52 et Es 3, sa sortie U est alors à l'état bas B et l'aiguilleur AIG 1 est à l'état repos REP; le signal Ssl est alors égal au signal Es 1; 5) de même, si les signaux Es 1 et Es 2 sont corrects, mais que le signal Es 3 est incorrect, la sortie U du premier moniteur M 1 est à l'état bas B et l'aiguilleur AIG 1 est à l'état repos REP, de sorte que le signal Ss 1 est égal au signal Es 1; 6) si deux des signaux Es 1, Es 2, Es 3 sont incorrects et différents, un seul d'entre eux étant correct, la sortie U du premier moniteur M 1 est à l'état bas B et l'aiguilleur AIG 1 est à l'état repos REP, de sorte que le signal Ssl est égal au signal Es 1; 7) enfin, si les trois signaux Es 1, Es 2, Es 3 sont incorrects et différents, le signal Ssl est égal au signal incorrect Es 1. 1 Le premier moniteur Ml peut, de plus, comporter, en sortie, un comparateur à seuil La figure 3 montre le schéma de principe d'un tel moniteur M, apte à traiter des signaux analogiques ou numériques Un moyen différenciateur D reçoit respectivement, sur les deux entrées X et Y, deux signaux Xs et Ys à comparer, et fournit, en sortie, un signal ú proportionnel à la différence de ces deux signaux Ce signal est appliqué à une première entrée d'un comparateur à seuil C, recevant, sur une deuxième entrée, une valeur de seuil prédéterminée (TC), et fournissant, en sortie U, un signal ERR significatif du fait que le signal E est d'amplitude supérieure au seuil. La comparaison des signaux Xs et Ys appliqués sur les entrées X et Y du premier moniteur M est réalisée par des circuits analogiques et/ou numériques ou en logiciel, selon les applications désirées. La sortie du comparateur à seuil C peut, de plus, être reliée à l'entrée d'un temporisateur DT, tel que représenté sur la figure 4, dont la sortie U fournit un signal d'erreur temporisé ERRT après que la sortie du comparateur C ait été au niveau'bas, significatif d'une discordance entre les signaux d'entrée Xs et Ys, pendant au moins une durée Ts prédéterminée. Comme on l'a mentionné ci-dessus, le voteur V peut être utilisé pour des signaux d'entrée E 51, E 52 et Es 3 de différents types Sur la figure 5, on a représenté un mode de réalisation du premier moniteur Ml approprié à des signaux électriques analogiques, avec un comparateur à seuil C suivi du temporisateur DT. Le moniteur M de la figure 5 comporte un amplificateur différentiel D, jouant le rôle de moyen différenciateur D, dont les entrées sont respectivement reliées aux entrées X et Y dudit moniteur M; 1 un premier comparateur C+, dont l'entrée positive reçoit une tension représentative d'un seuil positif T Cf et dont l'entrée négative est reliée à la sortie dudit amplificateur différentiel D; un second comparateur C, dont l'entrée positive est reliée à la sortie dudit amplificateur différentiel D et dont l'entrée négative reçoit une tension représentative d'un seuil négatif TC; une première porte logique Pi, de type ET, dont les deux entrées sont respectivement reliées aux sorties desdits premier et second comparateurs C+ et C; un intégrateur IN, dont l'entrée est reliée à la sortie de la première porte logique Pl; et un étage de sortie ES, comportant un transistor interrup- teur Tl dont la base est reliée à la sortie de l'intégrateur IN, le collecteur à une tension d'alimentation Vcc et l'émetteur à la masse par l'intermédiaire d'une résistance Rl (le montage du transistor Tl représenté n'est donné qu'à titre d'illustration du fonctionnement de celui-ci et ne correspond pas obligatoirement au montage réel mis en oeuvre). La sortie U du moniteur M est reliée à l'émetteur du transistor Tl, de manière qu'en cas de coupure d'alimenta- tion ou de destruction du transistor Tl en circuit ouvert, la sortie U du moniteur M soit à une tension voisine de celle de la masse, tension pouvant correspondre à l'état bas B, et ainsi qu'un aiguilleur AIG associé soit à l'état repos REP. Le premier comparateur C+ délivre un signal d'amplitude constante (état haut) à sa sortie, lorsque le signal qu'il reçoit de l'amplificateur différentiel D est inférieur au seuil positif TC+, et, de façon symétrique, le second comparateur C délivre un signal d'amplitude constante (état haut) à sa sortie, lorsque le signal qu'il reçoit de l'amplificateur différentiel D est supérieur