FR 2508246 A1 19821224 FR 8209970 A 19820608 La présente invention concerne une installation électrique à unité de commande acceptant des erreurs et en général une installation électrique dans laquelle une défail- lance du réseau de distribution électrique ou de l'unité de commande entraine de force le passage du signal de sortie de l'unité de commande à un état prédéterminé Les unités de com- mande utilisées dans de telles installations doivent pouvoir effectuer des fonctions de commande du circuit entraîné par le réseau et pouvoir forcer les signaux de sortie de la fonction de commande dans un état prédéterminé lorsqu'il y a une défail- lance dans l'unité de commande ou dans le système commandé. Lorsqu'une défaillance du système électrique constitue un risque ou une défaillance extrême, il faut que le système puisse être commandé de façon très précise Toute défaillance du système ou de l'unité de commande doit pouvoir se détecter et permettre l'initialisation d'une action de correction immédiate Différentes techniques existent pour con- cevoir un système électrique présentant des caractéristiques extrêmement fiables pour les fonctions de commande Ces techni- ques consistent à utiliser des circuits logiques de retour, des schémas de vote et des techniques particulières de traitement des données. Dans les systèmes de distribution ou d'alimentation électriques embarqués dans des avions, il faut que l'unité de commande puisse détecter toute défaillance d'un générateur et puisse brancher un générateur auxiliaire De plus, il faut que l'unité de commande soit aussi légère et aussi peu encombrante que possible tout en ayant une puissance de calcul suffisante pour effectuer les fonctions de détection d'incident à contr 8 le automatique Dès qu'un incident se produit dans l'unité de commande ou dans le système contr 8 lé, il faut une indication clair de cette défaillance et un moyen positif pour exclure du système le moyen défaillant. La présente invention a pour but de créer un sys- tème électrique extrêmement fiable et un moyen permettant de forcer une réponse voulue du système lorsqu'une défaillance se produit dans l'unité de commande ou dans les autres parties du système Dans ce contexte, on connaît déjà la technique décrite par exemple au brevet U S 4 107 253 qui décrit un système de sécurité et de signalisation ferroviaire et un dispositif de vérification générant une tension de sortie par une mémoire morte et un comparateur Cette technique permet la poursuite du fonctionnement de l'unité de commande dès que les conditions de fonctionnement correctes sont rétablies, même si entre temps un incident s'est produit C'est pourquoi, dans certaines condi- tions d'erreurs, la tension de sortie doit présenter une varia- tion cyclique Une telle réponse a une défaillance intermittente est très gênante dans certaines applications. La présente invention a pour but de créer un procédé permettant d'éviter une telle réponse défaillante en excluant le moyen défaillant dans un état de sortie prédéterminé de façon que le système ignore tous futurs signaux de commande, faux. La présente invention concerne de façon générale un système d'alimentation comportant un ensemble de générateurs, un ensemble de disjoncteurs branchés séparément, en série sur la sortie des générateurs et un ensemble de câbles de puissance, une unité de commande acceptant les erreurs étant associée à chaque générateur et comportant des moyens pour contr 8 ler le fonctionnement des générateurs et pour actionner des disjonc- teurs déterminés en cas de défaillance d'un générateur de façon à couper le générateur défaillant d'une ou plusieurs lignes d'alimentation et de brancher un autre des générateurs sur les lignes d'alimentation principales, chacune des unités de com- mande acceptant des erreurs comportant également des moyens pour mettre en oeuvre le fonctionnement en vérification automa- tique d'une unité de commande associée et pour actionner l'un des disjoncteurs dans le cas d'une défaillance d'une unité de commande de façon que l'unité de commande défaillante et le générateur contrôlé par l'unité de commande défaillante soient coupés d'une ou plusieurs lignes d'alimentation et qu'un autre générateur soit branché sur la ou les lignes principales. Un mode de réalisation préférentiel de l'invention comporte un microprocesseur avec le programme, un comparateur numérique, une mémoire