Brevet FR2928498A1 — publié le 20090911

DISPOSITIF MODULAIRE POUR LA MISE EN MARCHE SECURISEE DE L'ALIMENTATION D'UN EQUIPEMENT ELECTRONIQUE La présente invention concerne le domaine général de la sureté de fonctionnement de systèmes électriques et électroniques sensibles. Elle concerne notamment le domaine de la sureté de fonctionnement des systèmes électriques et électroniques équipant des aéronefs, civils en particulier, et plus particulièrement la protection des équipements de bord contre l'émission intempestive d'ondes radio. Son champ d'application n'est toutefois pas limité à ce seul domaine. Il existe de nos jours, de nombreux domaines techniques dans io lesquels il est habituel de faire cohabiter dans un même système, des équipements dont le fonctionnement, ou simplement la mise en marche, peut s'avérer néfaste pour le bon fonctionnement des autres équipements du système. Par suite, il peut s'avérer utile de séparer dans le temps les phases de fonctionnement des différents équipements et de maitriser complètement •15 l'état (marche ou arrêt) de tel ou tel équipement potentiellement perturbateur du fonctionnement général du système durant les diverses phases de fonctionnement de celui-ci. C'est en particulier le cas pour les équipements électroniques de navigation d'un aéronef, dont le fonctionnement peut être altéré par des 20 émissions radioélectriques intempestives provenant d'équipements particuliers dont le fonctionnement n'est par ailleurs pas nécessaires au fonctionnement opérationnel nominal du système. Ces émissions peuvent en particulier perturber le fonctionnement du système de navigation de l'aéronef alors que celui-ci est en vol, en roulage au sol, ou pire encore, alors que 25 celui-ci effectue des manoeuvres critiques de décollage ou d'atterrissage. Pour de tels équipements potentiellement perturbateurs, il est connu de prévoir des moyens de commande particuliers permettant à l'opérateur ou à l'organe automatique qui gère le fonctionnement du système, de ne mettre effectivement les sous-ensembles perturbateurs renfermés par ces 30 équipements sous tension que dans les phases de fonctionnement qui leur sont dévolues, phases durant lesquelles leur fonctionnement ne peut pas avoir de conséquences néfastes, voire catastrophiques, sur le fonctionnement général du système. Les moyens de commandes utilisés doivent donc eux-mêmes contrôler que la mise sous tension du sous- ensemble perturbateur intégré à l'équipement considéré s'effectue bien seulement dans les phases prévues et qu'aucune perturbation ou défaillance extérieure n'est en mesure de rendre possible une mise sous tension intempestive de ce sous-ensemble. Pour ce faire il est connu de porter à la connaissance de l'opérateur ou de l'organe automatique de gestion du système des événements lui permettant de s'assurer que le système considéré se trouve dans une phase de ~o fonctionnement compatible de la mise sous tension du sous-ensemble potentiellement perturbateur. Ces événements sont généralement traduits en signaux électriques d'états, signaux dont la valeur est testée préalablement à la mise sous-tension du sous-ensemble. Différents moyens techniques connus, non '15 décrits ici, à base par exemple de circuits logiques associés éventuellement à des capteurs et à des relais, permettent à l'opérateur ou à l'organe automatique de gestion, de s'assurer que la mise sous-tension du sous-ensemble est possible sans danger. Par suite, ces événements doivent être connus et mesurés avec :2o certitude et la défaillance des indicateurs d'états correspondants, encore appelés "discrets" doit être parfaitement détectée, en particulier si l'indicateur défaillant se trouve bloqué dans un état logique qui peut conduire l'opérateur ou l'organe de gestion du système à considérer à tort que la mise sous tension du sous-ensemble perturbateur est possible, voire requise. ;25 De cette maîtrise dépend le degré de sécurité global du système. A défaut de pouvoir garantir que la mise en service, la mise sous tension, du sous-ensemble potentiellement perturbateur ne peut effectivement avoir lieu que lorsque son fonctionnement est sans conséquence sur le fonctionnement du système, on est parfois contraint, pour respecter le niveau 30 de sécurité voulu, de prévoir des moyens d'isolement, de confinement, permettant de supprimer ou du moins de limiter le plus possible, les effets perturbateurs du sous-ensemble incriminé sur les autres équipements du système. De la sorte, si par malheur le sous-ensemble incriminé est mis à tort sous tension, les perturbations occasionnées seront suffisamment 35 atténuées pour ne pas compromettre la sureté de