au seuil 1 négatif TC, si bien que ces deux comparateurs C+ et C- fournissent simultanément un état haut en sortie si le signal issu de l'amplificateur différentiel D est compris entre le seuil positif TC + et le seuil négatif TC-, si bien que la première porte logique Pl fournit en sortie, dans ce cas seulement, un état haut. Pour illustrer le fonctionnement du moniteur M de la figure , on fait appel ci-après aux diagrammes des figures 6 a à 6 f, sur l'axe des abscisses desquels on a porté le temps t. Le chronogramme de la figure 6 a donne un exemple de signaux Xs et Ys, dont l'amplitude a est portée sur l'axe des ordonnées On peut voir que les signaux Xs et Ys sont semblables, mais qu'ils sont déphasés de 1 et décalés en amplitude de m Le chronogramme de la figure 6 b représente le signal Ys-Xs, à la sortie de l'amplificateur différentiel D, l'amplitude b du signal Ys-Xs étant portée sur l'axe des ordonnées On peut voir que, pour sa plus grande part, l'amplitude b du signal Ys- Xs est comprise entre les seuils TC+ et TC des comparateurs C+ et C, sauf en ce qui concerne la portion s, qui dépasse le seuil positif TC Il en résulte que, à leurs sorties respectives, le comparateur C+ délivre un signal d'amplitude haute constante cl, sauf en regard de la portion S o le niveau haut du signal ci est interrompu (en p), et le comparateur C délivre également un signal d'amplitude haute constante c 2 (figure 6 c) Par suite, le signal d à la sortie de la première porte logique Pl est constant et au niveau haut, sauf en regard de l'interruption p, o il présente une interruption q (figure 6 d) A la sortie de l'intégrateur IN, le signal e est donc constant et au niveau haut, sauf en regard de l'interruption à, o il présente une rampe r correspondant à la décharge lente dudit intégrateur IN Si, comme cela est illustré sur la figure 6 e, le signal e et sa rampe r sont supérieurs au seuil de blocage Tb du transistor Tl, celui-ci est conduc- teur et la tension d'alimentation Vcc se retrouve en grande 1 partie sur la sortie U du moniteur M (voir la figure 6 f sur laquelle l'amplitude f du signal Us est portée sur l'axe des ordonnées). Le chronogramme de la figure 6 f correspond à l'état haut H, pris comme étant une tension voisine de Vcc, de la sortie U du moniteur M. On comprendra ainsi que, si l'amplitude b du signal Ys -Xs sort du couloir TC+, TC (voir la figure 6 b) pendant un temps suffisamment long, la rampe r du signal e passe au-dessous du seuil de blocage Tb du transistor Tl (figure 6 e), de sorte que la conduction de celui-ci est bloquée et que le signal f devient nul La sortie U du moniteur M est alors dans son état bas B. Les tolérances sur les paramètres de détection (TC+, TC TS) doivent être suffisamment "larges" pour éviter des déconne- xions intempestives, mais doivent cependant être suffisam- ment "étroites" pour qu'un signal erroné en sortie pendant la durée TS, ne soit pas gênant pour le système utilisant ledit voteur V. Pour ce qui est de l'aiguilleur AIG 1, il peut être du type commutateur de signaux analogiques ou numériques Il peut aussi comporter plusieurs commutateurs en parallèle, comman- dés à l'identique, permettant de transmettre des signaux analogiques ou numériques Ainsi, la figure 7 représente un aiguilleur AIG parallèle à commande électrique, permettant de commuter des signaux codés sur 8 bits Cet aiguilleur AIG peut être réalisé en utilisant des circuits logiques multiplexeurs parallèles ou des relais à position repos/ travail, ou des commutateurs optiques. Le rôle du premier moniteur Ml est de détecter que le signal E 52 ou le signal Es 3 est incorrect et, dans ce cas, il commute l'aiguilleur AIG 1 à son état repos REP Donc, en 1 fonctionnement normal (aucune défaillance), le signal Es 2 est conduit jusqu'à la sortie 51 Dès la défaillance du signal Es 2 ou du signal Es 3, l'aiguilleur AIG 1 se retrouve à l'état repos REP et le signal Es 1 est conduit jusqu'à la sortie 51. De plus, on remarquera que si le premier moniteur M 1 et/ou l'aiguilleur AIG 1 sont défaillants, la continuité électrique est assurée et le signal de sortie Ss 11 est formé par le signal Es 1 ou Es 2. Ainsi, le voteur V 1 assure bien sa fonction et constitue ainsi un sélecteur de signaux fiable Il est donc particu- lièrement