Brevet FR2748829A1 — publié le 19971121

La présente invention concerne un dispositif de commande sécurisée tolérant aux pannes. Un dispositif de commande sécurisée tolérant aux pannes est un système matériel électro-mécanique de commande d'actionneur, d'ouverture I fermeture, de marche j arrêt. Un dispositif de commande sécurisée est un système où l'action à réaliser est effectuée si un signal codé reçu en entrée est authentifié. Un tel dispositif peut être réalisé (Cf Figure 1) par un décodeur (D) qui a en entrée un signal codé (E) provenant de l'extérieur, et comme paramètre un (ou plusieurs) code(s) d'identification (C) interne(s), et en sortie un signal de commande (S) reliée à un actionneur (A). Lorsque le décodeur (D) reçoit en entrée un signal codé (E), ledit décodeur décode ledit signal, et si ledit signal est reconnu conforme au code, ou à l'un des codes d'identification (C) interne dudit décodeur, ledit décodeur active le signal de commande (S) qui pilote l'actionneur (A), ledit actionneur réalisant ensuite l'action. Un dispositif de commande sécurisée ne permet pas intrinsèquement d'assurer un bon fonctionnement après une panne d'un de ses constituants, c'est à dire que ledit dispositif ne peut pas garantir que son action soit effectuée si et seulement si elle est autorisée par l'authentification du signal codé reçu. Un dispositif tolérant aux pannes est un système qui continue à remplir sa fonction en dépit de sous-ensembles défaillants. Une des méthodes pour assurer la tolérance aux pannes est de réaliser un système selon une architecture N-Duplex (Cf Figure 2) composée de N chaînes fonctionnelles (CFi,. , CFN) identiques et indépendantes mises en parallèle, toutes reliées à un dispositif de reconfiguration système (RS) réalisant l'action dudit système. Un tel système tolérant aux pannes permet de supporter N-l défaillances. Le dispositif de reconfiguration système (RS) est également décomposé en N sous-ensembles (RSi,.., RSN) identiques et couplés ensemble, chacun étant relié à la chaîne fonctionnelle de même numéro d'indice. L'activation d'au moins un sous-ensemble du dispositif de reconfiguration système par la chaîne fonctionnelle directement connectée audit sous-ensemble, permet au système de remplir sa fonction. Chaque chaîne fonctionnelle (CFi, i=1, N) est composée de deux voies appelées habituellement voie commande (COM,) et voie surveillance (SURi), et d'un dispositif de confinement d'erreur (CEi). Chacune des deux voies (COMA et SURI) reçoit une entrée (respectivement ECi et ESI) et génère une sortie (respectivement SCi et SSi) à destination du dispositif de confinement d'erreur (CEi). La divergence entre les deux voies (COMA et SUR,) d'une chaîne fonctionnelle (cri) est détectée par le dispositif de confinement d'erreur (CEi) de ladite chaîne fonctionnelle, ledit dispositif de confinement d'erreur effectuant un "ET logique" entre les sorties (SCi et SS,) desdites voies de telle sorte que la sortie (Si) de ladite chaîne fonctionnelle soit activée par ledit dispositif de confinement d'erreur si et seulement si lesdites sorties desdites voies sont également activées. Lorsqu'une défaillance survient dans l'une deux voies (COMi ou SURi) d'une chaîne fonctionnelle (CFI), ladite défaillance étant caractèrisée par une divergence entre les sorties (SCi et SSï) desdites voies, le dispositif de confinement d'erreur (CE,) déconnecte ladite chaîne fonctionnelle pour éviter les conséquences de ladite défaillance sur le reste du système. Afin d'éviter toute déconnexion intempestive d'une chaîne fonctionnelle (C Fi), la défaillance doit être confirmée, un certain nombre de fois ou pendant un certain temps, par le dispositif de confinement d'erreur (CEi) de ladite chaîne fonctionnelle. L'ensemble des sorties (Si, =1, N) de toutes les chaînes fonctionnelles (CFi, i=1,.N) est envoyé dans le dispositif de reconfiguration système (RS) qui effectue un "OU logique" entre lesdites sorties de telle sorte que l'action à réaliser par le système soit effectuée par ledit dispositif de reconfiguration système si au moins l'une desdites sorties est active. Un dispositif tolérant aux pannes ne permet pas intrinsèquement d'effectuer une action lorsqu'un signal codé reçu en entrée est reconnu conforme à un code d'identification. Pour résoudre ce problème, la présente invention permet de réaliser un dispositif de commande sécurisée qui soit également tolérant aux pannes. Le dispositif de commande sécurisée tolérant aux pannes (DCSTP), selon l'invention, ayant en entrée un signal codé (E) de nature électrique, série ou parallèle, numérique ou analogique, magnétique, optique, électromagnétique, ou sonore, et générant en sortie une action consistant en une commande d'actionneur, d'ouverture / fermeture, de marche / arrêt, est remarquable en ce qu'il comporte (Cf Figure 3): 1) un dispositif adaptateur et répartiteur d'entrée (AR), ayant en entrée ledit signal codé dudit dispositif de commande sécurisée tolérant aux pannes, et générant en sortie 2N signaux identiques de nature électrique, série ou parallèle, numérique ou analogique, vers les N chaînes fonctionnelles recevant chacune deux desdits signaux. Lorsque ledit signal codé est de nature magnétique, optique, électromagnétique, ou sonore, le dispositif adaptateur et répartiteur d'entrée (AR) transforme à l'aide de capteurs appropriés ledit signal codé en des signaux également codés mais de nature électrique, série ou parallèle, numérique ou analogique, et répartit lesdits signaux codés de nature électrique dans chacune des sorties. Lorsque ledit signal codé est déjà de nature électrique, série ou parallèle, numérique ou analogique, le dispositif adaptateur et répartiteur d'entrée (AR) répartit ledit signal codé dans chacune des sorties. Le dispositif adaptateur et répartiteur d'entrée peut présenter toute structure appropriée. 2) N (N supérieur ou égal à 1) chaînes fonctionnelles identiques (CFi, i=1,.N) en parallèle, ayant chacune: a) en entrée: - deux signaux codés (EC1 et ES,) provenant du dispositif adaptateur et répartiteur d'entrée (AR), et, - un retour de signal (S'i) provenant du sousensemble (RSI) du dispositif de reconfiguration système (RS), ledit retour de signal étant consécutif au signal de commande (S,) provenant de la chaîne fonctionnelle (cri), et ledit retour de signal résultant de la circulation dudit signal de commande à travers ledit sous-ensemble, b) en sortie: un signal de commande (St) à destination du sous-ensemble (RSi) du dispositif de reconfiguration système (RS), ledit signal de commande pouvant être de nature électrique, hydraulique, ou pneumatique. La chaîne fonctionnelle (cri) autorise la circulation du signal de commande (Si) et du retour dudit signal de commande (S',) afin d'actionner le sous-ensemble (RSi) du dispositif de reconfiguration système (RS) si et seulement si les deux signaux codés (EC1 et ESI) sont reconnus conformes. 3) un dispositif de reconfiguration système (RS) décomposé en N sousensembles (RS,, i=1..N) ayant chacun en entrée le signal de commande (Si) provenant de la chaîne fonctionnelle (cri) directement connectée audit sousensemble, et en sortie le retour dudit signal de commande (S'i) à destination de ladite chaîne fonctionnelle, ledit retour dudit signal de commande résultant de la circulation à travers ledit sous-ensembie dudit signal de commande reçu en entrée. Les N sousensembles (ROSI, t=1,..N) du dispositif de reconfiguration système (RS) sont couplés ensemble de telle sorte que si l'un quelconque desdits sousensembles en reçoit l'ordre, par la circulation du signal de commande (Si) et du retour dudit signal de commande (S'i), ledit sous-ensemble est capable d'effectuer à lui seul ladite action dudit dispositif de commande sécurisée tolérant aux pannes, et ceci que les autres sous-ensembles (RSk, k différent de i) en aient reçu l'ordre ou non. Le dispositif de reconfiguration système peut présenter toute structure appropriée. La chaîne fonctionnelle (CF), selon l'invention, ayant a) en entrée: - deux signaux codés (EC et ES) provenant du dispositif adaptateur et répartiteur d'entrée (AR), et, - le retour du signal de commande (S') provenant du dispositif de reconfiguration système (RS), b) en sortie un signal de commande (S) à destination dudit dispositif de reconfiguration système, est remarquable en ce qu'elle comporte (Cf Figure 4): 1) une voie commande ayant en entrée le signal codé (EC) reçu par ladite chaîne fonctionnelle, et fournissant en sortie à destination du dispositif de confinement d'erreur (CE): - un signal d'authentification (SDcoM) dudit signal codé, et, - le signal de commande (S). La voie commande active le signal d'authentification (SDcoM) et autorise la circulation du signal de commande (S) lorsque le signal codé (EC) est reconnu conforme. La voie commande est composée d'un décodeur (DCOM) et d'un interrupteur (IcoM) ayant les caractéristiques suivantes: a) le décodeur (DCOM) reçoit en entrée le signal codé (EC) de ladite voie commande, et fournit en sortie le signal d'authentification (SDcoM) dudit signal codé, à destination de l'interrupteur (IcoM) et du dispositif de confinement d'erreur. Le décodeur (DCOM) décode le signal codé (EC), et si ledit signal codé correspond au code ou à l'un des codes d'identification (C) internes dudit décodeur, ledit décodeur active le signal d'authentification (SDcoM) pendant un certain temps T, éventuellement à l'aide de moyens de temporisation. b) I'interrupteur (IcoM) reçoit en entrée le signal d'authentification (SDcoM) provenant du décodeur (DCOM), et le signal de commande (S) généré en interne de ladite voie commande ou provenant de l'extérieur, et fournit en sortie ledit signal de commande à destination du dispositif de confinement d'erreur. Le signal (S) correspond à: - un potentiel positif, pour un signal de commande de nature courant électrique continu, généré par la borne positive d'une alimentation continue, - un des deux potentiels, complémentaire de celui de la voie surveillance, pour un signal de commande de nature courant alternatif, généré par une borne d'une alimentation alternative, - une haute pression, pour un signal de commande de nature hydraulique, généré par une pompe hydraulique, - une haute pression, pour un signal de commande de nature pneumatique, généré par un compresseur d'air L'interrupteur (IcoM) est commandé par le signal d'authentification (SDcoM) de la manière suivante: tant que ledit signal d'authentification est actif, c'est à dire pendant le temps T, le signal de commande (S) est transmis, et quand ledit signal d'authentification est inactif, I'interrupteur bloque toute circulation de signal, et ledit signal de commande n'est plus transmis. Lorsque l'interrupteur transmet le signal de commande (S), ledit signal de commande peut effectivement circuler Si le reste du système en aval l'en autorise. Le décodeur (DCOM) et l'interrupteur (IcoM) peuvent présenter toute structure appropriée. 2) une voie surveillance ayant en entrée: - le signal codé (ES) reçu par ladite chaîne fonctionnelle, et, - le retour du signal de commande (S') provenant du dispositif de confinement d'erreur (CE), et fournissant en sortie à destination dudit dispositif de confinement d'erreur un signal d'authentification (SDsuR) dudit signal codé. La voie surveillance active le signal d'authentification (SDsuR) et autorise la circulation du retour du signal de commande (S') lorsque le signal codé (ES) est reconnu conforme. Les deux voies commande et surveillance sont synchronisées par l'arrivée des signaux codés (EC et ES), et si lesdits signaux codés sont conforme, lesdites voies commandent au même moment le dispositif de reconfiguration système (RS) pendant le temps T. La voie surveillance est composée d'un décodeur (DSUR) et d'un interrupteur (ISUR) ayant les caractéristiques suivantes: a) le décodeur (DSUR) reçoit en entrée le signal codé (ES) de ladite voie surveillance, et fournit en sortie le signal d'authentification (SDsuR) dudit signal codé, à destination de l'interrupteur (ISUR) et du dispositif de confinement d'erreur (CE). Le décodeur (DSUR) décode le signal codé (ES), et si ledit signal codé correspond au code ou à l'un des codes d'identification (C) internes dudit décodeur, ledit décodeur active le signal d'authentification (SDsuR) pendant un certain temps T, identique à celui de la voie commande, éventuellement à l'aide de moyens de temporisation. b) I'interrupteur (I SuR) reçoit en entrée le signal d'authentification (SDsuR) provenant du décodeur (DSUR), et le retour du signal de commande (S') provenant du dispositif de confinement d'erreur, et fournit en sortie ledit retour du signal de commande vers un récepteur approprié, ledit recepteur étant en interne de la voie surveillance, ou éventuellement à l'extérieur. Le signal (S') correspond à: - un potentiel négatif, pour un signal de commande de nature courant électrique continu, reçu par la borne négative de l'alimentation continue utilisée pour la voie commande, - un des deux potentiels, complémentaire de celui de la voie commande, pour un signal de commande de nature courant alternatif, recu par l'autre borne de l'alimentation alternative utilisée pour la voie commande, - une basse pression, pour un signal de commande de nature hydraulique, reçu par le receveur du retour du circuit hydraulique, - une basse pression, pour un signal de commande de nature pneumatique, reçu par l'atmosphère. L'interrupteur (ISUR) est commandé par le signal d'authentification (SDsuR) de la manière suivante: tant que ledit signal d'authentification est actif, c'est à dire pendant le temps T, le retour du signal de commande (S') provenant du dispositif de confinement d'erreur est transmis vers le récepteur dudit signal, et quand ledit signal d'authentification est inactif, l'interrupteur bloque toute circulation de signal, et ledit retour du signal de commande n'est plus transmis. Lorsque l'interrupteur transmet le retour du signal de commande (S'), ledit retour du signal de commande peut effectivement circuler si le reste du système en amont l'en autorise. Le décodeur (DSUR) et l'interrupteur (SUR) peuvent présenter toute structure appropriée. 