Brevet FR2922661A1 — publié le 20090424

SYSTEME DE COMMANDE D'APPAREILS DE MESURE Arrière-plan de l'invention Domaine de l'invention La présente invention concerne un système de commande d'appareils de mesure dans lequel des informations jointes sont transférées entre des dispositifs de commande qui sont reliés à un réseau et fonctionnent de manière asynchrone. Description de l'art antérieur En général, dans certaines usines, on utilise un système de commande des mesures dans lequel un dispositif de commande est fourni dans chacune des installations, différents traitements arithmétiques de commande sont effectués à partir de données mesurées par un matériel de mesure pour commander chacune des installations, les résultats arithmétiques de ces traitements sont transmis à un dispositif de commande central par l'intermédiaire d'un réseau, le dispositif de commande central contrôle l'état des installations de toute l'usine en se basant sur les résultats arithmétiques, et le résultat de contrôle de celui-ci est transmis au dispositif de commande situé à côté de chacune des installations de sorte que chacune des installations est commandée par rétroaction. Par ailleurs, on utilise également un système de traitement dispersé dans lequel plusieurs dispositifs de commande sont prévus en parallèle pour chacune des installations, les dispositifs de commande respectifs étant reliés entre eux par l'intermédiaire d'un réseau et la commande de chacune des installations étant partagée entre ces multiples dispositifs de commande. Dans le système présenté ci-dessus, le transfert des données s'effectue souvent de manière asynchrone entre les dispositifs de commande, d'une manière telle que les données obtenues par le traitement arithmétique de commande effectué par un premier dispositif de commande vont être transmises à un autre dispositif de commande, et que cet autre dispositif de commande va exécuter une opération arithmétique de commande spécifique basée sur ces données et va transmettre le résultat arithmétique de cette opération à encore un autre dispositif de commande. Ici, en cas de survenue d'un phénomène anormal de transition (par exemple une variation excessive de pression, de débit ou de température) dans chaque installation de l'usine, les données mesurées par le matériel de mesure vont manquer de fiabilité et par conséquent, le résultat arithmétique du dispositif de commande basé sur les données de mesures va lui aussi manquer de fiabilité. Les données arithmétiques susmentionnées sont transmises à un autre dispositif de commande, et lorsque cet autre dispositif de commande va effectuer une opération arithmétique basée sur les données arithmétiques non fiables, le résultat du traitement arithmétique suivant va, lui, manquer de fiabilité. Si le résultat de l'opération n'est plus fiable à cause du phénomène anormal de transition susmentionné, lorsque les données de traitement arithmétique vont être transmises à un autre dispositif de commande, comme le montre la figure 2, chaque dispositif de commande va ajouter une information de non-fiabilité (par exemple un indicateur de non-fiabilité "1") pour signaler que le résultat des opérations de commande de chaque dispositif de commande utilisant ces données n'est pas fiable, l'attention étant ainsi attirée réciproquement. Dans l'art connexe, on propose un procédé de diagnostic d'usine qui consiste, en cas de survenue d'un phénomène anormal de transition dans chaque installation d'une usine, à estimer un signal d'observation du point de départ de la variation de la transition et un passage de la variation de la transition dans le signal d'observation, à affiner les causes possibles et à intervenir afin d'éliminer rapidement la cause de la survenue de la non-fiabilité Dans l'art connexe décrit dans un document de brevet 1 (Brevet japonais n° 2 896 306), la cause d'une non-fiabilité telle qu'un phénomène anormal de transition est diagnostiquée et des contre-mesures peuvent être prises rapidement. Toutefois, l'inconvénient est que même si la cause de cette non-fiabilité a été sensiblement éliminée, l'information de non fiabilité reste transmise en continu entre les dispositifs de commande. En effet, si nous prenons un modèle simple, par exemple lorsqu'une boucle fermée de commande par rétroaction ou similaire est formée entre deux dispositifs de commande A et B, même si le phénomène anormal de transition provoquant la non-fiabilité a déjà été éliminé dans le premier dispositif de commande A, étant donné que l'information de non-fiabilité est ajoutée à des données qui ont été transmises du dispositif A au dispositif B avant cela, les données soumises à un traitement arithmétique du dispositif B basé sur ces données ne sont plus fiables. Par conséquent, l'information de non-fiabilité est ajoutée également aux données renvoyées du dispositif B au premier dispositif A. Ensuite, l'information de non-fiabilité est ajoutée également au résultat du traitement arithmétique du dispositif A. Comme indiqué ci-dessus, l'inconvénient est que l'information de non-fiabilité, une fois qu'elle a été ajoutée, va rester transmise en continu entre les dispositifs A et B. En cas de transmission synchrone entre des dispositifs de commande, il est relativement facile de faire en sorte que les instants de remise à zéro de l'information de non-fiabilité coïncident les uns avec les autres. En revanche, si on part de l'hypothèse d'une transmission asynchrone entre les dispositifs de commande, il n'est pas simple de remettre à zéro l'information de non-fiabilité qui reste dans la boucle fermée. Comme contre-mesure pour supprimer l'inconvénient susmentionné, on peut envisager de prévoir pour chaque dispositif de commande un commutateur de remise à zéro pour remettre à zéro l'information de non-fiabilité, et d'appuyer en même temps sur tous les commutateurs de remise à zéro des dispositifs de commande respectifs pour remettre à zéro l'information de non-fiabilité restant dans la boucle fermée entre les dispositifs. Lorsque deux dispositifs de commande sont disposés côte à côte, on peut appuyer en même temps sur les deux commutateurs. Or, étant donné que les dispositifs de commande respectifs sont généralement installés à l'écart les uns des autres à travers un réseau, même si des opérateurs communiquent entre eux, il est difficile de faire en sorte que les instants d'appui sur les commutateurs de remise à zéro coïncident exactement entre eux. Par conséquent, il est très difficile de remettre à zéro l'information de non-fiabilité restant dans la boucle fermée. Par ailleurs, même si on prend une contre-mesure pour arrêter la transmission de l'information de non-fiabilité de façon inconditionnelle à l'entrée de la boucle de sorte que l'information de non-fiabilité ne soit pas transmise dans une boucle fermée formée entre des dispositifs de commande, à cause des différences entre les fréquences de changement d'application des dispositifs respectifs ou les fréquences de reconstitution, on peut difficilement s'assurer d'une occasion pour