approprié à être utilisé dans le cas o le signal E S 1 provient d'une voie de secours qui, par exemple, engendre un signal ayant des performances plus restreintes en précision, mais qui est plus fiable que les signaux Es 2 et Es 3. Par suite, le voteur V 1 est utilisé, en fonctionnement normal, pour fairtransiter, en le surveillant, le signal Es 2 vers la sortie 51, et, dans le cas d'une différence entre les signaux=Es 2 et Es 3, pour transmettre le signal Es 1 à la sortie 51. Cependant, le voteur V 1 n'est pas protégé contre une défaillance du signal fiable Es 1, lorsque cette défaillance est double et qu'elle existe en même temps que celle de l'un et/ou l'autre des deux signaux Es 2 et Es 3 (voir les lignes , 6 et 8 de la table de vérité de la figure 2). Aussi, pour pallier cet inconvénient, le voteur V 1 peut être perfectionné comme cela est représenté sur la figure 8. Le voteur V 2, conforme à la présente invention et montré par la figure 8, comporte le voteur Vi décrit ci-dessus, dont les entrées El, E 2, E 3 forment les trois entrées dudit voteur V 2, qui, par ailleurs, est pourvu d'une sortie 52 En plus du voteur V 1, le voteur V 2 comporte: 1 un interrupteur INT 1, pourvu d'une entrée active A et d'une entrée de commande EC apte à mettre, ou non, ladite entrée A en relation avec une sortie commune SC selon que cet interrupteur INT 1 est respectivement à l'état actif ou à l'état repos, en fonction du signal appliqué sur ladite entrée de commande EC, ladite entrée active A et ladite sortie commune SC dudit interrupteur INT 1 étant respective- ment reliées à ladite sortie Si dudit voteur Vi et à la sortie 52 dudit voteur V 2, c'est-à-dire que cet interrupteur INT 1 peut avoir un état actif pour lequel sa sortie commune SC est reliée à son entrée active A, et un état repos pour lequel sa sortie SC n'est pas reliée; il peut avoir la même constitution qu'un aiguilleur AIG 1 qui n'aurait pas d'entrée de repos R; un deuxième moniteur M 2, de fonction identique à celle du premier moniteur Ml, dont les deux entrées X et Y sont respectivement reliées aux première et troisième entrées El et E 3 dudit voteur V 2, apte à mesurer l'écart entre les premier et troisième signaux Es 1 et Es 3; un troisième moniteur M 3, de fonction identique à celle du premier moniteur Ml et dont les deux entrées X et Y sont respectivement reliées aux première et deuxième entrées El et E 2, apte à mesurer l'écart entre les premier et deuxième signaux E 51 et E 52; et une deuxième porte logique P 2 à trois entrées, de type OU, c'est-à-dire que toute entrée à l'état haut H force un état haut H en sortie, indépendamment de l'état des deux autres entrées, ses première, deuxième et troisième entrées étant respectivement reliées aux sorties U desdits moniteurs Ml, M 2 et M 3 et sa sortie p 2 commandant l'état de l'interrupteur INT 1 par son entrée de commande EC. Le fonctionnement du voteur V 2 de la figure 8 est décrit ci-après, en regard de la table de vérité de la figure 9, qui inclut celle de la figure 2 Dans cette table de vérité, le signal de sortie est désigné par la référence Ss 2 On reprend ci-après les différents cas pouvant se produire: 1 1) le voteur V 2 n'est pas alimenté par une source de puissance Alors, l'interrupteur INT 1 est à l'état repos REP, de sorte que la sortie 52 est isolée des entrées El, E 2, E 3, cette situation étant celle représentée par la figure 8; 2) les trois signaux Es 1, Es 2 et Es 3 sont corrects On a vu qu'alors le signal de sortie Ssl du voteur V 1 est égal au signal Es 2 Les moniteurs M 1, M 2 et M 3 constatent l'identité des signaux Es 1, Es 2 et Es 3, leurs sorties U sont à l'état haut H, et la sortie p 2 de la deuxième porte logique P 2 force l'interrupteur INT 1 à l'état actif ACT Le signal de sortie Ss 2 est donc formé par le signal Es 2; 3) le signal Es 1 est incorrect, alors que les signaux Es 2 et Es 3 sont corrects On a vu qu'alors le signal Ssl est égal au signal E 52, les sorties U des moniteurs M 2 et M 3 sont à l'état bas B, mais la sortie U du premier moniteur M 1 est à l'état haut H Il en résulte que le premier moniteur M 1, à travers la deuxième porte logique P 2, force l'interrupteur INT 1 à l'état actif ACT Le signal de sortie Ss 2 est donc formé par le signal Es 2; 4) si maintenant les