Brevet FR2818871A1 — publié le 20020628

L'invention concerne le domaine des systèmes de commande d'un interrupteur à deux états. L'interrupteur est commandé par plusieurs sources redondantes, c'est-à-dire par plusieurs sources véhiculant toutes la même information destinée à commander l'interrupteur, c'est-à-dire à forcer l'interrupteur dans un état ou dans l'autre. La présence de sources redondantes augmente la fiabilité du système de commande de l'interrupteur. Les deux états alternatifs possibles de l'interrupteur sont l'état activé et l'état par défaut pouvant correspondre, selon les types d'interrupteur et leur disposition, respectivement aux états fermé et ouvert de l'interrupteur ou bien vice-versa. L'état par défaut est l'état dans lequel on veut que l'interrupteur soit forcé en cas de panne de toutes les sources redondantes de commande ; l'état par défaut est généralement l'état de l'interrupteur qui est le moins grave pour le fonctionnement de l'appareil électrique commandé par ledit interrupteur. Le système de commande d'interrupteur à deux états s'applique notamment aux disjoncteurs pour appareils électriques aéronautiques. Les sources redondantes sont de préférence des microcontrôleurs. Il n'existe pas, à la connaissance de la Déposante, d'art antérieur concernant la façon de gérer une panne parmi une ou plusieurs sources redondantes d'un système de commande d'un interrupteur à deux états. Un problème qui peut se présenter est que la panne d'une ou de plusieurs, mais pas de toutes, sources redondantes, perturbe totalement le fonctionnement du système de commande de l'interrupteur à deux états, problème que l'invention se propose de résoudre. Le type de panne considérée est un type de panne qui bloque la sortie de la source dans un état stable, que ce soit l'état haut ou l'état bas ; le type de panne résultant en un contenu erratique de la sortie de la source, type de panne plus rare, n'est pas l'objet de l'invention. Une première solution, non revendiquée, consiste à utiliser un microcontrôleur supplémentaire, qui examine l'état de sortie de chacun des microcontrôleurs sources lesquels émettent un code particulier distinct pour chacun des états alternatifs possibles de l'interrupteur, et qui ne considère pas le signal de commande du ou des microcontrôleurs sources en panne. Un premier inconvénient de cette première solution est que la fiabilité d'un microcontrôleur, quoique bonne, n'est pas excellente et de plus n'est pas meilleure que celle de n'importe lequel des microcontrôleurs sources. Un deuxième inconvénient est que l'introduction d'un nouveau microcontrôleur dans un système préexistant, notamment dans le domaine aéronautique, nécessite l'introduction d'un logiciel supplémentaire et donc l'établissement d'une certification supplémentaire, ce qui rend complexe et coûteuse la conception du système de commande de l'interrupteur à deux états. Une deuxième solution, revendiquée, consiste à utiliser, dans le système de commande de l'interrupteur à deux états, un dispositif de gestion de panne dont la fonction est de permettre aux sources redondantes de commande qui ne sont pas en panne de garder le contrôle de l'interrupteur ainsi que de forcer l'interrupteur à l'état par défaut dans le cas où toutes les sources redondantes de commande sont en panne. Pour cela, le dispositif de gestion de panne effectue principalement deux types d'opérations sur les signaux qui le traversent en allant des sources redondantes de commande jusqu'à l'interrupteur à deux états, traitement de signal et sélection de signaux. Les deux ordres dans lesquels le dispositif de gestion de panne peut effectuer ces deux types d'opération, plutôt d'abord le traitement puis la sélection ou bien plutôt d'abord la sélection puis le traitement, correspondent respectivement à deux familles de dispositifs de gestion de panne, ayant chacune leurs avantages et inconvénients. L'invention revendique d'une part le système de commande d'interrupteur à deux états par plusieurs sources redondantes utilisant la gestion de panne conforme à la deuxième solution, et d'autre part chacune des deux familles de dispositif de gestion de panne conformes à la deuxième solution. Selon l'invention, il est prévu un système de commande d'un interrupteur à deux états, activé ou par défaut, par plusieurs sources redondantes, comprenant plusieurs sources redondantes et un dispositif de gestion de panne, chaque source pouvant, soit commander l'interrupteur à l'état par défaut, par l'émission d'un signal stable soit dans un état haut soit dans un état bas, soit commander l'interrupteur à l'état activé, par l'émission d'un signal comportant, au cours d'un intervalle de temps donné, au moins un front montant ou descendant entre états haut et bas, le dispositif de gestion de panne comportant une sortie destinée à être reliée à l'interrupteur et plusieurs entrées destinées à être respectivement reliées aux sources, étant uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, le dispositif de gestion de panne et les sources redondantes étant structurés et disposés de manière à ce que, d'une part, lorsqu'une ou plusieurs sources ne sont pas en panne les bloquant soit dans l'état haut soit dans l'état bas, celles-ci gardent le contrôle de l'interrupteur, et d'autre part, lorsque toutes les sources sont en panne les bloquant chacune soit dans l'état haut soit dans l'état bas, le dispositif de gestion de panne force l'interrupteur à l'état par défaut. Selon l'invention, il est aussi prévu un dispositif de gestion de panne d'un système de commande d'un interrupteur à deux états, activé ou par défaut, par plusieurs sources redondantes, le dispositif de gestion de panne comportant une sortie destinée à être reliée à l'interrupteur et plusieurs entrées destinées à être respectivement reliées aux sources, caractérisé en ce que le dispositif de gestion de panne est uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, et en ce que le dispositif de gestion de panne est structuré de manière à pouvoir en permanence, d'une part, en cas de détection, au cours d'un intervalle de temps donné, sur au moins une des entrées, d'au moins un front montant ou descendant entre états haut et bas, forcer l'interrupteur à l'état activé, et d'autre part, en cas d'absence, au cours dudit intervalle de temps donné, sur toutes les entrées, de front montant ou descendant entre états haut et bas, forcer l'interrupteur à l'état par défaut. Selon l'invention, il est encore prévu un dispositif de gestion de panne d'un système de commande d'un interrupteur à deux états, activé ou par défaut, par deux sources redondantes, le dispositif de gestion de panne comportant une sortie destinée à être reliée à l'interrupteur et deux entrées destinées à être respectivement reliées aux deux sources, caractérisé en ce que le dispositif de gestion de panne est uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, et en ce que le dispositif de gestion de panne comporte d'une part un bloc logique ayant deux entrées respectivement reliées aux deux entrées du dispositif de gestion de panne et une sortie et d'autre part un bloc d'évaluation ayant une entrée reliée à la sortie du bloc logique et une sortie reliée à la sortie du dispositif de gestion de panne, le bloc logique étant structuré de manière à pouvoir réaliser une fonction OU EXCLUSIF, le bloc d'évaluation étant structuré de manière à pouvoir en permanence, d'une part, en cas de détection, au cours d'un intervalle de temps donné, sur son entrée. d'au moins un front montant ou descendant entre états haut et bas, forcer l'interrupteur à l'état activé, et d'autre part, en cas d'absence, au cours dudit intervalle de temps donné, sur son entrée, de front montant ou descendant entre états haut et bas, forcer l'interrupteur à l'état par défaut. L'invention sera mieux comprise et d'autres particularités et avantages apparaîtront à l'aide de la description ci-après et des dessins joints, donnés à titre d'exemples, où : - la figure 1 représente schématiquement un exemple d'une première variante de dispositif de gestion de panne inclus dans un système de commande d'un interrupteur à deux états par plusieurs sources redondantes selon l'invention ; - la figure 2 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes en phase ; - la figure 3 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes en opposition de phase ; - la figure 4 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes présentant un déphasage quelconque ; - les figures 5,6 et 7 représentent schématiquement respectivement des exemples d'une deuxième, d'une troisième et d'une quatrième autres variantes