fonctionnement du système. Un but de l'invention est de résoudre ce problème général de sécurité et de rendre possible l'intégration d'équipements potentiellement perturbateurs dans un système à haut degré de sureté sans nécessiter la mise en place de moyens d'isolement par nature sophistiqués et encombrants et dont l'efficacité est généralement partielle. A cet effet l'invention a pour objet un dispositif pour assurer io l'alimentation électrique sécurisée d'un sous-ensemble intégré dans un équipement. Le dispositif selon l'invention est apte à recevoir un premier et un second discret relatifs à une première et une seconde information d'état caractérisant la phase de fonctionnement à l'instant considéré du système incorporant l'équipement considéré. II comporte une ligne d'alimentation 15 permettant de relier le sous-ensemble considéré à une source d'alimentation électrique appropriée, ainsi que trois interrupteurs commandés, agencés en série sur la ligne d'alimentation. Un premier et un deuxième interrupteur sont actionnés en position "ouvert" ou "fermé" selon l'état logique "0" ou "1" du premier et du deuxième discret. Un troisième interrupteur est actionné par 20 une commande de validation dont le positionnement à l'état actif résulte des états logiques "0" ou "1" du premier et du deuxième discret et de l'analyse de la capacité desdits discrets à changer d'état. Selon un mode de réalisation préféré, le dispositif selon l'invention 25 comporte les moyens pour synthétiser de manière autonome la commande de validation. Selon ce mode de réalisation, les moyens pour générer la commande de validation comportent des moyens pour détecter un changement d'état du 30 premier et du second discret et le passage desdits discret dans un état attendu déterminé par les valeurs d'information binaires de configuration prédéfinies ainsi que pour vérifier la cohérence mutuelle de ces changements d'état détectés; lesdits moyens générant une information binaire de validation dont la valeur caractérise le résultat de la détection et de 35 la vérification de cohérence. 3 Selon une variante de ce mode de réalisation, les moyens pour générer la commande de validation comportent trois voies parallèles de détection, chaque voie comportant elle-même des moyens pour détecter un changement d'état du premier et du second discret et pour vérifier la cohérence mutuelle de ces changements d'état détectés. Ces moyens génèrent une information binaire de validation dont la valeur caractérise le résultat de la détection et de la vérification de cohérence. Les informations produites par chacune des voies sont transmises à des moyens de validation pour contrôler la cohérence de ces informations chargés de générer la commande de validation correspondante. Selon un mode de mise en oeuvre de cette variante, les moyens de validation produisent une commande de validation dont l'état logique est fonction de l'état logique pris par la majorité des informations de validation produites par chacune des voies de détection. Selon un autre mode de mise en oeuvre de cette variante les moyens de validation produisent une commande de validation dont l'état logique est fonction du produit des états logiques pris par les informations de validation produites par chacune des voies de détection. Selon cette variante, le dispositif selon l'invention comporte en outre des moyens de contrôle de la parité des informations binaires de configuration, lesdits moyens produisant un signal binaire indiquant si le contrôle de parité est positif ou négatif, ledit signal binaire étant transmis au moyens de validations, la valeur de la commande de validation produite par les moyens de validations étant fonction du résultat du contrôle de parité effectué. Selon une variante de réalisation, le dispositif selon l'invention comporte en outre des moyens pour adapter la logique de codage des discrets d'entrée à sa logique de codage interne. Selon une variante de réalisation, le dispositif selon l'invention comporte en outre des moyens pour réaliser l'adaptation électrique des discrets. Selon une variante de réalisation, le dispositif selon l'invention comporte en outre des moyens pour synthétiser et transmettre une information binaire de bon fonctionnement de la chaine de commande des trois interrupteurs, l'information étant synthétisée par analyse de la cohérence des commandes appliquées aux interrupteurs et par l'analyse du Io bon fonctionnement des moyens pour générer la commande de validation. L'invention a également pour objet l'application du dispositif selon l'invention à la mise en marche sécurisée de l'alimentation électrique d'un émetteur-récepteur équipant