signaux Es 1 et Es 3 sont corrects, mais que le signal Es 2 est incorrect, on a vu que le signal Ssl est égal au signal Es 1 La sortie U du deuxième moniteur M 2 est alors 'à l'état haut H et force l'interrupteur INT 1 à l'état actif ACT à travers la deuxième porte logique P 2 Le signal de sortie Ss 2 est alors formé par le signal Es 1; ) de même, si les signaux Es 1 et Es 2 sont corrects, mais que le signal Es 3 est incorrect, on a vu que le signal Ssl est formé par le signal Es 1 La sortie U du troisième moniteur M 3 est alors à l'état haut H et force l'interrup- teur INT 1 à l'état actif ACT, à travers la deuxième porte logique P 2 Le signal Ss 2 est donc formé par le signal Esl; 6) si deux des signaux Es 1, Es 2, Es 3 sont incorrects, un seul d'entre eux étant correct, on a vu que le signal Ss 1 est formé par le signal E S 1 Cependant, les sorties U des trois moniteurs M 1, M 2, M 3 sont à l'état bas B, de sorte que l'interrupteur INT 1 est commandé à l'état repos REP La sortie 52 est alors isolée des entrées El, E 2 et E 3; 1 9 1 dans la table de vérité de la figure 9, l'isolement de la sortie 52 est symbolisé par la lettre Z; 7) enfin, si les trois signaux Es 1, Es 2, Es 3 sont incorrects et différents, on a vu que le signal Ss 1 est formé par le signal Es 1; mais, là encore, les sorties U des trois moniteurs Ml, M 2 et M 3 sont à l'état bas B, de sorte que la sortie 52 est isolée des entrées El, E 2, E 3. On remarquera que, lorsque l'un des trois signaux Es 1, E 52 et E 53 est incorrect (lignes 2, 3 et 4 de la figure 9), l'état de la sortie des moniteurs Ml, M 2 et M 3 est représentatif de l'identité du signal incorrect En effet: 1) si les sorties U des moniteurs M 2 et M 3 sont à l'état bas B, alors que la sortie U du premier moniteur Ml est à l'état haut H, c'est le signal E,1 (que ne reçoit pas ce premier moniteur Ml) qui est incorrect; 2) si les sorties U des moniteurs Ml et M 3 sont toutes deux à l'état bas B, alors que la sortie U du deuxième moniteur M 2 est à l'état haut H, c'est le signal Es 2 qui est incorrect; 3) enfin, si les sorties U des moniteurs Ml et M 2 sont à l'état bas B, alors que la sortie U du troisième moniteur M 3 est à l'état haut H, c'est le signal E 53 qui est incorrect. Ainsi, il est possible, en surveillant l'état des moniteurs Mi, M 2 et M 3, de connaître l'identité du signal d'entrée Es 1, E 52, E 53 incorrect et donc d'identifier le sous-système qui l'engendre, le moniteur qui est le seul à avoir une sortie à l'état haut H indiquant ainsi que c'est le signal d'entrée qu'il ne reçoit pas qui est incorrect. Le rôle des moniteurs Ml, M 2, M 3 et de la deuxième porte logique P 2 est d'isoler la sortie 52, lorsque deux au moins des trois signaux d'entrée Es 1, Es 2, Es 3 sont incorrects En effet, lorsqu'au moins deux signaux d'entrée sont incorrects et différents, les trois moniteurs Ml, M 2 et M 3 détectent chacun une discordance et aucun ne commande à l'état actif 1 ACT, à travers la deuxième porte logique P 2, l'interrupteur INT 1, qui a donc l'état repos REP Lorsqu'un seul signal d'entrée est incorrect, seulement deux moniteurs détectent une discordance et, dans ce cas, le moniteur ne détectant pas de discordance force l'interrupteur INT 1 à l'état actif ACT. Le voteur V 2 est donc tolérant à la défaillance d'un des trois signaux d'entrée et il isole sa sortie dès que deux signaux d'entrée sont défaillants dans un état différent. Par ailleurs, on constatera que, lors d'une simple défail- lance du premier moniteur Ml qui bloquerait sa sortie U à l'état haut H le voteur V 2 bloque l'aiguilleur AIG 1 et l'interrupteur INT 1 à l'état actif ACT, et, de ce fait, la sortie 52 du voteur V 2 fournit le signal Es 2, ce qui peut être critique si ce signal E 52 est incorrect Pour remédier à cet inconvénient, il peut être avantageux de prévoir, comme cela est représenté sur la figure 10, un quatrième moniteur Ml', dont les entrées sont branchées en parallèle sur celles du premier moniteur Ml. Le voteur V 3 de cette figure 10 comprend le voteur V 2 de la figure 8 et il comporte de plus: le quatrième moniteur Ml' de fonction identique à celle des moniteurs Ml, M 2 et M 3, dont les deux entrées X, Y sont respectivement reliées aux entrées E 2 et E 3, donc en parallèle sur celles du premier moniteur Ml; et une troisième porte logique P 3, à deux entrées, de type ET, c'est-à-dire que la sortie de cette troisième porte logique ET, P 3, n'est à l'état haut H que si les deux entrées sont simultanément à l'état haut H, dont une entrée est reliée à la sortie U dudit quatrième moniteur Ml'. 