3) un dispositif de confinement d'erreur, ayant: a) en entrée: - le signal d'authentification (SDcoM) du signal codé (EC) reçu par la voie commande, ledit signal d'authentification provenant du décodeur (DCOM) de ladite voie, - le signal d'authentification (SDsuR) du signal codé (ES) reçu par la voie surveillance, ledit signal d'authentification provenant du décodeur (DSUR) de ladite voie, - le signal de commande (S) provenant de l'interrupteur (IcoM) de la voie commande, - le retour du signal de commande (S') provenant du dispositif de reconfiguration système, et, b) en sortie: - le signal de commande (S) vers le dispositif de reconfiguration système, - le retour du signal de commande (S') vers l'interrupteur (IsuR) de la voie surveillance. Le dispositif de confinement d'erreur (CE) remplit deux fonctions: a) il commande le dispositif de reconfiguration système (RS) lorsque la voie commande et la voie surveillance le décident, et, b) il isole la chaîne fonctionnelle du reste du système s'il y a une défaillance caractérisée par une divergence entre lesdites voies. La commande du dispositif de reconfiguration système (RS) est assurée par la circulation du signal de commande (S) et du retour dudit signal de commande (S'), chacun desdits signaux étant piloté respectivement par la voie commande et par la voie surveillance, et lesdits signaux étant transmis par le dispositif de confinement d'erreur (CE) tant qu'une défaillance n'est pas apparue. L'isolement de la chaîne fonctionnelle a lieu lorsqu'une voie commande ou surveillance, décide de faire circuler le signal que ladite voie pilote par l'intermédiaire de son interrupteur, alors que ledit signal ne peut circuler parce qu'il est bloqué dans le reste du système. Le dispositif de confinement d'erreur est composé de: a) un dispositif de surveillance du flux (SFcoM) du signal de commande (S) provenant de l'interrupteur (IcoM) de la voie commande, qui a en entrée ledit signal à surveiller, et fournit en sortie: - ce même signal qui a été surveillé, à destination du disjoncteur (Disj), et, - un signal reflètant l'état du flux (EFcoM) dudit signal à surveiller, à destination du dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande. La surveillance du flux du signal consiste en: - une détection du passage dudit signal, où le signal reflètant l'état du flux (EFcoM) dudit signal passe à l'état actif tant que ledit signal circule au travers ledit dispositif de surveillance du flux, ou bien en - une mesure dudit signal et une comparaison de la valeur mesurée à un ou des intervalles de valeurs autorisées, où le signal reflétant l'état du flux (EFcoM) dudit signal passe à l'état actif tant que ledit signal a une valeur comprise dans le ou les intervalles de valeurs autorisées. b) un dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande, ayant a) en entrée: - le signal d'authentification (SDcoM) du signal codé (EC) reçu par ladite voie, ledit signal d'authentification provenant du décodeur (DCOM) de ladite voie, et, - le signal reflétant l'état du flux (EFcoM) du signal de commande (S), ledit signal d'état provenant du dispositif de surveillance du flux (SFcoM) dudit signal de commande, et, b) en sortie un signal d'erreur (ErrcoM) à destination du disjoncteur (Disj). Le dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande, active son signal d'erreur (ErrcoM) si le signal d'authentification (SDcoM) et le signal reflètant l'état du flux (EFcoM) sont en désaccord, c'est à dire que l'un est actif et l'autre non. Avantageusement des moyens de temporisation sont utilisés pour filtrer des erreurs transitoires avant d'actionner le disjoncteur. c) un disjoncteur, ayant en entrée: - le signal d'erreur (ErrcoM) provenant du dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande, - le signal d'erreur (ErrsuR) provenant du dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance, - le signal de commande (S) provenant du dispositif de surveillance du flux (SFcoM) de la voie commande, ledit signal étant connecté à la borne active (BA1) d'un premier aiguilleur, - un signal de commande de secours (Ssec), de même nature que le signal de commande (S), provenant d'un générateur de secours, ledit signal étant connecté à la borne repos (BR1) dudit premier aiguilleur, - le retour du signal de commande (S') provenant du dispositif de reconfiguration système, ledit signal étant connecté sur la borne commune (BC2) d'un second aiguilleur, en sortie: - le signal de commande (S) vers le dispositif de reconfiguration système, ledit signal étant connecté sur la borne commune (BC1) dudit premier aiguilleur, - le retour du signal de commande (S'), à destination du dispositif de surveillance du flux (SFsuR) de la voie surveillance, ledit signal étant connecté à la borne active (BA2) dudit second aiguilleur, - un retour du signal de commande de secours (S'sec), de même nature que le retour du signal de commande (S'), à destination d'un recepteur de secours, ledit signal étant connecté à la borne repos (BR2) dudit second aiguilleur. Le disjoncteur est composé de deux aiguilleurs commandés de la même manière, c'est à dire qu'ils sont tous activés ou tous désactivés. Un aiguilleur dispose d'une borne commune, d'une borne active, et d'une borne repos. Le signal appliqué sur la borne commune est connecté à la borne active (respectivement repos) lorsque l'aiguilleur est activé (respectivement désactivé). Initialement, les aiguilleurs sont activés et restent dans cet état jusqu'à ce qu'ils soient désactivés lorsqu'un signal d'erreur (ErrcoM ou ErrsuR) est actif en entrée dudit disjoncteur. Une fois désactivés, les aiguilleurs restent dans cet état jusqu'à ce que le disjoncteur soit réarmé pour que lesdits aiguilleurs soient de nouveau actifs. Avantageusement, le disjoncteur peut comporter d'autres aiguilleurs supplémentaires, véhiculant des signaux de même nature que le signal de commande ou de nature différente, par exemple: pour effectuer une reconfiguration entre les chaînes fonctionnelles de telle sorte que lorsque toutes lesdites chaînes fonctionnelles sont déconnectées, le générateur du signal de commande de secours et le recepteur de secours soient en mesure de transmettre le signal de commande de secours (Ssec) et le retour dudit signal de commande de secours (S'sec), afin de générer une action de secours, comme l'ouverture dans le cas d'un système de commande d'ouverture / fermeture, ou bien par exemple pour mettre en marche / arrêt un dispositif annexe. Avantageusement, le disjoncteur peut comporter des signaux d'erreur supplémentaires en entrée, si d'autres dispositifs de détection d'erreur sont ajoutés dans la chaîne fonctionnelle, comme par exemple la surveillance du potentiel du signal en sortie de l'interrupteur pour savoir si ledit interrupteur est ouvert ou fermé, afin de détecter la panne de l'interrrupteur fermé alors que non activé. d) un dispositif de surveillance du flux (SFsuR) du retour du signal de commande (S') provenant du disjoncteur (Disj), qui a en entrée ledit signal à surveiller, et fournit en sortie: - ce même signal qui a été surveillé, à destination de l'interrupteur (ISUR) de la voie surveillance, et, - un signal reflètant l'état du flux (EFsuR) dudit signal à surveiller, à destination du dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance. La surveillance du flux du signal consiste en: - une détection du passage dudit signal, où le signal reflètant l'état du flux (EFsuR) dudit signal passe à l'état actif tant que ledit signal circule au travers ledit dispositif de surveillance du flux, ou bien en - une mesure dudit signal et une comparaison de la valeur mesurée à un ou des intervalles de valeurs autorisées, où le signal reflètant l'état du flux (EFsuR) dudit signal passe à l'état actif tant que ledit signal a une valeur comprise dans le ou les intervalles de valeurs autorisées. e) un dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance, ayant a) en entrée: - le signal d'authentification (SDsuR) du signal codé (ES) reçu par ladite voie, ledit signal d'authentification provenant du décodeur (DSUR) de ladite voie, et, - le signal reflétant l'état du flux (EFsuR) du retour du signal de commande (S'), ledit signal d'état provenant du dispositif de surveillance du flux (SFsuR) dudit retour du signal de commande, et, b) en sortie un signal d'erreur (ErrsuR) à destination du disjoncteur (Disj). Le dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance, active son signal d'erreur (ErrsuR) si le signal d'authentification (SDsuR) et le signal reflètant l'état du flux (EFsuR) sont en désaccord, c'est à dire que l'un est actif et l'autre non. Avantageusement des moyens de temporisation sont utilisés pour filtrer des erreurs transitoires avant d'actionner le disjoncteur. Les deux dispositifs de surveillance du flux (SFcoM et SFsuR), les deux dispositifs de détection d'erreur (DEcoM et DEsuR), et le disjoncteur (Disj) peuvent présenter toute structure appropriée. La description ci-avant a présenté le schéma de base du dispositif de commande sécurisé tolérant aux pannes. Les descriptions ci-après présentent des évolutions possibles du dispositif de commande sécurisé tolérant aux pannes. Evolution 1: Permutation des Composants de la Chaîne Fonctionnelle Nous avons vu, dans le schéma de base de la chaîne fonctionnelle (Cf Figure 4), que les constituants suivants: les interrupteurs, les dispositifs de surveillance du flux, et le disjoncteur, transmettent le même signal. II est ainsi possible de répartir différemment lesdits constituants sur le trajet du signal de commande et du retour dudit signal de commande, les connexions autres que ledit signal de commande et ledit retour dudit signal de commande restant inchangées pour lesdits constituants. II en resulte donc autant de réalisations équivalentes au schèma de base de la chaîne fonctionnelle, que de permutations possibles desdits constituants. Dans le schéma de base de la chaîne fonctionnelle (Cf Figure 4), le trajet du signal de commande (S) est: interrupteur (IcoM), dispositif de surveillance de flux (SFcoM), et disjoncteur (Disj), et le trajet du retour dudit signal de commande (S') est: disjoncteur (Disj), dispositif de surveillance de flux (SFsuR), et interrupteur (ISUR). Dans la chaîne fonctionnelle équivalente donnée en exemple (Cf Figure 5), le trajet du signal de commande (S) est: dispositif de surveillance de flux (SFcoM), interrupteur (ICOM), dispositif de surveillance de flux (SFsuR), disjoncteur (Disj), et le trajet du retour dudit signal de commande (S') est: disjoncteur (Disj), interrupteur (ISUR). Evolution 2: Regroupement des dispositifs de surveillance du flux Dans le schéma de base de la chaine fonctionnelle (Cf Figure 4), il y a un dispositif de surveillance de flux (SFcoM) pour le signal de commande (S), et un dispositif de surveillance de flux (SFsuR) pour le retour dudit signal de commande (S'). II est possible de regrouper ces deux dispositifs de surveillance de flux (Cf Figure 6) en un seul (SFcoMssuR), situé indifféremment sur le trajet du signal de commande (S) ou du retour dudit signal de commande (S'). Ledit dispositif de surveillance de flux (SFcoM8suR) a en entrée le signal de commande (S) (respectivement le retour du signal de commande (S')), et a comme sortie ce même signal de commande (respectivement retour du signal de commande), et une sortie reflètant l'état du flux (EF) dudit signal en entrée, ladite sortie étant à destination des deux dispositifs de détection d'erreur (DEcoM et DEsuR). Ledit dispositif de surveillance de flux devenant maintenant un point commun entre les deux voies, un soin particulier devra être apporté pour sa réalisation de telle sorte qu'aucune panne dudit dispositif de surveillance de flux ne puisse entrainer à la fois une panne de la voie commande et de la voie surveillance. Evolution 3: Regroupement des interrupteurs Dans le schéma de base de la chaîne fonctionnelle (Cf Figure 4), il y a deux interrupteurs (ICOM, et ISUR) activés chacun par un signal d'authentification (SDcoM, et SDsuR). Il est possible de regrouper ces deux interrupteurs (Cf Figure 7) en un seul (ICOM8SUR), situé indifféremment sur le trajet du signal de commande (S) ou du retour dudit signal de commande (S'). Ledit interrupteur (ICOM & SUR) a en entrée le signal de commande (S) (respectivement le retour du signal de commande (S')), et les deux signaux d'authentification (SDcoM, et SDsuR) provenant des décodeurs (DCOM, et DSUR), et a L'interrupteur (IcoMssuR) est activé par les deux signaux d'authentification (SDcoM, et SDsuR) de telle sorte que ledit interrupteur transmette le signal de commande (S) ou le retour dudit signal de commande (S'), lorsque lesdits signaux d'authentification sont actifs, et ledit interrupteur bloque toute transmission dudit signal lorsque l'un desdits signaux d'authentification est inactif. Evolution 4: Traitement des signaux de commande bidirectionnels Dans le schéma de base de la chaîne fonctionnelle (Cf Figure 4), la circulation du signal de commande et du retour dudit signal de commande, s'effectue dans un seul sens. II est possible (Cf Figure 8) d'ajouter un dispositif de sélection du sens de circulation du signal de commande dans la voie commande (SScoM) et un dans la voie surveillance (SSsuR) en remplacement de la connexion directe du générateur du signal de commande à l'interrupteur (IcoM) et de la connexion directe du récepteur du retour dudit signal de commande à l'interrupteur (ISUR). Le dispositif de sélection du sens de circulation du signal de commande (SScoM) dans la voie commande a a) en entrée: - le générateur du signal de commande, connecté à la borne active (BA3) d'un aiguilleur, - le récepteur du retour dudit signal de commande, connecté à la borne repos (BR3) dudit aiguilleur, - le signal d'authentification (SDcoM) du signal codé de ladite voie, et, b) en sortie un signal, connecté à la borne commune (BC3) dudit aiguilleur, ledit signal provenant dudit générateur du signal de commande, ou allant vers ledit récepteur du retour dudit signal de commande. Le dispositif de sélection du sens de circulation du signal de commande