un enregistreur de donnée de vol placé dans un '15 aéronef, ledit émetteur-récepteur étant utilisé pour transmettre les données de vol enregistrées seulement lorsque l'aéronef est en stationnement. Les caractéristiques et avantages de l'invention seront mieux appréciés grâce à la description qui suit, description qui expose l'invention au :2o travers d'une application particulière prise comme exemple non limitatif et qui s'appuie sur les figures annexées suivantes : - la figure 1, un synoptique général de l'équipement pris comme exemple pour présenter les caractéristiques du dispositif selon l'invention ; 25 -la figure 2, un synoptique général d'un mode de réalisation particulier du dispositif selon l'invention ; mode de réalisation correspondant à l'équipement pris comme exemple illustré par la figure 1. On s'intéresse dans un premier temps à la figure 1, qui illustre le 30 caractère avantageux de l'invention au travers d'un exemple d'application particulier, exemple non limitatif de la portée de l'invention. Dans cet exemple d'application, le dispositif selon l'invention 11 est intégré dans un équipement 12 d'enregistrement des données de vol d'un aéronef. Cet équipement est lui-même intégré dans un système électrique et 35 électronique plus vaste regroupant l'instrumentation de bord de l'aéronef et les équipements chargé de l'élaboration des commandes de vol. Pour des raisons, éminemment pratiques, de déchargement de la mémoire de l'enregistreur celui-ci peut être pourvu, comme c'est le cas dans l'exemple, de moyens de communication, un émetteur-récepteur 13, permettant en particulier de procéder à la lecture des données enregistrées sans avoir à extraire l'enregistreur du système. On peut ainsi avantageusement réaliser un transfert de données par une liaison radioélectrique entre l'enregistreur et un système de dépouillement déporté situé hors de l'aéronef sans avoir à déposer et déplacer l'enregistreur. Il est alors cependant nécessaire de s'assurer que l'émission radioélectrique est sans incidence sur le bon fonctionnement du reste des équipements du système électrique général de l'aéronef et qu'en particulier ces émissions radioélectriques ne sont pas susceptibles d'altérer le fonctionnement d'équipements dont la défaillance compromettrait gravement la sureté de fonctionnement de l'aéronef. C'est pourquoi l'alimentation 14 de l'émetteur-récepteur 13 est ici assurée seulement lorsque l'aéronef est dans une situation où ces émissions ne peuvent pas nuire à son fonctionnement ni au fonctionnement d'aéronefs situés dans le proche voisinage. C'est en particulier le cas lorsque l'aéronef est à l'arrêt sur sa zone de parking. Pour contrôler l'application d'une tension d'alimentation à l'entrée de l'émetteur-récepteur 13, l'enregistreur 12 présenté ici intègre un dispositif 11 selon l'invention, configuré de façon à n'établir l'alimentation 14 de l'émetteur-récepteur 13 que durant cette phase particulière. Le dispositif 11 selon l'invention joue donc le rôle d'un commutateur intelligent inséré dans la ligne d'alimentation de l'émetteur-récepteur 13. Selon l'invention, l'alimentation 14 est ici établie par le dispositif 11 lorsque celui-ci reconnaît une phase de fonctionnement du système dans lequel l'équipement 12 est intégré, pour laquelle la mise en marche de l'émetteur-récepteur 13, qui constitue ici le sous-ensemble dont on veut sécuriser la mise en marche, est sans conséquence. Dans l'exemple d'application choisi la phase en question est celle durant laquelle l'aéronef est à l'arrêt sur son emplacement de parking. Durant cette phase en effet la plupart des équipements de bord de l'aéronef sont inutilisés et leur éventuelle perturbation par l'émetteur-récepteur 13 de l'enregistreur 12 ne pose pas de problème de sécurité. Pour détecter cette phase de fonctionnement particulière, le dispositif 11 selon l'invention procède au test de deux indicateurs dont les valeurs permettent de déterminer si la phase de fonctionnement considérée autorise ou non la mise en marche du sous-ensemble perturbateur. Ainsi dans l'exemple de la figure 1, la phase de fonctionnement particulière durant laquelle l'aéronef est à l'arrêt sur son emplacement de parking est déterminée par le test de deux signaux électriques statiques ou "discrets", indépendants, dont l'état logique "1" ou "0" renseigne le dispositif sur le fait que l'aéronef se trouve ou non dans cette phase. Les discrets 'Io considérés ici sont par exemple un premier discret 15 "EO" (pour "engines off') indiquant que les moteurs de l'aéronef sont coupés et un second discret 16 "DO" (pour "Door Open") indiquant que les issues de l'aéronef sont