Brevet FR2736387A1 — publié le 19970110

L'invention concerne un procédé de régulation d'un mécanisme d'entraînement d'arbre avec au moins un micro- appareil de commande servant à commander un dosage de carburant au moyen d'une vanne de dosage, avec un entraînement de moteur5 et un circuit logique de débranchement de canal, avec contrôle du mécanisme d'entraînement en ce qui concerne une rupture d'arbre et une survitesse de rotation au moyen de détecteurs, régulation dans laquelle on accouple l'un à l'autre un premier micro-appareil de commande et un second micro-appareil de com- mande et on les verrouille l'un par rapport à l'autre dans des fonctions partielles. Des régulations de ce type sont connues et fonc- tionnent de façon typique avec un nombre élevé de micro- appareils de commande. Les régulations connues utilisent dans ce cas des micro-appareils de commande séparés pour la régula- tion de l'arrivée du carburant, pour le contrôle de la vitesse de rotation du mécanisme d'entraînement ou de l'arbre et le contrôle de la rupture de l'arbre, ainsi que des appareils de commande redondants, qui en tant qu'appareils d'adjonction dou- blent ou triplent le nombre des appareils de commande nécessai- res, pour réduire davantage la probabilité d'un fonctionnement défectueux d'un appareil de commande, qui est de l'ordre d'en- viron l0-6. Même si l'on a déjà minimisé en volume et en poids des appareils de commande de ce type, leur multiplicité occupe dans un avion une place considérable et représente un poids très important. Il n'est pas non plus absolument apparu que la fia- bilité augmentait avec la multiplicité des micro-appareils de commande ajoutés, des expériences ont montré au contraire que des appareils d'adjonction inutilisés, non activés, ne remplis- saient souvent pas leur rôle à l'instant décisif. Une solution consiste dans ce cas à utiliser régulièrement de façon alternée l'appareil d'adjonction et l'appareil principal. Ceci présente l'inconvénient que les appareils d'adjonction sont inactifs au moins partiellement et représentent avant comme après un encom- brement supplémentaire et un poids supplémentaire. Un autre inconvénient est que maintes fois les mi- cro-appareils de commande, ayant une fonction de contrôle, pos- sèdent uniquement le rôle et la capacité de débrancher un mécanisme d'entraînement, quand différents détecteurs annoncent - un dépassement de valeurs limites. Ceci peut conduire à des conséquences inconsidérées et en cas de fausses interprétations des signaux d'un détecteur à des conséquences catastrophiques. La présente invention a pour objet d'indiquer une régulation, qui fonctionne avec un nombre minimal de micro- appareils de commande, réduise la probabilité d'un fonctionne- ment défectueux, puisse être utilisée en réduisant le poids et l'encombrement, ne laisse pas de phases inactives de micro- appareils de commande et garantisse une régulation optimale des mécanismes d'entraînement d'arbres. La présente invention concerne un procédé de type défini ci-dessus, caractérisé en ce que le premier micro- appareil de commande commande en tant qu'appareil de commande sélectionné un moteur pas à pas, qui entraîne la vanne de do- sage et le second micro-appareil de commande en tant qu'appa- reil d'adjonction contrôle les données angulaires autorisées pour le mécanisme d'entraînement et est équipé de sorties de réglage, qui par l'intermédiaire d'un premier circuit logique gèle la position du moteur pas à pas ou déclenche un débranche- ment rapide par l'intermédiaire d'un circuit d'attaque à tran- sistor avec un second circuit logique monté en aval, ou permet d'avoir un débranchement temporisé en cas de survitesse de ro- tation au moyen du second circuit logique, le micro-appareil de commande sélectionné et le micro-appareil de commande d'adjonc- tion étant accouplés au moyen du premier et du second circuit logique et d'une ligne de données directe additionnelle d'une manière telle que les fonctions soient inversées alternative- ment en fonction de la position du premier et du second circuit logique. Dans ce cas deux micro-appareils de commande ayant exactement la même