extraire une partie formant la boucle fermée une fois que les données de tous les dispositifs ont été entrées. Résumé de l'invention La présente invention a été réalisée dans le but de résoudre les problèmes susmentionnés, et elle a pour objet de fournir un système de commande d'appareils de mesure qui permette, lorsque des données sont transférées de manière asynchrone entre des dispositifs de commande, de supprimer de manière simple et certaine l'inconvénient d'une information de non-fiabilité qui resterait transmise en continu dans une boucle fermée des dispositifs de commande. Afin de réaliser cet objet, dans un système de commande d'appareils de mesure conçu de telle sorte que plusieurs dispositifs de commande chargés d'effectuer différents traitements arithmétiques de commande sont reliés par l'intermédiaire d'un réseau, que les dispositifs de commande respectifs se transmettent des données entre eux par le biais du réseau de manière asynchrone, et qu'une information de non-fiabilité permettant de distinguer si un résultat du traitement arithmétique de commande est fiable est ajoutée au moment de la transmission de données, on utilise la structure suivante. Plus précisément, selon l'invention, l'un des dispositifs de commande comprend un commutateur de remise à zéro, une unité de sortie d'instruction de remise à zéro pour transmettre une instruction de remise à zéro de la non-fiabilité, destinée à remettre à zéro l'information de non-fiabilité, au réseau pendant une durée définie à la suite de l'actionnement du commutateur de remise à zéro, et une unité de remise à zéro de l'information de non-fiabilité pour arrêter l'entrée de l'information de non-fiabilité provenant de l'autre dispositif de commande dans le dispositif de commande en question pendant un temps défini par suite de l'actionnement du commutateur de remise à zéro et pour remettre à zéro l'information de non-fiabilité dans le dispositif de commande en question, et l'autre dispositif de commande comprend une unité de contrôle de réception d'instruction de remise à zéro pour contrôler si l'instruction de remise à zéro de la non- fiabilité est reçue par le biais du réseau, et une unité de remise à zéro de l'information de non-fiabilité pour arrêter, lors de la réception de l'instruction de remise à zéro de la non-fiabilité, l'entrée de l'information de non-fiabilité provenant de l'autre dispositif de commande dans le dispositif de commande en question pendant une durée définie suite à cette réception et pour remettre à zéro l'information de non-fiabilité dans le dispositif de commande en question. Dans un autre mode de réalisation, le commutateur de remise à zéro est supprimé, et à la place de l'unité de sortie d'instruction de remise à zéro définie ci-dessus, une unité de sortie d'instruction de remise à zéro est prévue pour transmettre une instruction de remise à zéro de la non-fiabilité, destinée à remettre à zéro l'information de non fiabilité, au réseau pendant une durée limitée, de manière périodique et à intervalle spécifique. Dans un autre mode de réalisation l'autre dispositif de commande, différent du dispositif de commande ayant l'unité de sortie d'instruction de remise à zéro, comprend une unité de notification de fin de remise à zéro pour transmettre, lorsque l'information de non fiabilité de son propre dispositif de commande est remise à zéro par l'unité de remise à zéro de l'information de non fiabilité, une information de fin de remise à zéro au réseau, et l'unité de sortie d'instruction de remise à zéro arrête immédiatement la transmission de l'instruction de remise à zéro de la non-fiabilité au réseau lorsque l'information de fin de remise à zéro émise par l'unité de notification de fin de remise à zéro est entrée par l'intermédiaire du réseau. Par ailleurs, selon l'invention, dans un système de commande d'appareils de mesure conçu de telle sorte que plusieurs dispositifs de commande chargés d'effectuer des traitements arithmétiques de commande sont reliés entre eux par l'intermédiaire d'un réseau, que les dispositifs de commande respectifs se transmettent des données entre eux par le biais du réseau de manière asynchrone, et qu'une information de non-fiabilité permettant de distinguer si un résultat du traitement arithmétique de commande est fiable est ajoutée au moment de la transmission de données, chacun des dispositifs de commande comprend une unité de contrôle d'information de non-fiabilité chargée de contrôler si une information de non-fiabilité doit être ajoutée à des données de sortie du dispositif de commande en question au réseau, une unité de contrôle de réception d'instruction de remise à zéro chargée de contrôler si une instruction de remise à zéro de la non-fiabilité destinée à remettre à zéro une information de non-fiabilité est reçue de l'autre dispositif de commande par le biais du réseau, une unité de sortie d'instruction de remise à zéro chargée de délivrer l'instruction de remise à zéro de la non-fiabilité au réseau lorsqu'un état de détection d'un état d'ajout d'information de non-fiabilité par l'unité de contrôle d'information de non-fiabilité continue pendant un laps de temps défini, et une unité de remise à zéro de l'information de non-fiabilité chargée d'arrêter l'entrée d'une information de non-fiabilité provenant de l'autre dispositif de commande dans le dispositif de commande en question pendant une durée définie et de remettre à zéro l'information de non-fiabilité dans le dispositif de commande en question après que l'unité de sortie d'instruction de remise à zéro du dispositif de commande en question a délivré l'instruction de remise à zéro de la non-fiabilité au réseau, ou lorsque l'unité de contrôle de réception d'instruction de remise à zéro détecte que l'instruction de remise à zéro de la non-fiabilité est reçue par le biais du réseau. Selon l'invention, dans une structure du système dans laquelle les données sont transférées de manière asynchrone entre les dispositifs de commande reliés entre eux par l'intermédiaire du réseau, lorsque la boucle fermée est formée entre les dispositifs de commande, l'entrée de l'information de non-fiabilité ajoutée aux données de transmission provenant de l'autre dispositif de commande est arrêtée pendant la durée définie selon l'instruction de remise à zéro de la non-fiabilité, et l'information de non-fiabilité du dispositif de commande en question est remise à zéro, et par conséquent, la totalité des informations de non-fiabilité peuvent être remises à zéro en toute certitude. On supprime ainsi de manière certaine l'inconvénient de voir l'information de non-fiabilité rester transmise en continu dans la boucle fermée. En outre, selon l'invention, le dispositif de commande chargé d'émettre l'instruction de remise à zéro de la non-fiabilité n'est pas limité à un dispositif spécifique, et l'instruction de remise à zéro de la non-fiabilité peut être transmise par un dispositif de commande arbitraire la ou lb comme point de départ de l'occurrence de l'information de non-fiabilité. Ainsi, même