dans la voie commande (SScoM) connecte, par l'intermédiaire de l'aiguilleur, alternativement lors d'un changement d'état du signal d'authentification (SDcoM), comme le passage dudit signal d'authentification de l'état actif à l'état inactif, soit le générateur du signal de commande soit le récepteur du retour dudit signal de commande, à la borne commune (BC). Le dispositif de sélection du sens de circulation du signal de commande (SSsuR) dans la voie surveillance a a) en entrée: - le générateur du signal de commande, connecté à la borne repos (BR4) d'un aiguilleur, - le récepteur du retour dudit signal de commande, connecté à la borne active (BA4) dudit aiguilleur, - le signal d'authentification (SDcoM) du signal codé de ladite voie, et, b) en sortie un signal, connecté à la borne commune (BC4) dudit aiguilleur, ledit signal provenant dudit générateur du signal de commande, ou allant vers ledit récepteur du retour dudit signal de commande. Le dispositif de sélection du sens de circulation du signal de commande dans la voie surveillance (SSSUR) connecte, par l'intermédiaire de l'aiguilleur, alternativement lors du même changement d'état du signal d'authentification (SDsuR) que pour la voie commande, soit le récepteur du retour du signal de commande soit le générateur dudit signal de commande, à la borne commune (BC). Evolution 5: Ajout d'interrupteurs supplémentaires Un signal de commande est appelé non compressible, s'il suffit que l'un des deux interrupteurs (ICOM OU ISUR) bloque le passage du signal pour que toute circulation dudit signal soit interdite. Les signaux de commande de nature électrique et hydraulique rentrent dans la catégorie des signaux non compressibles, mais pas les signaux de commande de nature pneumatique. En effet, si l'interrupteur pilotant le retour vers l'atmosphère interdit tout passage de l'air comprimé, alors que l'interrupteur pilotant la haute pression transmet l'air comprimé, il en résulte une circulation d'air dans les canalisations entre lesdits interrupteurs jusqu'à ce que la pression soit uniforme partout dans lesdites canalisations, entrainant de ce fait une détection par les dispositifs de surveillance du flux. Dans le cas de signaux de commande unidirectionnels de nature pneumatique, pour régler ce problème, il n'est pas nécessaire d'ajouter d'interrupteur supplémentaire. II suffit de placer les deux interrupteurs (IcoM et ISUR) en série, ou de les regrouper en un (IcoMssuR), placé avant le dispositif de surveillance du flux, de telle sorte que le signal de commande puisse effectivement circuler dans ledit dispositif de surveillance du flux lorsque les deux voies commande et surveillance sont en accord. Dans le cas de signaux de commande bidirectionnels de nature pneumatique, pour régler ce problème (Cf Figure 9), un second interrupteur est ajouté à chaque voie commande et surveillance, la répartition desdits interrupteurs étant telle qu'il y ait un interrupteur de la voie commande (IcoM) et un interrupteur de la voie surveillance (ISUR), OU un regroupant les deux en un (IcoMssuR), sur le trajet du signal de commande, et l'autre interrupteur de la voie commande (IcoM) et l'autre interrupteur de la voie surveillance (ISUR), OU les deux regroupés en un (IcoMssuR), sur le trajet du retour dudit signal de commande, de telle sorte que le signal de commande puisse effectivement circuler dans ledit dispositif de surveillance du flux lorsque les deux voies commande et surveillance sont en accord. Evolution 6: Traitement de plusieurs signaux codés en entrée Dans le schèma de base du dispositif de commande sécurisée tolérant aux pannes (Cf Figure 3), il n'y a qu'un seul signal codé en entrée. II est possible (Cf Figure 10) d'envisager plusieurs (disons M, M supérieur à 1) signaux codés (E1,, EM) en entrée d'un dispositif adaptateur et répartiteur d'entrées multiples (AR), lesdits signaux pouvant être de nature différente et présenter un codage différent. Les M signaux codés sont répartis parmis les 2N entrées des chaînes fonctionnelles par le dispositif adaptateur et répartiteur d'entrées multiples (AR), ledit dispositif transformant au préalable les signaux codés reçus en des signaux de nature électrique si lesdits signaux codés reçus ne le sont pas déjà au départ. Lorsqu'une chaîne fonctionnelle reçoit en entrée deux signaux codés de provenance différente, ladite chaîne fonctionnelle est composée de deux décodeurs appropriés pour traiter lesdits signaux, lesdits décodeurs pouvant ne pas avoir le(s) même(s) code(s) d'identification comme paramètre, selon le codage utilisé pour lesdits signaux. Un dispositif adaptateur et répartiteur d'entrées multiples (AR) comportant M signaux codés en entrée peut être composé par M dispositif adaptateur et répartiteur d'entrée simple (ARI, i=1, M) comportant une seule entrée provenant d'un desdits signaux codés en entrée dudit dispositif adaptateur et répartiteur d'entrées multiples, et dont l'ensemble des sorties desdits dispositif adaptateur et répartiteur d'entrée simple est connecté aux 2N entrées des chaînes fonctionnelles. Evolution 7: Disjoncteurs à un seul aiguilleur Dans le schéma de base de la chaîne fonctionnelle (Cf Figure 4), il n'y a qu'un seul disjoncteur comportant deux aiguilleurs. II est possible d'envisager la réalisation d'un disjoncteur n'utilisant qu'un seul aiguilleur, de deux manières possibles: - un disjoncteur (Cf Figure 11) à deux entrées de signaux d'erreur (ErrcoM et ErrsuR) et comportant un seul aiguilleur, et où l'aiguilleur supprimé dans le schéma de base est remplacé par une connexion directe de sa borne commune à sa borne active. L'aiguilleur restant peut être situé indifféremment sur le trajet du signal de commande ou sur le trajet du retour dudit signal de commande, - deux disjoncteurs (Cf Figure 12), respectivement un pour les signaux de la voie commande et un pour ceux de la voie surveillance, ayant chacun en entrée un seul signal d'erreur, respectivement ErrcoM et ErrsuR, et comportant un seul aiguilleur permettant de connecter respectivement le signal de commande, et le retour du signal de commande, au dispositif de reconfiguration système. Selon l'invention, il en résulte de nombreuses réalisations dont seulement quelques unes sont décrites, en tant que schéma de principe, et à titre d'exemple pour bien montrer comment le dispositif de commande sécurisée tolérant aux pannes peut être réalisé. Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 présente un dispositif de commande sécurisée. La figure 2 décrit une architecture de système N-Duplex. La figure 3 présente le schéma global du dispositif de commande sécurisée tolérant aux pannes. La figure 4 décrit une chaîne fonctionnelle composant le dispositif de commande sécurisée tolérant aux pannes. La figure 5 décrit une chaîne fonctionnelle réalisée à partir d'une répartition différente des composants sur le trajet des signaux de commande. La figure 6 décrit une chaîne fonctionnelle ne comportant qu'un seul dispositif de surveillance de flux. La figure 7 décrit une chaîne fonctionnelle ne comportant qu'un seul interrupteur à deux entrées d'activation. La figure 8 décrit une chaîne fonctionnelle permettant de traiter des signaux de commande bidirectionnels. La figure 9 décrit une chaîne fonctionnelle comportant des interrupteurs supplémentaires. La figure 10 décrit un dispositif adaptateur et répartiteur d'entrées multiples. La figure 11 décrit une chaîne fonctionnelle comportant un disjoncteur à un seul aiguilleur, et deux entrées d'erreur. La figure 12 décrit une chaîne fonctionnelle comportant deux disjoncteurs à un seul aiguilleur et une entrée d'erreur. La figure 13 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature électrique série. La figure 14 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature électrique parallèle. La figure 15 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature magnétique. La figure 16 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature optique. La figure 17 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature électromagnétique. La figure 18 montre un dispositif adaptateur et répartiteur d'entrée pour des signaux codés de nature sonore. La figure 19 montre un dispositif de reconfiguration système pour des signaux de commande de nature électrique uni ou bidirectionnels. La figure 20 montre le schéma global d'un dispositif de reconfiguration système pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnels. La figure 21 décrit un piston actionné par des signaux de commande de nature hydraulique ou pneumatique unidirectionnels. La figure 22 décrit un dispositif de court-circuit de circulation du fluide pour des signaux de commande de nature hydraulique ou pneumatique unidirectionnels. La figure 23 décrit un piston actionné par des signaux de commande de nature hydraulique ou pneumatique bidirectionnels. La figure 24 décrit un dispositif de court-circuit de circulation du fluide pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels. La figure 25 montre un dispositif de reconfiguration système pour des signaux de commande de nature électrique uni ou bidirectionnels effectuant une action de marche I arrêt. La figure 26 montre un décodeur pour des signaux codés de nature électrique numérique série. La figure 27 montre un décodeur pour des signaux codés de nature électrique numérique parallèle. La figure 28 montre un décodeur pour des signaux codés de nature électrique analogique parallèle. La figure 29 montre un décodeur pour des signaux codés de nature électrique analogique série. La figure 30 montre un décodeur pour des signaux codés de nature magnétique. La figure 31 montre un décodeur pour des signaux codés de nature optique. La figure 32 montre un décodeur pour des signaux codés de nature électromagnétique. La figure 33 montre un décodeur pour des signaux codés de nature sonore. La figure 34 montre un interrupteur pour des signaux de commande de nature électrique. La figure 35 montre un interrupteur à deux entrées d'activation pour des signaux de commande de nature électrique. La figure 36 montre un interrupteur pour des signaux de commande de nature hydraulique ou pneumatique. La figure 37 montre un interrupteur à deux entrées d'activation pour des signaux de commande de nature hydraulique ou pneumatique. La figure 38 montre les dispositif de surveillance du flux par détection de passage, pour des signaux de commande de nature électrique uni ou bidirectionnels. La figure 39 montre les dispositif de surveillance du flux par mesure et comparaison, pour des signaux de commande de nature électrique uni ou bidirectionnels. La figure 40 montre les dispositif de surveillance du flux par détection de passage, pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnels. La figure 41 montre les dispositif de surveillance du flux par mesure et comparaison, pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnels. La figure 42 montre un dispositif de détection d'erreur. La figure 43 montre un disjoncteur pour des signaux de commande de nature électrique uni ou bidirectionnels. La figure 44 montre un disjoncteur à un seul aiguilleur et une seule entrée d'erreur pour des signaux de commande de nature électrique uni ou bidirectionnels. La figure 45 montre un disjoncteur pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnels. La figure 46 montre un disjoncteur à un seul aiguilleur et une seule entrée d'erreur pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnels. La figure 47 montre un dispositif de sélection du sens de circulation du signal de commande pour des signaux de commande de nature électrique. La figure 48 montre un dispositif de sélection du sens de circulation du signal de commande pour des signaux de commande de nature hydraulique ou pneumatique. La figure 49 montre un générateur de signaux magnétiques codés par impulsions continues. La figure 50 montre un décodeur de signaux magnétiques codés par impulsions continues et reçus par une bobine induite. La figure 51 montre la transmission des signaux magnétiques codés par impulsions continues entre la bobine inductrice du générateur et les bobines induites du récepteur. Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature électrique série (Cf Figure 13) peut être réalisé en reliant directement l'entrée (E) aux différentes sorties (EC" ES1, -1 N). Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature électrique parallèle (Cf Figure 14) peut être réalisé en reliant directement le bus en entrée (E) aux différentes sorties (EC" ESI, 1 N). Dans cette figure nous nous sommes limités à trois voies pour le bus en entrée, mais le nombre de voies peut être un nombre quelconque supérieur ou égal à un. Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature magnétique (Cf Figure 15) peut être réalisé à partir de plusieurs bobines induites (B), couplées en leur centre de manière magnétique, avec éventuellement un noyau ferromagnétique, de telle sorte que le champ reçu en entrée (E) soit diffusé dans chacune d'elles. L'entrée (E) est composée d'un champ magnétique pouvant provenir d'une bobine inductrice ou de la piste magnétique d'une carte. Les bobines induites (B) sont reliées par deux cables électriques aux différentes sorties (ECI, ES1, =1. N). Eventuellement des bobines induites peuvent être partagées entre plusieurs sorties. Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature optique (Cf Figure 16) peut être réalisé à partir de plusieurs phototransistors (T), répartis de telle sorte que le flux lumineux en entrée (E) soit reçu par chacun d'eux, avec éventuellement l'aide d'un dispositif optique. L'entrée (E) est composée d'un flux lumineux pouvant provenir d'une diode infrarouge. Les phototransistors (T) sont reliés par deux cables électriques aux différentes sorties (CECI, ES1, Hi N). Eventuellement des phototransistors peuvent être partagés entre plusieurs sorties. Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature électromagnétique (Cf Figure 17) peut être réalisé à partir de plusieurs antennes (A) recevant chacune le champ électromagnétique en entrée. L'entrée (E) est composée d'un champ électromagnétique provenant d'une antenne émettrice. Les antennes (A) sont reliées par un cable électrique aux différentes sorties (EC" ES",=, N). Eventuellement des antennes peuvent être partagées entre plusieurs sorties. Le dispositif adaptateur et répartiteur d'entrée (AR) pour des signaux codés de nature sonore (Cf Figure 18) peut être réalisé à partir de plusieurs microphones piézo-électriques (M) recevant chacun le champ sonore en entrée. L'entrée (E) est composée d'un champ sonore pouvant provenir d'un transducteur piézoelectrique. Les microphones piézo-électriques (M) sont reliés par deux cables électriques aux différentes sorties (EC" ES.., 1 N). Eventuellement des microphones piézo-électriques peuvent être partagés entre plusieurs sorties. Le dispositif de reconfiguration système (RS) pour des signaux de commande de nature électrique uni ou bidirectionnels (Cf Figure 19) peut être réalisé à partir de N sous-ensembles (ROSI, rl N) composés chacun par un moteur (M). Les moteurs sont tous couplés sur l'arbre de telle sorte que si l'un tourne l'arbre est entrainé. L'extrémité de l'arbre se termine par une vis-sans-fin permettant de déplacer linéairement le pêne (P) de la serrure. Chaque moteur a ses deux bornes de connexion reliées aux signaux de commande S et S' de la chaîne fonctionnelle le pilotant. Le dispositif de reconfiguration système (RS) pour des signaux de commande de nature hydraulique ou pneumatique unidirectionnels (Cf Figure 20) peut etre réalisé à partir de N pistons composés chacun d'un corps de piston (CP), d'une tige (T), et d'un cylindre (Cyl). Toutes les tiges des pistons sont reliées au pêne (P) de la serrure, ledit pêne se déplaçant sur des guides (G), de telle sorte que si l'un desdits pistons est actionné, le pene sera animé du même mouvement de translation linéaire. Chacun des pistons (Cf Figure 21) comporte trois tuyaux de connexion: El, E2, E3, et se trouve en position détendue grâce à un ressort (R) qui le maintient dans cette position tant que le fluide de commande n'agit pas sur le cylindre (Cyl). Lorsque le fluide agit sur le cylindre, en entrant par le tuyau de connexion El et en sortant par les tuyaux E2 et E3, la tige (T) se trouve repoussée vers le fond du corps du piston (CP) et le ressort (R) est comprimé. La sortie E2 permet de laisser circuler le fluide tout en maintenant le piston comprimé, et la sortie E3 permet au fluide de s'échapper lorsque le cylindre se trouve au niveau de la sortie E2. Si le dispositif de reconfiguration système était uniquement composé de tels pistons, il ne permettrait pas d'assurer l'action de déplacement du pêne en cas de défaillance d'une chaîne fonctionnelle, car ladite chaîne fonctionnelle ne faisant plus circuler le fluide de commande dans le piston qui lui est connecté, la tige dudit piston ne pourrait pas se déplacer vers le fond du corps dudit piston puisqu'il reste du fluide de commande entre le cylindre et le fond du corps dudit piston. II est donc nécessaire (Cf Figure 22) d'utiliser un dispositif permettant de courtcircuiter la circulation du fluide (CCF) de commande dans un piston lorsque ledit piston n'est plus actionné par la chaîne fonctionnelle le pilotant. Chaque sous-ensemble du dispositif de reconfiguration système est alors composé d'un dispositif de court-circuit de circulation du fluide, et d'un piston. Le dispositif de court-circuit de circulation du fluide de commande a: - en entrée: le signal de commande (S) provenant de la chaine fonctionnelle, et le retour du signal de commande (S') provenant des sorties E2 et E3 du piston, et, - en sortie: le retour du signal de commande (S') à destination de la chaîne fonctionnelle, et le signal de commande (S) vers l'entrée El du piston. Quand il n'y a pas de circulation du fluide de commande, le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) est repoussé vers l'avant par un ressort (R), et les canaux CA et CC sont reliés aux canaux CA' et CC'. Les canaux CA et CC sont reliés ensemble et les canaux CA' et CC' sont reliés respectivement à l'entrée El et aux sorties E2 et E3 du piston, de telle sorte que la circulation du fluide de commande soit possible dans ledit piston sous un déplacement du cylindre dudit piston suite à l'action d'une force extérieure. Quand il y a circulation de fluide de commande, le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) est repoussé vers l'arrière, et les canaux CA et CC ne sont plus reliés aux canaux CA' et CC', mais les canaux CB et CD sont reliés respectivement aux canaux CB' et CD', eux mêmes reliés respectivement à l'entrée El et aux sorties E2 et E3, permettant de ce fait au piston d'être actionné. Quand la circulation s'arrète, le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) est repoussé vers l'avant par le ressort (R) et le fuide peut circuler d'avant en arrière dudit cylindre à travers un tube (T) percé dans ledit cylindre, permettant de ce fait audit cylindre de recouvrir sa position initiale. Le tube est de petite dimension de telle sorte que la fuite qu'il engendre ne permette pas de géner la manoeuvre du cylindre. Le dispositif de reconfiguration système (RS) pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels peut être réalisé (Cf Figure 20) suivant le même principe que celui adopté pour des signaux de commande unidirectionnels. Chaque piston (Cf Figure 23) est composé d'un corps de piston (CP), d'une tige (T), d'un cylindre (Cyl), et de quatre tuyaux de connexion El, E2, E3, E4. Quand le fluide de commande agit sur le cylindre, en entrant par le tuyau de connexion El et en sortant par les tuyaux E2 et E3, la tige (T) se trouve repoussée vers le fond du corps du piston (CP). La sortie E2 permet de laisser circuler le fluide de commande tout en maintenant le piston comprimé, et la sortie E3 permet au fluide de commande de s'échapper lorsque le cylindre est au niveau de la sortie E2. Quand le fluide de commande agit sur le cylindre, en entrant par le tuyau de connexion E3 et en sortant par les tuyaux E4 et El, la tige (T) se trouve détendue. La sortie E4 permet de laisser circuler le fluide de commande tout en maintenant le piston détendu, et la sortie El permet au fluide de s'échapper lorsque le cylindre est au niveau de la sortie E4. Le dispositif de court-circuit de circulation du fluide (CCF) a (Cf Figure 24) quatre connexions vers le pistons (El, E2, E3, E4) et deux connexions vers la chaîne fonctionnelle pour les signaux de commande (S et S'). Quand il n'y a pas de circulation du fluide de commande, le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) de commande est maintenu au milieu du corps dudit dispositif de court-circuit de circulation du fluide par deux ressorts (R), et les canaux CC et CD sont reliés aux canaux CC' et CD'. Les canaux CC et CD sont reliés ensemble et les canaux CC' et CD' sont reliés respectivement aux connexions El et E3 du piston, de telle sorte que la circulation du fluide de commande soit possible dans ledit piston sous un déplacement du cylindre dudit piston suite à l'action d'une force extérieure. Quand il y a circulation de fluide de commande et quand le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) est repoussé vers la droite, les canaux CC et CD ne sont plus reliés aux canaux CC' et CD', mais les canaux CB, CE, et CF sont reliés respectivement aux canaux CB', CE', et CF', eux mêmes reliés respectivement à l'entrée El et aux sorties E3 et E2, permettant de ce fait au piston d'être actionné dans le sens où la tige se trouve repoussée vers le fond du corps dudit piston. Quand la circulation s'arrète, le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) se positionne de nouveau au milieu du corps dudit dispositif de court-circuit de circulation du fluide sous l'action des deux ressorts (R), et le fuide peut circuler de part et d'autre dudit cylindre à travers un tube (T) percé dans ledit cylindre, permettant de ce fait audit cylindre de recouvrir sa position initiale. Le tube (T) est de petite dimension de telle sorte que la fuite qu'il engendre ne permette pas de géner la manoeuvre du cylindre. Quand il y a circulation de fluide de commande et quand le cylindre (Cyl) du dispositif de court-circuit de circulation du fluide (CCF) est repoussé vers la gauche, les canaux CC et CD ne sont plus reliés aux canaux CC' et CD', mais les canaux CA, CB, et CF sont reliés respectivement aux canaux CA', CB', et CF', eux mêmes reliés respectivement aux sorties E4 et El et à l'entrée E3, permettant de ce fait au piston d'être actionné dans le sens où la tige se trouve détendue. Le dispositif de reconfiguration système (RS) pour des signaux de commande de nature électrique uni ou bidirectionnels (Cf Figure 25), et effectuant une action de marche / arrêt, peut être réalisé à partir d'un relais comportant une borne active (BA), une borne repos (bd), et une borne commune (BC), et d'un électro-aimant composé de N bobines (RSI, HI N) toutes couplées de telle sorte que si l'une est activée, la borne commune est reliée à la borne active, et lorsqu'elles sont toutes désactivées, la borne commune est reliée à la borne repos. Chaque bobine a ses deux bornes de connexion reliées aux signaux de commande S et S' de la chaîne fonctionnelle la pilotant. Le décodeur (D) pour des signaux codés de nature électrique numérique série (Cf Figure 26), peut être réalisé à partir d'un composant décodeur numérique série (OS) du commerce, comme par exemple le MM53200, et d'un circuit de temporisation (T), comme par exemple le Timer NE555. Le composant décodeur numérique série (DS) comporte une horloge basée sur un circuit RC externe et un code d'identification (C) sur 12 bits. Son entrée provient de l'entrée (E) du décodeur (D). Sa sortie, reliée au circuit de temporisation (T), passe à l'état bas lorsque le signal codé reçu en entrée est décodé et reconnu conforme au code d'identification (C). Pour pouvoir accepter plusieurs codes d'identification, une des solutions consiste à utiliser plusieurs composants décodeur numérique série, comportant chacun un code d'identification à reconnaitre, lesdits composants décodeur numérique série ayant leurs entrées communes, et leurs sorties reliées aux entrées d'une porte "ET" dont la sortie est reliée à l'entrée du circuit de temporisation. Le circuit de temporisation (T) comporte un circuit RC externe permettant de définir la durée de la marche. Son entrée provient de la sortie du composant décodeur numérique série (DS). Sa sortie, reliée à la sortie (SD) du décodeur (D), est activée pendant un temps défini par son circuit RC, lorsque son entr La sortie de la porte "NON-ET" (Nand) est mise en entrée du circuit de temporisation (T) décrit précédemment, la sortie dudit circuit de temporisation étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que le signal du bus en entrée (E) est conforme au code d'identification (C). *Pour pouvoir accepter plusieurs codes d'identification, une des solutions consiste à dupliquer et mettre en parallèle autant de fois la structure composée des portes "OU Exclusif', des inverseurs, et de la porte "NON-ET', que de codes d'identification à reconnaitre, et où les entrées desdites portes "OU Exclusif' des différentes structures sont mises en commun, et où les sorties desdites structures sont reliées aux entrées d'une porte "ET" dont la sortie est reliée à l'entrée du circuit de temporisation. Dans cette figure nous nous sommes limités à trois voies pour le bus en entrée, mais le nombre de voies peut être un nombre quelconque supérieur ou égal à un. Le décodeur (D) pour des signaux codés de nature électrique analogique parallèle (Cf Figure 28), peut être réalisé à partir de comparateurs à seuil (CS) comparant chacun le signal d'une voie du bus en entrée (E) dudit décodeur, à une des tensions composant le code d'identification (C), lesdits comparateurs à seuil ayant une sortie à l'état haut si ledit signal a une valeur égale à celle de ladite tension, à un coéfficient d'érreur près (e), et à l'état bas sinon. Un comparateur à seuil (CS) est réalisé à partir de deux amplificateurs opérationnels (Aopl et Aop2) et d'une porte "ET" (And). L'entrée du comparateur à seuil est mise sur l'entrée "+" d'un premier amplificateur opérationnel (Aopl) et sur l'entrée "-" d'un second (Aop2), et la sortie de la porte "ET' (And) est la sortie dudit comparateur à seuil. Le premier amplificateur opérationnel (Aopl) compare l'entrée en "+" à une tension appelée tension minimum en "-", et lorsque ladite entrée est supérieure à ladite tension minimum, la sortie dudit premier amplificateur opérationnel est à l'état haut, et à l'état bas Si non. Le second amplificateur opérationnel (Aop2) compare l'entrée en "-" à une tension appelée tension maximum en "+", et lorsque ladite entrée est inférieure à ladite tension maximum, la sortie dudit second amplificateur opérationnel est à l'état haut, et à l'état bas sinon. Le sorties des deux amplificateurs opérationnels sont mises en entrée d'une porte "ET", de telle sorte que la sortie de ladite porte "ET" soit à l'état haut quand ses deux entrées le sont également, c'est à dire quand l'entrée du comparateur à seuil est comprise entre la tension minimum et la tension maximum. Dans le cas du décodeur pour des signaux codés de nature électrique analogique parallèle l'écart entre la tension minimum et maximum représente l'erreur maximum tolérée (+/-g). Les sorties des comparateurs à seuil sont mises en entrée d'une porte "NON-ET' (Nand), de telle sorte que la sortie de ladite porte "NON-ET" soit à l'état haut quand l'une quelconque de ses entrées est à l'état bas, reflètant ainsi une différence entre le signal reçu par le bus en entrée (E) et le code d'identification (C). Quand le signal reçu par le bus en entrée (E) est conforme au code d'identification (C), c'est à dire que la valeur du signal de chaque voie dudit bus en entrée et égale à un seuil près à chaque tension composant ledit code d'identification, la sortie de chaque comparateur à seuil est à l'état haut, et par conséquent fait passer la sortie de la porte "NON-ET" (Nand) à l'état bas. La sortie de la porte "NON-ET' (Nand) est mise en entrée du circuit de temporisation (T) décrit précédemment, la sortie