valeur sont dotés de fonctions ayant complè- tement la même valeur, mais qui ne sont pas utilisées simulta- nément. Au contraire un premier micro-appareil de commande règle la consommation de carburant, tandis qu'un second micro- appareil de commande assume les fonctions de contrôle. Les deux appareils sont en conséquence constamment activés, à savoir l'un en tant qu'appareil de commande sélectionné pour le ré- glage du carburant, et l'autre comme appareil d'adjonction pour l'ensemble des fonctions de contrôle. En cas de défaillance to- tale de l'un des appareils, l'autre appareil peut assumer en même temps ses fonctions. Il est même prévu de façon avanta- geuse une inversion et de cette façon un échange des fonctions. Avec une telle conception la probabilité de défauts se trouve réduite à un ordre d'environ 10-9. Pour cela on accouple un premier et un second micro-appareils de commande ensemble et on les verrouille l'un par rapport à l'autre dans leurs fonctions partielles. Le premier micro- appareil de commande en tant qu'appareil de commande sélectionné commande un moteur pas à15 pas, qui entraîne la vanne de dosage. Le second micro-appareil de commande contrôle en tant qu'appareil d'adjonction les don- nées angulaires autorisées du mécanisme d'entraînement et est équipé de sorties de réglage, qui par l'intermédiaire d'un pre- mier circuit logique gèlent la position du moteur pas à pas ou déclenchent un débranchement rapide au moyen d'un circuit d'at- taque à transistor avec un second circuit logique monté en aval ou permettent d'avoir un débranchement temporisé en cas de sur- vitesse de rotation au moyen du second circuit logique. L'appa- reil de commande sélectionné et l'appareil de commande d'adjonction sont accouplés l'un à l'autre au moyen du premier et du second circuit logique et d'une ligne additionnelle di- recte de données d'une manière telle que l'on puisse inverser alternativement les fonctions selon la position du premier et du second circuit logique. Cette conception de régulation n'augmente pas seu- lement la fiabilité de la commande et du contrôle, mais est en outre économique et réduit le poids et l'encombrement dans un avion. Selon une forme préférée de réalisation de l'inven- tion on déclenche au moyen de l'appareil de commande d'adjonc- tion le débranchement rapide et on l'exécute au moyen de l'appareil de commande sélectionné. Cette répartition du tra- vail a l'avantage que le contrôle peut avoir lieu avant un dé- branchement rapide dans l'appareil de commande d'adjonction à des intervalles ou des cycles plus courts, que le test standard relatif à la rupture d'un arbre, celui dans le micro-appareil de commande sélectionné, qui réalise comme mission principale la régulation du carburant, et à des intervalles ou des cycles plus longs effectue le test de rupture d'arbre. Quand toutefois une rupture d'arbre de ce type est indiquée par l'appareil plus rapide de commande d'adjonction, le cycle standard est alors interrompu dans le micro-appareil de commande sélectionné au moyen de la ligne des signaux de données et est réalisé à la suite du test de rupture d'arbre et l'ayant constatée provoque le débranchement rapide de l'arrivée du carburant par le micro- appareil de commande sélectionné. Selon une autre réalisation préférée de l'invention les deux microappareils de commande peuvent remplir toutes les fonctions comme appareils individuels en cas de défaillance to- tale d'un appareil de commande, toutefois la fonction de con- trôle de la rupture d'un arbre, ralentie dans ce cas d'un facteur allant de 3 à 10, ne peut encore être exécutée que par un appareil. Ceci a l'avantage qu'en cas de fiabilité amoindrie -6 (probabilité de fonctionnement défectueux d'environ 10 le mé- canisme d'entraînement peut encore fonctionner complètement avec un seul micro-appareil de commande et que toutes les fonc- tions de contrôle et de commande sont remplies. Si l'on prend en considération en permanence l'inconvénient de la fiabilité amoindrie, on peut ainsi réaliser en plus une autre réduction avantageuse des coûts, de l'encombrement et du poids, quand on se passe complètement du second