dans le cas où un dispositif de commande spécifique serait supprimé du réseau à cause d'une panne ou d'une opération d'entretien, la remise à zéro de l'information de non-fiabilité peut être effectuée automatiquement et de manière certaine pour la boucle fermée des dispositifs de commande restants. Par ailleurs, dans un réseau hiérarchisé, on peut imaginer le cas où le réseau serait divisé en plusieurs réseaux. Dans ce cas également, étant donné que le dispositif de commande chargé d'émettre l'instruction de remise à zéro de la non-fiabilité n'est pas limité à un dispositif spécifique, on peut éviter une situation dans laquelle il serait impossible d'effectuer la remise à zéro de l'information de non-fiabilité de la boucle fermée formée dans le réseau divisé, ce qui est extrêmement pratique. D'autres objets, caractéristiques, aspects et 30 avantages de la présente invention ressortiront plus clairement à la lecture de la description détaillée ci-après, faite en référence aux dessins annexés. Brève description des dessins La figure 1 est une vue structurelle d'un système de commande d'appareils de mesure selon le mode de réalisation 1 de l'invention. La figure 2 est une vue explicative d'un cas où une information de non-fiabilité, permettant de distinguer si le résultat d'une opération de traitement de commande est normal, est ajoutée au moment d'une transmission de données entre des dispositifs de commande reliés à un réseau. La figure 3 est un organigramme qui explique le 15 fonctionnement d'un dispositif de commande spécifique dans un mode de réalisation 1 de l'invention. La figure 4 est un organigramme qui explique le fonctionnement d'un autre dispositif de commande dans le mode de réalisation 1 de l'invention. 20 La figure 5 est une vue structurelle d'un système de commande d'appareils de mesure dans un mode de réalisation 2 de l'invention. La figure 6 est un organigramme qui explique le fonctionnement d'un dispositif de commande spécifique 25 dans le mode de réalisation 2 de l'invention. La figure 7 est une vue structurelle d'un système de commande d'appareils de mesure dans un mode de réalisation 3 de l'invention. La figure 8 est un organigramme qui explique le 30 fonctionnement d'un autre dispositif de commande dans le mode de réalisation 3 de l'invention. La figure 9 est un organigramme qui explique le fonctionnement d'un dispositif de commande spécifique dans le mode de réalisation 3 de l'invention. La figure 10 est une vue structurelle d'un système 5 de commande d'appareils de mesure dans un mode de réalisation 4 de l'invention. La figure 11 est un organigramme qui explique le fonctionnement des dispositifs de commande respectifs dans le mode de réalisation 4 de l'invention. 10 Description détaillée des modes de réalisation préférés de l'invention On va décrire des modes de réalisation de la présente invention, à la lumière des dessins. Dans les 15 modes de réalisation ci-après, pour faciliter la compréhension de l'invention, on va décrire, par exemple, un cas où deux dispositifs de commande sont prévus. Toutefois, l'invention ne se limite pas à ce cas mais peut également s'appliquer à un cas où trois 20 dispositifs de commande sont prévus, voire plus. Mode de réalisation 1 La figure 1 est une vue structurelle d'un système de commande d'appareils de mesure selon le mode de 25 réalisation 1 de l'invention. Dans le système de commande d'appareils de mesure selon le mode de réalisation 1, plusieurs (deux, dans le présent mode de réalisation) dispositifs de commande la et lb chargés d'exécuter différents traitements 30 arithmétiques de commande sont reliés entre eux par l'intermédiaire d'un réseau 3. Ces dispositifs de commande respectifs la et lb comprennent des sections de commande arithmétique 2a et 2b chargées d'effectuer différentes opérations de logique arithmétique, les sections de commande arithmétique respectives 2a et 2b se transmettant des données entre elles de manière asynchrone par l'intermédiaire du réseau 3. En outre, les dispositifs de commande respectifs la et lb sont conçus pour ajouter aux données de transmission, lors d'une transmission de données, une information de non-fiabilité permettant de distinguer si le résultat d'un traitement arithmétique est fiable, par exemple un indicateur de non-fiabilité "1" (figure 2) pour signaler que les résultats arithmétiques de commande des dispositifs de commande la et lb se trouvent dans des états non fiables. Le premier dispositif de commande la est pourvu d'un commutateur de remise à zéro 4, et un programme de commande spécifique est installé dans la section de commande arithmétique 2a, de sorte qu'une unité de sortie d'instruction de remise à zéro 7a et une unité de remise à zéro de l'information de non-fiabilité 8a selon les revendications sont formées. En outre, dans l'autre dispositif de commande lb, un programme de commande spécifique est installé dans la section de commande arithmétique 2b, de sorte qu'une unité de contrôle de réception d'instruction de remise à zéro 5b et une unité de remise à zéro de l'information de non-fiabilité 8b selon les revendications sont formées. A ce propos, les explications de fonctionnement ci-après permettent une compréhension progressive du fonctionnement des unités respectives réalisées dans les sections de commande arithmétique respectives 2a et 2b. On va maintenant décrire, en s'appuyant sur les organigrammes de la figure 3 et de la figure 4, le fonctionnement d'un système de commande d'appareils de mesure ayant la structure ci-dessus, et en particulier, l'opération de remise à zéro de l'information de non-fiabilité dans le cas où une boucle fermée de commande par rétroaction ou similaire est formée entre les deux dispositifs de commande la et lb. A ce propos, dans ce qui suit, la lettre repère S désigne chaque étape de procédé. La figure 3 est l'organigramme de l'opération de traitement arithmétique du premier dispositif de commande la, la figure 4 est l'organigramme de l'opération de traitement arithmétique du second dispositif de commande lb. Au départ, dans le premier dispositif de commande la, la section de commande arithmétique 2a détermine si le commutateur de remise à zéro 4 est allumé (5101). A ce stade, si le commutateur de remise à zéro 4 n'est pas allumé, la totalité des informations entrées depuis le réseau 3 sont entrées directement (S102), différentes opérations de logique arithmétique de commande sont effectuées sur la base des données de traitement arithmétique de l'autre dispositif de commande lb comprises dans les informations (S103), et le résultat du traitement arithmétique est ensuite transmis au réseau 3 (S104). Dans ce cas, lorsque l'information de non-fiabilité est ajoutée aux données entrées depuis le dispositif lb, l'information de non-fiabilité est ajoutée également aux données de sortie du dispositif la. Par contre, si le commutateur de remise à zéro 4 est allumé à l'étape 5101, alors, la section de commande arithmétique 2a enclenche un temporisateur K1 pour fixer une durée de continuation de sortie d'une