morte, un moyen de sortie donnant des signaux de commande et un circuit de réaction qui met en oeuvre la caractéristique de verrouillage du système Ces composants coopèrent pour exécuter les différents programmes de vérifica- tion automatique consistant à évaluer les conditions de travail des composants du système et à générer une tension de sortie lorsque tous les résultats des vérifications sont satisfaisants, et que chaque élément du système est commandé et que l'unité de commande fonctionne correctement L'unité de commande utilise la technique des mots clé séquentiels pour constituer un moyen extrêmement fiable de détection des défaillances. Le programme du microprocesseur est réparti en deux catégories: le programme de travail qui concerne le trai- tement des données reçues de l'extérieur de l'unité de commande et une collection de programmes de vérification automatique pour mettre en oeuvre l'unité de commande et sceller les défail- lances passives et actives Le choix d'un programme particulier de vérification automatique est déterminé par un mot de base, en code numérique enregistré dans la mémoire morte. La mémoire a deux sorties: les données A qui constituent une collection de mots de base déterminant le pro- gramme de vérification automatique à effectuer à l'aide du microprocesseur et les données B qui constituent une collection de mots- clé de commande servant à vérifier les résultats des programmes de vérification automatique Pour commencer l'opéra- tion de vérification automatique dans l'unité de commande, le microprocesseur lit un mot de base dans les données A fournies par la mémoire Ce mot de base indique le programme de vérifi- cation automatique, particulier qui doit être exécuté par le microprocesseur Après l'exécution du programme de vérification, les résultats de la vérification apparaissent sous la forme d'un mot-clé en code numérique sur la sortie de données C du micro- processeur Cela se produit un temps déterminé (TL) après la lecteur du mot de base par le microprocesseur. Un comparateur compare alors le mot-clé qui apparat sur la sortie de données C du microprocesseur et le mot-clé qui apparait sur la sortie de données B de la mémoire morte Si ces mots sont identiques, le comparateur commute de l'état logique zéro à l'état logique un Ce changement d'état logique est détecté par un circuit de réaction qui indexe une mémoire morte après un temps déterminé (TL) sur le mot de base suivant (données A) et un mot-clé (données B) Après indexage de la mémoire, les mots-clé qui apparaissent dans les données B et dans les données C ne sont plus identiques, si bien que le comparateur commute de nouveau à l'état logique zéro. L'apparition d'un second mot de base dans les données A déclenche un nouveau programme de vérification auto- matique dans le microprocesseur, ce qui se traduit par l'appari- tion d'un nouveau mot-clé sur la sortie de données C du micro- processeur, après un temps déterminé (T) Si ce nouveau mot- L clé correspond au mot-clé de la sortie de données B, le signal de sortie du comparateur bascule de nouveau de l'état logique zéro à l'état logique un et le circuit de réaction assure à la suite de cela l'indexage de la mémoire morte sur la position suivante Aussi longtemps que les programmes de vérification automatique continuent à fournir des mots-clé sur la sortie de données C, qui sont identiques aux mots-clé de la sortie de données B, le signal de sortie du comparateur continue d'oscil- ler et reste à l'état logique un pendant un temps déterminé (TL), puis il passe à zéro pendant le temps qui reste dans cette m 9 me période. Il en résulte à la sortie du comparateur une courbe rectangulaire utilisée par l'étage de sortie de l'unité de commande pour générer un signal de tension de sortie (Vx) indiquant que l'unité de commande fonctionne correctement La présence du signal de tension de sortie (V) autorise la sortie x du programme fonctionnel du microprocesseur et permet à l'unité de commande d'effectuer les fonctions de commande appropriées dans l'ensemble du système. Si un composant est défaillant, soit dans le micro- processeur, soit dans le reste du circuit de commande, il en résulte la disparition de la tension V Une défaillance du x microprocesseur se traduit par une modification de la donnée C ou de son déroulement dans le temps De même, une défaillance dans le comparateur, dans la mémoire ou dans le