micro-appareil de commande. Selon une réalisation préférée de la régulation on travaille avec un cycle principal ayant un temps de 20 à millisecondes et avec quatre sous-cycles avec un temps de réglage tR de 5 à 25 millisecondes. Dans ce cas on peut accom- plir dans le cycle principal toutes les fonctions qui durent longtemps et loger dans les sous-cycles les cycles de courte durée. Cette conception de la régulation réduit avantageusement les temps morts et procure des réserves plus grandes de stabi- lité pour les appareils de commande. Le contrôle de la rupture d'arbres appartient de préférence aux cycles de courte durée, contrôle qui fonctionne avec des temps de cycle de tR/4 à tR/10. De courts temps de cy- cle de ce type ne peuvent toutefois être atteints en une courte5 suite qu'au moyen de la solution selon l'invention, en réali- sant en fait les fonctions de commande et de contrôle d'abord au moyen de deux micro-appareils de commande fonctionnant sépa- rément. Pour contrôler des dépassements de la vitesse de rotation on prévoit de préférence des temps de cycle de tR/2 à 2tR, car ce défaut ne nécessite pas de réaction brève de ce type, comme une rupture d'arbre. Avant donc de déclencher des réactions, c'est-à-dire d'interrompre le micro-appareil de com- mande sélectionné au moyen de la ligne des signaux de données, pour arrêter alors l'arrivée du carburant, on fonctionne pour des raisons de sécurité avec une confirmation de 3 à 5 fois. L'influence différente sur le mécanisme d'entraîne- ment exercée par la coopération des micro-appareils de commande et du circuit logique monté en aval se subdivise en deux cas20 essentiels. Dans l'un des cas on gèle l'état actuel de l'arri- vée du carburant, c'est-à-dire qu'on ne l'augmente ni ne le di- minue, dans l'autre cas on arrête brusquement l'arrivée du carburant. Dans les deux cas on ménage toutefois au personnel de commande la possibilité de manipuler manuellement l'arrivée25 du carburant. Le gel a alors toujours lieu quand il se produit des erreurs statistiques dans les circuits de détection, la mi- cro-électronique ou lors d'une inversion provisoire d'un micro- appareil de commande à l'autre. Un blocage complet de l'arrivée du carburant est nécessaire en cas de soudaine rupture d'arbre ou de survitesse de rotation se prolongeant. Selon une autre réalisation préférée de l'invention on fait fonctionner le moteur pas à pas au moyen de quatre li- gnes de phases avec quatre phases, qui sont commandées par un circuit d'attaque et un inverseur à quatre pôles de façon sé- lective par le premier micro-appareil de commande ou le second microappareil de commande quand il y a un signal de sélection à leurs sorties. Ce mode de réalisation connu dans son principe a en liaison avec l'invention l'avantage que l'on peut trouver une solution simple, économique et facile à installer pour opé- rer un gel. Dans ce cas a lieu de préférence un gel de la posi- tion du moteur pas à pas et de cette façon de la position de la5 vanne de dosage en appliquant une tension d'arrêt de 12 à 48 volts à l'une des lignes de phase.du moteur pas à pas par l'in- termédiaire de contacts de relais dans le premier circuit logi- que. Avec un tel circuit logique, qui doit se trouver avant le commutateur qui sert à changer les fonctions des deux microappareils de commande, afin qu'aussi bien l'un que l'au- tre puisse exercer sur le mécanisme d'entraînement lors du changement de fonction la même influence, on n'a pas dans cha- que cas une action sur le mécanisme d'entraînement en cas de15 fonctionnements défectueux des micro-appareils de commande eux- mêmes. Pour cette raison un signal d'erreur provoque de préfé- rence à l'une des sorties des micro-appareils de commande un gel de la position du moteur pas à pas et de cette façon de la position de la vanne de dosage au moyen de l'application d'une20 tension d'arrêt de 12 à 48 V à l'une des lignes de phases du moteur pas à pas par l'intermédiaire de contacts de relais d'un troisième circuit logique, ce troisième circuit logique étant disposé après le dispositif d'inversion. Dans le cas d'un débranchement rapide lors d'une rupture d'arbre, le