1 Par ailleurs, la sortie U du premier moniteur Ml, au lieu d'être reliée à la première entrée de la deuxième porte P 2 et à l'aiguilleur AIG 1, comme cela est le cas dans le voteur V 2 de la figure 8, est reliée à l'autre entrée de la troisième porte logique P 3 En outre, la sortie p 3 de cette troisième porte P 3 est, d'une part, reliée à la première entrée de la deuxième porte logique P 2 et, d'autre part, est reliée à l'entrée de commande EC de l'interrupteur INT 1. Ainsi, le signal sur la sortie p 3 de la troisième porte logique P 3 ne commande l'aiguilleur AIG 1 et l'interrupteur INT 1 à l'état actif que lorsque les deux moniteurs Ml et Ml' sont simultanément sains et détectent l'identité des signaux Es 2 et Es 3 Il n'y a donc aucun risque que le premier moniteur Ml, défaillant, dont la sortie serait maintenue à l'état haut H, puisse transmettre à la sortie 53 un signal E 52, lui-même incorrect. L'ensemble constitué par les deux moniteurs Ml et Ml' jumelés et la troisième porte logique P 3 constitue un moniteur sécurisé Ms ayant la même fonction qu'un moniteur tel que décrit précédemment, mais dont la sortie p 3 risque beaucoup moins de rester bloquée à l'état activant l'aiguil- leur AIGI, en cas de défaillance matérielle La duplication du moniteur Ml peut s'étendre à plus d'un autre moniteur M'1, en ajoutant des entrées à la troisième porte logique P 3. Un tel moniteur sécurisé Ms peut être utilisé en tant que tel dans tout montage nécessitant un ou des moniteurs à haute sécurité. Les modes de réalisation du voteur, montrés par les figures 1, 8 et 10, ont été décrits, à l'aide des figures 4 et 6 a à 6 f, comme étant de nature électrique, les deuxième et troisième portes logiques P 2 et P 3 étant de type connu. Elles peuvent être réalisées au moyen de circuits intégrés ou bien à partir de montages à diodes. 1 Sur la figure 11, on a représenté un mode de réalisation d'un tel voteur V 1 sous forme électro-optique V 4 Dans ce cas, l'aiguilleur AIG 1 à deux voies est un multiplexeur optique à commande électrique, alors que le premier moniteur Ml est de type électrique, tel que décrit précédemment. Les entrées optiques El et E 2 sont respectivement reliées aux entrées de repos R et active A de l'aiguilleur optique AIG 1 par des fibres optiques 10 et 11, tandis que les entrées optiques E 2 et E 3 sont respectivement reliées aux entrées X et Y du premier moniteur Ml par la fibre optique 11 et une fibre optique 12. Sur la fibre optique 11 est prévu un coupleur optique 13 en "Y" dont la branche dérivée commande une cellule photoélec- trique 14 constituant l'entrée X du premier moniteur Ml, tandis que son entrée Y est constituée par une cellule photo-électrique 15 recevant la fibre optique 12. La sortie 54 de ce voteur V 4 est formée par une fibre optique 16 reliée à la sortie SC de l'aiguilleur AIG 1 La sortie U du premier moniteur Ml est reliée à l'entrée de commande EC de l'aiguilleur AIG 1 et commande l'état de cet aiguilleur AIG 1. Il est possible de réaliser un tel voteur V 4 électro-optique comportant plusieurs fibres en parallèle, en dupliquant les fibres optiques, les coupleurs et interfaces électro-opti- ques et en utilisant des aiguilleurs optiques capables de commuter plusieurs fibres, par exemple des relais électro- optiques repos/travail à plusieurs fibres en sortie, comme schématisé sur la figure 7, ou une association de plusieurs tels relais à une seule fibre de sortie. Un tel voteur V 4 peut évidemment comporter les diverses adjonctions de seuil et temporisation précédemment exposées. 