ouvertes. Ces deux discrets fournissent au dispositif selon l'invention des informations indépendantes qui, validées simultanément, certifient que 15 l'avion est bien à l'arrêt en stationnement et que par conséquent le sous-ensemble 13 peut être alimenté. On s'intéresse ensuite à la figure 2 qui présente l'architecture générale du dispositif selon l'invention, vue au travers de l'application prise comme 20 exemple. Pour remplir sa fonction, le dispositif 11 selon l'invention comporte un ensemble de moyens permettant de s'assurer que : -la mise en marche, voire la simple mise sous tension, du sous-ensemble potentiellement perturbateur, l'émetteur-récepteur 13 ici, n'est 25 possible que dans une phase de fonctionnement donnée du système, phase de fonctionnement non critique en termes de sureté de fonctionnement de l'aéronef. Cette phase étant identifiée par la valeur des discrets fournis au dispositif 11. - la fiabilité des informations, matérialisées par les discrets fournis au 30 dispositif, est suffisante pour garantir un taux de défaillance donné. La défaillance se traduit ici par la mise en marche accidentelle du sous-ensemble durant une phase critique en termes de sureté. Par phase critique, on entend ici une phase durant laquelle si certains équipements du système sont affectés par le sous-ensemble perturbateur, la sureté de l'ensemble du 35 système est gravement compromise. A cet effet le dispositif 11 selon l'invention comporte trois interrupteurs commandés 22, 23 et 24, symbolisés par des circuits MOSFETS sur la figure 2. Ces interrupteurs sont agencés en série sur la ligne d'alimentation 21 de telle sorte que seule la fermeture simultanée des trois interrupteurs permet d'alimenter le sous-ensemble potentiellement perturbateur, l'émetteur-récepteur 13 ici. Selon l'invention, l'ensemble est configuré de la façon suivante : - Deux des trois interrupteurs 22, 23 sont directement actionnés par l'intermédiaire des discrets 15 et 16 correspondants aux informations choisies pour déterminer la phase non critique, les informations EO et DO, ici. Selon l'état du discret EO ou DO qui lui est associé chacun des deux interrupteurs 22 ou 23 se trouve ainsi actionné en position "Fermé" ou "Ouvert". De la sorte lorsque la combinaison des informations "Door Open" = "Vrai" et "Engine Off' = "Vrai" est réalisée les deux premiers interrupteurs 22 et 23 sont fermés. En revanche, si l'une des deux informations n'est pas vérifiée, l'un des interrupteurs reste ouvert. - Le troisième interrupteur 24 est actionné par une commande de validation 25. Selon l'invention cette commande est elle-même principalement synthétisé par un sous-ensemble 26 comportant des moyens appropriés 27, 29 et 213. Selon l'invention, la validation est conditionnée par le fait que les discrets fournis au dispositif sont fiables. La solution retenue pour tester cette fiabilité consiste à tester à la fois la correspondance de l'état logique des discrets 15 et 16 associés aux deux premiers interrupteurs avec un état logique attendu et de l'existence d'un changement d'état desdits discrets entre le moment où ces discrets sont dans des états logiques provoquant la fermeture simultanée des deux premiers interrupteurs et la période précédant ce moment. La synthèse logique du signal binaire 25 correspondant à la commande de validation ainsi définie, peut être effectuée par tous moyens appropriés, des circuits intégrés logiques par exemple. De la sorte, lorsque les discrets 15 et 16, "EO" et "DO" ici, sont dans l'état logique attendu, état logique actif, et qu'un changement d'état a été détecté pour chacun de ces discrets, la commande de validation 25 est positionnée au niveau logique actif qui actionne la fermeture du troisième interrupteur 24, le niveau "1" ou "0" selon la nature de l'interrupteur. Lorsque, par la suite, l'un des discrets 15 et 16 repasse de l'état "actif' à l'état "inactif', les moyens de détection des changements d'état des discrets sont réinitialisés et la commande de validation 25 est repositionnée à l'état "inactif' de sorte que l'interrupteur 24 est rouvert. La détection d'un nouveau changement d'état des discrets est alors nécessaire pour que la commande 25 soit à nouveau positionnée à l'état actif. ~o Selon le type d'application considéré et le degré de criticité qui caractérise la mise en marche du sous-ensemble perturbateur 13, la structure du sous-ensemble 26 peut être plus ou moins complexe. Ainsi dans l'exemple d'application présenté ici comme support à la description, exemple non limitatif par ailleurs de la portée de l'invention, la '15 mise en marche intempestive de l'émetteur-récepteur 13 équipant l'enregistreur