FR 2527815 A1 19831202 FR 8308651 A 19830525 252 ? 815 Dispositif de surveillance de systèmes électriques de commande à verrouillage. La présente invention se rapporte aux dispositifs de surveillance de systèmes électriques de commande, et elle concerne plus particulièrement -5 les dispositifs de surveillance utilisables dans les applications o une dé- faillance du système sous surveillance ou du dispositif de surveillance lui- même doit placer obligatoirement la sortie de ce dernier dans un état pres- crit. Avec l'apparition des microprocesseurs, de nombreux systèmes de commande qui étaient mis en oeuvre autrefois à l'aide d'éléments logiques discrets, sont basés maintenant sur la technique des microprocesseurs Cer- taines applications des systèmes de commande sont tout à fait critiques et une défaillance du système de commande peut avoir pour conséquences la perte de vies humaines et (ou) des dommages considérables au matériel Des systé- mes de ce type comprennent les dispositifs de signalisation et de commande dans les chemins de fer, les systèmes de commande de puissance électrique à bord des aéronefs et avions, et les systèmes de réglementation de la cir- culation routière Les techniques classiques qui ont été conçues pour dé- tecter les défaillances d'une unité de commande et pour rendre ces défaillan- ces sans risque, par exemple, en allumant tous les feux rouges à un croise- ment de route en cas de défaillance d'une unité, ne sont pas applicables aux systèmes à microprocesseurs Ceci est du à la complexité des appareils à inté- gration à grande échelle des microprocesseurs et aux différences des techniques par rapport aux circuits discrets. Lorsqu'une défaillance dans un système électrique risque d'exposer des vies humaines ou dès biens à un danger extrême, il est essentiel de pouvoir sur- veiller étroitement ce système Toute défaillance survenant dans le système ou dans l'unité de commande doit avoir pour conséquence une action corrective immédiate Lorsqu'on conçoit un système électrique qui comporte des fonctions de commande hautement fiables, on peut utiliser diverses techniques Ces der- nières comprennent des circuits logiques de commande en double, des systèmes à seuils et des techniques spéciales de traitement des données. Dans les systèmes de distribution électrique à bord des aéronefs et avions, la défaillance d'une génératrice doit être détectée par l'unité de commande et une génératrice auxiliaire doit être couplée au système En outre il est souhaitable de construire une unité de commande dont le poids et les dimensions soient réduits au minimum mais qui possède cependant une puissance de calcul suffisante pour remplir elle-même les fonctions de détection des défaillances par des contrôles Dès qu'une défaillance se produit dans l'unité de commande ou dans le système sous surveillance, une indication claire de la défaillance est nécessaire et un moyen sûr de verrouillage du dispositif défaillant du système doit être utilisé. Dans la présente invention, on s'est efforcé de fournir un dis- positif hautement fiable de surveillance des systèmes électriques de comman- de, et des moyens sûrs pour envoyer obligatoirement une réponse désirée au système lorsqu'une défaillance se produit dans le dispositif de surveillance ou dans le reste du système On a utilisé un procédé de verrouillage dans lequel une séquence de mots contenant des données est créée en réponse à l'état de fonctionnement du système sous surveillance, et ces mots sont com- parés avec une séquence préalablement déterminée de mots contenant des don- nées Si les mots créés contenant des données n'ont pas une valeur présélec- tionnée ou ne sont pas produits dans une séquence présélectionnée, la sortie du dispositif de surveillance sera placée obligatoirement dans un état pré- déterminé On trouvera-desexemples de systèmes de commande qui utilisentle procédé du verrouillage dans la demande de brevet no 275 425, déposée le 18 juin 1981, et dans le brevet américain no 4 107 253. L'objet principal de la présente invention est de fournir une unité de commande pour surveiller l'état du système. La-présente invention réside principalement en un dispositif de surveillance de système de commande, qui comprend un premier ensemble de cir- cuits pour créer une première séquence de données indiquant l'état de fonc-. tionnement; un deuxième ensemble de circuits pour créer une deuxième séquence de données; un comparateur-pour comparer successivement les sorties du pre- mier et du deuxième ensembles de circuits, ces derniers comprenant descir- cuits tels que les intervalles de temps successifs se chevauchent pendant un temps -donné; et un ensemble de circuits de -sortie pour créer un signal de sortie lorsque la sortie du comparateur n'oscille pas de manière prescrite. Un dispositif de surveillance de système de commande construit suivant la présente invention, comprend un moyen pour créer-une première sé- quence de mots contenant des données qui indiquent l'état de fonctionnement du système sous surveillance; un