de dispositif de gestion de panne inclus dans un système de commande d'un interrupteur à deux états par plusieurs sources redondantes selon l'invention ; - la figure 8 représente schématiquement le circuit électronique correspondant à la variante préférentielle de dispositif de gestion de panne représentée à la figure 7. Le système de commande, selon l'invention, d'un interrupteur à deux états, activé ou par défaut, par plusieurs sources redondantes, comprend plusieurs sources redondantes et un dispositif de gestion de panne. Chacune des sources redondantes de commande peut, soit commander l'interrupteur à l'état par défaut, par l'émission d'un signal stable soit dans un état haut soit dans un état bas, soit commander l'interrupteur à l'état activé, par l'émission d'un signal comportant, au cours d'un intervalle de temps donné, au moins un front montant ou descendant entre états haut et bas. Par exemple, ladite source commande l'interrupteur à l'état par défaut par l'intermédiaire d'un signal constamment à 0 ou bien constamment à 1 , tandis que ladite source commande l'interrupteur à l'état activé par l'intermédiaire d'un signal périodique de type PWM (signifiant pulse width modulation en terminologie anglo-saxonne). Le dispositif de gestion de panne comporte une sortie et plusieurs entrées. Chacune des entrées du dispositif de gestion de panne est reliée à l'une des sources. La sortie du dispositif de gestion de panne est destinée à être reliée à l'interrupteur commandé. Dans l'hypothèse où le système de commande selon l'invention aurait à commander plusieurs interrupteurs lesquels obéiraient alors tous au même signal de commande, le système de commande peut posséder soit une sortie distribuée entre les différents interrupteurs soit plusieurs sorties véhiculant le même signal d'une sortie à l'autre, chacune de ses sorties commandant alors l'un desdits interrupteurs, soit encore une combinaison des deux possibilités précédentes. Le dispositif de gestion de panne est uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, ceci afin d'améliorer d'un facteur important la fiabilité globale du système de commande. La classe desdits composants de meilleure fiabilité comprend notamment, les portes logiques, les capacités, les résistances, les connexions électriques, les amplificateurs opérationnels, les transistors, les diodes. La classe desdits composants de meilleure fiabilité exclut notamment, les calculateurs, les microcontrôleurs, les composants comportant une horloge. A titre d'exemple, les composants inclus dans la classe des composants de meilleure fiabilité ont une fiabilité généralement environ cent fois supérieure à celle des composants exclus de ladite classe. Le dispositif de gestion de panne et les sources redondantes sont structurés et disposés de manière à pouvoir remplir deux fonctions. La première fonction consiste à permettre, lorsqu'une ou plusieurs sources ne sont pas en panne les bloquant soit dans l'état haut soit dans l'état bas, à celles-ci de garder le contrôle de l'interrupteur. Ainsi toutes les sources qui présentent une panne les bloquant dans un état stable, que ce soit l'état haut ou l'état bas, perdent le contrôle de l'interrupteur. Par conséquent, tant que l'une des sources redondantes fonctionne correctement, celle-ci garde le contrôle de l'interrupteur, ce qui augmente beaucoup la fiabilité du système de commande selon l'invention ; en effet, tant qu'une source fonctionne correctement, le système de commande tout entier fonctionne correctement. La deuxième fonction consiste à forcer l'interrupteur à l'état par défaut, lorsque toutes les sources sont en panne les bloquant chacune soit dans l'état haut soit dans l'état bas. Lorsque toutes les sources sont soit en panne les bloquant dans un état stable, soit en état de fonctionnement correct et commandant l'interrupteur à l'état par défaut, le dispositif de gestion de panne considère que toutes les sources sont en panne et force l'interrupteur à l'état par défaut, ce qui n'est pas gênant puisque cela correspond à la commande véhiculée par les sources en état de fonctionnement correct, à savoir forcer l'interrupteur à l'état par défaut. Un autre avantage du système de commande selon l'invention est que les différentes sources redondantes de commande n'ont pas besoin d'être synchronisées entre elles pour permettre un fonctionnement correct du système de commande, ce qui simplifie ledit système de commande. Le système de commande selon l'invention permet également de choisir l'état par défaut de l'interrupteur, c'est-à-dire l'état dans lequel l'interrupteur est censé être forcé lorsque toutes les sources redondantes de commande sont en panne. L'état par défaut de l'interrupteur dépend de la logique de commande de l'interrupteur et du type de dispositif commandé par ledit interrupteur. En effet, selon la logique de commande, l'ouverture et la fermeture de l'interrupteur correspondront respectivement à alimenter l'appareil et à couper l'alimentation de l'appareil, ou bien vice-versa. L'état par défaut d'un disjoncteur destiné à protéger un appareil électrique aéronautique dépend aussi du type d'appareil considéré ; par exemple, en cas de panne de toutes les sources redondantes de commande, l'alimentation d'un dispositif de chauffage de plat culinaire devra de préférence être coupée tandis qu'un calculateur de bord devra de préférence resté alimenté. Le disjoncteur et donc l'interrupteur sont situés entre l'appareil électrique à protéger et la source d'alimentation électrique dudit appareil, ni l'appareil ni sa source d'alimentation n'étant représentés sur les figures. Une première famille de dispositif de gestion de panne, celle effectuant plutôt d'abord la sélection de signaux et ensuite le traitement de signal, a l'avantage de nécessiter moins de composants que la deuxième famille de dispositif de gestion de panne, celle effectuant plutôt d'abord le traitement de signal et ensuite la sélection de signaux. Le dispositif de gestion de panne, selon l'invention, d'un système de commande d'un interrupteur à deux états, activé ou par défaut, comporte deux sources redondantes de commande. Ce dispositif de gestion de panne pourrait comporter trois sources ou même plus, mais au prix d'une augmentation substantielle de la complexité de la structure dudit dispositif de gestion de panne. Le dispositif de gestion de panne comporte un bloc logique et un bloc d'évaluation. Le bloc logique réalise une sélection de signaux tandis que le bloc d'évaluation réalise un traitement de signal. Le bloc logique a deux entrées respectivement reliées aux deux entrées du dispositif de gestion de panne et une sortie. Le bloc logique étant structuré de manière à pouvoir réaliser une fonction OU EXCLUSIF. La sortie du bloc logique est le résultat d'une fonction OU EXCLUSIF (XOR en terminologie anglo-saxonne) réalisée sur les deux entrées du bloc logique. Le résultat de la fonction OU EXCLUSIF représente une sélection de signaux dans la mesure où, lorsque l'une des sources fonctionne correctement et l'autre est en panne, la sortie du bloc logique reflète la commande de la source qui fonctionne correctement. Le bloc d'évaluation a une entrée reliée à la sortie du bloc logique et une sortie reliée à la sortie du dispositif de gestion de panne. Le bloc d'évaluation est structuré de manière à pouvoir en permanence, réaliser deux fonctions. Ces deux fonctions correspondent à un traitement de signal transformant le signal sélectionné par le bloc logique en un signal reconnaissable par l'interrupteur. Le caractère permanent signifie que le bloc d'évaluation est, soit capable de réaliser ces fonctions en continu, soit capable de réaliser ces fonctions suffisamment souvent, c'est-à-dire par exemple avec une fréquence suffisamment élevée, pour qu'une commande de l'interrupteur, compte tenu de la durée de ladite commande, émise par les sources ne puisse pas être manquée. De préférence, le bloc d'évaluation est capable de réaliser ces fonctions en continu. La première fonction consiste, pour le bloc d'évaluation, à forcer l'interrupteur à l'état activé, en cas de détection, au cours d'un intervalle de temps donné, sur son entrée, d'au moins un front montant ou descendant entre états haut et bas. En effet, dans ce cas là, au moins une des sources fonctionne correctement et commande un état activé de l'interrupteur. L'intervalle de temps est variable, plus il est court et plus la réaction du bloc d'évaluation est rapide ; cet intervalle de temps doit cependant rester compatible avec la fréquence des signaux de commande issus des sources. Le bloc d'évaluation peut également, de manière