instruction de remise à zéro de la non-fiabilité (S105). Ensuite, l'entrée de l'information de non-fiabilité dans son propre dispositif de commande en provenance du réseau 3 est arrêtée (S106), et ensuite, les données de traitement arithmétique comprises dans les informations de réception provenant du réseau 3 sont capturées (S107), et une opération de logique arithmétique de commande est effectuée (S108). Ensuite, après que l'information de non-fiabilité de son propre dispositif de commande a été remise à zéro par l'unité de remise à zéro de l'information de non-fiabilité 8a (S109), l'instruction de remise à zéro de la non-fiabilité est délivrée par l'unité de sortie d'instruction de remise à zéro 7a (S110), et le résultat de logique arithmétique de commande et l'instruction de remise à zéro de la non-fiabilité sont transmis au réseau 3 (S111). Ensuite, le traitement détermine si un temps mesuré du temporisateur K1 est supérieur à une valeur de référence préalablement fixée T1 (S112) et si ce temps n'est pas supérieur à la valeur de référence T1, le traitement revient à l'étape S106, et s'il est supérieur à la valeur de référence T1, le traitement revient à l'étape 5101. Comme indiqué ci-dessus, la raison pour laquelle le procédé de sortie (5110) de l'instruction de remise à zéro de la non-fiabilité par le premier dispositif de commande la continue pendant la durée définie T1 est la suivante : étant donné que les dispositifs de commande respectifs la, lb fonctionnent de manière asynchrone l'un par rapport à l'autre, il faut un certain temps, après que l'instruction de remise à zéro de la non-fiabilité a été délivrée par le premier dispositif de commande la, pour que cette instruction soit effectivement capturée par l'autre dispositif de commande lb, et il faut donc un délai supplémentaire. En outre, même pendant la durée de sortie T1 de l'instruction de remise à zéro de la non-fiabilité, lorsque le dispositif de commande la effectue une commande par rétroaction ou similaire, il faut que les données arithmétiques provenant de l'autre dispositif de commande lb soient entrées, que l'opération de logique arithmétique de commande dans le dispositif la continue, et que le résultat arithmétique soit à nouveau transmis à l'autre dispositif de commande lb. Ainsi, il est nécessaire de passer par les procédés des étapes S107, S108 et 5111. En ce qui concerne l'autre dispositif de commande lb, le traitement détermine si l'unité de contrôle de réception d'instruction de remise à zéro 5b de la section de commande arithmétique 2b reçoit l'instruction de remise à zéro de la non-fiabilité provenant du réseau 3 (S201). A ce stade, si l'instruction de remise à zéro de la non-fiabilité n'est pas reçue, la totalité des informations entrées depuis le réseau 3 sont entrées directement (S202), différentes opérations de logique arithmétique de commande sont effectuées sur la base des données de traitement arithmétique de l'autre dispositif de commande la comprises dans les informations (S203), et le résultat du traitement arithmétique est ensuite transmis au réseau 3 (S204). A ce propos, dans ce cas également, lorsque l'information de non-fiabilité est ajoutée aux données entrées depuis le dispositif la, l'information de non-fiabilité est également ajoutée aux données en sortie du dispositif lb. D'autre part, lorsque l'instruction de remise à zéro de la non-fiabilité est reçue à l'étape 5201, alors, l'unité de remise à zéro de l'information de non-fiabilité 8b de la section de commande arithmétique 2b enclenche un temporisateur K2 pour fixer une durée de continuation de la remise à zéro de l'information de non-fiabilité dans son propre dispositif de commande lb (S205). Ensuite, l'entrée de l'information de non- fiabilité provenant du réseau 3 dans son propre dispositif lb est arrêtée (S206). Ensuite, les données de traitement arithmétique comprises dans les informations de réception provenant du réseau 3 sont capturées (S207), et une opération de logique arithmétique de commande est effectuée (S208). Ensuite, après que l'information de non-fiabilité dans son propre dispositif de commande lb a été remise à zéro (S209), le résultat de l'opération de logique arithmétique de commande est transmis au réseau 3 (S210). Ensuite, le traitement détermine si le temps mesuré du temporisateur K2 est supérieur à une valeur de référence préalablement fixée T2 (S211), et s'il n'est pas supérieur à la valeur de référence T2, le traitement revient à l'étape S206. Par contre, s'il est supérieur à la valeur de référence T2, le traitement revient à l'étape S201. Comme indiqué ci-dessus, dans l'autre dispositif de commande lb, la raison pour laquelle la remise à zéro de l'information de non-fiabilité continue dans son propre dispositif de commande lb pendant la durée définie T2 même si l'instruction de remise à zéro de la non-fiabilité a été reçue est la suivante. Dans l'exemple ci-dessus, on part de l'hypothèse que seule une simple transmission de données est effectuée entre les deux dispositifs de commande la et lb. Or, on suppose, par exemple, qu'il existe encore un autre dispositif de commande 1c, ne figurant pas sur les dessins, qu'une boucle fermée est formée entre le dispositif de commande 1c et le dispositif de commande lb, et que la période arithmétique du dispositif de commande 1c est plus longue que la période arithmétique du dispositif de commande lb. Par conséquent, même si le dispositif de commande lb remet à zéro l'information de non-fiabilité dans son propre dispositif de commande lb en se basant sur l'instruction de remise à zéro de la non-fiabilité délivrée par le dispositif de commande spécifique la, lorsque l'information de non-fiabilité est ajoutée aux données transmises par l'autre dispositif de commande 1c, le résultat arithmétique du dispositif de commande lb n'est plus fiable. Alors, étant donné que les dispositifs de commande la, lb et 1c sont asynchrones, même si le dispositif de commande lb ne reçoit pas de nouvelle instruction de remise à zéro de la non-fiabilité, le dispositif de commande va continuer à remettre à zéro l'information de non-fiabilité pendant la durée définie T2 préalablement fixée à partir de la réception de l'instruction de remise à zéro de la non-fiabilité. Ce système permet d'éviter une situation dans laquelle les données transmises par son propre dispositif de commande lb ne seraient plus fiables à cause de l'information de non-fiabilité ajoutée aux données transmises par le dispositif de commande 1c. Il permet, en outre, de remettre à zéro de manière certaine son propre dispositif de commande lb. Comme indiqué ci-dessus, dans le présent mode de réalisation 1, le commutateur de remise à zéro 4 est prévu dans le dispositif de commande spécifique la, et le fait d'appuyer sur ce commutateur de remise à zéro 4 permet de remettre à zéro de manière certaine la totalité des informations de non-fiabilité pour la boucle fermée entre les dispositifs de commande la et lb qui sont reliés entre eux par l'intermédiaire du réseau 3 et fonctionnent