second micro-appareil de commande non sé- lectionné interrompra de préférence en tant qu'appareil d'ad- jonction au moyen d'une ligne de signal le premier micro- appareil de commande sélectionné dans son cycle principal et il provoquera son inversion, le faisant passer sur le mode corres- pondant au test de rupture d'arbre. Après un contrôle indépen- dant par le premier micro-appareil de commande et la constatation de la rupture d'arbre, il se produira un signal de sortie sur le premier micro-appareil de commande et le méca- nisme d'entraînement au moyen du second circuit logique sera débranché par la fermeture de la vanne de dosage du carburant. Avec ces solutions qui servent à la régulation des mécanismes d'entraînement des arbres on a d'une part l'assu- rance, qu'il ne se produit pas dans l'avion de redondance inac- tive et d'autre part que l'on a sensiblement accru la sécurité et la fiabilité par rapport à une commande à un seul canal. L'invention va être décrite ci-après plus en détail à partir d'un mode de réalisation représenté sur les dessins annexés, sur lesquels: - la figure 1 montre un schéma partiel d'une forme préférée de réalisation de l'invention avec une commande servant à inver- ser la régulation des mécanismes d'entraînement et à geler l'arrivée du carburant, - la figure 2 montre un schéma partiel d'une forme préférée de réalisation de l'invention avec une commande servant à fermer l'arrivée du carburant en cas de rupture d'arbre, de survi- tesse de rotation ou d'autres défauts s'aggravant des méca- nismes d'entraînement. La figure 1 montre un schéma partiel d'une forme préférée de réalisation de l'invention avec une commande ser- vant à inverser la régulation des mécanismes d'entraînement et à geler l'arrivée du carburant à un mécanisme d'entraînement d'arbre avec au moins un micro-appareil de commande 1 servant à commander le dosage du carburant au moyen d'une vanne de dosage avec entraînement moteur 8 et plusieurs circuits logiques de sélection de signaux 5, 6, 7 et 22 à la figure 2, tels qu'un circuit logique de commutation de canal 6, deux circuits logi- ques pour geler 5, 7 et un circuit logique pour débrancher des canaux 22 à la figure 2 avec contrôle du mécanisme d'entraîne- ment en ce qui concerne une rupture d'arbre et une survitesse de rotation au moyen de détecteurs. Cet exemple de réalisation est basé sur l'utilisa- tion de deux micro-appareils de commande 1 et 2, dans le cas desquels les interfaces pour un moteur pas à pas 8 servant à la régulation de l'arrivée du carburant et pour le débranchement rapide d'une vanne d'arrêt, telle que par exemple une vanne de fermeture rapide 23, que l'on a représenté à la figure 2, sont déjà montés pour l'arrivée du carburant. Les sorties des micro-appareils de commande 1 et 2, AFZ1 ou AFZ2 pour geler l'arrivée du carburant, AF1 ou AF2 pour geler l'arrivée du carburant lorsqu'on a détecté des fonction- nements défectueux dans les circuits de détection ou dans les micro-appareils de commande dans le cas d'un défaut des deux canaux, AS, ou AS2 pour la sélection de l'un des micro- appareils de commande en tant que régulateur de l'arrivée du carburant, et ASOCi ou ASOC2 à la figure 2 pour un débranche-5 ment rapide de l'arrivée du carburant en cas de rupture d'arbre ou de survitesse de rotation, sont amenés via des tubes finaux de sortie TFZî ou TFZ2, TF1 ou TF2, TS1 ou TS2, et TSOC1 ou TSOC2 à la figure 2 aux circuits logiques de sélection de si- gnaux 5, 6, 7 ou 22 à la figure 2. On accouple l'un avec l'au- tre en conséquence un premier et un second micro-appareil de commande 1, 2 et on les verrouille l'un vis-à-vis de l'autre dans leurs fonctionnements partiels. Le premier micro-appareil de commande 1 commande par exemple en tant qu'appareil de commande sélectionné un mo- teur pas à pas 8, qui entraîne la vanne de dosage 10. La sélec- tion du micro-appareil de commande 1 a lieu via le bloc d'inversion avec le circuit logique de sélection 6 par le re- lais Sl, qui est associé à une sortie ASl du micro-appareil de commande 1 ou par le relais S2, qui est associé à une sortie AS2 du micro- appareil de commande 2. Les