circuit de réaction se répercute sur la donnée B et ainsi sur le signal d'entrée du circuit de sortie de l'unité de commande Comme V est généré à partir d'un train d'impulsions actives, une dé- faillance du circuit de sortie de l'unité de commande se tra- duit par une disparition de la tension Vx. Un système d'alimentation électrique réalisé selon l'invention comporte un ensemble de générateurs qui peuvent être branchés ou coupés du circuit par des disjoncteurs com- mandés par un ensemble d'unités de commande du système Ces unités de commande contrôlent en permanence le fonctionnement de tous les éléments du système et commutent les générateurs (branchement/débranchement) dans le circuit si une défaillance est trouvée par l'unité de commande ou le système commandé. C'est pourquoi, le circuit défaillant est coupé du système qui continue d'assurer l'alimentation Une intervention manuelle peut être nécessaire pour corriger l'incident. Les unités de commande peuvent également communi- quer avec le circuit entraîné par le système d'alimentation par l'intermédiaire de circuits d'interface destinés à permettre à l'unité de commande de vérifier leur état de fonctionnement par des programmes particulier de vérification automatique Si au cours des programmes de vérification automatique, on constate un incident et que les sorties de l'unité de commande sont verrouillées, l'information disponible sur les sorties de don- nées peut servir à l'entretien, pour assurer la localisation. La présente invention sera décrite-de façon plus détaillée à l'aide des dessins annexés, dans lesquels: la figure 1 est un ordinogramme du fonctionne- ment d'une unité de commande selon un mode de réalisation de l'invention. la figure 2 est un schéma-bloc d'un mode de réalisation d'une unité de commande selon l'invention. la figure 3 est un chronogramme des signaux de l'unité de commande de la figure 2. les figures 4 à 6 sont des circuits d'interface d'échantillonnage servant en combinaison avec l'unité de com- mande de la figure 2. la figure 7 est un diagramme en ligne d'un sys- tème d'alimentation électrique selon l'invention. L'ordinogramme représenté à titre d'exemple à la figure 1 donne une vue d'ensemble de la clé de vérification automatique et des caractéristiques de verrouillage de l'unité de commande de l'invention On se reportera aux blocs de la figure 1 en combinaison avec la description des éléments de l'unité de commande de la figure 2 pour obtenir une présentation claire des relations entre les éléments en plus de la descrip- tion des éléments. Dans le bloc 10, l'unité de commande 11 est ini- tialisée chaque fois que cette unité de commande est alimentée. L'apparition de la tension d'alimentation V cc aux bornes d'un circuit formé de la résistance R et du condensateur C donne une 6 2508246 impulsion de tension à l'entrée de remise à l'état initial du compteur binaire 32 Cette impulsion remet à l'état initial la sortie du compteur binaire 32 de façon que l'équivalent binaire de l'état un apparaisse sur la ligne de données 34 Ce signal I indexe la mémoire morte 36 sur sa première position de sortie par l'état binaire un sur la ligne de données 34 La mémoire morte contient deux ensembles de données en codage numérique, une collection de mots de base et une collection de mots-clé. Les mots de base sont utilisés par le microprocesseur 42 de à l'unité de commande pour déterminer le programme de vérification automatique préprogrammé, particulier qui doit être exécuté. Les mots-clé sont utilisés pour déterminer si les résultats des programmes d'une vérification automatique sont ou non satisfai- sants Après initialisation, le premier mot de base apparait iÉ sur la ligne de données 38 (données A) et le premier mot-clé apparaft sur la ligne de données 40 (données B). Le bloc 12 de la figure 1 montre que l'étape sui- vante pour le microprocesseur 42 consiste à lire le mot de base sur la ligne de données 38 Ce mot de base se compose de façon > O caractéristique de huit bits et identifie le programme de véri- fication automatique, préprogrammé pour être exécuté par le microprocesseur Le programme de vérification automatique utilise le mot de base dans une suite d'essais, de façon qu'un nombre prévu de positions de bits (de façon caractéristique il s'agit de quatre positions de bits) change de valeur par rapport au mot de base de départ Comme représenté dans le bloc 14, le