de données de vol 11 qui intègre le dispositif selon l'invention, revêt un caractère particulièrement critique en ce qu'elle peut conduire à altérer gravement le fonctionnement des équipements de bord de l'aéronef. C'est pourquoi le sous-ensemble 26 comporte ici trois voies de décision 20 indépendantes, chaque voie comportant elle-même un circuit 27 réalisant de manière indépendante la synthèse d'une information logique de validation 28, de la façon décrite précédemment. Le sous ensemble 26 comporte également un élément complémentaire 29, un circuit logique, qui reçoit les trois informations de validation 28 synthétisées et dont la fonction consiste à 25 produire une commande de validation 25 correspondant à une synthèse des trois informations. Selon l'application considérée la logique de synthèse mise en oeuvre peut correspondre à des conditions de validation plus ou moins contraignantes. Elle peut, par exemple, consister à positionner la commande 25 à son 30 état actif "1" ou "0" lorsque les trois informations 28 sont dans un même état logique, "1" ou "0" qui autorise la mise en marche de l'équipement perturbateur 13, et à positionner la commande 25 dans son état inactif si au moins l'une des trois informations est dans un état logique contraire, n'autorisant pas la mise en marche (principe du vote à l'unanimité). La valeur 35 de la commande de validation 25 est alors fonction de celle du produit logique des états des informations 28 fournies par les trois voies. Autrement dit si on appelle I1, 12 et 13 les informations 28 fournies par les trois voies et AV la commande de validation 25, on peut écrire : AV = Il 12 13. Alternativement, la logique de synthèse peut, par exemple, consister à positionner la commande 25 à son état actif, "1" ou "0" selon l'application, lorsque les trois informations 28 sont dans un même état logique, "1" ou "0" qui autorise la mise en marche de l'équipement perturbateur 13, ou encore lorsque deux des trois informations 28 sont dans cet état. Dans cette alternative la commande 25 est positionnée dans son état inactif si au moins io deux des trois informations sont dans un état logique contraire, n'autorisant pas la mise en marche (principe du vote à la majorité). La valeur de la commande de validation 25 est alors fonction de celle de la somme des produits logiques des états des informations 28 fournies par les trois voies, pris deux à deux. Autrement dit, en reprenant les notations précédentes, on 15 peut écrire : AV = 11 12 + 11 13 + 12. 13. La mise en parallèle de plusieurs circuits de contrôle 27, trois circuits dans le cas de l'exemple d'application exposé ici, traitant simultanément les mêmes discrets 15 et 16 pour fournir une information de validation 28 a pour 2o effet avantageux de sécuriser le fonctionnement de l'ensemble du dispositif 11. En effet, la synthèse de la commande de validation 25 est réalisée par un sous-ensemble 26 généralement constitué par un agencement de fonctions logiques électroniques. Ces fonctions logiques peuvent elles-mêmes être sujettes à des défaillances de fonctionnement occasionnées par le 25 vieillissement ou encore par des perturbations externes telles que des perturbations électromagnétiques ou encore un rayonnement, le rayonnement solaire par exemple. Ces défaillances ont naturellement pour conséquence capable d'altérer de manière diverse le fonctionnement du sous-ensemble 26. Cependant, en effectuant, en parallèle, des contrôles 30 séparés du changement d'état des deux discrets 15 et 16 au moyen de plusieurs circuits, on est à même de détecter en comparant les informations 28 synthétisées par les différents circuits 27 mis en oeuvre, si une altération quelconque s'est produite. Par suite, l'altération détectée conduisant à considérer que les informations 28 fournies ne sont pas sûres, il est possible 35 de maintenir la commande de validation 25 à l'état inactif, état qui maintient le troisième interrupteur 24 en position ouverte. La configuration particulière du dispositif selon l'invention, avec deux interrupteurs actionnés par l'intermédiaire de discrets indépendants rendant compte de l'état du système dans lequel l'équipement comportant le dispositif selon l'invention est intégrée et un interrupteur actionné par l'intermédiaire d'une commande synthétisée localement à partir de ces deux discrets, constitue une solution alternative avantageuse à une configuration plus classique où les trois interrupteurs KI, K2 et K3 sont commandé par o l'intermédiaire de trois discrets indépendants. Elle permet notamment de limiter le nombre de discrets nécessaires au fonctionnement du dispositif et par suite de limiter le nombre de capteurs mis en jeu ainsi que le nombre de liaisons, électriques ou autres, nécessaires pour acheminer les discrets produits par ces capteurs jusqu'à l'équipement renfermant le dispositif. Elle 5 permet donc de limiter l'influence des altérations potentielles que peuvent subir les capteurs ainsi que les liaisons véhiculant les discrets, sur le bon fonctionnement du dispositif et par suite, sur la sûreté de fonctionnement du système. 