de manière asynchrone. Mode de réalisation 2 La figure 5 est une vue structurelle d'un système de commande d'appareils de mesure selon le mode de réalisation 2 de l'invention, et la figure 6 est un organigramme qui explique le fonctionnement d'un dispositif de commande spécifique. Dans le mode de réalisation 1 qui précède, la description concerne le cas où on appuie sur le commutateur de remise à zéro 4 prévu dans le dispositif de commande spécifique la afin que l'instruction de remise à zéro de la non-fiabilité soit transmise au réseau 3. Dans le présent mode de réalisation 2, même si le commutateur de remise à zéro 4 n'est pas particulièrement actionné, un temporisateur K3 est prévu dans un dispositif de commande la, et une instruction de remise à zéro de la non-fiabilité est automatiquement délivrée à chaque fois que le laps de temps préalablement fixé s'est écoulé. Plus précisément, dans le présent mode de réalisation 2, tel qu'illustré sur la vue structurelle du système de la figure 5, le commutateur de remise à zéro 4 n'est pas prévu dans le premier dispositif de commande la. Comme le montre l'organigramme de la figure 6, une section de commande arithmétique 2a enclenche le temporisateur K3 pour fixer une durée de sortie d'une instruction de remise à zéro de la non-fiabilité (S121). Ensuite, le traitement détermine si le temps mesuré du temporisateur K3 est supérieur à une valeur de référence préalablement fixée T3 (S122). S'il n'est pas supérieur à la valeur de référence T3, la totalité des informations entrées depuis le réseau 3 sont entrées directement (S102), différentes opérations de logique arithmétique de commande sont effectuées sur la base des données de traitement arithmétique de l'autre dispositif de commande comprises dans les informations (S103), et le résultat du traitement arithmétique est ensuite transmis au réseau 3 (S104). Par contre, lorsque le temps mesuré du temporisateur K3 est supérieur à la valeur de référence préalablement fixée T3 à l'étape S122, alors, la section de commande arithmétique 2a remet à zéro la valeur de décompte du temporisateur K3 (S123), et enclenche ensuite un temporisateur K1 pour fixer une durée de continuation de sortie d'instruction de remise à zéro de la non-fiabilité (S105). L'entrée de l'information de non-fiabilité dans son propre dispositif de commande la en provenance du réseau 3 est arrêtée (S106), et ensuite, les données de traitement arithmétique comprises dans les informations de réception provenant du réseau 3 sont capturées (S107), et une opération de logique arithmétique de commande est effectuée (S108). Ensuite, après que l'information de non-fiabilité de son propre dispositif de commande la a été remise à zéro par l'unité de remise à zéro de l'information de non-fiabilité 8a (S109), l'instruction de remise à zéro de la non-fiabilité est délivrée par l'unité de sortie d'instruction de remise à zéro 71a (S110), et le résultat de logique arithmétique de commande et l'instruction de remise à zéro de la non-fiabilité sont transmis au réseau 3 (S111). Ensuite, le traitement détermine si le temps mesuré du temporisateur K1 est supérieur à la valeur de référence préalablement fixée T1 (S112), et s'il n'est pas supérieur à la valeur de référence T1, le traitement revient à l'étape S106, et s'il est supérieur à la valeur de référence T1, le traitement revient à l'étape S121. A ce propos, le fonctionnement du dispositif de commande lb est similaire à celui du cas du mode de réalisation 1 illustré sur la figure 4. En outre, l'autre structure étant similaire à celle du mode de réalisation 1, on ne la détaille pas ici. Comme indiqué ci-dessus, dans le présent mode de réalisation 2, dans le dispositif de commande spécifique la, à chaque fois que le temps mesuré du temporisateur K3 est supérieur à la valeur de référence préalablement fixée T3, l'instruction de remise à zéro de la non-fiabilité est automatiquement délivrée par le dispositif de commande la. On supprime ainsi le souci de l'actionnement manuel du commutateur de remise à zéro 4 comme dans le mode de réalisation 1, et on diminue les surcharges de main-d'œuvre. En outre, comme dans le cas du mode de réalisation 1, la totalité des informations de non-fiabilité peuvent être remises à zéro de manière certaine pour la boucle fermée entre les dispositifs de commande respectifs la et lb qui sont reliés entre eux par l'intermédiaire du réseau 3 et fonctionnent de manière asynchrone. Mode de réalisation 3 Dans les modes de réalisation 1 et 2 décrits ci-dessus, lorsque l'information de non-fiabilité de la boucle fermée formée entre les dispositifs de commande fonctionnant de manière asynchrone est remise à zéro, en fonction de l'état du réseau 3, les temps T1 et T2 correspondant à la remise à zéro de l'information de non-fiabilité et à l'arrêt de l'entrée de l'information de non-fiabilité provenant du réseau 3 sont fixés de manière à ménager un laps de temps suffisant. Ainsi, dans les dispositifs de commande respectifs la et lb, bien que l'information de non-fiabilité ait été sensiblement remise à zéro, il faut continuer de délivrer l'instruction de remise à zéro de la non-fiabilité, et ce délai supplémentaire est nécessaire pour le procédé de remise à zéro. D'autre part, dans le présent mode de réalisation 3, l'autre dispositif de commande lb remet à zéro l'information de non-fiabilité de son propre dispositif de commande, et transmet simultanément la notification de fin de la remise à zéro de l'information de non-fiabilité au premier dispositif de commande la, de sorte que le délai pour l'arrêt de la transmission de l'information de non-fiabilité empêchant le fonctionnement dans les dispositifs de commande respectifs la et lb est écourté une fois que l'information de non-fiabilité a été remise à zéro. On va décrire à présent une opération de traitement spécifique, en se référant à une vue structurelle du système de la figure 7 et aux organigrammes de la figure 8 et de la figure 9. Tout d'abord, et pour permettre une meilleure compréhension, on va commencer par décrire le fonctionnement du dispositif de commande lb à la lumière de l'organigramme de la figure 8. Dans ce dispositif de commande lb, lorsqu'une instruction de remise à zéro de la non-fiabilité est reçue du dispositif de commande la (S201), comme dans le cas du mode de réalisation 1, le procédé des étapes S205 à S209 est effectué, et en outre, dans le présent mode de réalisation 3, une unité de notification de fin de remise à zéro 9 délivre ensuite une information de fin de remise à zéro (par exemple un indicateur de fin de remise à zéro "1") pour signaler au dispositif la que la remise à zéro de l'information de non-fiabilité dans son propre dispositif de commande lb est terminée (S222). Ensuite, le résultat de logique arithmétique de commande et l'information de fin de remise à zéro sont transmis au réseau 3 (S210). A ce propos, dans ce cas également et comme pour le mode de réalisation 1, compte tenu du fait que les dispositifs de commande respectifs la et lb sont