résultat de cette séquence de vérification sera un mot de com- mande de données appelé "clé" 4#1 qui apparalt sur la ligne de données 48 (données C) après le temps TL A ce moment, la clé 4 1 sera verrouillée dans la sortie du microprocesseur pour la ligne de données 48 en laissant le microprocesseur libre de recevoir des signaux d'entrée du système commandé par l'inter- médiaire de la ligne de données 44 et pour exécuter ses fonctions de commande de système, prévues, fournissant en sortie un signal de commande sur la ligne de données 46. Le comparateur 50 compare la clé If 1 générée par le microprocesseur sur la ligne de données 48 (données C) et le mot-clé fourni par la mémoire 36 par l'intermédiaire de la ligne de données 40 (données B) Cette comparaison est repré- sentée dans le bloc 16 de la figure 1 Si les mots-clé des 7- lignes de données 40 et 48 ne sont pas équivalents, le bloc 18 de la figure 1 montre qu'il n'y a pas de changement dans la ligne de données de sortie 52 du comparateur Il en résulte que les blocs 20 et 22 montrent que la mémoire 36 n'est pas indexée et que la sortie 72 de l'unité de commande sera verrouillée dans un état prédéterminé qui, dans ce mode de réalisation, correspond à un zéro logique Les détails du mécanisme de verrouillage apparaîtront clairement après la description des autres parties du circuit. Si les mots-clé des lignes de données 40 et 48 sont équivalents, le comparateur 50 change son état de sortie qui passe de l'état logique zéro à l'état logique un sur la ligne de données 52 De cette façon, le circuit de réaction 54 formé du générateur monostable 56 d'impulsions et du compteur binaire 32 indexe la mémoire 36 après le temps TL, de sorte que le mot de base suivant apparait sur la ligne de données 38 et le mot-clé suivant apparatt sur la ligne de données 40 Lors- que cela se produit, les mots-clé sur les lignes de données 40 et 48 ne seront plus équivalents et le signal de sortie du com- parateur 50 revient à l'état logique zéro Cette séquence est représentée par les blocs 24, 26, 28 dé la figure 1 En m 9 me temps, le microprocesseur passe sur le programme de vérification automatique, suivant selon le mot de base sur la ligne de don- nées 38. Le mécanisme utilisé par le circuit de réaction 54 pour indexer la mémoire 36 nécessite des explications complé- mentaires Lorsque la ligne-de données de sortie 52 du compara- teur passe de l'état logique zéro à l'état logique un, le géné- rateur monostable d'impulsions 56 est déclenché et fournit une impulsion de durée TL sur la ligne de données 58 Le compteur binaire 32 est mis à jour par le flanc arrière de cette impul- sion Puis après le temps TL, la ligne de données 34 passe au nombre binaire suivant et la mémoire 36 est indexée de façon correspondante. Lorsque les lignes de données 38 et 40 changent par suite de l'indexage de la mémoire 36, l'ancien mot-clé est toujours verrouillé sur la sortie de la ligne de données 48 du microprocesseur C'est pourquoi, les mots-clé des lignes de données 40 et 48 ne sont plus équivalents et la ligne de don- nées de sortie du comparateur s'inverse et passe à l'état logiqu E zéro Cet état reste conservé jusqu'à ce que le microprocesseur ait terminé le programme de vérification automatique suivant et est fourni en sortie un nouveau mot-clé sur la ligne de données 48 après le temps TL Si ce mot est équivalent au mot- clé de la ligne 40, la ligne de données de sortie du comparateur change de nouveau et passe de l'état logique zéro à l'état logique un et le circuit de réaction 54 remet de nouveau à jour la mémoire 36. Il est clair qu'aussi longtemps que le micropro- cesseur continue d'exécuter avec succès les programmes de véri- fication automatique et de fournir en sortie des mots-clé corrects, la ligne de données 52 change d'état logique après chaque intervalle de temps TL Cela donne une courbe rectangu- laire de fréquence 1/2 TL comme cela est indiqué par la forme de la courbe 52 de la figure 3 La forme de la courbe sur la ligne de données 58 est également représentée à la figure 3 dans le cas d'un générateur monostable d'impulsions qui produit une impulsion devenant négative et décompte après un temps égal à TL Les formes de courbe représentées à la figure 3 montrent le cas d'une unité de commande qui est initialisée à l'instant T 0, le microprocesseur fournissant en sortie un mot-clé correct à l'instant TL et la mémoire