moyen pour produire une deuxième séquence de mots prédéterminés contenant des données; et un comparateur pour comparer les mots contenant des données de la première séquence avec les mots conte- nant des données de la deuxième séquence, les mots correspondants contenant des données de la première et de la deuxième séquences étant présentés au comparateur pendant des intervalles successifs de temps qui se chevauchent en partie Le comparateur crée une sortie à un premier niveau logique lorsque les mots comparés contenant des données sont en concordance, et une sortie à à un deuxième niveau logique lorsque les mots comparés contenant des données sont en discordance Le dispositif de surveillance comprend en outre un moyen pour produire un état prédéterminé de sortie lorsque l'a sortie du com- parateur n'oscille pas de manière prescrite entre le premier et le deuxième niveaux logiques Dans un exemple de réalisation de la présente invention, deux condensateurs sont alternativement chargés et décharges en réponse au *qiveau logique de sortie du comparateur Les cadences de chargement et de déchargement de chacun des condensateurs sont choisies de telle manière que la tension appliquée à chaque condensateur reste supérieure à un niveau pré- sélectionné lorsque la-sortie du comparateur oscille entre le premier et le deuxième niveaux logiques de la manière prescrite Si la tension appliquée à l'un ou l'autre des condensateurs venait à chuter en dessous du nivea pré- sélectionné, la sortie du dispositif de surveillance serait placée obligatoi- rement dans un état prédéterminé. A un autre point de vue, la présente invention comprend un procédé pour surveiller un système de commande et comprenant les stades de conduite d'une série de programmes d'auto-contrôle du système sous surveillance et du dispositif de surveillapce du système de commande; création d'une première : séquence de mots contenant des données indiquant les résultats des programmes de contrôle; présentation de chaque mot contenant des données de la première séquence à un comparateur pendant un premier intervalle présélectionné de temps; présentation d'une deuxième séquence de mots prédéterminés contenant des données au comparateur, chaque mot contenant des données de cette deu- xième séquence étant présenté au comparateur pendant un deuxième intervalle présélectionné de temps, ce premier et ce deuxième intervalles de temps se chevauchant en partie; chargement d'un premier condensateur et déchargement,- d'un deuxième condensateur lorsque les mots contenant des données présentés au comparateur sont en concordance; déchargement d'un premier condensateur et chargement d'un deuxième condensateur lorsque les mots contenant des données présentés au comparateur sont en discordance; et création d'un signal prédé- terminé de sortie lorsque la charge due à la tension appliquée au premier ou au deuxième condensateur chute en dessous d'une valeur présélectionnée. La présente invention sera bien comprise à la lecture de la des- cription suivante faite en relation avec les dessins ci-joints, dans les- quels la figure 1 est un schéma représentant un dispositif de sur- veillance de système de commande suivant un exemple de réalisation de la présente invention; * la figure 2 est un organigramme illustrant le fonctionnement du circuit de la figure 1; et la figure 3 est un diagramme de formes d'onde illustrant le fonctionnement du circuit de la figure l On se reportera maintenant aux dessins La figure 1 est un schéma représentant un dispositif de surveillance de-système de commande suivant un exemple de réalisation de la présente invention En fonctionne- ment, l'horloge 10 crée un signal Variable dans le temps-et de fréquence préséléctionnée; ce signal est transmis par des lignes 12 et 14 d'achemine- ment des données à un circuit intégré logique d'ensemble programmable PAL et à un microprocesseur 16 Le circuit intégré logique d'ensemble programmable PAL comprend un diviseur 18, un'séquenceur 20 d'état et un comparateur 22. Le diviseur 18 est utilisé pour réduire la fréquence du signal d'horloge et pour commander la sortie d'une séquence de mots predéterminés contenant des données créés par le séquenceur 20 d'état Le microprocesseur 16 dialogue avec le système sous surveillance par l'intermédiaire de lignes 24 et 26 d'acheminement des données De cette- manière, il peut être: programmé pour accomplir diverses opérations de service sur le système et également pour conduire des programmes d'auto- contrôle qui déterminent l'état opérationnel du système sous surveillance et du reste du circuit du dispositif de surveil- lance En réponse à ces progranmmes d'auto-contrôle, le microprocesseur crée une deuxième séquence de mots contenant des données qui représentent l'état opérationnel du système sous surveillance Ces mots contenant des données sont introduits dans une séquence prédéterminée dans le comparateur 22 par l'intermédiaire de lignes 28 d'acheminement de données La séquence de mots prédéterminés contenant des données venant du séquenceur 