équivalente, détecter un nombre différent de l'unité pendant un intervalle de temps proportionnellement plus long. La deuxième fonction consiste, pour le bloc d'évaluation, à forcer l'interrupteur à l'état par défaut, en cas d'absence, au cours dudit intervalle de temps donné, sur son entrée, de front montant ou descendant entre états haut et bas. En effet, dans ce cas là, soit toutes les sources sont en panne soit tout ou partie des sources commande l'état par défaut de l'interrupteur, tandis qu'aucune source ne commande l'état activé de l'interrupteur. La première variante et la deuxième variante de dispositif de gestion de panne selon l'invention appartiennent à la première famille. Dans la première variante, le bloc d'évaluation comporte successivement, de la sortie du bloc logique vers la sortie du dispositif de gestion de panne, un bloc de traitement intégrateur et un bloc de traitement comparateur à fenêtre. De préférence, le bloc de traitement intégrateur est constitué d'une résistance et d'une capacité. La résistance est située entre la sortie du bloc logique et l'entrée du bloc de traitement comparateur à fenêtre. La capacité est située entre l'entrée du bloc de traitement comparateur à fenêtre et la masse. La figure 1 représente schématiquement un exemple de la première variante de dispositif de gestion de panne DGP inclus dans un système de commande d'un interrupteur à deux états par plusieurs sources redondantes selon l'invention. Un interrupteur 3 est commandé par deux sources redondantes 1 et 2. Entre les sources 1 et 2 d'une part et l'interrupteur 3 d'autre part, se trouve le dispositif de gestion de panne DGP dont les entrées E1 et E2 sont respectivement reliées aux sorties S des sources 1 et 2. La sortie S du dispositif de gestion de panne DGP est reliée à l'entrée E de l'interrupteur 3. Le bloc logique 4 a deux entrées E1 et E2 respectivement reliées aux deux entrées E1 et E2 du dispositif de gestion de panne et une sortie S reliée à l'entrée E du bloc d'évaluation BE. La sortie S du bloc d'évaluation BE est reliée à la sortie S du dispositif de gestion de panne DGP. Le bloc d'évaluation BE comporte, successivement de son entrée E vers sa sortie S, un bloc de traitement intégrateur 5 et un bloc de traitement comparateur à fenêtre 6. De préférence, comme au niveau du dispositif de gestion de panne représenté sur la figure 1, les sources redondantes de commande de l'interrupteur sont au nombre de deux. Les sources sont préférentiellement toutes identiques entre elles ; dans ce cas, la base de temps de l'horloge de chacune des sources est presque la même, à la différence près qui peut par exemple exister entre les deux quartz appartenant respectivement aux deux sources. Les sources sont avantageusement toutes des microcontrôleurs. Les sources peuvent par exemple également être des calculateurs ou encore des sources analogiques capables de générer des tensions en créneaux carrés qui pourront ainsi être vus par le dispositif de gestion de panne selon l'invention comme des signaux numériques pouvant prendre au cours du temps deux valeurs, soit l'état haut soit l'état bas. De préférence, les signaux issus des sources, pour commander l'interrupteur à l'état activé, sont périodiques. Les fréquences et les rapports cycliques des signaux issus des sources sont préférentiellement constants. Les signaux issus des sources, pour commander l'interrupteur à l'état activé, sont avantageusement des signaux PWM ( pulse width modulation en terminologie anglo-saxonne), ce sont par exemple des signaux carrés, des signaux par exemple triangulaires étant également envisageables mais non recommandés. De préférence, les signaux que peuvent émettre les sources, pour commander l'interrupteur à l'état activé, sont de même fréquence mais de rapport cyclique différent. Le rapport cyclique est le rapport entre d'une part le temps pendant lequel le signal émis est à l'état haut et d'autre part le temps total lequel est la somme du temps pendant lequel le signal émis est à l'état bas et du temps pendant lequel le signal est à l'état haut. Le fonctionnement du dispositif de gestion de panne représenté à la figure 1 va maintenant être décrit dans ce cas préférentiel de signaux de même fréquence pour les deux sources mais de rapport cyclique différent d'une source à l'autre. Pour fixer les idées, prenons un exemple dans lequel les sources émettent des signaux carrés binaires dont le niveau bas correspond à une tension nulle de 0 volts et dont le niveau haut correspond à une tension d'alimentation valant par exemple 5 volts. Lorsqu'une source veut commander l'interrupteur à l'état activé, elle émet un signal de fréquence donnée f et de rapport cyclique valant par exemple 50%, tandis que cette source émet un signal stable de valeur constante, soit constamment 0 volts soit constamment 5 volts, lorsqu'elle veut commander l'interrupteur à l'état par défaut ou bien lorsqu'elle est en panne. Un signal stable ayant une valeur constante égale soit à 0 volts soit à 5 volts, correspond respectivement à un rapport cyclique égal soit à 0% soit à 100%. L'autre source fonctionne de manière semblable, la différence résidant dans la valeur du rapport cyclique du signal devant commander l'interrupteur à l'état activé, par exemple égale à 30%. Chacun des signaux émis par les deux sources est injecté dans le bloc logique 4 réalisant une fonction OU EXCLUSIF sur les deux entrées et donnant le résultat sur sa sortie S, résultat ensuite intégré par le bloc de traitement intégrateur 5, le signal traité issu du bloc de traitement intégrateur 5 étant lui-même traité dans le bloc de traitement comparateur 6 à fenêtre, lequel bloc 6 émet un état haut ou bas, c'est-à-dire une tension valant 5 volts ou 0 volts, sur sa sortie S selon que le signal disponible sur son entrée est inclus ou non dans la fenêtre considérée ou bien vice-versa. Comme les deux sources 1 et 2 ne sont pas synchronisées, elles n'en ont en effet pas besoin, elles peuvent présenter un déphasage variable selon les cas lesquels sont représentés sur les figures 2 à 4. La figure 2 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes en phase. Sur la figure 2, les signaux Esou1 et Esou2 respectivement issus des sources 1 et 2 et respectivement présents sur les entrées E1 et E2 du bloc logique 4 sont en phase, le signal Slog à la sortie S du bloc logique 4 est donc un signal de même fréquence f que les signaux issus des sources 1 et 2 et présentant un rapport cyclique valant 20%, c'est-à-dire 50%-30% ce qui représente la différence entre les rapports cycliques des deux sources 1 et 2. La figure 3 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes en opposition de phase. Sur la figure 3, les signaux Esou1 et Esou2 respectivement issus des sources 1 et 2 et respectivement présents sur les entrées E1 et E2 du bloc logique 4 sont en opposition de phase, le signal Slog à la sortie S du bloc logique 4 est donc un signal de même fréquence f que les signaux issus des sources 1 et 2 et présentant un rapport cyclique valant 80%, c'est-à-dire 50% +30% ce qui représente la somme entre les rapports cycliques des deux sources 1 et 2. La figure 4 représente schématiquement des chronogrammes permettant la compréhension du fonctionnement du dispositif représenté à la figure 1, dans le cas de deux sources redondantes présentant un déphasage quelconque. Sur la figure 4, les signaux Esou1 et Esou2 respectivement issus des sources 1 et 2 et respectivement présents sur les entrées E1 et E2 du bloc logique 4 présentent un déphasage quelconque, le signal Slog à la sortie S du bloc logique 4 est donc un signal de même fréquence f que les signaux issus des sources 1 et 2 et présentant un rapport cyclique comprise entre 20% et 80% selon la valeur particulière du déphasage. En conclusion sur cet exemple décrit en liaison avec les figures 2 à 4, lorsque les deux sources 1 et 2 commandent un état activé de l'interrupteur 3 par l'émission de signaux Esou1 et Esou2 de fréquence f et de rapports cycliques respectifs distincts donnés, en sortie S du bloc logique 4 se trouve un signal Slog de même fréquence f et dont le rapport cyclique à une valeur comprise entre la différence et la somme desdits rapports cycliques respectifs. Lorsque les deux sources 1 et 2 commandent un état par défaut de l'interrupteur 3 par l'émission de signaux stables, soit à l'état haut ou soit à l'état bas, en sortie S du bloc logique 4 se trouve également un signal stable. Ensuite, le signal Slog disponible en sortie S du bloc logique 4 est intégré par le bloc de traitement intégrateur 5. Les valeurs des parties résistives et capacitives du