relais Si et S2 sont verrouillés l'un par rapport à l'autre et couplés de telle fa- çon que l'on obtienne de façon sûre les combinaisons logiques suivantes pour les canaux K1 et K2: 1. Canal K1 sélectionné ET Canal K2 débranché 2. Canal K1 débranché ET Canal K2 sélectionné 3. Canal K1 débranché ET Canal K2 débranché Le cas 3 n'est activé que quand les deux systèmes de microcommande ont une défaillance totale. Dans ce cas les deux sorties AF1 ou AF2 sont mises au potentiel de défaut et les relais F1 et F2 retombent, de telle sorte que les contacts correspondants F1 ou F2 mettent l'une des phases de commande du moteur pas à pas 8 à un potentiel fixe VF et de cette façon gè- lent la position du moteur pas à pas 8, la positon de la vanne de dosage 10 et la quantité de carburant amenée, c'est-à-dire que l'arrivée du carburant n'est ni réduite ni augmentée. Les canaux K1 et K2 présentent pour commander le moteur pas à pas 8 par exemple quatre phases Phi, Ph2, Ph3, Ph4 sur les lignes allant au moteur pas à pas, l'une des phases passant par un premier circuit logique de sélection ou de re- lais 5 pour geler une arrivée actuelle de carburant. Ce circuit logique remplit le rôle consistant à ce que le canal non sélec- tionné puisse empêcher dans le cas d'un défaut non détecté par le canal sélectionné le déroulement d'un fonctionnement erroné critique du mécanisme d'entraînement d'arbre. Le gel est provo- qué, en mettant l'une des quatre phases au potentiel fixe déjà mentionné VF, qui se trouve dans cet exemple entre 12 et 48 V, en ayant choisi ici 28 V. De cette façon le second micro-appareil de commande 2, qui est ici branché comme appareil d'adjonction, peut en conséquence contrôler les données angulaires autorisées du mé- canisme d'entraînement et est équipé pour cela des sorties de réglage AS2, AF2, AFZ2, et ASOC2 à la figure 2. Dans l'exemple préféré de réalisation de la figure 1, on a intégré, pour compléter, une commande manuelle de se- cours 9, qui est déjà connue pour des appareils de ce type et permet au personnel de commande de commuter sur un fonctionne- ment manuel. Ceci est en même temps un exemple de la façon dont on peut avantageusement intégrer la régulation selon l'inven- tion dans des conceptions d'installation et de régulation déjà existantes. La figure 2 montre une vue partielle d'une forme de réalisation préférée de l'invention avec une commande servant à arrêter l'arrivée du carburant en cas de rupture d'arbre, de survitesse de rotation ou d'autres défauts du mécanisme d'en- traînement allant en s'aggravant. Pour cela on actionne une vanne de fermeture rapide 23 du carburant. La commande de la vanne de fermeture rapide 23 est construite de telle façon que le micro-appareil de commande non sélectionné pour la commande du moteur pas à pas contrôle à des courts intervalles de 0,5 à 6 ms, dans cet exemple 2 ms, les vitesses de rotation mesurées par les détecteurs eu égard à une rupture d'arbre ou une survi- tesse de rotation. Si l'on détecte un fonctionnement défectueux de ce type du mécanisme d'entraînement, ce second micro- appareil de commande active sa sortie ASoc2 et provoque par l'intermédiaire de la ligne de sortie de signaux I21 une inter- ruption du fonctionnement du processus de réglage servant à commander l'arrivée du carburant dans le cas du premier micro- appareil de commande. Celui-ci exécute alors de son côté de fa- çon un peu retardée (environ de 0,5 ms) aussi ce contrôle par exemple en ce qui concerne une rupture d'arbre et commande en conséquence sa propre sortie ASOC1. Quand les deux micro- appareils de commande ont activé leurs sorties ASOC1 et ASOC2, on active le débranchement de secours au moyen du circuit logi- que à relais 22. Un débranchement erroné d'urgence du mécanisme d'entraînement du fait d'une panne électrique est de cette fa- çon extrêmement improbable. Quand l'un des deux micro-appareils de commande 1 ou 2 est en panne, le contact du relais correspondant F1 ou F2 est fermé et l'autorité tout entière est transférée par la vanne de fermeture rapide 23 au microappareil de commande sans défaut 2 ou 1. Dans le cas o les deux micro-appareils de commande 