asynchrones, même en l'absence de réception d'une nouvelle instruction de remise à zéro de la non-fiabilité, le dispositif lb continue de remettre à zéro l'information de non-fiabilité pendant une durée définie T2 préalablement fixée à partir de la réception de l'instruction de remise à zéro de la non-fiabilité. D'autre part, dans le dispositif de commande la, comme le montre l'organigramme de la figure 9, en cas d'appui sur le commutateur de remise à zéro 4 de la figure 7 (S101), un temporisateur K1 s'enclenche, et pendant une durée qui précède le moment où le temps mesuré du temporisateur K1 est supérieur à une valeur de référence préalablement fixée T1, le procédé des étapes S106 à 5111 continue jusqu'à ce qu'une information de fin de remise à zéro (indicateur de fin de remise à zéro "1") ait été reçue du dispositif de commande lb, et l'instruction de remise à zéro de la non-fiabilité continue d'être transmise au réseau 3. Cependant, lorsque l'information de fin de remise à zéro (indicateur de fin de remise à zéro "1") est reçue du dispositif de commande lb au milieu de la période qui précède le moment où le temps mesuré du temporisateur K1 est supérieur à la valeur de référence préalablement fixée T1 (S131), une unité de sortie d'instruction de remise à zéro 7a arrête immédiatement la sortie de l'instruction de remise à zéro de la non-fiabilité (S132), et le traitement passe au procédé des étapes 5102 à 5104. Dans le présent mode de réalisation 3, bien que les autres dispositifs de commande lb formant la boucle fermée par rapport au dispositif de commande spécifique la soient limités à un, lorsqu'il existe encore un autre dispositif de commande, à l'étape S131, la sortie de l'instruction de remise à zéro de la non-fiabilité s'arrête dès que la totalité des informations de fin de remise à zéro (indicateur de fin de remise à zéro "1") provenant des dispositifs de commande formant la boucle fermée à l'exception du dispositif de commande spécifique la ont été reçues (S132). A ce propos, le fonctionnement des dispositifs de commande la et lb étant similaire à celui du cas du mode de réalisation 1 illustré sur la figure 3 et la figure 4, les étapes de procédé correspondantes sont désignées par les mêmes repères et ne sont pas détaillées ici. En outre, l'autre structure étant similaire à celle du mode de réalisation 1, on ne la détaille pas ici. Comme indiqué ci-dessus, dans le présent mode de réalisation 3, en ce qui concerne la boucle fermée entre les dispositifs de commande la et lb qui sont reliés entre eux par l'intermédiaire du réseau 3 et fonctionnent de manière asynchrone, la totalité des informations de non-fiabilité peuvent être remises à zéro de manière certaine. En outre, l'unité de notification de fin de remise à zéro 9 chargée de délivrer l'information de fin de remise à zéro est prévue dans le dispositif de commande lb, et lorsque l'information de fin de remise à zéro est reçue par l'autre dispositif de commande la, alors, la sortie de l'instruction de remise à zéro de la non-fiabilité est immédiatement arrêtée. Ce système permet de diminuer le temps total nécessaire à la remise à zéro de l'information de non-fiabilité de tous les dispositifs la et lb reliés au réseau 3. A ce propos, dans le présent mode de réalisation 3, bien que l'on soit parti, pour la description, de l'hypothèse selon laquelle le commutateur de remise à zéro 4 est prévu dans le dispositif de commande spécifique la comme pour le mode de réalisation 1, l'invention ne se limite pas à cette hypothèse mais peut s'appliquer à une structure dans laquelle, comme pour le mode de réalisation 2, l'instruction de remise à zéro de la non-fiabilité est délivrée automatiquement par le dispositif la à chaque fois que le laps de temps spécifique T3 mesuré s'est écoulé. Mode de réalisation 4 Dans les modes de réalisation 1 à 3 décrits ci-dessus, au moment de réaliser le système de commande d'appareils de mesure, on commence par déterminer le dispositif de commande spécifique la chargé de délivrer l'instruction de remise à zéro de la non-fiabilité. En revanche, dans le présent mode de réalisation 4, chacun de l'ensemble des dispositifs de commande la et lb de ce système contrôle la présence ou l'absence d'occurrence de l'information de non-fiabilité dans son propre dispositif de commande, et s'il est confirmé que l'information de non-fiabilité est générée en continu pendant une durée définie préalablement fixée T4 ou plus, l'instruction de remise à zéro de la non-fiabilité peut être transmise au réseau 3 par l'un quelconque des dispositifs de commande la et lb. Indépendamment d'un dispositif de commande spécifique, la totalité des informations de non- fiabilité peuvent être remises à zéro de manière certaine vis-à-vis de la boucle fermée entre les dispositifs de commande respectifs la et lb qui sont reliés par l'intermédiaire du réseau 3 et fonctionnent de manière asynchrone. En effet, dans le présent mode de réalisation 4, les dispositifs de commande respectifs la et lb comprennent des sections de commande arithmétique 2a et 2b chargées d'effectuer différentes opérations de logique arithmétique, et des programmes de commande spécifiques sont installés dans ces sections de commande arithmétique 2a et 2b, de sorte qu'une unité de contrôle de réception d'instruction de remise à zéro 5 et une unité de contrôle d'information de non-fiabilité 6, une unité de sortie d'instruction de remise à zéro 7 et une unité de remise à zéro de l'information de non-fiabilité 8 selon les revendications sont formées. A ce propos, les explications de fonctionnement ci-après permettent de comprendre le fonctionnement des unités respectives comprises dans les sections de commande arithmétique respectives 2a et 2b. A présent, dans un système de commande d'appareils de mesure ayant la structure ci-dessus, on décrit l'opération de remise à zéro de l'information de non- fiabilité dans le cas où une boucle fermée de commande par rétroaction ou similaire est formée entre les deux dispositifs de commande la et lb, en se référant principalement à une vue structurelle du système illustrée sur la figure 10 et sur un organigramme illustré sur la figure 11. A ce propos, le procédé représenté sur l'organigramme de la figure 11 s'applique aux deux dispositifs de commande la et lb. Au départ, l'unité de contrôle de réception d'instruction de remise à zéro 5a, 5b de la section de commande arithmétique 2a, 2b détermine si une instruction de remise à zéro de la non-fiabilité est reçue de l'autre dispositif de commande (S301). Lorsque l'instruction de remise à zéro de la non-fiabilité est reçue, le traitement avance à l'étape S313. Ce procédé sera décrit ultérieurement. Lorsque l'instruction de remise à zéro de la non-fiabilité n'est pas reçue de l'autre dispositif de commande, les informations entrées depuis le réseau 3 sont entrées directement (S302), différentes opérations de logique arithmétique de commande sont effectuées sur la base des données de traitement arithmétique de l'autre dispositif de commande comprises dans