dudit circuit de temporisation étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que le signal du bus en entrée (E) est conforme au code d'identification (C). Pour pouvoir accepter plusieurs codes d'identification, une des solutions consiste à dupliquer et mettre en parallèle autant de fois la structure composée des comparateurs à seuil et de la porte "NON-ET', que de codes d'identification à reconnaitre, et où les entrées desdits comparateurs à seuil des différentes structures sont mises en commun, et où les sorties desdites structures sont reliées aux entrées d'une porte "ET" dont la sortie est reliée à l'entrée du circuit de temporisation. Dans cette figure nous nous sommes limités à trois voies pour le bus en entrée, mais le nombre de voies peut être un nombre quelconque supérieur ou égal à un. Le décodeur (D) pour des signaux codés de nature électrique analogique série (Cf Figure 29), analyse une entrée (E) composée d'une série de plusieurs (3 pour l'exempie) valeurs analogiques (V1, V2, V3) stables pendant un certain temps, et séparées par un passage à la tension nulle. L'entrée (E) du décodeur (D) est transmise en entrée de quatre comparateurs à seuil (CS1, CS2, CS3, CS4). Les trois premiers comparateurs à seuil (CS1, CS2, CS3) permettent de comparer le signal en entrée à leur tension de référence (V1, V2, V3) composant le code d'identification (C), et quand il y a authentification du code reçu, la sortie desdits comparateurs à seuil passe à l'état haut. Chaque sortie des trois premiers comparateurs à seuil est mise en entrée d'une porte "ET' (And) dont l'autre entrée provient d'un registre à décallage (RD), de telle sorte que quand ledit registre à décallage active l'une de ses sorties (Q1, Q2, Q3), la sortie de l'un desdits comparateurs à seuil soit transmise en sortie de ladite porte "ET' puis filtrée par un filtre RC (FRC) afin de confirmer le niveau de tension pendant un certain temps, puis est transmise en entrée "Set" (S) d'une bascule RS (RS). Les sorties des trois bascules RS sont mises en entrée d'une porte "NON-ET' (Nand), de telle sorte que quand toutes lesdites bascules RS ont une sortie à l'état haut, c'est à dire que la valeur du signal en entrée était conforme à celle du comparateur à seuil au moment ou le registre à décallage autorisait le passage de la sortie dudit comparateur à seuil, ladite porte "NON-ET" (Nand) passe à l'état bas. La sortie de la porte "NON-ET" (Nand) est mise en entrée du circuit de temporisation (T) décrit précédemment, la sortie dudit circuit de temporisation étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que le signal en entrée (E) est conforme au code d'identification (C). Le quatrième comparateur à seuil (CS4) permet de commander le registre à décallage (RD) en fonction des passages à zéro du signal en entrée (E). La sortie du quatrième coparateur à seuil (CS4) est inversée par un inverseur (envi) dont la sortie est mise en entrée: - de l'horloge (Clock) du registre à décallage (RD), - d'un deuxième inverseur (lnv2), et, - d'un filtre RC comportant une diode (D2) pour décharger la capacité quand la sortie dudit premier inverseur passe à l'état bas. Le deuxième inverseur (lnv2) est nécessaire pour avoir l'état de sortie du comparateur à seuil (CS4) et introduire un léger retard par rapport à l'horloge (Clock) du registre à décallage, de telle sorte que la diode (D1) décharge la capacité qui, par l'intermédiaire d'un amplificateur non-inverseur (Ninv), est en entrée donnée (Data) dudit registre à décallage, afin de ne plus présenter de niveau haut en entrée dudit registre à décallage de telle sorte que ledit registre à décallage présente succéssivement en sortie Q1, Q2, et Q3 un état haut. La sortie de l'amplificateur non-inverseur (Ninv) est également en entrée d'un circuit CR qui est connecté en entrée (01) d'une porte "OU" (Or) effectuant le reset du registre à décallage (RD) et de toutes les bascules RS (RS), quand l'entrée donnée (Data) repasse de nouveau à l'état haut, c'est à dire lorsque le passage à zéro de l'entrée (E) est effectif pendant un certain temps. L'autre entrée de la porte "OU" (02) est reliée à un filtre RC alimenté par l'entrée de l'horloge (Clock) du registre à décallage, de telle sorte que si la durée entre deux impulsions est trop longue, la porte "OU" effectue également une remise à zéro du registre à décallage (RD) et de toutes les bascules RS (RS). Pour pouvoir accepter plusieurs codes d'identification, une des solutions consiste à dupliquer et mettre en parallèle autant de fois la structure entre l'entrée et le circuit de temporisation, que de codes d'identification à reconnaitre, et où les entrées des différentes structures sont mises en commun, et où les sorties desdites structures sont reliées aux entrées d'une porte "ET' dont la sortie est reliée à l'entrée du circuit de temporisation. Dans cette figure nous nous sommes limités à trois valeurs analogiques, mais le nombre peut être un nombre quelconque supérieur ou égal à un. Le décodeur (D) pour des signaux codés de nature magnétique (Cf Figure 30), analyse une entrée (E) résultant de la transformation en signal électrique d'une série d'impulsions magnétiques continues par le dispositif adaptateur et répartiteur d'entrée pour des signaux de nature magnétique décrit précédemment, ladite entrée comportant un premier pic lorsque le front montant de l'impulsion magnétique est perçu par la bobine induite et un second pic de tension opposé au premier lorsque le front descendant de l'impulsion magnétique est perçu par ladite bobine, le sens de la polarité desdits pics dépend du sens relatif de la bobine induite dudit dispositif adaptateur et répartiteur d'entrée par rapport au champ magnétique reçu. Le signal reçu en entrée, composé d'une impulsion positive suivie d'une impulsion négative, est amplifié par un premier amplificateur opérationnel (Aopl) dont la sortie est mise en entrée de deux amplificateurs opérationnels (Aop2 et Aop3) montés en comparateur permettant de détecter respectivement l'impulsion positive et l'impulsion négative. Le comparateur de détection de l'impulsion positive (Aop2) compare la sortie de l'amplificateur (Aopl) à un niveau de tension appelé Vmax au delà duquel l'impulsion positive est reconnue, et ledit comparateur génère un état haut sur l'entrée "Set" (S) d'une bascule RS (RS), ladite bascule générant en sortie une marche. Le comparateur de détection de l'impulsion négative (Aop3) compare la sortie de l'amplificateur (Aopl) à un niveau de tension appelé Vmin en dessous duquel l'impulsion négative est reconnue, et ledit comparateur génère un état haut sur l'entrée "Reset" (R) d'une bascule "RS" (RS), faisant passer la sortie de ladite bascule à l'état bas, de telle sorte que la sortie de ladite bascule soit le reflet exact de l'impulsion magnétique initiale reçue en entrée du dispositif adaptateur et répartiteur d'entrée. La sortie de la bascule "RS" (RS) est mise en entrée du décodeur (DNS) pour des signaux codés de nature électrique numérique série décrit précédemment, la sortie dudit décodeur pour des signaux codés de nature électrique numérique série étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que la série d'impulsions numériques correspondant aux impulsions magnétiques continues initiales, et reconstituée à partir du signal reçu en entrée (E) est conforme au code d'identification (C). Le décodeur (D) pour des signaux codés de nature optique (Cf Figure 31), reçoit en entrée (E) les connexions de collecteur et d'émetteur provenant d'un phototransistor du dispositif adaptateur et répartiteur d'entrée pour des signaux de nature optique décrit précédemment. Le collecteur du phototransistor est relié à la fois à une resistance mise au +Vcc, et à l'entrée "-" d'un amplificateur opérationnel (Aop) monté en comparateur dont l'entrée "+" est mise à une tension de référence (Vref), et l'émetteur dudit phototransistor est relié à la masse. Quand le phototransistor n'est pas éclairé, il ne transmet pas de courant et la tension en entrée "-" de l'amplificateur opérationnel (Aop) est supérieure à la tension de référence en entrée "+", et de ce fait, la sortie dudit amplificateur opérationnel est à l'état bas. Quand le phototransistor est éclairé, il transmet du courant et la tension en entrée "-" de l'amplificateur opérationnel (Aop) est inférieure à la tension de référence en entrée "+", et de ce fait, la sortie dudit amplificateur opérationnel est à l'état haut. L'amplificateur opérationnel (Aop) génère ainsi des impulsions éléctriques correspondant aux impulsions lumineuses initiales. La sortie de l'amplificateur opérationnel (Aop) est mise en entrée du décodeur (DNS) pour des signaux codés de nature électrique numérique série décrit précédemment, la sortie dudit décodeur pour des signaux codés de nature électrique numérique série étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que la série d'impulsions numériques correspondant aux impulsions lumineuses initiales, et reconstituée à partir du signal reçu en entrée (E) est conforme au code d'identification (C). Le décodeur (D) pour des signaux codés de nature électromagnétique (Cf Figure 32), reçoit en entrée (E) la connexion d'une antenne du dispositif adaptateur et répartiteur d'entrée pour des signaux de nature électromagnétique décrit précédemment. Nous décrivons dans ce qui suit la réalisation d'un récepteur HF pour des signaux émis modulés en amplitude en tout-ou-rien, c'est à dire que l'absence d'émission HF est traduite par un "0" et la présence d'émission HF par un "1". L'entrée (E) est connectée à une bobine d'accord d'antenne (TrI) reliée à un modulateur équilibré (Mod), comme par exemple le composant S042P, qui effectue le changement de fréquence et délivre la fréquence intermédiaire en entrée de deux étages à transistors (T1 et T2) à émetteurs non découplés et reliés par des transformateurs de liaison (Tr2, Tr3, et Tr4). La détection est effectuée par le transitor (T3) dont la base est amenée juste au seuil de conduction par la diode (D1) polarisée en sens direct, permettant ainsi que toute émission HF soit détectée. En l'absence d'émission HF, la tension au collecteur du transistor (T3) est mise au potentiel +Vcc, et en présence d'émission HF à la masse. La tension au collecteur du transistor (T3) est ensuite filtrée par un circuit RC éliminant les traces de la fréquence intermédiaire, puis transmise à un amplificateur non-inverseur (Ninv) qui génère en sortie des impulsions éléctriques correspondant à la présence ou l'absence d'émission HF. La tension au collecteur du transistor (T3) est également mise en entrée des bases des transistors d'entrée (T1 et T2) de telle sorte que lesdits transistors soient d'autant moins polarisés et donc moins sensibles que le signal HF détecté est fort. La sortie de l'amplificateur non-inverseur (Ninv) est mise en entrée du décodeur (DNS) pour des signaux codés de nature électrique numérique série décrit précédemment, la sortie dudit décodeur pour des signaux codés de nature électrique numérique série étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que la série d'impulsions numériques correspondant aux émissions HF initiales, et reconstituée à partir du signal reçu en entrée (E) est conforme au code d'identification (C). Le décodeur (D) pour des signaux codés de nature sonore (Cf Figure 33), reçoit en entrée (E) les connexions d'un microphone piézo-électrique provenant du dispositif adaptateur et répartiteur d'entrée pour des signaux de nature sonore décrit précédemment. La composante alternative de l'entrée, correspondant à des fréquences sonores appartenant à la bande passante du microphone piézo-électrique, est directement amplifiée par un premier amplificateur opérationnel (Aopl) dont la sortie est intégrée puis mise en entrée "+" d'un second amplificateur opérationnel (Aop2) monté en comparateur et dont l'entrée "-" est mise à une tension de référence (Vref). Quand la tension en sortie du premier amplificateur opérationnel (Aopl), après intégration, est inférieure à la tension de référence du second amplificateur opérationnel (Aop2), la sortie dudit second amplificateur opérationnel est à l'état bas. Quand la tension en sortie du premier amplificateur opérationnel (Aopl), après intégration, est supérieure à la tension de référence du second amplificateur opérationnel (Aop2), la sortie dudit second amplificateur opérationnel est à l'état haut. Le second amplificateur opérationnel (Aop2) génère ainsi des impulsions éléctriques correspondant aux impulsions sonores initiales. La sortie du second amplificateur opérationnel (Aop2) est mise en entrée du décodeur (DNS) pour des signaux codés de nature électrique numérique série décrit précédemment, la sortie dudit décodeur pour des signaux codés de nature électrique numérique série étant ensuite transmise en sortie (SD) du décodeur (D), de telle sorte que ladite sortie dudit décodeur devienne active pendant un certain temps dès que la série d'impulsions numériques correspondant aux impulsions sonores initiales, et reconstituée à partir du signal reçu en entrée (E) est conforme au code d'identification (C). L'interrupteur (I) pour des signaux de commande de nature électrique (Cf Figure 34), reçoit en entrée un signal de commande (S/S') et un signal d'activation (SD), correspondant à la sortie du décodeur, et transmet en sortie ledit signal de commande losque ledit signal d'activation est actif. Quand le signal d'activation (SD) est à l'état bas, le transistor (T) est bloqué, et le relais (R) n'est pas activé et par conséquent, la borne commune (BC) dudit relais n'est pas reliée à la borne active (BA) dudit relais, et le signal (SIS') n'est pas transmis. Quand le signal d'activation (SD) est à l'état haut, le transistor (T) est passant, et le relais (R) est activé et par conséquent, la borne commune (BC) dudit relais est reliée à la borne active (BA) dudit relais, et le signal (S/S') est transmis. L'interrupteur (IcoMssuR), à deux entrées d'activation, pour des signaux de commande de nature électrique (Cf Figure 35), reçoit en entrée un signal de commande (S/S') et deux signaux d'activation (SOcoM, et