étant mise à jour à l'instant de 2 TL, et le microprocesseur fournissant un second mot-clé correct à l'instant 3 TL. La courbe rectangulaire sur la ligne de données 52 et qui résulte de l'exécution avec succès des programmes de vérification automatique et des comparaisons avec succès des mots-clé, est reçue par le circuit de sortie 60 de l'unité de commande Cette courbe qui est amplifiée par l'amplificateur 62, puiselle traverse le filtre passe-bande 64 et le redresseur pleine-onde 66 pour donner un signal de tension de courant continu V sur la ligne de données 68 La présence d'une ten- sion de sortie positive Vx sur la ligne de données 68 autorise la sortie de l'unité de commande comme dans le bloc 30 et per- met à la porte ET 70 de laisser passer les signaux de tension positive sur la ligne de données 46 et la ligne de données 72. La ligne de données 72 constitue la sortie de l'ensemble des fonctions de commande effectuées par le microprocesseur sur le système de données et reçues par la ligne de données 34 Il est clair qu'un ensemble de lignes de sortie de données 46 et un ensemble de portes ET peuvent être utilisés pour fournir des signaux de commande simultanés, multiples sur la ligne de don- nées 72. Pour que l'unité de commande selon l'invention puisse vérifier automatiquement toutes les fonctions du système, il faut utiliser les circuits d'interface ayant des caractéris- tiques de vérification automatique Le microprocesseur 42 utilise les lignes de données 74 et 76 pour recevoir et envoyer des signaux de vérification servant à évaluer les caractéristi- ques des circuits Des exemples de tels circuits d'interface sont représentés aux figures 4, 5, 6. La figure 4 montre un circuit d'interface qui peut remplacer la porte ET 70 de la figure 2 lorsque la tension appliquée à la charge est normalement nulle mais est supérieure à une certaine tension minimale (V) lorsque l'unité de com- mande alimente le circuit d'interface ou lorsque l'unité de commande est défaillante Dans les conditions normales, la tension d'alimentation V est appliquée mais les transistors cc Q 1 et Q 2 sont bloqués Pour vérifier le fonctionnement de ce circuit, l'unité de commande doit exécuter un programme de vérification automatique qui débloque simultanément les tran- sistors Ql et Q 2 par les lignes de données 76 et 46, mesure la tension aux bornes de la charge (VLOAD), puis bloque simul- tanément les transistors Ql et Q 2 et mesure de nouveau la ten- sion VLQAD Il est clair que le microprocesseur de l'unité de commande peut être programmé pour utiliser ces deux-mesures de tension et détecter le circuit d'interface ou la charge Un convertisseur analogique/numérique 78 est utilisé pour convertir la tension de charge en un signal numérique utilisable par le microprocesseur. Si l'unité de commande est défaillante, la tension V Xdevient nulle et il est clair que par le choix approprié des valeurs des résistances, on peut forcer la tension VLOAD dans une condition telle qu'elle soit supérieure à V même si les transistors Ql ou Q 2 ou tous les deux ne peuvent s'ouvrir ou sont court-circuités Si l'unité de commande fonctionne correc- tement, elle peut effectuer la fonction de commande qui lui est attribuée en appliquant la tension à la charge par le déblocage du transistor Q 2 alors que le transistor Ql reste bloqué. La figure 5 montre un circuit d'interface de système qui peut remplacer la porte ET 70 de la figure 2 avec une ten- sion (V 1) qui apparait normalement aux bornes d'une charge mais qui doit 9 tre bloquée si l'unité de commande est défaillante. Dans les conditions normales, le transistor Q 4 est conducteur et le transistor Q 3 est bloqué Lorsque l'unité de commande fonctionne correctement, elle peut être bloquée par la tension V 1 qui bloque les deux transistors Q 3, et Q 4. Un programme de vérification automatique permet de vérifier le fonctionnement de ce circuit en rendant conducteurs les deux transistors Q 3 et Q 4 et en mesurant la tension V Puis, on bloque le transistor Q 4 et on laisse le transistor Q 3 conducteur et on mesure de nouveau la tension V 2 Les mesures de tension sont transformées en des signaux numériques par le convertisseur analogique/numérique 80 Ces deux mesures de ten- sion montrent que le microprocesseur de l'unité de commande peut être programmé pour détecter une défaillance dans ce cir- cuit d'interface Si l'unité de commande