bloc de traitement intégrateur 5 sont choisies en fonction de la fréquence f des signaux Esou1 et Esou2 respectivement issus des sources 1 et 2 et en fonction de la dynamique que l'on veut donner au dispositif de gestion de panne. En effet, par exemple, une valeur capacitive importante correspondra à un dispositif de gestion de panne réagissant lentement mais sûrement aux commandes des sources, tandis qu'une valeur capacitive faible correspondra à un dispositif de gestion de panne réagissant rapidement mais de manière relativement instable en accrochant facilement sur un parasite par exemple. Le signal Sint disponible à la sortie S du bloc de traitement intégrateur 5 est ensuite traité par le bloc de traitement comparateur 6 à fenêtre. Dans l'exemple choisi, la fenêtre du comparateur correspond à la fenêtre allant de 20% à 80% de la tension d'alimentation valant 5 volts, c'est- à-dire à la fenêtre allant de 1 volt à 4 volts. En effet, dans l'exemple choisi, le rapport cyclique du signal Slog disponible sur la sortie S du bloc logique 4 vaut d'une part soit 0% soit 100% pour un signal stable dans le cas d'une commande de l'interrupteur 3 à l'état par défaut ou d'une panne ou d'autre part entre 20% et 80% pour un signal de fréquence f dans le cas d'une commande de l'interrupteur 3 à l'état activé. Par mesure de sécurité, le bloc de traitement comparateur 6 à fenêtre peut comporter des marges de sécurité et étendre sa fenêtre qui ira alors de 0,75 volts à 4,25 volts ou bien même de 0,5 volt à 4,5 volts. Si le signal Sint disponible à l'entrée E du bloc de traitement comparateur 6 à fenêtre appartient à la fenêtre, la sortie S du bloc de traitement comparateur 6 à fenêtre est à l'état haut et le signal Scom sur cette sortie S vaut donc ici 5 volts, tandis que si le signal Sint disponible à l'entrée E du bloc de traitement comparateur 6 à fenêtre n'appartient pas à la fenêtre, la sortie S du bloc de traitement comparateur 6 à fenêtre est à l'état bas et le signal Scom sur cette sortie S vaut donc ici 0 volt. Le tableau suivant résume les différents cas possibles, Esou1 et Esou2 correspondant respectivement au signal disponible sur les sorties E1 et E2 des sources 1 et 2, Slog correspondant au signal disponible sur la sortie S du bloc logique 4, les signaux Esou1, Esou2 et Slog étant exprimés pour un état stable soit par un état haut 1 soit par un état bas 0, pour un état non stable par leur rapport cyclique en %, Sint correspondant au signal disponible sur la sortie S du bloc de traitement intégrateur 5, Scom correspondant au signal disponible sur la sortie S du bloc de traitement comparateur 6 à fenêtre, les signaux Sint et Scom étant exprimés en volts V pour une tension d'alimentation valant 5 volts : Esou1 0 50% 50% 50% 1 0 0 1 1 Esou2 0 0 1 30% 30% 30% 1 0 1 Slog 0 50% 50% De 20 70% 30% 1 1 0 à 80% Sint OV 2,5V 2,5V De 1 3, 5V 1,5V 5V 5V 0V à 4V Scom 0V 5V 5V 5V 5V 5V 0V 0V 0V De préférence, les signaux que peuvent émettre les deux sources 1 et 2, pour commander l'interrupteur 3 à l'état activé, sont suffisamment différents entre eux pour que leur combinaison au travers de la fonction OU EXCLUSIF du bloc logique 4 donne un signal résultant dont le rapport cyclique est, quelque soit le déphasage relatif des deux sources 1 et 2, situé à l'extérieur de deux bandes interdites, t'une des bandes interdites étant strictement comprise entre 0% et 50% de l'excursion entre l'état bas et l'état haut et ayant comme borne inférieure 0% de ladite excursion, l'autre bande interdite étant strictement comprise entre 50% et 100% de ladite excursion et ayant comme borne supérieure 100% de ladite excursion. Les bandes interdites s'étendent avantageusement chacune sur une plage valant entre 10% et 30% de ladite excursion, ce qui correspond à une plage permettant un fonctionnement efficace même avec des composants usuels. Des bandes interdites très étendues, par exemple allant d'une part de 0 à 40% et d'autre part de 60 à 100%, permettent une tolérance importante en ce qui concerne les caractéristiques des composants utilisés. Dans l'exemple préférentiel décrit en liaison avec les figures 2 à 4, chacune des bandes interdites s'étend sur 20% de ladite excursion. La présence des bandes interdites permet de bien différencier les états de la sortie S du bloc logique 4 correspondant d'une part à une commande de l'interrupteur 3 à l'état activé et ceux correspondant d'autre part à une commande de l'interrupteur 3 à l'état par défaut ou bien à une panne de toutes les sources redondantes de commande. Dans un autre exemple, avec des rapports cycliques valant respectivement 50% et 25% pour les signaux émis par les sources 1 et 2, les bandes interdites correspondent respectivement aux intervalles s'étendant respectivement d'une part de 0 à 25% et d'autre part de 75 à 100%. Dans un autre mode de réalisation préférentiel de la première variante, les signaux que peuvent émettre les sources 1 et 2, pour commander l'interrupteur 3 à l'état activé, sont de même rapport cyclique mais de fréquence différente. Par exemple avec un rapport cyclique valant environ 50% pour chacune des sources 1 et 2, une fréquence f pour la source 1 et une fréquence moitié, c'est-à-dire f/2, pour la source 2, les bandes interdites sont très étendues et valent presque chacune 50% de ladite excursion. La plage de variation du rapport cyclique du signal Slog en sortie du bloc logique 4, en fonction du déphasage relatif entre les sources 1 et 2, est une plage très étroite autour de 50%, plage dont la largeur dépend de la précision des fréquences respectives des deux sources 1 et 2. Le premier mode de réalisation de la première variante, c'est-àdire même fréquence et rapport cyclique différent pour les signaux émis par les deux sources 1 et 2, présente l'avantage d'être plus facilement implémentable au niveau du système de commande de l'interrupteur 3. Le deuxième mode de réalisation de la première variante, c'est-à-dire fréquence différente et même rapport cyclique pour les signaux émis par les deux sources 1 et 2, présente l'avantage de permettre l'utilisation de deux sources 1 et 2 qui soient identiques, un diviseur de fréquence étant par exemple associé à l'une d'entre elles, ce qui peut ne nécessiter, notamment dans le domaine des disjoncteurs destinés à protéger des appareils électriques aéronautiques, qu'une seule certification, diminuant ainsi notablement le coût de revient du système de commande de l'interrupteur 3. La modulation préférentielle est la modulation PWM, mais des signaux périodiques plus complexes, tels que par exemple présentant un mot particulier sur huit bits comme motif périodique peuvent aussi être utilisés, mais leur mise en oeuvre, notamment avec des bandes interdites relativement larges, est plus complexe. Les deux modes de réalisation concernant la première variante s'appliquent également à la deuxième variante laquelle est décrite ultérieurement. Le cas où les deux sources auraient même fréquence et même rapport cyclique mais un déphasage relatif bien maîtrisé, quoique envisageable, est nettement moins intéressant que les deux modes de réalisation précédemment décrits, car le déphasage ne peut être et rester bien maîtrisé que si les deux sources ont la même horloge. L'intérêt d'utiliser deux ou plusieurs sources redondantes de commande est d'augmenter substantiellement la fiabilité du système de commande de l'interrupteur. Or la fiabilité de deux sources ayant la même horloge est seulement un peu meilleure que celle d'une source unique, tandis qu'elle est par contre beaucoup moins bonne que celle de deux sources indépendantes ayant des horloges distinctes. De plus, il est peu intéressant d'utiliser deux sources redondantes de commande ayant la même horloge, car la déficience d'un seul composant, à savoir l'horloge, entraîne alors la déficience simultanée des deux sources redondantes, diminuant ainsi l'intérêt d'utiliser deux sources redondantes. La modulation PWM est la modulation la plus intéressante, car elle permet l'utilisation de sources simples et peu coûteuses, ce qui ne serait pas le cas avec des sources à modulation de fréquence ou à modulation d'amplitude par exemple. Dans la deuxième variante, le bloc d'évaluation comporte successivement, de la sortie du bloc logique vers la sortie du dispositif de gestion de panne, un bloc de traitement monostable, un bloc de traitement intégrateur, un bloc de traitement comparateur. Un bloc de traitement monostable est un bloc de traitement qui réalise une fonction consistant à émettre sur sa sortie une impulsion ( pulse en terminologie anglo- saxonne) sur chaque front montant arrivant sur son