SDsuR), correspondant à la sortie des décodeurs (DCOM, et DSUR), et transmet en sortie ledit signal de commande losque lesdit signaux d'activation sont actifs. Quand le signal d'activation (SDcoM) (respectivement SDsuR) est à l'état bas, le transistor (T1) (respectivement T2) est bloqué, et le relais (R) n'est pas activé et par conséquent, la borne commune (BC) dudit relais n'est pas reliée à la borne active (BA) dudit relais, et le signal (S/S') n'est pas transmis. Quand les signaux d'activation (SOcoM, et SDsuR) sont à l'état haut, les transistors (T1 et T2) sont passants, et le relais (R) est activé et par conséquent, la borne commune (BC) dudit relais est reliée à la borne active (BA) dudit relais, et le signal (S/S') est transmis. L'interrupteur (I) pour des signaux de commande de nature hydraulique ou pneumatique (Cf Figure 36), reçoit en entrée un signal de commande (SIS') et un signal d'activation (SD), correspondant à la sortie du décodeur, et transmet en sortie ledit signal de commande losque ledit signal d'activation est actif. Quand le signal d'activation (SD) est à l'état bas, le transistor (T) est bloqué, et 'électrovalve (EV) n'est pas activée et par conséquent le cylindre (Cyl) n'est pas attiré par la bobine (B) mais maintenu en haut de ladite électrovalve par un ressort (R), et le signal (SIS') n'est pas transmis. Quand le signal d'activation (SD) est à l'état haut, le transistor (T) est passant, et l'électrovalve (EV) est activée et par conséquent le cylindre (Cyl) est attiré par la bobine (B), et le signal (SIS') est transmis à travers un canal dans ledit cylindre. L'interrupteur (IcoMssuR), à deux entrées d'activation, pour des signaux de commande de nature hydraulique ou pneumatique (Cf Figure 37), reçoit en entrée un signal de commande (S/S') et deux signaux d'activation (SOco, et SDsuR), correspondant à la sortie des décodeurs (dus, et DUR), et transmet en sortie ledit signal de commande losque ledit signal d'activation est actif. Quand le signal d'activation (SDco) (respectivement SDsuR) est à l'état bas, le transistor (T1) (respectivement T2) est bloqué, et l'électrovalve (EV) n'est pas activée et par conséquent le cylindre (Cyl) n'est pas attiré par la bobine (B) mais maintenu en haut de ladite électrovalve par un ressort (R), et le signal (S/S') n'est pas transmis. Quand les signaux d'activation (SDcoM, et SDSUR) sont à l'état haut, les transistors (T1 et T2) sont passants, et l'électrovalve (EV) est activée et par conséquent le cylindre (Cyl) est attiré par la bobine (B), et le signal (S/S') est transmis à travers un canal dans ledit cylindre. Le dispositif de surveillance du flux (Cf Figure 38), par détection de passage, pour des signaux de commande de nature électrique uni (SFcoM, pour la voie commande, et SFsuR, pour la voie surveillance) ou bidirectionnels (SF pour la voie commande ou surveillance), reçoit en entrée un signal de commande (respectivement S, S', ou S/S'), et fournit en sortie ledit signal de commande et un signal reflètant l'état du flux (respectivement EFcoM. EFsuR ,ou EF) dudit signal de commande. Lorsque le signal de commande ne circule pas à travers le dispositif de surveillance du flux (SFcoM, et SFsuR), la diode (D) n'est pas parcourue par un courant, et le transistor (T) est bloqué, et par conséquent, la tension au collecteur dudit transistor est l'état bas ou l'état haut pour respectivement le dispositif de surveillance du flux SFcoM et SFsuR. Lorsque le signal de commande circule à travers le dispositif de surveillance du flux (SFcoM, et SFsuR), la diode (D) est parcourue par un courant, et la chute de tension à ses bornes rend passant le transistor (T), et par conséquent, la tension au collecteur dudit transistor est l'état haut ou l'état bas pour respectivement le dispositif de surveillance du flux SFcoM et SFsuR. Pour avoir la même tension de référence, les masses des signaux de commande et des dispositifs de surveillance du flux sont reliées. Pour le dispositif de surveillance du flux SFoe, adapté pour des signaux à potentiel positif, la tension du collecteur dudit transistor est transmise en sortie (EFcoM) par l'intermédiaire d'un amplificateur non-inverseur (Ninv). Pour le dispositif de surveillance du flux SFsuR, adapté pour des signaux à potentiel bas, la tension du collecteur dudit transistor est transmise en sortie (EFs;JR) par l'intermédiaire d'un inverseur (Inv), de telle sorte qu'un état haut corresponde à la circulation du signal de commande, et un état bas à l'absence de circulation. Le dispositif de surveillance du flux pour des signaux de commande de nature électrique bidirectionnels (SF) est composé à partir des deux dispositifs de surveillance du flux (SFcoM, et SFsuR) décrits précédemment, où l'entrée S est reliée à la sortie S' et la sortie S à l'entrée S', et où la sortie (EF) dudit dispositif de surveillance du flux pour des signaux de commande de nature électrique bidirectionnels est réalisée par une porte "OU" ayant en entrée les sorties respectives (EFcoM, et EFsUR) desdits dispositifs de surveillance du flux ainsi assemblés. Le dispositif de surveillance du flux (Cf Figure 39), par mesure et comparaison, pour des signaux de commande de nature électrique uni (SFcoM, pour la voie commande, et SFsuR, pour la voie surveillance) ou bidirectionnels (SF pour la voie commande ou surveillance), reçoit en entrée un signal de commande (respectivement S, S', ou S/S'), et fournit en sortie ledit signal de commande et un signal reflètant l'état du flux (respectivement EFcoM. EFsuR ,ou EF) dudit signal de commande. Lorsque le signal de commande ne circule pas à travers le dispositif de surveillance du flux (SFcoM, et SFsuR), la diode (D) n'est pas parcourue par un courant, et le transistor (T) est bloqué, et par conséquent, la tension au collecteur dudit transistor est l'état bas ou l'état haut pour respectivement le dispositif de surveillance du flux SFcoM et SFsuR. Lorsque le signal de commande circule à travers le dispositif de surveillance du flux (SFcoM, et SFsuR), la resistance (R) et la diode (D) sont parcourues par un courant, et la chute de tension à leurs bornes étant proportionnelle audit courant circulant rend plus ou moins passant le transistor (T), et par conséquent, la tension au collecteur dudit transistor est proportionnelle audit courant, et va croissant ou décroissant pour respectivement le dispositif de surveillance du flux SFcoM et SFsuR. La tension au collecteur du transistor est ensuite mise en entrée d'un comparateur à seuil de telle sorte que lorsque ladite tension est comprise entre deux valeurs (V1 et V2) la sortie dudit comparateur est à l'état haut, sinon à l'état bas, ladite sortie dudit comparateur est ensuite mise en sortie du dispositif de surveillance du flux. Pour avoir la même tension de référence, les masses des signaux de commande et des dispositifs de surveillance du flux sont reliées. Le dispositif de surveillance du flux pour des signaux de commande de nature électrique bidirectionnels (SF) est composé à partir des deux dispositifs de surveillance du flux (SFcoM, et SFsuR) décrits précédemment, où l'entrée S est reliée à la sortie S' et la sortie S à l'entrée S', et où la sortie (EF) dudit dispositif de surveillance du flux pour des signaux de commande de nature électrique bidirectionnels est réalisée par une porte "OU" ayant en entrée les sorties respectives (EFCOM, et EF5uR) desdits dispositifs de surveillance du flux ainsi assemblés. Le dispositif de surveillance du flux (Cf Figure 40), par détection de passage, pour des signaux de commande de nature hydraulique ou pneumatique uni (SFcoMM pour la voie commande ou la voie surveillance) ou bidirectionnels (SF), reçoit en entrée un signal de commande (S/S'), et fournit en sortie ledit signal de commande et un signal reflètant l'état du flux (respectivement EFCOM,ISUR, ou EF) dudit signal de commande. Lorsque le signal de commande ne circule pas à travers le dispositif de surveillance du flux (SFcowsuR), la valve (V) est obstruée par un cylindre (Cyl) poussé par un ressort (R), et par conséquent la tige (T), solidaire dudit cylindre, ne peut pas établir le contact entre les bornes électrique A et A', et la sortie (EFcoMI5uR) dudit dispositif de surveillance du flux qui est reliée à la fois à la borne A' et à la masse par l'intermédiaire d'une résistance, est à l'état bas. Lorsque le signal de commande circule à travers le dispositif de surveillance du flux (SFcoeR), le cylindre pression dudit signal de commande, et par conséquent la tige (T) peut établir le contact entre les bornes électrique A et A', et la sortie (EFcXsuR) dudit dispositif de surveillance du flux est reliée au +Vcc par l'intermédiaire de la borne A qui y est directement connectée. Le dispositif de surveillance du flux pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels (SF) est composé à partir de deux dispositifs de surveillance du flux (SFcXsuR) décrits précédemment, où l'entrée d'une première valve est reliée à la sortie d'une seconde valve et la sortie de ladite première valve est reliée à l'entrée de ladite seconde valve, et où la sortie (EF) dudit dispositif de surveillance du flux pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels est réalisée par une porte "OU" ayant en entrée les deux sorties (EFcXsuR) desdits dispositifs de surveillance du flux ainsi assemblés. Le dispositif de surveillance du flux (Cf Figure 41), par mesure et comparaison, pour des signaux de commande de nature hydraulique ou pneumatique uni (SFcoM/suR pour la voie commande ou la voie surveillance) ou bidirectionnels (SF), reçoit en entrée un signal de commande (S/S'), et foumit en sortie ledit signal de commande et un signal reflètant l'état du flux (respectivement EFCOMISUR, ou EF) dudit signal de commande. Lorsque le signal de commande ne circule pas à travers le dispositif de surveillance du flux (SF R), la valve (V) est obstruée par un cylindre (Cyl) poussé par un ressort (R), et par conséquent la tige (T), solidaire dudit cylindre, ne peut pas établir le contact entre les bornes électrique A et A', et B et B'. La sortie (EFcoMtsuR) du dispositif de surveillance du flux est réalisé par une porte "ET" (And) ayant en entrée la borne A' reliée à la masse et l'inverse (Inv) de la borne B' également reliée à la masse, de telle sorte que lorsqu'il n'y a pas contact entre A et A', ladite sortie soit à l'état bas, lorsqu'il y a contact entre A et A', ladite sortie soit à l'état haut, et lorsqu'il y a contact entre A et A' et B et B', ladite sortie soit à l'état bas. Lorsque la pression du signal de commande est modérée, la tige (T) peut établir le contact entre les bornes électrique A et A', et par conséquent la sortie du dispositif de surveillance du flux est à l'état haut, et lorsque la pression dudit signal de commande est trop élevée, la tige (T) est repoussée plus au fond de la valve (V) et établit le contact entre les bornes électrique A et A' et B et B', et par conséquent la sortie du dispositif de surveillance du flux est à l'état bas. Le dispositif de surveillance du flux pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels (SF) est composé à partir de deux dispositifs de surveillance du flux (SFcoYsuR) décrits précédemment, où l'entrée d'une première valve est reliée à la sortie d'une seconde valve et la sortie de ladite première valve est reliée à l'entrée de ladite seconde valve, et où la sortie (EF) dudit dispositif de surveillance du flux pour des signaux de commande de nature hydraulique ou pneumatique bidirectionnels est réalisée par une porte "OU" ayant en entrée les deux sorties (EFcXsuR) desdits dispositifs de surveillance du flux ainsi assemblés. Le dispositif de détection d'erreur (Cf Figure 42) est composé à partir d'une porte "OU Exclusif' (Xor) ayant en entrée le signal d'authentification (SD) du signal codé, provenant du décodeur, et le signal d'état du flux (EF) du signal de commande, provenant du dispositif de surveillance du flux, de telle sorte que lorsqu'il y a identité entre les deux signaux en entrée de ladite porte, la sortie de ladite porte soit à l'état bas, et sinon à l'état haut. La sortie du dispositif de détection d'erreur (Err) provient de la porte "OU Exclusif' (Xor) qui est filtrée par un filtre RC afin d'éliminer des erreurs transitoires. Le disjoncteur (Cf Figure 43) pour des signaux de commande de nature électrique uni ou bidirectionnel reçoit en entrée deux signaux de commande (S/S'), et deux signaux d'erreur (Err et ErrsuR), et transmet en sortie les deux signaux de commande reçus en entrée tant qu'aucun desdits signaux d'erreur n'est actif. La transmission des deux signaux de commande (S/S') est effectuée par deux relais (R1 et R2) dont les bobines sont en parallèle, de telle sorte qu'ils soient tous les deux activés ou tous les deux désactivés, en fonction de l'état du transistor (T1) qui pilote le potentiel positif, et du transistor (T2) qui pilote la masse. Les deux transistors sont initialement passants, et sont activés par deux bascules "RS" (RS1 et RS2), où la première (RS1) est initialisée à l'état bas, permettant au transistor (T1) de transmettre le potentiel positif aux bobines des relais, et où la seconde (RS2) est initialisée à l'état haut, permettant au transistor (T2) de connecter lesdites bobines à la masse. Le réarmement du disjoncteur consiste à réinitialiser les deux bascules "RS". La première bascule "RS" (RS1) reçoit en entrée un signal d'erreur (ErrcoM) sur l'entrée "Set" (S) de telle sorte que si ledit signal d'erreur est actif, la sortie de ladite bascule passe à l'état haut, et par conséquent bloque le transistor (T1) et de ce fait inactive les relais (R1 et R2). La seconde bascule "RS" (RS2) reçoit en entrée un signal d'erreur (ErrsuR) sur l'entrée "Reset" (R) de telle sorte que si ledit signal d'erreur est actif, la sortie de ladite bascule passe à l'état bas, et par conséquent bloque le transistor (T2) et de ce fait inactive les relais (R1 et R2). Le disjoncteur (Cf Figure 44), à un seul aiguilleur et une seule entrée d'erreur, pour des signaux de commande de nature électrique uni ou bidirectionnel reçoit en entrée un signal de commande (S/S'), et un signal d'erreur (Err), et transmet en sortie ledit signal de commande reçu en entrée tant que ledit signal d'erreur n'est pas actif. Le fonctionnement de ce disjoncteur est identique au précédent (Cf Figure 43), à la différence que la bascule (RS1) et le transistor associé (T1) sont supprimés et remplacés par une connexion directe de la bobine de l'unique relais au +Vcc. Le disjoncteur (Cf Figure 45) pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnel reçoit en entrée deux signaux de commande (S/S'), et deux signaux d'erreur (ErrcOM et ErrsuR), et transmet en sortie le deux signaux de commande reçus en entrée tant qu'aucun desdits signaux d'erreur n'est actif. La transmission des deux signaux de commande (S/S') est effectuée par deux électrovalves (EV1 et EV2) dont les bobines sont en parallèle, de telle sorte qu'elles soient toutes les deux activées ou toutes les deux désactivées, en fonction de l'état du transistor (T1) qui pilote le potentiel positif, et du transistor (T2) qui pilote la masse. Le fonctionnement est identique à celui de la figure 43. Le disjoncteur (Cf Figure 46), à un seul aiguilleur et une seule entrée d'erreur, pour des signaux de commande de nature hydraulique ou pneumatique uni ou bidirectionnel reçoit en entrée un signal de commande (S/S'), et un signal d'erreur (Err), et transmet en sortie ledit signal de commande reçu en entrée tant que ledit signal d'erreur n'est pas actif. Le fonctionnement de ce disjoncteur est identique au précédent (Cf Figure 45), à la différence que la bascule (RS1) et le transistor associé (T1) sont supprimés et remplacés par une connexion directe de la bobine de l'unique électrovalve au +Vcc. Le dispositif de sélection du sens de circulation du signal de commande (Cf Figure 47) pour des signaux de commande de nature électrique reçoit en entrée: le signal de commande (S) provenant d'un générateur, le retour du signal de commande (S') vers un récepteur, et le signal d'authentification (SD) du signal codé, et transmet en sortie l'un de ses deux signaux de commande (S/S'). La transmission des signaux de commande s'effectue par un relais (R) dont la bobine est activée par un transistor (T), ledit transistor étant piloté par une bascule "D" montée en diviseur, de telle sorte que la sortie (Q) de ladite bascule "D" change d'état lors de chaque front montant de son horloge (Clock), c'est à dire lors de chaque front descendant du signal d'authentification (SD) relié à ladite horloge par un inverseur (Inv). Le dispositif de sélection du sens de circulation du signal de commande change ainsi de sens de circulation après chaque authentification du signal codé reçu en entrée du décodeur. Quand la sortie de la bascule "D" est à l'état haut, le relais est activé et connecte la borne commune (bd), reliée à la sortie (S/S') du dispositif de sélection du sens de circulation, à la borne active (BA), et quand ladite sortie de ladite bascule est à l'état bas, ladite borne commune est reliée à la borne repos (bd). Le dispositif de sélection du sens de circulation du signal de commande de la voie commande (SScoM) a son signal de commande (S) relié à la borne repos (BR) du relais (R), et son retour du signal de commande (S') relié à la bome active (BA) dudit relais. Le dispositif de sélection du sens de circulation du signal de commande de la voie surveillance (SSSUR) a son signal de commande (S) relié à la borne active (BA) du relais (R), et son retour du signal de commande (S') relié à la borne repos (BR) dudit relais. Le dispositif de sélection du sens de circulation du signal de commande (Cf Figure 48) pour des signaux de commande de nature hydraulique ou pneumatique reçoit en entrée: le signal de commande (S) provenant d'un générateur, le retour du signal de commande (S') vers un récepteur, et le signal d'authentification (SD) du signal codé, et transmet en sortie l'un des deux signaux de commande (SIS'). La transmission des signaux de commande s'effectue par une électrovanne (EV) dont la bobine est activée par un transistor (T), ledit transistor étant piloté par une bascule "D" montée en diviseur, de telle sorte que la sortie (Q) de ladite bascule "D" change d'état lors de chaque front montant de son horloge (Clock), c'est à dire lors de chaque front descendant du signal d'authentification (SD) relié à ladite horloge par un inverseur (Inv). Le dispositif de sélection du sens de circulation du signal de commande change ainsi de sens de circulation après chaque authentification du signal codé reçu en entrée du décodeur. Le fonctionnement est identique à celui de la figure 47. Nous avons décrit dans ce qui précède, le fonctionnement global d'un dispositif de commande sécurisé tolérant aux pannes, dont nous allons donner maintenant une application pratique. Une clé électronique à induction fiable et inviolable fonctionnant par transmission d'impulsions magnétiques continues entre un générateur et un récepteur peut être réalisée selon l'architecture du dispositif de commande sécurisé tolérant aux pannes. Habituellement les composants codeur / décodeur de signaux numériques série du commerce, comme le MM53200, qui servent de base à la réalisation de générateurs et de récepteurs de signaux codés, n'offrent que peu de combinaisons possibles (par exemple 4096 combinaisons pour 12 bits de code), ce qui est trop faible vu l'application envisagée. Pour augmenter le nombre de combinaisons possibles, nous décrivons dans ce qui suit le principe de doublage du nombre de bits de code permettant d'élever au carré les combinaisons possibles (soit plus de 16 millions) d'un composant codeur I décodeur du commerce que nous appliquons à la réalisation d'une clé électronique à induction fiable et inviolable. Le composant codeur du commerce a les caractéristiques suivantes: - un certain nombre de connexions (les bits du code), à relier à la masse selon le codage désiré, - une sortie composée d'implusions numériques codées en largeur et en fréquence. Le composant décodeur du commerce a les caractéristiques suivantes: - un certain nombre de connexions (les bits du code), à relier à la masse selon le codage désiré, - une entrée composée d'une série d'impulsions numériques - une sortie qui est à l'état haut tant qu'aucune série d'implusions numériques reçue en entrée n'est reconnue conforme au code, ladite sortie passant un temps bref à l'état bas lorsque la conformité est établie. Le circuit codeur (CS) (Cf Figure 49) a chacune de ses connexions de codage reliées à deux diodes dans le sens passant, I'autre extrémité de la première diode est reliée à une première ligne (L1), et l'autre extrémité de la seconde diode est reliée à une seconde ligne (L2), lesdites lignes étant succéssivement reliées à la masse par l'intermédiaire d'un circuit astable (A), réalisé par exemple avec un Timer NE555, de telle sorte que ladite première ligne soit reliée à la masse alors que ladite seconde ligne est reliée au potentiel +Vcc, pendant un certain temps, afin que ledit circuit codeur puisse émettre sont premier code (C1), puis ladite première ligne est reliée au potentiel +Vcc alors que ladite seconde ligne est reliée à la masse, pendant un certain temps, afin que ledit circuit codeur puisse émettre sont second code (C2), lesdites lignes étant en opposition de potentiel par l'intermédiaire d'un inverseur (Inv). Le circuit codeur émet ainsi deux mots successifs indépendants. La sortie du circuit codeur (CS) est reliée en entrée d'un transistor (T) qui est passant quand la sortie dudit circuit codeur est à l'état haut, et bloqué quand la sortie dudit circuit codeur est à l'état bas. Quand le transistor (T) est passant, la bobine inductrice (B) génère en sortie (S) un champ magnétique, et quand ledit transistor est bloqué la génération du champ magnétique est interrompue. La diode (D) permet de court circuiter le courant de retour de la bobine. Le générateur (G) génère ainsi des impulsions magnétiques de largeur égale aux impulsions numériques du circuit codeur (CS). Le récepteur de signaux codés par impulsions magnétiques continues est compose: - d'un dispositif adaptateur et répartiteur d'entrée (Cf Figure 15) dans lequel les bobines sont entrelacées, c'est à dire qu'elles sont toutes bobinées ensemble, - d'un dispositif de reconfiguration système (Cf Figure 19) composé de moteurs déplaçant le pêne dans la serrure - de chaînes fonctionnelles (Cf Figure 8) Chaque chaîne fonctionnelle est composée de: - deux décodeurs, décrits ci-après - deux interrupteurs (Cf Figure 34) - deux dispositifs de surveillance du flux (Cf Figure 38) - deux dispositifs de détection d'erreur (Cf Figure 42) - un disjoncteur (Cf Figure 43) - deux dispositifs de sélection du sens de circulation du signal de commande (Cf Figure 47) L'interface d'entrée du décodeur (Cf Figure 30) permet de générer une série d'impulsions numériques reflètant les impulsions magnétiques initiales. Le circuit décodeur (DS) (Cf Figure 50) a également chacune de ses connexions de codage reliée à deux diodes dans le sens passant, I'autre extrémité de la première diode est reliée à une première ligne (L1), et l'autre extrémité de la seconde diode est reliée à une seconde ligne (L2), lesdites lignes étant succéssivement reliées à la masse par l'intermédiaire d'une bascule "D" (D) montée en diviseur. La sortie (Q) de la bascule "D" est reliée à la première ligne (L1), et la sortie inverse (Qbarre) de ladite bascule à la seconde ligne (L2), ladite sortie inverse est également reliée à l'entrée donnée (D) de ladite bascule "D", de telle sorte que lors d'un front montant ladite sortie de ladite bascule change d'état. La sortie (Q) de la bascule "D" (D) est initialisée à l'état bas par un circuit RC relié à l'entrée "Reset" (R) de ladite bascule, ladite entrée "Reset" étant également reliée à un autre circuit RC alimenté par la sortie (Q) de ladite bascule de telle sorte que ladite entrée "Reset" soit activée après que ladite sortie de ladite bascule soit passée à l'état haut pendant un certain temps, afin d'éviter de rester trop longtemp dans cet état. Tant que le circuit décodeur (DS) n'a pas authentifié le premier code d'identification (C1), correspondant à la mise à la masse de la ligne (LI), la sortie (SDS) dudit décodeur est à l'état haut, et la bascule "D" (D) reste dans l'état initial. Quand le circuit décodeur (DS) a authentifié le premier code d'identification (C1), la sortie (SDS) dudit décodeur passe un certain temps à l'état bas, et la bascule "D" (D) change d'état lors du front montant, et de ce fait relie maintenant la ligne (L2) à la masse mettant ainsi ledit circuit décodeur en attente du second code d'identification (C2). La sortie (SDS) du décodeur (DS) est inversée par un inverseur (Inv) et mise en entrée d'une porte "NON-ET" (Nand), I'autre entrée de ladite porte provient de la sortie (Q) de la bascule "D", de telle sorte que la sortie de ladite porte "NON-ET' soit à l'état haut et passe à l'état bas quand la sortie dudit décodeur est à l'état bas et quand la sortie de ladite bascule "D" est à l'état haut, correspondant à la reconnaissance du second code d'identification (C2), le premier code d'identification (C1) ayant déjà été reconnu puisque ladite bascule a changé d'état. La sortie de la porte "NON-ET" (Nand) est ensuite filtrée avant d'être mise en entrée du circuit de temporisation (T) décrit précédemment, dont la sortie est reliée à la sortie (sud) du décodeur complet (Decod). Le circuit décodeur complet (Decod) est ainsi apte à recevoir successivement les deux codes d'identification (C1 et C2). La transmission (Cf Figure 51) du signal codé de nature magnétique est effectuée entre la bobine inductrice (B1) d'un générateur dudit signal et plusieurs bobines induites (82), composant un dispositif adaptateur et répartiteur d'entrée, lesdites bobines étant coaxiales (c.a.d. mises en série sur le même axe), ou concentriques (c.a.d. la bobine 1 est entourée par la bobine 2, la bobine 2 par la bobine 3, ...), ou entrelacées (c.a.d. les bobines sont bobinées en même temps), et pouvant éventuellement comporter un noyau ferromagnétique. Les bobines induites (B2) sont fixées derrière une cloison (C) de tout type de matériaux (bois, plâtre, brique, béton, métal, ...), la bobine inductrice devant être placée approximativement en face desdites bobines induites afin de transmettre le signal codé de nature magnétique. Revendications 1) Dispositif de Commande Sécurisée Tolérant aux Pannes (Cf Figure 3), ayant en entrée un signal codé (E) de nature électrique, série ou parallèle, numérique ou analogique, magnétique, optique, électromagnétique, ou sonore, et générant en sortie une action consistant en une commande d'actionneur, d'ouverture I fermeture, de marche / arrêt, caractérisé en ce qu'il comporte: - un dispositif adaptateur et répartiteur d'entrée (AR), ayant en entrée ledit signal codé, et générant en sortie 2N signaux identiques de nature électrique, série ou parallèle, numérique ou analogique, vers N chaînes fonctionnelles recevant chacune deux desdits signaux. Si ledit signal codé est de nature électrique, ledit dispositif répartit ledit signal codé dans chacune des sorties, sinon ledit dispositif transforme à l'aide de capteurs appropriés ledit signal codé en des signaux également codés mais de nature électrique, et répartit lesdits signaux codés dans chacune des sorties. - N (N supérieur ou égal à un) chaînes fonctionnelles identiques en parallèle (CF,, 1-1 N), ayant chacune: a) en entrée: - deux signaux codés (EC. et ES,) provenant du dispositif adaptateur et répartiteur d'entrée, et, - un retour de signal (S',) provenant du sous-ensemble (R S1) du dispositif de reconfiguration système directement connecté à ladite chaîne fonctionnelle, ledit retour de signal étant consécutif au signal de commande (Sl) provenant de ladite chaîne fonctionnelle, et ledit retour de signal résultant de la circulation dudit signal de commande à travers ledit sousensemble, b) en sortie: un signal de commande (St)à destination dudit sous-ensemble du dispositif de reconfiguration système, ledit signal de commande étant de nature électrique, hydraulique, ou pneumatique. La