1 ou 2 sont en panne, les deux relais F retombent et le relais de branchement de secours SOC ne peut plus être commandé. La probabilité d'avoir en même temps une double défaillance des appareils et une rupture d'arbre est presque nulle. Dans l'exemple de réalisation selon la figure 2 on a deux mécanismes d'entraînement qui sont mus par des arbres indépendants l'un de l'autre. La ligne en traits et points per- met de repérer l'interface entre le deuxième mécanisme d'en- trainement et une seconde vanne de fermeture rapide 24. En actionnant le relais de branchement d'urgence SOC on verrouille en premier le débranchement d'urgence du second mécanisme d'en- traînement et ensuite on déclenche le branchement d'urgence du premier mécanisme d'entraînement. De cette façon on accroît la sécurité et la fiabilité, car on a l'assurance que les exigen- ces de sécurité suivantes sont remplies. Quand un mécanisme d'entraînement est débranché, le second mécanisme d'entraînement n'est plus débranché. Dans le cas d'un déclenchement simultané du débran- chement des deux mécanismes d'entraînement, aucun ne peut être débranché. Au moyen du relais bistable 20 monté en aval on ar- rive à ce qu'un débranchement de secours qui a été introduit une fois ne puisse être réarmé que par le personnel de bord. La régulation des deux appareils de commande a lieu dans deux modes différents. Le premier micro-appareil de com- mande 1 sélectionné pour la régulation du mécanisme d'entraîne- ment accomplit dans un mode avec un cycle d'environ 20 à 100 ms, dans cet exemple 20 ms, le programme de régulation, qui convient à la commande du moteur pas à pas 8. Le second micro- appareil de commande 2, non sélectionné, qui est utilisé pour contrôler les données caractéristiques du mécanisme d'entraîne- ment, accomplit dans un mode avec un cycle ou période de 0,5 à 6 ms la régulation de contrôle, par exemple en ce qui concerne une rupture d'arbre et une survitesse de rotation. En arrière plan se déroule pour cela un contrôle du point de fonctionne- ment du mécanisme d'entraînement. Lors de la détection de la rupture d'un arbre la sortie ASoc2 est aussitôt activée et simultanément le premier micro-appareil de commande est interrompu par l'intermédiaire de la ligne de signaux de données I21 dans le déroulement de la régulation prévue d'arrivée du carburant. Quand le mécanisme d'entraînement a atteint un point de fonctionnement non autorisé, dont fait aussi partie une survitesse de rotation, la sortie AFZ2 du second micro- appareil de commande est d'abord activée dans cet exemple. Lors d'une survitesse de rotation la sortie ASOC2 est quelques millisecondes plus tard activée par le relais de branchement de secours SOC associé, au cas o on serait encore en présence d'une survitesse de rotation, et quand on a constaté ceci 3 à 6 fois. Grâce à cette répartition de la régulation selon l'invention il est possible que l'on puisse réaliser avec un coût relativement faible en matériels à la fois la régulation du mécanisme d'entraînement avec un faible temps mort et aussi un contrôle efficace de la rupture d'un arbre et de la survi- tesse de rotation. R E V E N D I C A T I O N S ) Procédé de régulation d'un mécanisme d'entraînement d'arbre avec au moins un micro-appareil de commande servant à commander un dosage de carburant au moyen d'une vanne de dosage, avec un entraînement de moteur et un circuit logique de débranchement de canal, avec contrôle du mécanisme d'entraînement en ce qui concerne une rupture d'arbre et une survitesse de rotation au moyen de détecteurs, régulation dans laquelle on accouple l'un à l'autre un premier micro-appareil de commande et un second micro-appareil de commande (1, 2) et on les verrouille l'un par rapport à l'autre dans des fonctions partielles, caractérisé en ce que le premier micro-appareil de commande (1) commande en tant qu'appareil de commande sélectionné un moteur pas à pas (8), qui entraîne la vanne de dosage (10) et le second micro- appareil de commande (2) en tant qu'appareil d'adjonction con- trôle les données angulaires autorisées pour le mécanisme d'en- traînement et est équipé de sorties de réglage (AS2, AF2, AFZ2), qui par l'intermédiaire d'un premier circuit logique (5) gèle la position du moteur pas à pas ou déclenche un débranche- ment rapide par l'intermédiaire d'un circuit d'attaque à tran- sistor (TSOC1, TSOC2) avec un second circuit logique (22) monté en aval, ou permet d'avoir un débranchement temporisé en cas de survitesse de rotation au moyen du second circuit logique (22), le micro-appareil de commande sélectionné et le micro-appareil de commande d'adjonction (1, 2) étant accouplés au moyen du premier et du second circuit logique (5, 22) et d'une ligne de données directe additionnelle (I21, I12) d'une manière telle que les fonctions soient inversées alternativement en fonction de la position du premier et du second circuit logique (5, 22). 2 ) Procédé de régulation selon la revendication 1, caractérisé en ce que le débranchement rapide est déclenché par l'appareil de com- mande d'adjonction et est exécuté par l'appareil de commande sélectionné. 3 ) Procédé de régulation selon la revendication 1 ou 2 caractérisé en ce que les deux micro-appareils de commande (1, 2) peuvent exercer toutes les fonctions d'appareils individuels en cas de dé- faillance totale d'un appareil de commande, toutefois la fonc- tion de contrôle de la rupture d'arbre ne pouvant être exécutée dans ce cas que d'une façon ralentie d'un facteur de 3 à 10. 4 ) Procédé de régulation selon l'une des revendications 1 à 3, caractérisé en ce que la régulation fonctionne avec un cycle principal ayant un temps de cycle de 20 à 100 millisecondes et avec quatre souscycles ayant un temps de cycle tR de 5 à 25 millisecondes. ) Procédé de régulation selon la revendication 4, caractérisé en ce que la régulation fonctionne avec un sous-cycle pour le contrôle de la rupture d'un arbre avec un temps de cycle de tR/4 à tR/10. 6 ) Procédé de régulation selon la revendication 4, caractérisé en ce que la régulation fonctionne avec un sous-cycle pour le contrôle de la survitesse de rotation ayant un temps de cycle de tR/2 à 2tR après l'avoir constaté 3 à 5 fois. 7 ) Procédé de régulation selon l'une des revendications 1 à 6, caractérisé en ce que le moteur pas à pas (8) est entraîné par l'intermédiaire de quatre lignes de phases (Phl, Ph2, Ph3, Ph4) par quatre phases, qui sont commandées par un circuit d'attaque (3, 4) et d'une commutation à quatre pôles (6) de façon sélective par le pre- mier ou le second micro-appareil de commande (1, 2), lorsqu'il y a un signal de sélection à leurs sorties (ASl, AS2). 8 ) Procédé de régulation selon la revendication 7, caractérisée en ce que l'on réalise un gel de la position du moteur pas à pas (8) et de cette façon de la position de la vanne de dosage, en appli- quant une tension d'arrêt de 12 à 48 V à l'une des lignes de phases (Phl, Ph2, Ph3, Ph4) du moteur pas à pas (8) au moyen de contacts de relais (Fzl, FZ2) dans le premier circuit logique (5). 9 ) Procédé de régulation selon la revendication 7 ou 8, caractérisé en ce qu' un signal de défaut à l'une des sorties (AF1, AF2) des microappareils de commande (1, 2) déclenche un gel de la position du moteur pas à pas et de cette façon de la position de la vanne10 de dosage, par application d'une tension d'arrêt de 12 à 48 V sur l'une des lignes d'arrivée des phases (Phl, Ph2, Ph3, Ph4) du moteur pas à pas (8) par l'intermédiaire des contacts de re- lais (F1, F2) d'un troisième circuit logique. 10 ) Procédé de régulation selon l'une des revendications 1 à 9, caractérisé en ce que le second micro-appareil de commande non sélectionné (2) en tant qu'appareil d'adjonction interrompt dans le cas d'un dé- branchement rapide lors d'une rupture d'arbre via une ligne de signaux I21 le premier micro-appareil de commande sélectionné (1) dans son cycle principal et le fait passer sur le mode cor- respondant au test de rupture d'arbre et après un contrôle in- dépendant par le premier micro-appareil de commande (1) et la constatation correspondante, un signal de sortie (Asocl) sur le premier micro-appareil de commande (1) par l'intermédiaire du second circuit logique (22) débranche le mécanisme d'entraîne- ment en fermant la vanne de dosage de carburant.