entrée, la durée de l'impulsion dépendant des valeurs capacitive et résistive du bloc de traitement monostable. Par conséquent au niveau du bloc de traitement monostable, pour un signal stable ou de fréquence très faible en entrée, en sortie se trouve un signal stable à l'état bas ou une série d'impulsions largement espacées entre elles, tandis que pour un signal de fréquence supérieure à une fréquence seuil en entrée, en sortie se trouve un signal stable à l'état haut. Il y a deux modes de réalisation préférentielle du bloc de traitement comparateur, à savoir un comparateur par rapport à une référence qui a l'avantage de la simplicité ou bien un trigger de Schmitt qui a l'avantage de présenter un phénomène d'hystérésis. La figure 5 représente schématiquement un exemple d'une deuxième variante de dispositif de gestion de panne DGP inclus dans un système de commande d'un interrupteur à deux états par deux sources redondantes selon l'invention. Chacune des sources 1 et 2 est respectivement reliée à l'une des entrées E1 ou E2 du bloc logique 4. La sortie S du bloc logique 4 est reliée à l'entrée E du bloc de traitement monostable 7. La sortie S du bloc de traitement monostable 7 est relié à l'entrée E du bloc de traitement intégrateur 5. La sortie S du bloc de traitement intégrateur 5 est reliée à l'entrée E du bloc de traitement comparateur 8. La sortie S du bloc de traitement comparateur 8, qui est également la sortie S du dispositif de gestion de panne selon l'invention, est reliée à l'interrupteur 3. L'ensemble constitué par le bloc de traitement monostable 7, par le bloc de traitement intégrateur 5 et par le bloc de traitement comparateur 8 est le bloc d'évaluation BE. Le fonctionnement de la deuxième variante est semblable à celui de la première variante. L'avantage de la deuxième variante par rapport à la première variante réside dans la simplification du composant situé en aval du bloc de traitement intégrateur 5, à savoir la substitution d'un bloc de traitement comparateur 8 à un bloc de traitement comparateur 6 à fenêtre plus complexe. L'avantage de la première variante par rapport à la deuxième variante réside dans un nombre moindre de composants, c'est-à-dire dans l'absence du bloc de traitement monostable 7. Une deuxième famille de dispositif de gestion de panne, celle effectuant plutôt d'abord le traitement de signal et ensuite la sélection de signaux, a deux avantages. La deuxième famille a d'une part l'avantage de pouvoir fonctionner avec des signaux complètement identiques entre les sources tandis que la première famille de dispositif de gestion de panne, celle effectuant plutôt d'abord la sélection de signaux et ensuite le traitement de signal, nécessite la plupart du temps une certaine différentiation entre les signaux émis par les différentes sources redondantes lesquelles véhiculent cependant toujours toutes la même commande pour l'interrupteur mais sous des formes légèrement différentes. En effet, l'émission de signaux différents pour des sources distinctes implique le plus souvent l'utilisation de logiciels différents d'une source à l'autre, donc nécessite alors l'obtention de certifications différentes et par conséquent augmente le coût du système de commande selon l'invention. La deuxième famille a d'autre part l'avantage de pouvoir conserver une structure relativement simple avec strictement plus de deux sources redondantes de commande, tandis que la structure de la première famille, qui est très simple avec seulement deux sources redondantes de commande, devient plus complexe à partir de trois sources redondantes de commande. Le dispositif de gestion de panne, selon l'invention, d'un système de commande d'un interrupteur à deux états, activé ou par défaut, comporte plusieurs sources redondantes. Le dispositif de gestion de panne comporte de préférence deux sources redondantes, mais sa structure est telle qu'elle reste simple et se généralise sans difficulté au cas de trois sources ou même plus. Dans le cas de la troisième variante, il suffit d'utiliser une porte OU SIMPLE ayant une ou plusieurs entrées supplémentaires, tandis que dans le cas de la quatrième variante, il suffit d'utiliser un sommateur-intégrateur ayant une ou plusieurs entrées supplémentaires. Le dispositif de gestion de panne est structuré de manière à pouvoir en permanence réaliser de manière semblable à la première famille de dispositif de gestion de panne deux fonctions de sélection de signaux et de traitement de signal, mais dans un ordre plutôt inverse de celui de la première famille. Le dispositif de gestion de panne traite plutôt d'abord tous les signaux issus des sources pour que d'une part un signal de commande de l'interrupteur à l'état activé qui correspond à la présence d'au moins un front montant ou descendant entre états haut et bas au cours d'un intervalle de temps donné se traduise par un état haut et pour que d'autre part une panne ou un signal de commande de l'interrupteur à l'état par défaut qui correspondent tous deux à l'absence au cours dudit intervalle de temps de front montant ou descendant entre états haut et bas se traduise par un état bas. La sélection des signaux est réalisée une fois le traitement effectué. Cet ordre de réalisation des deux fonctions est moins rigide dans la quatrième variante représentée au niveau des figures 7 et 8 dans laquelle une partie du traitement du signal est réalisée après la sélection des signaux. De manière similaire à celle de la première famille, la première fonction consiste, pour le dispositif de gestion de panne, à forcer l'interrupteur à l'état activé, en cas de détection, au cours d'un intervalle de temps donné, sur au moins une de ses entrées, d'au moins un front montant ou descendant entre états haut et bas, ce qui est le cas lorsque au moins une source fonctionne correctement et commande l'état activé de l'interrupteur, et la deuxième fonction consiste, pour le dispositif de gestion de panne, à forcer l'interrupteur à l'état par défaut, en cas d'absence, au cours dudit intervalle de temps donné, sur toutes ses entrées, de front montant ou descendant entre états haut et bas, ce qui est le cas lorsque toutes les sources sont soit en panne soit fonctionnent correctement mais commandent l'état par défaut de l'interrupteur. La troisième variante et la quatrième variante de dispositif de gestion de panne selon l'invention appartiennent à la deuxième famille. Dans la troisième variante, le dispositif de gestion de panne selon l'invention comporte d'une part un bloc logique ayant plusieurs entrées et une sortie reliée à la sortie du dispositif de gestion de panne, le bloc logique étant structuré de manière à pouvoir réaliser une fonction OU SIMPLE, et d'autre part, entre chaque entrée du dispositif de gestion de panne et chaque entrée correspondante du bloc logique, une branche comportant successivement, à partir de l'entrée correspondante du dispositif de gestion de panne, les trois blocs de traitement suivants : monostable, intégrateur, comparateur. La figure 6 représente schématiquement un exemple d'une troisième variante de dispositif de gestion de panne DGP inclus dans un système de commande d'un interrupteur à deux états par plusieurs sources redondantes selon l'invention. Chacune des branches comporte successivement une source, 1 ou 2, un bloc de traitement monostable 7, un bloc de traitement intégrateur 5 et un bloc de traitement comparateur 6, l'entrée E de chaque élément ou composant étant reliée à la sortie S de chaque élément ou composant directement situé en aval. La sortie S de chacun des blocs de traitement comparateur 6 est reliée à l'une des entrées, E ou E', du bloc logique 10 réalisant une fonction OU SIMPLE et étant noté OR. La sortie S du bloc logique 10, qui est également la sortie du dispositif de gestion de panne selon l'invention, est reliée à l'interrupteur 3. Le fonctionnement du dispositif de gestion de panne selon l'invention représenté sur la figure 6 va maintenant être explicité. Lorsque l'une des sources 1 et 2, par exemple la source 1, soit commande l'état par défaut de l'interrupteur 3 soit est en panne, sur la sortie S de ladite source 1, se trouve un signal stable qui peut être soit l'état haut soit l'état bas. Le bloc de traitement monostable 7 ne voyant pas de front montant sur son entrée E1 ou E2 selon qu'il est relié à la source 1 ou à source 2, émet sur sa sortie S un signal stable à l'état bas. Le bloc de traitement intégrateur 5 voyant un signal stable à l'état bas sur son entrée E, émet sur sa sortie S un signal stable à l'état bas. Le bloc de traitement comparateur 8 voyant un signal stable à l'état bas sur son entrée