les informations (S303), et le résultat du traitement arithmétique est ensuite transmis au réseau 3 (S304). Ensuite, l'unité de contrôle d'information de non- fiabilité 6a, 6b contrôle l'information de non-fiabilité de son propre dispositif de commande, et détermine si l'état est tel qu'une information de non-fiabilité est ajoutée aux données transmises au réseau 3 par son propre dispositif de commande (S305). Si cette condition est satisfaite, le traitement avance à l'étape S306 et si elle n'est pas satisfaite, le traitement revient à l'étape S301, et la série d'opérations est répétée. Si l'état est tel que l'information de non- fiabilité est ajoutée aux données transmises au réseau 3 par son propre dispositif de commande, un temporisateur K4 chargé de contrôler le temps de continuation de la non-fiabilité est enclenché (S306). Ensuite, à l'étape S307, le traitement détermine à nouveau que son propre dispositif de commande se trouve dans un état d'ajout de l'information de non-fiabilité. Lors du premier traitement de cette étape, puisqu'il est déterminé à l'étape S305 que son propre dispositif de commande se trouve dans un état d'ajout de l'information de non-fiabilité, cette condition est toujours satisfaite et le traitement avance à l'étape S308. Après enclenchement du temporisateur K4, la boucle des étapes S307 à S311 se répète pendant un laps de temps défini (T4). Le procédé des étapes S309 à S311 est similaire au procédé des étapes S302 à S304. Pendant que le procédé des étapes S307 à S311 se répète, une fois que l'état dans lequel l'information de non-fiabilité est ajoutée aux données transmises par son propre dispositif de commande a été éliminé, le traitement revient à l'étape S301, au niveau de l'étape S307. Par contre, si l'état dans lequel l'information de non-fiabilité est ajoutée aux données transmises par son propre dispositif de commande continue même après que le laps de temps défini (T4) s'est écoulé, le traitement avance à l'étape suivante S312. L'unité de sortie d'instruction de remise à zéro 72a, 72b transmet l'instruction de remise à zéro de la non-fiabilité à l'autre dispositif de commande (S312). Si les données complétées de l'information de non-fiabilité sont transmises en continu pendant le temps défini par son propre dispositif de commande, il est vraisemblable que les données de l'autre dispositif de commande sont également dans un état d'inclusion de l'information de non-fiabilité. Alors, l'instruction de remise à zéro de la non-fiabilité est transmise à l'ensemble des dispositifs de commande concernés reliés au réseau 3. Une fois que l'instruction de remise à zéro de la non-fiabilité a été transmise à l'autre dispositif de commande, l'unité de remise à zéro de l'information de non-fiabilité 8a, 8b exécute un procédé qui consiste à remettre à zéro l'information de non-fiabilité dans son propre dispositif de commande à l'issue de l'étape S313. Au départ, un temporisateur K5 destiné à fixer un laps de temps pendant lequel le procédé de remise à zéro de l'information de non-fiabilité va continuer est enclenché (S313), et l'entrée de l'information de non-fiabilité qui est ajoutée aux données entrées depuis l'autre dispositif de commande dans son propre dispositif de commande est arrêtée (S314). Ensuite, les données de traitement arithmétique comprises dans les informations de réception provenant du réseau 3 sont capturées (S315), et une opération de logique arithmétique de commande est effectuée (S316). Ensuite, après que l'information de non-fiabilité dans son propre dispositif de commande a été remise à zéro par l'unité de remise à zéro de l'information de non-fiabilité 8a, 8b (S317), le résultat de logique arithmétique de commande est transmis au réseau 3 (S318). Si la valeur du temporisateur K5 est inférieure à un temps défini (T5), le traitement revient à l'étape S314 et le même procédé continue, et si elle est supérieure ou égale à T5, le traitement revient à l'étape S301. Comme indiqué ci-dessus, dans le présent mode de réalisation 4, l'information de non-fiabilité de son propre dispositif de commande est systématiquement contrôlée, et lorsque l'état dans lequel l'information de non-fiabilité est ajoutée aux données transmises par son propre dispositif de commande au réseau 3 continue pendant le temps défini T4 ou plus, l'instruction de remise à zéro de la non-fiabilité est transmise à l'autre dispositif de commande, et l'information de non-fiabilité de son propre dispositif de commande est également remise à zéro en continu pendant le laps de temps défini. En outre, également lorsque l'instruction de remise à zéro de la non fiabilité est reçue de l'autre dispositif de commande, et également lorsque l'information de non fiabilité de son propre dispositif de commande est remise à zéro après que son propre dispositif de commande a transmis l'instruction de remise à zéro de la non fiabilité à l'autre dispositif de commande, le procédé de la section de commande arithmétique de chaque dispositif répète la remise à zéro de l'information de non fiabilité dans son propre dispositif de commande pendant le laps de temps défini T5. Cela permet, par conséquent, d'empêcher de manière certaine la survenue d'un état dans lequel le même dispositif délivrerait en continu l'instruction de remise à zéro de la non-fiabilité, la même instruction se répéterait sur le réseau 3 et se retrouverait en collision avec elle-même, et la remise à zéro de l'information de non-fiabilité ne s'exécuterait pas correctement. Dans le présent mode de réalisation 4, le dispositif de commande chargé d'émettre l'instruction de remise à zéro de la non-fiabilité n'est pas limité à un dispositif spécifique contrairement aux modes de réalisation 1 à 3, et l'instruction de remise à zéro de la non-fiabilité peut être délivrée par le dispositif de commande arbitraire la ou lb comme point de départ de l'occurrence de l'information de non-fiabilité. Ainsi, même si le système se retrouve dans une situation où un dispositif de commande spécifique est séparé du réseau 3 en raison d'une panne ou d'une opération d'entretien, la remise à zéro de l'information de non-fiabilité peut être effectuée automatiquement et de manière certaine pour la boucle fermée des dispositifs de commande restants. En outre, dans un réseau 3 hiérarchisé, on peut imaginer le cas où le réseau serait divisé en plusieurs réseaux 3. Dans ce cas également, étant donné que le dispositif de commande chargé d'émettre l'instruction de remise à zéro de la non-fiabilité n'est pas limité à ce dispositif spécifique, on peut éviter une situation dans laquelle il serait impossible d'effectuer la remise à zéro de l'information de non-fiabilité de la boucle fermée formée dans le réseau divisé 3, ce qui est extrêmement pratique. Il est entendu que l'invention n'est pas limitée aux exemples de réalisation ci-dessus décrits et représentés, à partir desquels on pourra prévoir d'autres modes et d'autres formes de réalisation, sans pour autant sortir du cadre de l'invention. Sl 34364 JP/DB REVENDICATIONS 