1 On constate aisément que le fonctionnement de ce voteur électro- optique V 4 est identique à celui du voteur Vl décrit précédemment. Sur la figure 12, on a représenté un mode de réalisation d'un tel voteur Vl sous forme hydraulique (ou encore pneumatique) V 5 comportant une source de fluide sous pression 30 appliquée à un boîtier 31 comportant une entrée d'alimentation 32. On comprend facilement que le premier moniteur Ml, pour une réalisation hydraulique, peut consister, schématiquement, en un tiroir 33 faisant communiquer l'entrée d'alimentation 32 et la sortie U 34 de ce premier moniteur Ml, uniquement lorsqu'il est en position centrale Ce tiroir 33 est maintenu dans cette position centrale grâce à deux ressorts antagonistes 35 et 36 commandés par les deux signaux Xs et Ys contrôlés, appliqués aux entrées X et Y, respectivement repérées 37 et 38, ceci tant que les signaux contrôlés Es 2 et E S 3 sont corrects, et est repoussé d'un côté ou de l'autre, interrompant la communication entre l'entrée d'ali- mentation 32 et la sortie U 34 du premier moniteur Ml, dès qu'une différence se présente entre les deux signaux E 52 et E 53 contrôlés par ce premier moniteur Ml. La figure 13 présente schématiquement un exemple de réalisa- tion d'un moniteur pneumatique Ml, formé par un distributeur M, constitué d'un boîtier 41, d'un orifice d'entrée d'alimentation 42 et comportant un piston mobile 43 se dépla- çant dans ce boîtier 41 et commandant la mise sous pression d'un orifice de sortie 44, piston soumis à l'action antagoniste de deux ressorts 45 et 46, comme dans le cas du moniteur hydraulique Ml précédent, et commandé par les deux signaux Xs et Ys contrôlés appliqués aux entrées X et Y, respectivement repérées 47 et 48 Suivant les valeurs 1 respectives des pressions des signaux Xs et YS, le piston 43 met en communication, l'un avec l'autre, l'orifice d'entrée 42 d'alimentation du boîtier 41 recevant la pression de la source 30 et l'orifice de sortie 44 dudit boîtier 41 constituant la sortie U du moniteur M, ou bien met cette sortie U 44 en communication avec l'atmosphère à travers des orifices 49 ou 50. Tout comme pour une réalisation électronique, il est possible de créer un seuil sur l'action du moniteur M, en ayant des ressorts 45 et 46 non fortement comprimés à l'état d'équilibre du moniteur M, ce qui nécessite la fourniture d'un travail pour comprimer l'un des ressorts 45 ou 46, l'autre ressort ne compensant pas l'effort de compression par sa propre détente. De même, l'action du moniteur M peut être temporisée par utilisation, par exemple, d'orifices de faible diamètre, ne permettant qu'un passage à faible débit du fluide. De plus, l'aiguilleur AIG 1 à deux voies est constitué par un distributeur DIS, représenté sur la figure 14, formé d'un boîtier 51 ' comportant un orifice d'entrée de commande EC, repéré 52, et un piston mobile 53 apte à se déplacer dans ce boîtier 51, sous l'action de la pression transmise par ladite entrée de commande EC 52 à laquelle s'oppose celle d'un ressort 55 Suivant la valeur de la pression du signal appliqué sur ladite entrée de commande EC, le piston 53 met en communication l'un ou l'autre de deux orifices d'entrée de signal 57 et 58 du boîtier 51 avec l'orifice de sortie 54, lesdits orifices d'entrée de signal 57 et 58 correspon- dant respectivement aux entrées de repos R et active A. L'aiguilleur AIG hydraulique ou pneumatique décrit ci-dessus peut être rendu apte à commuter plusieurs signaux en parallèle, en dupliquant les éléments nécessaires à chaque signal. 1 Là encore, on constate facilement que le fonctionnement du voteur V 5 de la figure 12 est semblable à celui du voteur Vl décrit précédemment. L'interrupteur INT 1, précédemment décrit, peut être réalisé, dans chaque technologie exposée, de la même façon que l'aiguilleur AIG 1 correspondant, sans entrée de repos R. Sur les figures 15 et 16, on a représenté des exemples de réalisation hydraulique ou pneumatique desdites troisième porte logique ET, P 3, et deuxième porte logique OU, P 2. La troisième porte logique ET, P 3, représentée sur la figure , comporte un boîtier 60, séparé intérieurement en deux chambres 61 et 62, dans chacune desquelles est logé un piston 63 ou 64 comportant une gorge Ces chambres 61 et 62 comportent chacune un orifice de commande, respectivement 65, 66, chacun respectivement relié à la sortie U de l'un des moniteurs Ml et Ml', de façon que lesdits pistons 63 et 64 subissent l'action des signaux Us issus des sorties U correspondantes à laquelle s'oppose l'action de deux res- sorts, respectivement 67 et 68 Par ailleurs, le boîtier 60 comporte, dans la chambre 61, un orifice 69 relié à la source 30, un orifice intermédiaire 