est défaillante, la tension Vx est réduite à zéro et la tension de charge V 1 passe à zéro. La figure 6 montre un circuit d'interface qui peut remplacer la porte ET 70 de la figure 2, lorsque la tension de charge (V 3) est normalement nulle et doit rester égale à zéro si l'unité de commande est défaillante Comme un incident au niveau de l'unité de commande réduit la tension V à zéro, il est clair que cela réduit la tension V 3 à zéro, puisqu'aucune tension n'est appliquée à ce circuit Cette tension est contro- lée par la ligne de données 74 après conversion d'un signal numérique par le convertisseur analogique/numérique 82 Lorsque l'unité de commande fonctionne correctement, elle peut exécuter la fonction de commande qui lui est attribuée en rendant con- ducteur l'un ou l'autre des deux transistors Q 5 ou Q 6 Le pro- gramme de vérification automatique de ce circuit est identique au programme de vérification automatique du circuit d'interface de la figure 4. La figure 7 montre un schéma d'un mode de réalisa- tion d'un système d'alimentation selon l'invention pour une seule ligne, avec trois générateurs indépendants 100, 102, 104. Les unités de commande des générateurs 106, 108, 110 et l'unité de commande de la ligne d'alimentation 112 contrôlent le système et assurent que la puissance soit fournie à la ligne droite 114 il et à la ligne gauche 116 dans les conditions normales et lors- qu'il n'y a qu'une seule défaillance du circuit. Les disjoncteurs 118, 120, 124 sont normalement fermés et les contacteurs 122, 126 sont normalement ouverts. C'est pourquoi dans les conditions normales, le générateur 100 alimente la ligne de-gauche 116 ét le générateur 104 alimente la' ligne de droite 114. Chaque unité de commande selon la figure 7 est réalisée comme indiqué à la figure 2 L'unité de commande 106 contr 8 le les caractéristiques du générateur 100 par la ligne de données 128 Cette unité contr 8 le également-le câblage entre la masse et la ligne gauche 116 en comparant le courant mesuré par les transformateurs d'intensité 130, 132, 134 Si les para- metres de la ligne de données 128 traduisent une défaillance du générateur 100, l'intensité mesurée par les transformateurs d'intensité 130, 132, 134 n'est pas uniforme traduisant un incident de câblage, si le programme de vérification automati- que de l'unité de commande 106 traduit un incident au niveau de l'unité de commande 106, cette unité 106 se bloque à l'état de sortie correspondant à l'ouverture du contacteur 118 et le circuit informe l'unité de commande 112 par l'intermédiaire de la ligne de données 136 pour indiquer l'existence d'un incident. L'unité de commande 112 répond en fermant le contacteur 122, si bien que le générateur 102 alimente la ligne gauche 116. L'unité de commande 108 contr 8 le le fonctionnement du générateur 102 par l'intermédiaire de la ligne de données 138 Le câblage entre la masse et la ligne gauche 116 est alors contr 8 lé par l'unité de commande 108 qui mesure le courant à l'aide des transformateurs d'intensité 140, 142, 144 Une défaillance du générateur 102, de son câblage ou de l'unité de commande 108 se traduit par l'ouverture du contacteur 124 et par l'information envoyée à l'unité de commande 112 et indiquant l'incident par l'intermédiaire de la ligne de données 146. L'unité de commande 110 exécute des fonctions ana- logues à celles de l'unité de commande 106, mais pour les cir- cuits correspondant à la ligne de droite 114 Le fonctionnement du générateur 104 est contrôlé par la ligne de données 148 et le câblage entre la masse et le bus de droite 114 est contr 8 lé par les transformateurs d'intensité 150, 152, 154 Un incident dans le générateur 104, dans le câblage correspondant ou dans l'unité de commande 110 se traduit par le verrouillage à l'état ouvert du contacteur 120, et de l'information de cette situation envoyée par la ligne de données 156 à l'unité de commande 112. L'unité de commande 112 répond à cette information en fermant le contacteur 126 pour que le générateur 102 puisse alimenter la ligne de droite 114. L'unité de commande 112 contr 8 le le courant par l'intermédiaire des transformateurs d'intensité 158 et 160 pour vérifier si le contacteur 122 ou le contacteur 126 est fermé. Les transformateurs d'intensité 162, 164 et 166 sont commandés simultanément et sontcàblés de façon que toute défaillance dans le câblage de la ligne entre ces transformateurs