20 Les éléments formant la structure de base du dispositif selon l'invention, structure décrite dans les paragraphes qui précèdent constituent les moyens caractéristiques du dispositif selon l'invention. Cependant, cette structure de base est en pratique complétée, comme l'illustre la figure 2, par des moyens permettant d'assurer facilement l'interface entre le dispositif et 25 les autres équipements du système, notamment des moyens 211 pour réaliser l'adaptation électrique des discrets 15 et 16 à l'entrée du dispositif. Ces moyens peuvent être variés et mettre en oeuvre, comme l'illustre la figure 2, des éléments optoélectroniques par exemple, ou encore des éléments d'isolement de type transformateur. La nature de l'élément 3o d'interface dépend en particulier de la forme (tension, courant, ou simple contact) sous laquelle le discret est véhiculé depuis le capteur considéré par le câblage du système. La structure de base peut également être complétée par des moyens 212 pour réaliser de manière simple l'adaptation de la logique codage des 35 discrets 15 et 16, codage en logique positive ou négative, à la logique de codage interne du dispositif, en particulier à la logique de commande des interrupteurs 22, 23 et 24. Ces moyens 212 peuvent consister, comme l'illustre la figure 2, en des fonctions logiques de type "OU Exclusif" ou "EXOR" selon la dénomination anglo-saxonne, combinant chaque discret considéré avec une information de configuration 214 ou 215, dont l'état est fixée de façon à assurer l'adaptation. Ces informations de configuration 214 et 215 peuvent par exemple être fixées par câblage ou alternativement par programmation d'un circuit logique de configuration. io Additionnellement aux moyens 212, le dispositif selon l'invention peut également comporter des moyens 213 réalisant une fonction logique destinée à garantir que les informations de configuration 214 et 215 sont positionnées aux bonnes valeurs. Cette fonction logique effectue un calcul de parité simple sur les valeurs réelles des deux informations de configuration et '15 compare le résultat avec une information fixe binaire 216 dont la valeur "0" ou "1" est déterminée en calculant la parité des valeurs attendues pour les deux informations 214 et 215. Le résultat de la comparaison est transmis sous forme d'un signal binaire 218 au circuit 29 chargé de la synthèse de la commande de validation 25 du troisième interrupteur 24. Selon que le 20 résultat de la comparaison est positif ou négatif, le circuit 29 autorise ou non le passage à l'état actif de la commande de validation 25 et par conséquent la fermeture de l'interrupteur 24 ou son maintien à l'état "ouvert". II est à noter que tel que décrit précédemment, le dispositif selon 25 l'invention, présentent tous les moyens nécessaires pour assurer, avec le degré de sureté voulu, la mise sous-tension, ou plus généralement l'alimentation électrique, du sous-ensemble potentiellement perturbateur. II répond donc avantageusement aux exigences imposées. Cependant il peut avantageusement être pourvu d'une fonctionnalité additionnelle lui :3o permettant de communiquer à l'équipement dans lequel il est logé et, par voie de conséquence, au système général qui comporte cet équipement une information relative au fait que le fonctionnement de la chaine de commande des trois interrupteurs est en état de marche ou bien qu'elle présente une anomalie de fonctionnement. A cet effet il peut comporter des moyens de 35 contrôle complémentaires 217 qui synthétisent et délivrent une information binaire 219 de bon fonctionnement de la chaine de commande. Selon l'invention, cette information prend en compte la cohérence d'ensemble des commandes appliquées aux interrupteurs et le bon fonctionnement des moyens (26) pour générer la commande de validation (25). Elle est synthétisée en fonction des événements suivants : a) état de la fermeture de la chaîne des interrupteurs KI et K2. Cet état peut être � actif � ce qui correspond à la fermeture combinée des interrupteurs KI et K2, ou bien � inactif �, état qui correspond à l'ouverture d'au moins un interrupteur KI ou K2 b) état de la commande de validation AV (25). Cet état peut être � actif � ce qui correspond à la