E, émet sur sa sortie S un signal stable à l'état bas, autrement dit ici un 0 qui arrive sur l'une des entrées, par exemple l'entrée E, du bloc logique 10. Lorsque l'une des sources 1 et 2, par exemple la source 1, commande l'état activé de l'interrupteur 3, sur la sortie S de ladite source 1, se trouve un signal de fréquence f donnée supérieure à la fréquence seuil du bloc de traitement monostable 7. Le bloc de traitement monostable 7 voyant des fronts montants sur son entrée E1 ou E2, selon qu'il est relié à la source 1 ou à la source 2, à une fréquence supérieure à sa fréquence seuil, émet sur sa sortie S un signal stable à l'état haut. Le bloc de traitement intégrateur 5 voyant un signal stable à l'état haut sur son entrée E, émet, au bout d'un certain temps dépendant de sa valeur capacitive et résistive, sur sa sortie S, un signal stable à l'état haut. Le bloc de traitement comparateur 8 voyant un signal stable à l'état haut sur son entrée E, émet sur sa sortie S un signal stable à l'état haut, autrement dit ici un 1 qui arrive sur l'une des entrées, par exemple l'entrée E, du bloc logique 10. Sur chacune des entrées, par exemple sur l'entrée E, du bloc logique 10 lequel réalise une fonction OU SIMPLE, arrive en provenance de la source correspondante reliée à ladite entrée E, par exemple en provenance de la source 1, soit un signal à l'état bas, c'est-à-dire un 0, si la source commande un état par défaut de l'interrupteur 3 ou si la source est en panne, soit un signal à l'état haut, c'est-à-dire un 1, si la source commande un état activé de l'interrupteur 3. A la sortie S du bloc logique 10, se trouve soit un signal à l'état haut, c'est-à-dire un 1, si au moins un signal à l'état haut se trouve sur l'une de ses entrées, soit un signal à l'état bas, c'est- à-dire un 0, si sur toutes ses entrées se trouve un signal à l'état bas. Il suffit donc qu'une seule source commande l'état activé de l'interrupteur 3 pour garder le contrôle dudit interrupteur 3 et commander l'interrupteur 3 à l'état activé correspondant ici à un 1, tandis que lorsque toutes les sources soit commandent l'état par défaut de l'interrupteur 3 soit sont en panne, le bloc logique 10 force interrupteur à l'état par défaut correspondant ici à un 0 : c'était bien le but recherché. Lorsque toutes les sources soit commandent l'état par défaut de l'interrupteur soit sont en panne)), s'interprète comme signifiant lorsque tout ou partie ou aucune des sources commandent l'état par défaut de l'interrupteur, lorsque tout ou partie ou aucune des sources sont en panne, mais lorsque aucune des sources ne commande l'état activé de l'interrupteur . Dans la quatrième variante, le dispositif de gestion de panne selon l'invention comporte un bloc de traitement comparateur ayant une entrée et une sortie reliée à la sortie du dispositif de gestion de panne, un bloc de traitement sommateur-intégrateur ayant plusieurs entrées et une sortie reliée à l'entrée du bloc de traitement comparateur, plusieurs blocs de traitement monostables, un bloc de traitement monostable étant situé entre chaque entrée du dispositif de gestion de panne et chaque entrée correspondante du bloc de traitement sommateur-intégrateur. La figure 7 représente schématiquement un exemple d'une quatrième variante de dispositif de gestion de panne DGP inclus dans un système de commande d'un interrupteur à deux états par plusieurs sources redondantes selon l'invention. Entre chaque entrée E1 ou E2 du dispositif de gestion de panne et chaque entrée E ou E'correspondante du bloc de traitement sommateur-intégrateur 9, se trouvent successivement une source, 1 ou 2, un bloc de traitement monostable 7, la sortie S de la source étant reliée à l'entrée E du bloc de traitement monostable 7. La sortie S bloc de traitement sommateur-intégrateur 9 est reliée à l'entrée E du bloc de traitement comparateur 8. La sortie S du bloc de traitement comparateur 8, qui est également la sortie du dispositif de gestion de panne selon l'invention, est reliée à l'interrupteur 3. Le fonctionnement du dispositif de gestion de panne selon l'invention représenté sur la figure 7 va maintenant être précisé. Ce fonctionnement est proche du fonctionnement précédemment décrit au niveau de la troisième variante dont un exemple est représenté à la figure 6. La principale différence réside dans le fait que le bloc de traitement sommateur-intégrateur 9. tout en intégrant chaque signal provenant d'un bloc de traitement monostable 7, réalise simultanément la somme desdits signaux entre eux. Pour que toute source commandant l'état activé garde le contrôle de l'interrupteur et pour que, lorsque aucune source ne commande l'état activé, l'interrupteur soit forcé à l'état par défaut, il suffit que la référence de comparaison du bloc de traitement comparateur 8 soit choisie de manière à ce que, n'importe quelle sortie S de bloc de traitement monostable 7 à l'état haut amène la sortie S du bloc de traitement sommateur-intégrateur 9 à une valeur supérieure à ladite référence de façon à ce que la sortie S du bloc de traitement comparateur 8 passe à l'état haut commandant ainsi l'état activé de l'interrupteur 3, ou bien il suffit que la référence de comparaison du bloc de traitement comparateur 8 soit choisie de manière à ce que, n'importe quelle sortie S de bloc de traitement monostable 7 à l'état haut amène la sortie S du bloc de traitement sommateur-intégrateur 9 à une valeur supérieure à ladite référence de façon à ce que la sortie S du bloc de traitement comparateur 8 passe à l'état bas commandant ainsi l'état activé de l'interrupteur 3, ce dernier cas correspondant au dispositif de gestion de panne représenté sur la figure 8. De préférence, le bloc de traitement comparateur est constitué d'un comparateur de tension et de cinq résistances, le bloc de traitement sommateur-intégrateur est constitué d'une capacité et d'une résistance, et chaque bloc de traitement monostable est constitué d'un transistor, d'une diode, d'une capacité et de deux résistances. la figure 8 représente schématiquement le circuit électronique correspondant à la variante préférentielle de dispositif de gestion de panne DGP selon l'invention représentée à la figure 7. Le dispositif de gestion de panne comporte un circuit électronique qui est alimenté par une tension d'alimentation Vcc. Ce circuit électronique comprend deux entrées E1 et E2 et une sortie S ainsi que huit noeuds N1 à N8. Une première résistance R1 est située entre la tension d'alimentation Vcc et le deuxième noeud N2. Une deuxième résistance R2 est située entre la tension d'alimentation Vcc et le premier noeud N1. Une première capacité C1 est située entre la première entrée E1 du dispositif de gestion de panne et le premier noeud N1. Un premier transistor 01 bipolaire de type NPN a une base qui est reliée au premier noeud N1, un collecteur qui est relié au deuxième noeud N2 et un émetteur qui est relié à la masse. Une première diode D1 a une anode qui est reliée au deuxième noeud N2 et une cathode qui est reliée au cinquième noeud N5. Une troisième résistance R3 est située entre la tension d'alimentation Vcc et le quatrième noeud N4. Une quatrième résistance R4 est située entre la tension d'alimentation Vcc et le troisième noeud N3. Une deuxième capacité C2 est située entre la deuxième entrée E2 du dispositif de gestion de panne et le troisième noeud N3. Un deuxième transistor Q2 bipolaire de type NPN a une base qui est reliée au troisième noeud N3, un collecteur qui est relié au quatrième noeud N4 et un émetteur qui est relié à la masse. Une deuxième diode D2 a une anode qui est reliée au quatrième noeud N4 et une cathode qui est reliée au cinquième noeud N5. Une troisième capacité C3 est située entre le cinquième noeud N5 et la masse. Une cinquième résistance R5 est située entre le cinquième noeud N5 et la masse. Un comparateur U1 de tension a une entrée inverseuse-qui est reliée au cinquième noeud N5, une entrée non inverseuse + qui est reliée au septième noeud N7 et une sortie so qui est reliée au huitième noeud N8. Le huitième noeud N8 est relié à la sortie S du dispositif de gestion de panne. Une sixième résistance R6 est située entre la tension d'alimentation Vcc et le sixième noeud N6. Une septième résistance R7 est située entre le sixième noeud N6 et la masse. Une huitième résistance R8 est située entre le sixième noeud N6 et le septième noeud N7. Une neuvième résistance R9 est située entre le septième noeud N7 et le huitième noeud N8. Une dixième résistance R10 est située entre la tension d'alimentation Vcc et le huitième noeud N8. Le comparateur U 1 est alimenté d'une part par la tension d'alimentation