donne un signal à l'unité de commande 112 indiquant qu'une action de correction est nécessaire. Le système d'alimentation correspondant au mode de réalisation décrit cidessus conserve l'alimentation de la ligne de gauche et de la ligne de droite dans les conditions normales et après une défaillance de n'importe quel composant du système Deux incidents indépendants peuvent entra ner la coupure de l'alimentation d'au moins l'une des lignes Des générateurs et des unités de commande supplémentaires peuvent être ajoutés au système pour compléter la protection vis-à-vis d'incidents multiples sans sortir du cadre de l'invention. Bien que la description faite ci-dessus concerne un mode de réalisation préférentiel de l'invention, diverses variantes peuvent être envisagées dans la réalisation de l'unité de commande sans sortir du cadre de l'invention A titre d'exemple, non limitatif de telles variantes, on peut envisager l'utilisation de circuits d'interface assurant une vérification automatique, l'utilisation d'un commutateur en série sur le montage résistance-condensateur de la figure 1 pour permettre une remise manuelle à l'état initial ou l'utilisation d'une variante de circuit de réaction. La légende des différentes références des dessins annexés sera donnée ci-après. IDENTIFICATION DES REFERENCES NUMERIQUES DES DESSINS: LEGENDE REFERENCE FIGURE INITIALISATION 10 1 LE MICROPROCESSEUR LIT LE MOT DE BASE ET EXECUTE LE PROGRAMME DE VERIFICATION AUTOMATIQUE 12 1 LE MICROPROCESSEUR GENERE UN MOT-CLE 14 1 LE MOT-CLE EST-IL EGAL AU MOT-CLE EN MEMOIRE ? 16 1 LE SIGNAL DE SORTIE DU COMPARATEUR NE CHANGE PAS 18 1 LA MEMOIRE N'EST PAS INDEXEE 20 1 LA SORTIE DE L'UNITE DE COMMANDE N'EST PAS VERROUILLEE 22 1 LA SORTIE DU COMPARATEUR PASSE DE L'ETAT LOGIQUE ZERO A L'ETAT LOGIQUE UN 24 1 LA MEMOIRE EST INDEXEE 26 1 LA SORTIE DU COMPARATEUR PASSE DE L'ETAT LOGIQUE UN A L'ETAT LOGIQUE ZERO 28 1 LA SORTIE DE L'UNITE DE COMMANDE EST AUTORISEE 30 1 COMPTEUR BINAIRE 32 2 MEMOIRE MORTE 36 2 MICROPROCESSEUR 42 2 COMPARATEUR 50 2 * GENERATEUR MONOSTABLE D'IMPULSIONS 56 2 FILTRE PASSE-BANDE 64 2 REDRESSE PLEINE-ONDE 66 2 PORTE ET 70 2 ADC 78 4 ADC 80 5 ADC 82 6 UNITE DE COMMANDE DU GENERATEUR 106 7 UNITE DE COMMANDE DU GENERATEUR 108 7 UNITE DE COMMANDE DU GENERATEUR 110 7 UNITE DE COMMANDE DE L'ALIMENTATION 112 7 R E V E N D I C A T I O N S 1 ) Système d'alimentation électrique caractérisé en ce qu'il comporte un ensemble de générateurs ( 100, 102, 104), un ensemble de contacteurs ( 118, 120, 124) branchés séparément en série sur la sortie des générateurs et sur un ensemble de lignes d'alimentation, une unité de commande acceptant une erreur ( 106, 108, 110) associée à chaque générateur ( 100, 102, 104) et comportant des moyens pour contr 8 ler le fonctionnement des générateurs ( 100, 102, 104) et pour commander des contac- teurs choisis ( 118, 120, 124) dans le cas de la défaillance d'un générateur ( 100, 102, 104), de façon que le générateur défaillant soit coupé d'une ou plusieurs lignes et qu'un autre générateur soit branché pour maintenir l'alimentation de la ligne, chacune des unités de commande ( 106, 108, ( 110) compor- tant également des moyens de vérification automatique du fonc- tionnement de l'unité de commande ( 106, 108, 110) correspondan- tes et pour mettre en oeuvre ceux des contacteurs ( 118, 120, 124) qui sont choisis dans le cas de la défaillance d'une unité de commande ( 106, 108, 110) de façon que l'unité de commande défaillante ( 106, 108, 110) et le générateur ( 100, 102, 104) qui a été commandé par l'unité de commande défaillante soient coupés de l'une ou de plusieurs lignes d'alimentation et qu'un autre générateur soit branché pour maintenir l'alimentation des lignes d'alimentation. 20) Système d'alimentation électrique selon la revendication 1, caractérisé en ce que chaque unité de commande électronique ( 106, 108, 110) acceptant un incident se compose d'un moyen de calcul ( 42) dont l'entrée ( 44) reçoit des signaux d'information et dont la sortie fournit des signaux d'informa- tion en code numérique, le moyen de calcul étant destiné à traiter les signaux d'information reçus en fonction d'un pro- gramme prédéterminé pour fournir des signaux d'information de sortie en codage numérique, le moyen de calcul étant en outre adapté pour exécuter un programme de vérification automatique et générer un mot de commande, numérique à la fin de