synthèse de validation (commutation des discrets 15 et 16 constatée, cohérence vérifiée) ou bien � inactif � dans le cas contraire. c) état des moyens de validation (26) chargés de la synthèse de la commande de validation 25. Cet état est � inactif � Si le dispositif de chien de garde détecte une absence de fonctionnement des moyens de validation (26). L 'état � actif � indique le bon fonctionnement de ces moyens. Ainsi dans le cas où les trois conditions requises a), b) et c) sont remplies simultanément (les trois événements précédents sont à état "actif") l'information de bon fonctionnement de la chaîne de commande est positionnée à l'état "vrai", informant le système que le fonctionnement est correct. De même, si les conditions requises a) et b) ne sont pas remplies simultanément et que la condition requise c) est remplie, l'information de bon fonctionnement de la chaîne de commande est également positionnée à l'état "vrai", informant le système que le fonctionnement est correct. En revanche, si la condition a) est remplie alors que simultanément la condition b) n'est pas remplie, ou bien si la condition a) n'est pas remplie alors que simultanément la condition b) est remplie, ou bien encore si la condition c) n'est pas remplie, alors l'information de bon fonctionnement de la chaîne de commande est positionnée à l'état "faux", informant le système que le fonctionnement de la chaîne de commande est altéré. La synthèse de l'information de bon fonctionnement en fonction de la validation des conditions a), b) et c) peut être réalisée par tout moyen connu Dans l'exemple des figures 1 et 2, la mise en oeuvre de la synthèse de l'information de bon fonctionnement 219 est réalisée, comme l'illustre la figure 2, par un circuit logique 217 à partir de la détection de la présence de la tension d'alimentation en aval du second interrupteur 23, de l'état de la commande de validation 25 du troisième interrupteur et de l'état d'une commande "RAZ" délivrée par un circuit "chien de garde" qui contrôle, de manière classique, le bon fonctionnement de l'horloge interne H du circuit 26 qui réalise la synthèse de la commande de validation 25. ~o Par suite, l'information de bon fonctionnement de la chaine de commande des interrupteurs est positionné à l'état "vrai" (1 ou 0 selon les cas) dès lors qu'une tension est présente sur la ligne d'alimentation 21 en aval du deuxième interrupteur 23 et en amont du troisième 24, que la commande de validation 25 est à l'état actif, état qui commande la fermeture 15 du troisième interrupteur, et que la commande "RAZ" n'est pas activée. II en va de même si aucune tension n'est présente sur la ligne d'alimentation 21 en aval du deuxième interrupteur 23 et en amont du troisième 24, que la commande de validation 25 est à l'état inactif (troisième interrupteur ouvert), et que la commande "RAZ" n'est pas activée. 20 Inversement, l'information de bon fonctionnement de la chaine de commande des interrupteurs est positionné à l'état "faux" (0 ou 1 selon les cas) dès lors qu'une tension est présente sur la ligne d'alimentation 21 en aval du deuxième interrupteur 23 et en amont du troisième 24 et que la commande de validation 25 n'est pas à l'état actif ou bien qu'aucune tension 25 n'est présente sur la ligne d'alimentation 21 en aval du deuxième interrupteur 23 et en amont du troisième 24 et que la commande de validation 25 est à l'état actif ou bien encore que la commande "RAZ" est activée, indiquant un mauvais fonctionnement du circuit 26. Il en va de même si aucune tension est présente sur la ligne d'alimentation 21 en aval du deuxième interrupteur 30 23 et en amont du troisième 24 alors que la commande de validation 25 est à l'état actif et que la commande "RAZ" n'est pas activée. Il est à noter ici que bien que le dispositif selon l'invention est décrit dans ce qui précède comme comportant des moyens pour prendre en 35 compte deux informations, deux discrets, relatifs aux fonctionnement du système que l'on cherche à protéger de la mise en marche intempestive d'un sous-ensemble. II est bien évident, cependant, que cette description n'exclue pas du champ de l'invention les variantes du dispositif permettant de prendre en compte suivant le même principe un nombre d'informations plus élevé, du fait par exemple que la phase de fonctionnement du système permettant la mise en marche du sous-ensemble considéré ne peut être identifiée par l'état de seulement deux informations. REVENDICATIONS 1. Dispositif pour assurer l'alimentation électrique sécurisée d'un sous-ensemble (13) intégré dans un équipement (12), comportant une ligne d'alimentation (21) permettant de relier le sous-ensemble