Vcc pour son alimentation positive et d'autre part par la masse pour son alimentation négative. Les ensembles de composants que constituent chaque bloc de traitement monostable 7, le bloc de traitement sommateur-intégrateur 9 et le bloc de traitement comparateur 8 sont représentés sur la figure 8 en traits pointillés. Le fonctionnement du dispositif préférentiel de gestion de panne selon l'invention représenté sur la figure 8 va maintenant être explicité. Pour l'explication du fonctionnement, les légères chutes de tension aux bornes des diodes ou bien entre la base et l'émetteur d'un transistor passant, sont négligées. Lorsqu'une source, par exemple la source reliée à l'entrée E1, mais le fonctionnement reste identique pour la source reliée à l'entrée E2, commande l'interrupteur à l'état par défaut ou bien est en panne, la tension à l'entrée E1 est stable et vaut soit la tension d'alimentation Vcc soit une tension sensiblement nulle correspondant à la masse. Dans tous les cas, au bout d'un moment, le potentiel du noeud N1 s'élève jusqu'à rendre le transistor 01 passant. Le potentiel du noeud N2 vaut alors sensiblement une tension nulle correspondant à la masse. Lorsque chacune des deux sources, à savoir ici la source reliée à l'entrée E1 et la source reliée à l'entrée E2, soit commande l'interrupteur à l'état par défaut, soit est en panne, l'entrée inverseuse-du comparateur U1 est alors sensiblement à la masse et par conséquent est inférieure à l'entrée non inverseuse + du comparateur U1. La sortie so du comparateur U1 vaut alors sensiblement la tension d'alimentation Vcc qui correspond ici à une commande de l'interrupteur à l'état par défaut. Lorsqu'une source, par exemple la source reliée à l'entrée E1, mais le fonctionnement reste identique pour la source reliée à l'entrée E2, commande l'interrupteur à l'état activé, la tension à l'entrée E1 est périodique de fréquence f choisie pour que le potentiel du noeud N1 passe alternativement au-dessus et au-dessous de la tension seuil nécessaire pour rendre passant le transistor Q1. Le transistor Q1 est alors alternativement bloqué et passant au cours du temps. La diode D1 est alors alternativement respectivement passante et bloquée au cours du temps. Au cours du temps, la capacité C3 se charge et le potentiel du noeud N5 s'élève. Alors, au bout d'un moment, le potentiel de l'entrée inverseuse-du comparateur U1 devient supérieure à celui de l'entrée non inverseuse + du comparateur U1. La sortie so du comparateur U1 vaut alors sensiblement une tension nulle correspondant à la masse et correspondant ici à une commande de l'interrupteur à l'état activé. La résistance R5 permet, lors d'un fonctionnement normal des sources commandant l'état par défaut de l'interrupteur après avoir commandé l'état activé de l'interrupteur, à la capacité C3 de se décharger à travers elle. permettant ainsi au potentiel de l'entrée inverseuse-du comparateur U1 de redevenir inférieure à l'entrée non inverseuse + du comparateur U1, permettant ainsi à la sortie so du comparateur U1 de valoir à nouveau sensiblement la tension d'alimentation Vcc correspondant ici à une commande de l'interrupteur à l'état par défaut ; une panne de toutes les sources aura le même effet. Dans un exemple numérique préférentiel d'un dispositif de gestion de panne selon l'invention, les valeurs des éléments représentés sur la figure 8 sont maintenant données. La tension d'alimentation Vcc vaut sensiblement 5 volts. Les transistors bipolaires Q1 et Q2 de type NPN ont la référence BC847B. Le comparateur U1 a la référence TLC393. Les diodes D1 et D2 ont la référence D1 N4148. Les capacités C1 et C2 valent 4,7nF. La capacité C3 vaut 47nF Les résistances R1 et R3 valent 47kl. Les résistances R2 et R4 valent 100ka. La résistance R5 vaut 220kQ. La résistance R6 vaut 10kl. La résistance R7 vaut 7, 5kQ. La résistance R8 vaut 2, 2kan. La résistance R9 vaut 100kl. La résistance R10 vaut 10kl. Le dispositif de gestion de panne selon l'invention peut notamment être avantageusement inclus dans un disjoncteur destiné à protéger un appareil électrique aéronautique dont l'alimentation est commandée par un interrupteur à deux états, un état activé et un état par défaut, l'état par défaut étant l'état de repli choisi pour l'interrupteur en cas de panne de toutes les sources redondantes de commande dudit interrupteur. REVENDICATIONS 1. Système de commande d'un interrupteur (3) à deux états, activé ou par défaut, par plusieurs sources (1,2) redondantes, comprenant plusieurs sources (1,2) redondantes et un dispositif de gestion de panne (DGP), chaque source (1 ou 2) pouvant, soit commander l'interrupteur (3) à l'état par défaut, par l'émission d'un signal stable soit dans un état haut soit dans un état bas, soit commander l'interrupteur (3) à l'état activé, par l'émission d'un signal comportant, au cours d'un intervalle de temps donné, au moins un front montant ou descendant entre états haut et bas, le dispositif de gestion de panne (DGP) comportant une sortie (S) destinée à être reliée à l'interrupteur (3) et plusieurs entrées (E1, E2) destinées à être respectivement reliées aux sources (1,2), étant uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, le dispositif de gestion de panne (DGP) et les sources (1,2) redondantes étant structurés et disposés de manière à ce que, d'une part, lorsqu'une ou plusieurs sources (1,2) ne sont pas en panne les bloquant soit dans l'état haut soit dans l'état bas, celles-ci gardent le contrôle de l'interrupteur (3), et d'autre part, lorsque toutes les sources (1,2) sont en panne les bloquant chacune soit dans l'état haut soit dans l'état bas, le dispositif de gestion de panne (DGP) force l'interrupteur (3) à l'état par défaut. 2. Système de commande selon la revendication 1, caractérisé en ce que les sources (1,2) sont au nombre de deux. 3. Système de commande selon la revendication 2, caractérisé en ce que les signaux que peuvent émettre les sources (1,2), pour commander l'interrupteur (3) à l'état activé, sont de même fréquence (f) mais de rapport cyclique différent. 4. Système de commande selon la revendication 2, caractérisé en ce que les signaux que peuvent émettre les sources (1, 2), pour commander l'interrupteur (3) à l'état activé, sont de même rapport cyclique mais de fréquence différente (f, f/2). 5. Système de commande selon l'une quelconque des revendications 3 à 4, caractérisé en ce que les fréquences (f, f/2) et les rapports cycliques sont constants. 6. Système de commande selon l'une quelconque des revendications 2 à 5, caractérisé en ce que les signaux que peuvent émettre les deux sources (1,2), pour commander l'interrupteur (3) à l'état activé, sont suffisamment différents entre eux pour que leur combinaison au travers d'une fonction OU EXCLUSIF donne un signal résultant dont le rapport cyclique est, quelque soit le déphasage relatif des deux sources (1,2), situé à l'extérieur de deux bandes interdites, l'une des bandes interdites étant strictement comprise entre 0% et 50% de l'excursion entre l'état bas et l'état haut et ayant comme borne inférieure 0% de ladite excursion, l'autre bande interdite étant strictement comprise entre 50% et 100% de ladite excursion et ayant comme borne supérieure 100% de ladite excursion. 7. Système de commande selon la revendication 6, caractérisé en ce que les bandes interdites s'étendent chacune sur une plage valant entre 10% et 30% de ladite excursion. 8. Système de commande selon l'une quelconque des revendications précédentes, caractérisé en ce que les signaux issus des sources (1,2), pour commander l'interrupteur (3) à l'état activé, sont périodiques. 9. Système de commande selon la revendication 8, caractérisé en ce que les signaux issus des sources (1,2), pour commander l'interrupteur (3) à l'état activé, sont des signaux PWM. 10. Système de commande selon la revendication 9, caractérisé en ce que les signaux issus des sources (1, 2), pour commander l'interrupteur (3) à l'état activé, sont des signaux carrés. 11. Système de commande selon l'une quelconque des revendications précédentes, caractérisé en ce que toutes les sources (1,2) sont identiques entre elles. 12. Système de commande selon l'une quelconque des revendications précédentes, caractérisé en ce que toutes les sources (1,2) sont des microcontrôleurs. 