chaîne fonctionnelle autorise la circulation dudit signal de commande et dudit retour de signal afin d'actionner ledit sous-ensemble du dispositif de reconfiguration système, si et seulement si les deux signaux codés (EC1 et ES,) reçus en entrée sont reconnus conformes. - un dispositif de reconfiguration système (RS) décomposé en N sous-ensembles (R51, 1 N) ayant chacun en entrée le signal de commande (S,) provenant de la chaîne fonctionnelle (CFI) directement connectée audit sous-ensemble, et en sortie le retour de signal (S',) à destination de ladite chaîne fonctionnelle. Les N sous-ensembles du dispositif de reconfiguration système sont couplés ensemble de telle sorte que si l'un quelconque desdits sous-ensembles en reçoit l'ordre, par ia circulation du signal de commande et du retour de signal, ledit sous-ensemble est capable d'effectuer à lui seul ladite action que les autres sousensembles en aient reçu l'ordre ou non. La chaîne fonctionnelle est caractérisée en ce qu'elle comporte (Cf Figure 4): - une voie commande (COM) ayant en entrée l'un desdits signaux codés (EC), et fournissant en sortie: un signal d'authentification (SDcoM) dudit signal codé, et le signal de commande (S). Ladite voie commande active ledit signal d'authentification et autorise la circulation dudit signal de commande lorsque ledit signal codé est reconnu conforme. Ladite voie commande est composée d'un décodeur et d'un interrupteur ayant les caractéristiques suivantes: -- le décodeur (DCOM) reçoit en entrée ledit signal codé, et foumit en sortie le signal d'authentification (SDcoM) dudit signal codé, ledit signal d'authentification devenant actif pendant un certain temps si ledit signal codé est reconnu conforme au code, ou à l'un des codes d'identification (C) internes. -- I'interrupteur (IcoM) reçoit en entrée: le signal d'authentification (SDcoM) provenant dudit décodeur, et le signal de commande (S) généré en interne de ladite voie commande ou provenant de l'extérieur, et transmet en sortie ledit signal de commande tant que ledit signal d'authentification est actif. - une voie surveillance (SUR) ayant en entrée: I'autre signal codé (ES), et le retour du signal de commande (S'), et fournissant en sortie un signal d'authentification (SDsuR) dudit signal codé. Ladite voie surveillance active ledit signal d'authentification et autorise la circulation dudit retour du signal de commande lorsque ledit signal codé est reconnu conforme au code, ou à l'un des codes d'identification (C) internes. Ladite voie surveillance est composée d'un décodeur et d'un interrupteur ayant les caractéristiques suivantes: -- le décodeur (DSUR) reçoit en entrée ledit signal codé, et fournit en sortie le signal d'authentification (SDsuR) dudit signal codé, ledit signal d'authentification devenant actif pendant un certain temps, identique à celui de la voie commande, si ledit signal codé est reconnu conforme. -- l'interrupteur (ISUR) reçoit en entrée: le signal d'authentification (SDsuR) provenant dudit décodeur, et le retour du signal de commande (S') provenant du dispositif de confinement d'erreur (CE), et transmet en sortie ledit retour du signal de commande vers un récepteur approprié, ledit recepteur étant en interne de la voie surveillance, ou éventuellement à l'extérieur, tant que ledit signal d'authentification est actif. - un dispositif de confinement d'erreur (CE), ayant: a) en entrée: -- le signal d'authentification (SDcoM) du signal codé reçu par la voie commande, ledit signal d'authentification provenant du décodeur (DCOM) de ladite voie, -- le signal d'authentification (SDsuR) du signal codé reçu par la voie surveillance, ledit signal d'authentification provenant du décodeur (DSUR) de ladite voie, -- le signal de commande (S) provenant de l'interrupteur (IcoM) de la voie commande, -- le retour du signal de commande (S') provenant du dispositif de reconfiguration système, et, b) en sortie: - le signal de commande (S) vers le dispositif de reconfiguration système, - le retour du signal de commande (S') vers l'interrupteur (ISUR) de la voie surveillance. Le dispositif de confinement d'erreur remplit deux fonctions: il commande le dispositif de reconfiguration système lorsque la voie commande et la voie surveillance le décident, et il isole la chaîne fonctionnelle du reste du système s'il y a une défaillance caractérisée par une divergence entre lesdites voies. Le dispositif de confinement d'erreur est composé de: -- un dispositif de surveillance du flux (SFcoM) du signal de commande (S) provenant de l'interrupteur (lCoM) de la voie commande, ayant en entrée ledit signal à surveiller, et fournissant en sortie ledit signal à surveiller, et un signal reflètant l'état du flux (EFcoM) dudit signal à surveiller. La surveillance du flux du signal en entrée consiste: soit en une détection du passage dudit signal en entrée, où le signal reflètant l'état du flux dudit signal en entrée passe à l'état actif tant que ledit signal en entrée circule à travers ledit dispositif de surveillance du flux, soit en une mesure dudit signal en entrée et une comparaison de la valeur mesurée à un ou des intervalles de valeurs autorisées, où le signal reflètant l'état du flux dudit signal en entrée passe à l'état actif tant que ledit signal en entrée a une valeur comprise dans le ou les intervalles de valeurs autorisées. -- un dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande, ayant en entrée le signal d'authentification (SDcoM) du signal codé reçu par ladite voie, ledit signal d'authentification provenant du décodeur (DCOM) de ladite voie, et le signal reflétant l'état du flux (EFcoM) du signal de commande (S), ledit signal d'état provenant du dispositif de surveillance du flux (SFcoM) dudit signal de commande de ladite voie, et fournissant en sortie un signal d'erreur (ErrcoM) à destination du disjoncteur (Disj). Le dispositif de détection d'erreur pour les signaux provenant de la voie commande active son signal d'erreur quand les signaux d'entrée sont en désaccord, c'est à dire quand l'un est actif et l'autre non. Avantageusement des moyens de temporisation sont utilisés pour filtrer des erreurs transitoires avant d'actionner le disjoncteur. -- un Disjoncteur (Disj), ayant: a) en entrée: - le signal d'erreur (ErrcoM) provenant du dispositif de détection d'erreur (DEcoM) pour les signaux provenant de la voie commande, - le signal d'erreur (ErrsuR) provenant du dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance, - le signal de commande (S) provenant du dispositif de surveillance du flux (SFcoM) de la voie commande, ledit signal étant connecté à la borne active (BA1) d'un premier aiguilleur, - un signal de commande de secours (Ssec), de même nature que le signal de commande, provenant d'un générateur de secours, ledit signal de commande de secours étant connecté à la borne repos (BR1) dudit premier aiguilleur, - le retour du signal de commande (S') provenant du dispositif de reconfiguration système (RS), ledit signal étant connecté à la borne commune (8C2) d'un second aiguilleur, et, b) en sortie: - le signal de commande (S) vers le dispositif de reconfiguration système (RS), ledit signal étant connecté à la borne commune (BC1) dudit premier aiguilleur, - le retour du signal de commande (S'), à destination du dispositif de surveillance du flux (SFsuR) de la voie surveillance, ledit signal étant connecté à la borne active (BA2) dudit second aiguilleur,- un retour du signal de commande de secours (S'sec), de même nature que le retour du signal de commande, à destination d'un recepteur de secours, ledit signal étant connecté à la borne repos (BR2) dudit second aiguilleur. Le générateur de secours (respectivement le récepteur de secours) foumit le signal de commande de secours (respectivement le retour du signal de commande de secours) lorsque toutes les chaînes fonctionnelles sont déconnectées afin d'effectuer une action de secours, comme par exemple l'ouverture dans le cas d'un système d'ouverture / fermeture, ledit générateur (respectivement récepteur) pouvant être interne ou exteme audit système. Le disjoncteur est composé de deux aiguilleurs commandés de la même manière, c'est à dire qu'ils sont tous activés ou tous désactivés. Un aiguilleur dispose d'une borne commune, d'une borne active, et d'une borne repos. Le signal appliqué sur la borne commune est connecté à la borne active (respectivement repos) lorsque l'aiguilleur est activé (respectivement désactivé). Initialement, les aiguilleurs sont activés et restent dans cet état jusqu'à ce qu'ils soient désactivés lorsqu'un signal d'erreur (ErrcoM ou ErrsuR) est actif en entrée dudit disjoncteur. Une fois désactivés, les aiguilleurs restent dans cet état jusqu'à ce que ledit disjoncteur soit réarmé pour que lesdits aiguilleurs soient de nouveau actifs. Avantageusement, le disjoncteur peut comporter des signaux d'erreur supplémentaires en entrée, par exemple pour ajouter d'autres dispositifs de détection d'erreur dans la chaîne fonctionnelle, ou des aiguilleurs supplémentaires, véhiculant des signaux de même nature que le signal de commande ou de nature différente, par exemple pour gérer les connexions du générateur de secours et du récepteur de secours, ou bien pour mettre en marche / arrêt un dispositif annexe. -- un dispositif de surveillance du flux (SFsuR) du retour du signal de commande (S') provenant du disjoncteur (Disj), ayant en entrée ledit signal à surveiller, et fournissant en sortie ledit signal à surveiller, et un signal reflètant l'état du flux (EFsuR) dudit signal à surveiller. La surveillance du flux du signal en entrée consiste: soit en une détection du passage dudit signal en entrée, où le signal reflètant l'état du flux dudit signal en entrée passe à l'état actif tant que ledit signal en entrée circule à travers ledit dispositif de surveillance du flux, soit en une mesure dudit signal en entrée et une comparaison de la valeur mesurée à un ou des intervalles de valeurs autorisées, où le signal reflètant l'état du flux dudit signal en entrée passe à l'état actif tant que ledit signal en entrée a une valeur comprise dans le ou les intervalles de valeurs autorisées. -- un dispositif de détection d'erreur (DEsuR) pour les signaux provenant de la voie surveillance, ayant en entrée le signal d'authentification (SDsuR) du signal codé reçu par ladite voie, ledit signal d'authentification provenant du décodeur (DSUR) de ladite voie, et le signal reflètant l'état du flux (EFsuR) du retour du signal de commande (S'), ledit signal d'état provenant du dispositif de surveillance du flux (SFsuR) dudit retour du signal de commande de ladite voie, et fournissant en sortie un signal d'erreur (ErrsuR) à destination du disjoncteur (Disj). Le dispositif de détection d'erreur pour les signaux provenant de la voie surveillance active son signal d'erreur lorsque les signaux d'entrée sont en désaccord, c'est à dire que l'un est actif et l'autre non. Avantageusement des moyens de temporisation sont utilisés pour filtrer des erreurs transitoires avant d'actionner le disjoncteur. 2) Dispositif de Commande Sécurisé Tolérant aux Pannes selon la revendication 1, dans lequel les constituants suivants de la chaîne fonctionnelle: les interrupteurs, les dispositifs de surveillance du flux, et le disjoncteur, peuvent être disposés sur les trajets du signal de commande et du retour dudit signal de commande selon toute permutation possible desdits constituants (par exemple: Cf Figure 5). 3) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 et 2, dans lequel (Cf Figure 6) les deux dispositifs de surveillance du flux de la chaîne fonctionnelle peuvent être regroupés en un seul situé indifféremment sur le trajet du signal de commande ou du retour dudit signal de commande. 4) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 à 3, dans lequel (Cf Figure 7) les deux interrupteurs de la chaîne fonctionnelle peuvent être regroupés en un seul situé indifféremment sur le trajet du signal de commande ou du- retour dudit signal de commande. 5) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 à 4, dans lequel (Cf Figure 8) la circulation du signal de commande peut s'effectuer dans les deux sens, en remplaçant dans la chaîne fonctionnelle la connexion directe du générateur du signal de commande à l'interrupteur de la voie commande, et la connexion directe du récepteur du retour dudit signal de commande à l'interrupteur de la voie surveillance, par deux dispositifs de sélection du sens de circulation du signal de commande. 6) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 à 5, dans lequel (Cf Figure 9) les voies commande et surveillance de la chaîne fonctionnelle commandent chacune un interrupteur supplémentaire, la répartition de tous les interrupteurs dans ladite chaîne fonctionnelle étant telle qu'il y ait un interrupteur de la voie commande et un interrupteur de la voie surveillance, ou en regroupant les deux en un, sur le trajet du signal de commande, et un interrupteur de la voie commande et un interrupteur de la voie surveillance, ou en regroupant les deux en un, sur le trajet du retour dudit signal de commande. 7) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 à 6, dans lequel il y a plusieurs signaux codés en entrée dudit dispositif, lesdits signaux pouvant être de nature différente ou présenter un codage différent, et lesdits signaux codés étant répartis entre les chaines fonctionnelles par un dispositif adaptateur et répartiteur d'entrées multiples (Cf Figure 10). 8) Dispositif de Commande Sécurisé Tolérant aux Pannes selon les revendications 1 à 7, dans lequel le disjoncteur est remplacé par un ou des disjoncteurs ne comportant qu'un seul aiguilleur de la manière suivante: - un disjoncteur à deux entrées de signaux d'erreur (Cf Figure 11) situé indifféremment sur le trajet du signal de commande ou du retour dudit signal de commande, I'autre trajet (respectivement retour dudit signal de commande ou signal de commande) étant connecté directement. - deux disjoncteurs (Cf Figure 12), I'un sur le trajet du signal de commande l'autre sur le trajet du retour dudit signal de commande, et comportant en entrée un seul signal d'erreur.