considéré à une source d'alimentation électrique appropriée (17), le dispositif étant apte à recevoir un premier et un second discret relatifs à une première et une seconde information d'état caractérisant la phase de fonctionnement à l'instant considéré du système incorporant l'équipement considéré, caractérisé en ce qu'il comporte trois interrupteurs commandés (22, 23, 24), agencés en série sur la w ligne d'alimentation, un premier (22) et un deuxième interrupteur (23) actionnés en position "ouvert" ou "fermé" selon l'état logique "0" ou "1" du premier (15) et du deuxième (16) discret et un troisième interrupteur (24) actionné par une commande de validation (25) dont le positionnement à l'état actif résulte des états logiques "0" ou "1" du 15 premier (15) et du deuxième (16) discret et de l'analyse de la capacité desdits discrets à changer d'état. 2. Dispositif selon la revendication 1, caractérisé en ce qu'il comporte les moyens (26) pour synthétiser de manière autonome la commande 20 de validation. 3. Dispositif selon la revendication 2, caractérisé en ce que les moyens (26) pour générer la commande de validation comportent des moyens (27) pour détecter un changement d'état du premier et du 25 second discret et le passage desdits discret dans un état attendu déterminé par les valeurs d'information binaires de configuration prédéfinies (214, 215) ainsi que pour vérifier la cohérence mutuelle de ces changements d'état détectés; lesdits moyens générant une information binaire de validation (28) dont la valeur caractérise le 30 résultat de la détection et de la vérification de cohérence. 4. Dispositif selon la revendication 2, caractérisé en ce que les moyens (26) pour générer la commande de validation comportenttrois voies parallèles de détection, chaque voie comportant elle-même des moyens (27) pour détecter un changement d'état du premier et du second discret et pour vérifier la cohérence mutuelle de ces changements d'état détectés; lesdits moyens générant une information binaire de validation (28) dont la valeur caractérise le résultat de la détection et de la vérification de cohérence; les informations (28) produites par chacune des voies étant transmises à des moyens de validation (29) pour contrôler la cohérence de ces informations chargés de générer la commande de validation (25) correspondante. 5. Dispositif selon la revendication 4, caractérisé en ce que les moyens de validation (29) produisent une commande de validation dont l'état logique est fonction de l'état logique pris par la majorité des informations de validation (28) produites par chacune des voies de détection. 6. Dispositif selon la revendication 4, caractérisé en ce que les moyens de validation (29) produisent une commande de validation dont l'état logique est fonction du produit des états logiques pris par les informations de validation (28) produites par chacune des voies de détection. 7. Dispositif selon l'une quelconque des revendications 4 à 6, caractérisé en ce qu'il comporte en outre des moyens (213) de contrôle de la parité des informations binaires de configuration (214, 215), lesdits moyens produisant un signal binaire (218) indiquant si le contrôle de parité est positif ou négatif, ledit signal binaire étant transmis au moyens de validations (29), la valeur de la commande de validation (25) produite par les moyens de validations étant fonction du résultat du contrôle de parité effectué. 8. Dispositif selon l'une quelconque des revendications précédentes caractérisé en ce qu'il comporte en outre des moyens (212) pouradapter la logique de codage des discrets d'entrée (15, 16) à sa logique de codage interne. 9. Dispositif selon l'une quelconque des revendications précédentes 5 caractérisé en ce qu'il comporte en outre des moyens (211) pour réaliser l'adaptation électrique des discrets (15, 16). 10. Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte en outre des moyens (217) pour 10 synthétiser et transmettre une information binaire (219) de bon fonctionnement de la chaine de commande des trois interrupteurs (22, 23 et 24), l'information étant synthétisée par analyse de la cohérence des commandes appliquées aux interrupteurs et par l'analyse du bon fonctionnement des moyens (26) pour générer la 15 commande de validation (25). 11.Application du dispositif selon l'une quelconque des revendications précédentes à la mise en marche sécurisée de l'alimentation électrique d'un émetteur-récepteur (13) équipant un 20 enregistreur de donnée de vol (12) placé dans un aéronef, ledit émetteur-récepteur (13) étant utilisé pour transmettre les données de vol enregistrées seulement lorsque l'aéronef est en stationnement.