13. Dispositif de gestion de panne d'un système de commande d'un interrupteur (3) à deux états, activé ou par défaut, par plusieurs sources (1,2) redondantes, le dispositif de gestion de panne (DGP) comportant une sortie (S) destinée à être reliée à l'interrupteur (3) et plusieurs entrées (E1, E2) destinées à être respectivement reliées aux sources (1,2), caractérisé en ce que le dispositif de gestion de panne (DGP) est uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, et en ce que le dispositif de gestion de panne (DGP) est structuré de manière à pouvoir en permanence, d'une part, en cas de détection, au cours d'un intervalle de temps donné, sur au moins une des entrées (E1, E2), d'au moins un front montant ou descendant entre états haut et bas, forcer l'interrupteur (3) à l'état activé, et d'autre part, en cas d'absence, au cours dudit intervalle de temps donné, sur toutes les entrées (E1, E2), de front montant ou descendant entre états haut et bas, forcer l'interrupteur (3) à l'état par défaut. 14. Dispositif de gestion de panne selon la revendication 13, caractérisé en ce que le dispositif de gestion de panne (DGP) comporte d'une part un bloc logique (10) ayant plusieurs entrées (E, E') et une sortie (S) reliée à la sortie (S) du dispositif de gestion de panne (DGP), le bloc logique (10) étant structuré de manière à pouvoir réaliser une fonction OU SIMPLE, et d'autre part, entre chaque entrée (E1, E2) du dispositif de gestion de panne (DGP) et chaque entrée (E, E') correspondante du bloc logique (10), une branche comportant successivement, à partir de l'entrée (E1, E2) du dispositif de gestion de panne (DGP), les trois blocs de traitement suivants : monostable (7), intégrateur (5), comparateur (8). 15. Dispositif de gestion de panne selon la revendication 13, caractérisé en ce que le dispositif de gestion de panne (DGP) comporte un bloc de traitement comparateur (8) ayant une entrée (E) et une sortie (S) reliée à la sortie (S) du dispositif de gestion de panne (DGP), un bloc de traitement sommateur-intégrateur (9) ayant plusieurs entrées (E, E') et une sortie (S) reliée à l'entrée (E) du bloc de traitement comparateur (8), plusieurs blocs de traitement monostables (7), un bloc de traitement monostable (7) étant situé entre chaque entrée (E1, E2) du dispositif de gestion de panne (DGP) et chaque entrée (E, E') correspondante du bloc de traitement sommateur-intégrateur (9). 16. Dispositif de gestion de panne selon la revendication 15, caractérisé en ce que, le bloc de traitement comparateur (8) est constitué d'un comparateur (U1) de tension et de cinq résistances (R6, R7, R8, R9, R10), le bloc de traitement sommateur-intégrateur (9) est constitué d'une capacité (C3) et d'une résistance (R5), et chaque bloc de traitement monostable (7) est constitué d'un transistor (Q1 ou Q2), d'une diode (D1 ou D2), d'une capacité (C1 ou C2) et de deux résistances (R1 et R2, ou, R3 et R4). 17. Dispositif de gestion de panne selon la revendication 16, caractérisé en ce que le dispositif de gestion de panne (DGP) comporte un circuit électronique qui est alimenté par une tension d'alimentation (Vcc) et qui comprend, deux entrées (E1, E2) et une sortie (S), huit noeuds (N1 à N8), une première résistance (R1) située entre la tension d'alimentation (Vcc) et le deuxième noeud (N2), une deuxième résistance (R2) située entre la tension d'alimentation (Vcc) et le premier noeud (N1), une première capacité (C1) située entre la première entrée (E1) du dispositif de gestion de panne et le premier noeud (N1), un premier transistor (Q1) bipolaire de type NPN dont la base est reliée au premier noeud (N1), dont le collecteur est relié au deuxième noeud (N2) et dont l'émetteur est relié à la masse, une première diode (D1) dont l'anode est reliée au deuxième noeud (N2) et dont la cathode est reliée au cinquième noeud (N5), une troisième résistance (R3) située entre la tension d'alimentation (Vcc) et le quatrième noeud (N4), une quatrième résistance (R4) située entre la tension d'alimentation (Vcc) et le troisième noeud (N3), une deuxième capacité (C2) située entre la deuxième entrée (E2) du dispositif de gestion de panne et le troisième noeud (N3), un deuxième transistor (Q2) bipolaire de type NPN dont la base est reliée au troisième noeud (N3), dont le collecteur est relié au quatrième noeud (N4) et dont l'émetteur est relié à la masse, une deuxième diode (D2) dont l'anode est reliée au quatrième noeud (N4) et dont la cathode est reliée au cinquième noeud (N5), une troisième capacité (C3) située entre le cinquième noeud (N5) et la masse, une cinquième résistance (R5) située entre le cinquième noeud (N5) et la masse, un comparateur (U1) de tension dont l'entrée inverseuse (- ) est reliée au cinquième noeud (N5), dont l'entrée non inverseuse (+) est reliée au septième noeud (N7) et dont la sortie (so) est reliée au huitième noeud (N8), le huitième noeud (N8) étant relié à la sortie (S) du dispositif de gestion de panne, une sixième résistance (R6) située entre la tension d'alimentation (Vcc) et le sixième noeud (N6), une septième résistance (R7) située entre le sixième noeud (N6) et la masse, une huitième résistance (R8) située entre le sixième noeud (N6) et le septième noeud (N7), une neuvième résistance (R9) située entre le septième noeud (N7) et le huitième noeud (N8), une dixième résistance (R10) située entre la tension d'alimentation (Vcc) et le huitième noeud (N8). 18. Dispositif de gestion de panne d'un système de commande d'un interrupteur (3) à deux états, activé ou par défaut, par deux sources (1, 2) redondantes, le dispositif de gestion de panne (DGP) comportant une sortie (S) destinée à être reliée à l'interrupteur (3) et deux entrées (E1, E2) destinées à être respectivement reliées aux deux sources (1,2), caractérisé en ce que le dispositif de gestion de panne (DGP) est uniquement constitué de composants ayant chacun une fiabilité meilleure ou comparable à celle d'un composant de type logique, et en ce que le dispositif de gestion de panne (DGP) comporte d'une part un bloc logique (4) ayant deux entrées (E1, E2) respectivement reliées aux deux entrées (E1, E2) du dispositif de gestion de panne (DGP) et une sortie (S) et d'autre part un bloc d'évaluation (BE) ayant une entrée (E) reliée à la sortie (S) du bloc logique (4) et une sortie (S) reliée à la sortie (S) du dispositif de gestion de panne (DGP), le bloc logique (4) étant structuré de manière à pouvoir réaliser une fonction OU EXCLUSIF, le bloc d'évaluation (BE) étant structuré de manière à pouvoir en permanence, d'une part, en cas de détection, au cours d'un intervalle de temps donné, sur son entrée (E), d'au moins un front montant ou descendant entre états haut et bas, forcer l'interrupteur (3) à l'état activé, et d'autre part, en cas d'absence, au cours dudit intervalle de temps donné, sur son entrée (E), de front montant ou descendant entre états haut et bas, forcer l'interrupteur (3) à l'état par défaut. 19. Dispositif de gestion de panne selon la revendication 18, caractérisé en ce que le bloc d'évaluation (BE) comporte successivement, de la sortie (S) du bloc logique (4) vers la sortie (S) du dispositif de gestion de panne (DGP), un bloc de traitement intégrateur (5) et un bloc de traitement comparateur (6) à fenêtre. 20. Dispositif de gestion de panne selon la revendication 18, caractérisé en ce que le bloc d'évaluation (BE) comporte successivement, de la sortie (S) du bloc logique (4) vers la sortie (S) du dispositif de gestion de panne (DGP), un bloc de traitement monostable (7), un bloc de traitement intégrateur (5), un bloc de traitement comparateur (8). 21. Dispositif de gestion de panne selon l'une quelconque des revendications 19 à 20, caractérisé en ce que le bloc de traitement intégrateur (5) est constitué d'une résistance (R) et d'une capacité (C), la résistance (R) étant située entre la sortie (S) du bloc logique (4) et l'entrée (E) du bloc de traitement comparateur (8), la capacité (C) étant située entre l'entrée (E) du bloc de traitement comparateur (8) et la masse. 22. Dispositif de gestion de panne selon l'une quelconque des revendications 14, 15 ou 20 ou selon les revendications 20 et 21, caractérisé en ce que le bloc de traitement comparateur (8) est un comparateur par rapport à une référence. 23. Dispositif de gestion de panne selon l'une quelconque des revendications 14,15 ou 20 ou selon les revendications 20 et 21, caractérisé en ce que le bloc de traitement comparateur (8) est un trigger de Schmitt. 24. Disjoncteur destiné à protéger un appareil électrique aéronautique caractérisé en ce que le disjoncteur comporte un interrupteur (3) à deux états et un dispositif de gestion de panne (DGP) selon l'une quelconque des revendications 13 à 23. 25. Système de commande selon l'une quelconque des revendications 1 à 12 caractérisé en ce qu'il comporte un dispositif de gestion de panne (DGP) selon l'une quelconque des revendications 13 à 23 ou un disjoncteur selon la revendication 24.