70, reliant les chambres 61 et 62, et un orifice 71 de sortie dans la chambre 62. L'orifice 71 constitue la sortie de la troisième porte logique ET, P 3, et il n'y apparaît un signal de pression que lorsque les deux pistons 63 et 64, repoussés par la pression due aux signaux Us issus des sorties U, parvenant par les orifices de commande 65 et 66, mettent en communication les orifices 69 et 71 à travers lesdits pistons 63 et 64 et l'orifice intermédiaire 70. La deuxième porte logique OU, P 2, représentée sur la figure 16, ne comporte, à des fins de simplification du dessin, que deux entrées, et non pas trois comme cela est montré par la 1 figure 4 Il est cependant clair que, sur le même principe, il est possible de réaliser une deuxième porte logique P 2 à trois entrées Cette deuxième porte logique OU, P 2, comporte un boîtier 80, séparé intérieurement en trois chambres 81, 82 et 83, dans chacune desquelles est logé un piston 84, 85, 86, muni d'une gorge Les chambres 81 et 82 comportent respectivement un orifice de commande 87 et 88, relié respectivement à la sortie U de deux moniteurs, de façon que les pistons 84 et 85 subissent l'action des signaux U correspondants Ces pistons 84 et 85 sont au contact d'une extrémité du piston 86, tandis qu'un ressort 89 est en contact avec l'autre extrémité du piston 86 et s'oppose à l'action des pistons 84 et 85. Par ailleurs, le boîtier 80 comporte des orifices 91 et 92 susceptibles d'être mis en communication l'un avec l'autre, à travers le piston 86, l'orifice 91 étant relié à la source L'orifice 92 constitue la sortie de la deuxième porte logique OU, P 2, et il n'y apparaît un signal de pression que lorsque l'un des deux pistons 84 ou 85, repoussé par la pression due aux signaux Us parvenant par les orifices de commande 87 et 88, amène le piston 86 à mettre en communication les orifices 91 et 92. Sur la figure 17, on a représenté un dispositif logique fournissant à la fois la fonction de la deuxième porte logique OU, P 2, et celle de la troisième porte logique ET, P 3, des figures respectives 15 et 16. REVENDICATIONS 1 1 Voteur (V) comportant une sortie (S), ainsi qu'une première entrée (El), une deuxième entrée (E 2) et une troisième entrée (E 3) recevant respectivement un premier signal (Es 1), un deuxième signal (Es 2) et un troisième signal (Es 3), caractérisé en ce qu'il comporte: un aiguilleur (AIG 1) à deux voies, pourvu d'une entrée active (A), d'une entrée de repos (R), d'une entrée de commande (EC) apte a recevoir un signal de commande forçant, selon son état, ledit aiguilleur (AIG 1) à un état actif (ACT) ou à un état repos (REP), et d'une sortie commune (SC), ladite entrée de repos (R) et ladite entrée active (A) dudit aiguilleur (AIG 1) étant respectivement reliées auxdi- tes première et deuxième entrées (El, E 2) dudit voteur (V), tandis que ladite sortie commune (SC) dudit aiguilleur (AIG 1) est reliée à ladite sortie (S) dudit voteur (V), cette sortie commune (SC) transmettant le signal appliqué sur l'entrée active (A) lorsque ledit aiguilleur (AIG 1) est à l'état actif (ACT), et transmettant le signal appliqué sur l'entrée de repos (R) lorsque ledit aiguilleur (AIG 1) est à l'état repos (REP); et un premier moniteur (M 1) à deux entrées (X, Y) respectivement reliées auxdites deuxième et troisième entrées (E 2, E 3) dudit voteur (V), apte à mesurer l'écart entre lesdits deuxième signal (Es 2) et troisième signal (Es 3), et dont la sortie (U) est reliée à l'entrée de commande (EC) dudit aiguilleur (AIG 1) et est susceptible de commander l'état de cet aiguilleur (AIG 1). 2 Voteur (V) selon la revendication 1, dans lequel ledit premier moniteur (M 1) est du type apte à traiter des signaux analogiques ou numériques, séries ou parallèles, caractérisé en ce que ledit premier moniteur (M 1) comprend: 1 des moyens différenciateurs (D) pour mesurer la différence entre les signaux appliqués aux entrées (X, Y) dudit premier moniteur (Ml); des moyens comparateurs (C), pour comparer ladite diffé- rence à un seuil prédéterminé (TC+, TC-) et engendrer un signal d'erreur si la valeur absolue de ladite différence est supérieure à la valeur absolue dudit seuil (TC , TC). 3 Voteur (V) selon la revendication 1 ou 2, caractérisé en ce que des moyens temporisateurs (DT) sont interposés en série sur la sortie (U) du premier moniteur (Ml). 