chaque séquence de programme de vérification, le mot de commande assu- rant le codage des résultats du programme de vérification, une mémoire ( 36) pour enregistrer des mots de commande à codage numérique, prédéterminés et des instructions de programme de vérification automatique, dans une séquence donnée et pour fournir en sortie des mots de commande et des instructions de programme de vérification automatique, un comparateur ( 50) pour comparer les messages en code numérique, prédéterminés provenant de la mémoire ( 36) et les mots de sortie, en codage numérique, provenant du moyen de calcul ( 42) et donnant un signal de sortie lorsque les messages sont équivalents aux mots, et des moyens de sortie ( 60) répondant au comparateur ( 50) pour donner un signal de commande de sortie lorsque le comparateur ( 50) indi- que que les messages en code numérique prédéterminés de la mémoire ( 36) coïncident avec les signaux de sortie en code numé- rique provenant du moyen de calcul ( 42), un moyen pour initia- liser la mémoire ( 36) de façon qu'un message en code numérique, prédéterminé, choisi apparaisse à la sortie de la mémoire lors- que l'alimentation électrique est appliquée à l'unité de com- mande ( 106, 108, 110), et un moyen de réaction répondant au comparateur ( 50) pour fournir des signaux à la mémoire ( 36) pour indexer les messages en code numérique, prédéterminés. ) Système d'alimentation électrique selon la revendication 2, caractérisé en ce que le moyen ( 54) pour ini- tialiser la mémoire ( 36) se compose d'un circuit de dérivation (Vcc, Rc) branché entre une source d'alimentation électrique extérieure (V) et la masse, d'une borne d'entrée de remise à l'état initial de la mémoire, le circuit de dérivation se composant d'une résistance (R) et d'un condensateur (C) montés en série, la jonction de la résistance (R) et du condensateur (C) étant reliée électriquement à la borne de remise à l'état initial de la mémoire ( 36). ) Système d'alimentation électrique selon la revendication 3, caractérisé en ce qu'il comporte un commutateur en série sur la résistance (R) et le condensateur (C), dans le circuit de dérivation pour remettre manuellement à l'état initial l'unité de commande. ) Système d'alimentation électrique selon la revendication 2, caractérisé en ce que les étapes faisant partie de la séquence de programme de vérification automatique sont déterminées par l'information contenue dans les instructions du programme de vérification automatique de la mémoire ( 36). ) Système d'alimentation électrique selon la revendication 2, caractérisé en ce que le moyen de réaction se compose d'un générateur monostable d'impulsions ( 56) qui génère une impulsion de tension lorsque le comparateur ( 50) indique que des messages en code numérique, prédéterminés de la mémoire ( 36) sont équivalents aux signaux de sortie en code numérique provenant du calculateur ( 42) et un compteur binaire ( 32) qui reçoit l'impulsion de tension du générateur monostable ( 56) et fournit un signal de sortie à la mémoire ( 36) pour choisir celui des messages en code numérique, prédéterminés, qui sera fourni au comparateur ( 50) et au calculateur ( 42). ) Système d'alimentation électrique selon la revendication 6, caractérisé en ce que le générateur monostable ( 56) fournit en sortie des impulsions d'une largeur équivalente à l'intervalle de temps compris entre la réception des instruc- tions du programme de vérification automatique du calculateur et la sortie du calculateur, le calculateur ( 42) générant un mot de commande de façon que le signal de sortie du comparateur ( 50) soit un signal carré lorsque des mots de commande générés successivement par le calculateur ( 42) sont équivalents aux mots de commande de la mémoire ( 36). ) Système d'alimentation électrique selon la revendication 2, caractérisé en ce que le moyen de sortie ( 60) se compose d'un amplificateur ( 62) qui amplifie le signal de sortie du comparateur ( 50), un filtre passe- bande ( 64) qui filtre le signal de sortie du comparateur fourni par l'amplifi- cateur ( 62), un redresseur pleine-onde ( 66) qui filtre le signal de sortie du comparateur ( 50) pour donner une tension continue, un moyen répondant à la tension continue pour transmettre les signaux d'information de sortie en code numérique. ) Système d'alimentation électrique caractérisé en ce que le moyen de transmission est une porte logique ( 70).