1. Système de commande d'appareils de mesure, comprenant une pluralité de dispositifs de commande (la, lb) effectuant des traitements arithmétiques de commande et reliés entre eux par l'intermédiaire d'un réseau (3), dans lequel les dispositifs de commande respectifs effectuent une transmission de données par le biais du réseau (3) de manière asynchrone entre eux, et une information de non fiabilité permettant de distinguer si un résultat du traitement arithmétique de commande est fiable ou non est ajoutée au moment d'une transmission de données, et dans lequel un des dispositifs de commande (la) comprend : un commutateur de remise à zéro (4) ; une unité de sortie d'instruction de remise à zéro (7a) pour transmettre une instruction de remise à zéro de la non-fiabilité, chargée de remettre à zéro l'information de non fiabilité, au réseau (3) pendant une durée définie par suite de l'actionnement d'un commutateur de remise à zéro (4) ; et une unité de remise à zéro de l'information de non fiabilité (8a) pour arrêter l'entrée de l'information de non fiabilité provenant de l'autre dispositif de commande (lb) dans son propre dispositif de commande (la) pendant une durée définie par suite de l'actionnement du commutateur de remise à zéro (4) et pour remettre à zéro l'information de non fiabilité dans son propre dispositif de commande (la), et l'autre dispositif de commande (lb) comprend : une unité de contrôle de réception d'instruction de remise à zéro (5b) pour contrôler si l'instruction SR 34364 JP/DB 2922661 de remise à zéro de la non-fiabilité est reçue par le biais du réseau (3) ou non ; et une unité de remise à zéro de l'information de non fiabilité (8b) pour arrêter, lorsque l'instruction de 5 remise à zéro de la non-fiabilité est reçue, l'entrée de l'information de non fiabilité provenant de l'autre dispositif de commande (la) dans son propre dispositif de commande (lb) pendant une durée définie et pour remettre à zéro l'information de non fiabilité dans son 10 propre dispositif de commande (lb). 2. Système de commande d'appareils de mesure, comprenant une pluralité de dispositifs de commande (la, lb) effectuant des traitements arithmétiques de 15 commande et reliés entre eux par l'intermédiaire d'un réseau (3), dans lequel les dispositifs de commande respectifs effectuent une transmission de données par le biais du réseau (3) de manière asynchrone entre eux, et une information de non fiabilité permettant de 20 distinguer si un résultat du traitement arithmétique de commande est fiable ou non est ajoutée au moment d'une transmission de données, et dans lequel un des dispositifs de commande (la) comprend : une unité de sortie d'instruction de remise à zéro 25 (71a) prévue pour transmettre une instruction de remise à zéro de la non-fiabilité, destinée à remettre à zéro l'information de non fiabilité, au réseau pendant une durée limitée, de manière périodique et à intervalle spécifique ; et 30 une unité de remise à zéro de l'information de non fiabilité (8a) pour arrêter l'entrée de l'information SE 34364 JP/DB 2922661 36 de non fiabilité provenant de l'autre dispositif de commande (lb) dans son propre dispositif de commande (la) et pour remettre à zéro l'information de non fiabilité dans son propre dispositif de commande (la), 5 et l'autre dispositif de commande (lb) comprend : une unité de contrôle de réception d'instruction de remise à zéro (5b) pour contrôler si l'instruction de remise à zéro de la non-fiabilité est reçue par le 10 biais du réseau (3) ou non ; et une unité de remise à zéro de l'information de non fiabilité (8b) pour arrêter, lorsque l'instruction de remise à zéro de la non-fiabilité est reçue, l'entrée de l'information de non fiabilité provenant de l'autre 15 dispositif de commande (la) dans son propre dispositif de commande (lb) pendant une durée définie et pour remettre à zéro l'information de non fiabilité dans son propre dispositif de commande (lb). 20 3. Système de commande d'appareils de mesure selon la revendication 1 ou 2, dans lequel l'autre dispositif de commande (lb), différent du dispositif de commande ayant l'unité de sortie d'instruction de remise à zéro (7a), comprend une unité 25 de notification de fin de remise à zéro (9) pour transmettre, lorsque l'information de non fiabilité de son propre dispositif de commande (lb) est remise à zéro par l'unité de remise à zéro de l'information de non fiabilité (8b), une information de fin de remise à 30 zéro au réseau (3), et S . 34364 JP/DB 2922661 37 l'unité de sortie d'instruction de remise à zéro (7a) arrête immédiatement la transmission de l'instruction de remise à zéro de la non-fiabilité au réseau (3) lorsque l'information de fin de remise à 5 zéro émise par l'unité de notification de fin de remise à zéro (9) est entrée par l'intermédiaire du réseau (3). 4. Système de commande d'appareils de mesure, comprenant une pluralité de dispositifs de commande 10 effectuant des traitements arithmétiques de commande et reliés entre eux par l'intermédiaire d'un réseau (3), dans lequel les dispositifs de commande respectifs effectuent une transmission de données par l'intermédiaire du réseau de manière asynchrone entre 15 eux, et une information de non fiabilité permettant de distinguer si un résultat du traitement arithmétique de commande est fiable ou non est ajoutée au moment d'une transmission de données, et dans lequel chacun des dispositifs de commande (la, lb) 20 comprend : une unité de contrôle d'information de non fiabilité (6a, 6b) pour vérifier si une information de non fiabilité doit être ajoutée à des données de sortie transmises par son propre dispositif de commande au 25 réseau (3) ou non ; une unité de contrôle de réception d'instruction de remise à zéro (5a, 5b) pour contrôler si une instruction de remise à zéro de la non-fiabilité, destinée à remettre à zéro une information de non 30 fiabilité, est reçue de l'autre dispositif de commande (lb, la) par l'intermédiaire du réseau (3) ou non, S . 34364 JP/DB 2922661 38 une unité de sortie d'instruction de remise à zéro (72a, 72b) pour transmettre l'instruction de remise à zéro de la non-fiabilité au réseau (3) lorsqu'une information de non fiabilité est détectée de manière 5 continue par l'unité de contrôle d'information de non fiabilité (6a, 6b) pendant un laps de temps défini, et une unité de remise à zéro de l'information de non fiabilité (8a, 8b) pour arrêter l'entrée d'une information de non fiabilité provenant de l'autre 10 dispositif de commande (lb, la) dans son propre dispositif de commande (la, lb) pendant une durée définie et pour remettre à zéro l'information de non fiabilité dans le propre dispositif de commande (la, lb) après que l'unité de sortie d'instruction de remise à 15 zéro (72a, 72b) de son propre dispositif de commande (la, lb) a transmis l'instruction de remise à zéro de la non-fiabilité au réseau, ou lorsque l'unité de contrôle de réception d'instruction de remise à zéro (5a, 5b) détecte que l'instruction de remise à zéro de 20 la non-fiabilité est reçue par l'intermédiaire du réseau (3).