4 Voteur (V) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'aiguilleur (AIG 1) à deux voies est du type commutateur électrique ou dispositif de commuta- tion électrique constitué d'un ou plusieurs éléments de commutation identiques disposés en parallèle. Voteur (V) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'aiguilleur (AIG 1) à deux voies est du type multiplexeur optique à commande électrique ou commutateur optique à commande électrique constitué de plusieurs éléments de commutation optique identiques dispo- sés en parallèle. 6 Voteur (V) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'aiguilleur (AIG 1) à deux voies est du type commutateur hydraulique ou pneumatique ou commutateur hydraulique ou pneumatique constitué de plusieurs éléments de commutation identiques disposés en parallèle. 7 Voteur (V) selon la revendication 6, dans lequel ledit premier moniteur (Mi) est apte à traiter des signaux de pression fluide, caractérisé en ce que ledit premier moni- teur (Mi) comporte un organe ( 43) soumis à l'action antagoniste des signaux apparaissant aux entrées de signal (X, Y) dudit premier moniteur (Mi) et commandant le passage 1 de fluide entre une source de pression ( 30) et la sortie (U) dudit premier moniteur (Ml). 8 Voteur selon l'une des revendications 6 ou 7, caractérisé en ce qu'il comporte au moins une deuxième porte logique OU (P 2) ou une troisième porte logique ET (P 3) réalisée à l'aide d'au moins un piston. 9 Voteur (V 3) selon l'une quelconque des revendications 1 à 8, caractérisé en ce que ledit premier moniteur (Ml) est un moniteur sécurisé (Ms) comportant au moins deux moniteurs (Ml, Ml') jumelés dont les entrées (X, Y) sont respective- ment branchées en parallèle, et dont les sorties (U) sont respectivement reliées aux entrées d'une troisième porte logique (P 3) à deux entrées, de type ET, dont la sortie (p 3) est apte à fournir un signal dont un état correspond en propre à la détection de l'identité des deux signaux appliqués sur lesdites entrées (X, Y) des moniteurs lorsque lesdits deux moniteurs (Mi, Ml') jumelés fournissent chacun en sortie (U) un tel signal de détection d'identité, ladite sortie (p 3) de cette troisième porte (P 3) fournissant un signal d'état différent dans les autres cas. Votedr (V 2) selon l'une quelconque des revendications 1 à 9, caractérisé en ce qu'il comporte, de plus un interrupteur (INT 1) pourvu d'une entrée active (A), d'une entrée de commande (EC) apte à recevoir un signal de commande forçant, selon son état, ledit interrupteur (INT 1) à un état actif (ACT) ou à un état repos (REP), et d'une sortie commune (SC), ladite entrée active (A) et ladite sortie commune (SC) dudit interrupteur (INT 1) étant respec- tivement reliées à ladite sortie commune (SC) dudit aiguil- leur (AIG 1) et à la sortie ( 52) dudit voteur (V 2); un deuxième moniteur (M 2), de fonction identique à celle du premier moniteur (Ml), dont les deux entrées (X, Y) sont respectivement reliées auxdites première et troisième 1 entrées (El, E 3) dudit voteur (V 2), apte à mesurer l'écart entre lesdits premier signal (Es 1) et troisième signal (E 53) un troisième moniteur (M 3), de fonction identique à celle du premier moniteur (Ml), dont les entrées (X, Y) sont respectivement reliées auxdites première et deuxième entrées (El, E 2) dudit voteur (V 2), apte à mesurer l'écart entre lesdits premier signal (E S 1) et deuxième signal (E 52); et une deuxième porte logique (P 2) à trois entrées, de type OU, dont la sortie (p 2) est apte à fournir un signal dont un état correspond en propre à la détection de l'identité des deux signaux appliqués sur lesdites entrées (X, Y) d'un moniteur lorsque l'un au moins desdits moniteurs (Ml, M 2, M 3) fournit en sortie (U) un tel signal de détection d'identité, ladite sortie (p 2) de cette deuxième porte logique (P 2) fournissant un signal d'état différent dans l'autre cas, les entrées de ladite deuxième porte logique OU (P 2) étant respectivement reliées aux sorties (U) desdits premier (Ml), deuxième (M 2) et troisième (M 3) moniteurs, et sa sortie (p 2) étant reliée à l'entrée de commande (EC) dudit interrupteur (INT 1) et étant susceptible de commander l'état de cet interrupteur (INT 1).