20-d'état et la deuxième séquence de mots contenant des données provenant du microprocesseur 16 sont présentées au comparateur 22 pendant des intervalles de temps succes- sifs qui se chevauchent pendant un temps presélectionné Lorsque les mots contenant des données présentés au comparateur 22 à n'importe quel instant donné sont en concordance, la sortie du comparateur passe à un premier niveau logique Lorsque les mots contenant des données présentés au comparateur 22 sont en discordance, la sortie du comparateur passe à un deuxième niveau lo- gique Du fait que les mots contenant des données venant du séquenceur 20 d'état et du mucroprocesseur 16 sont présentés au comparateur pendant des -intervalles de temps successifs qui se chevauchent en partie, si le micro- processeur 16 crée itérativement une séquence de mots contenant des données prédeterminée correspondant à la séquence/de mots contenant des données produite par le séquenceur 20 d'état, la sortie du comparateur oscillera d'une-manière pres- crite entre un niveau logique haut et un niveau logique bas de sortie Dans le présent exemple de réalisation, les lignes 32 et 34 d'acheminement des données de sortie du comparateur recevront le même signal de niveau logique de sortie qui est appliqué, par l'intermédiaire de la résistance Ri et du circuit El Zi A, au circuit 36 de-verrouillage. Si la séquence de mots logiques créée par le microprocesseur 16 correspond à la séquence de mots logiques produite par le séquenceur 20 d'état, le circuit 36 de verrouillage recevra du collecteur du transistor du circuit ET Zi A un signal qui varie d'une manière prescrite entre un ni- veau haut logique et un niveau bas logique Comme ce signal fait passer le transistor du circuit Zi A alternativement à la fermeture et à l'ouverture, les condensateurs Cl et C 2 se chargeront et se déchargeront alternativement. Par exemple, lorsque la sortie de la porte ET du circuit Zi A est au niveau bas, le transistor du circuit Zi A est ouvert et lecondensateur Ci se charge, par l'intermédiaire des-résistances R 2 et R 3, pour atteindre le niveau de tension Vl En même temps, le transistor QI est ouvert et le condensateur C 2 se décharge par l'intermédiaire de la résistance R 4, de la résistance R 5 et de la diode CR 2 Lorsque la sortie de la porte ET du circuit Zi A est au niveau haut, le transistor du circuit Zi A est fermé et le condensateur Cl se décharge par l'intermédiaire de la résistance R 3, de la diode CRI et du transistor du circuit ZIA Les résistances R 6 et R 7 sont choisies de telle sorte que, en même temps, le transistor Qi soit fermé et le condensateur C 2 se charge, par l'intermédiaire du transistor Qi et de la résistance R 5, pour atteindre le niveau de tension Vi Le circuit 38 de sortie agit, en réponse au niveau de tension appliqué aux condensateurs Cl et C 2, afin de régler la tension à la borne de sortie OUT Lorsque la tension appliquée aux condernsa- teurs CI et C 2 dépassera un niveau présélectionné qui est approximativement égal à la tension de la diode CR 5 de Zéner, le transistor Q 2 se fermera et la tension à la borne de sortie OUT sera au niveau bas Si, pour une raison quelconque, la tension appliquée aux condensateurs Cl ou C 2 chute en dessous du niveau présélectionné, la diode CR 5 cessera d'être conductrice et le tran- sistor Q 2 s'ouvrira, élevant le niveau de la tension de la borne de sortie jusqu' au niveau de tension Vi environ. Un circuit 40 de blocage comprenant une diode CR 6 de Zéner, une résistance RII et un circuit ET Z 1 B, détecte la tension appliquée au conden- sateur C 1 et ferme le transistor du circuit Z 1 B lorsque cette tension dépas- se un niveau prédéterminé Ceci a pour conséquences d'amener à un niveau bas l'une des lignes d'entrée de la porte ET du circuit Zi A et d'empêcher l'os- cillation de la sortie de cette porte ET, maintenant de ce fait la borne de sortie OUT du circuit dans un état prédéterminé Une augmentation excessive de la tension appliquée au condensateur CI se produirait dans la plupart des défaillances courantes. Le transistor Q 2 peut également être ouvert par le microproces- seur 16, dans les conditions normales de fonctionnement, par l'intermédiaire du circuit 42 d'interface Un signal de sortie de niveau haut logique, en- voyé dans la ligne 44 de transmission de signaux, fermera le transistor Q 3 et, de ce fait, le courant sera conduit à la terre par l'intermédiaire de la diode CR 7 et du transistor Q 3 Ceci abaissera la tension aux bornes de la diode CR 5 de Zéner jusqu'à une valeur inférieure à sa tension de seuil En outre, le circuit 36 de verrouillage peut obliger le transistor Q 2 à s'ou- vrir, quelle que soit la sortie du microprocesseur. La figure 2 est un organigramme qui illustre le fonctionnement du circuit représenté à la figure 1 La case 50 indique que, lorsque le cir- cuit est mis sous tension, la séquence des mots contenant des données pro- duite par le séquenceur-20 d'état et le mot de sortie contenant des données du microprocesseur-16 sont initialisés de telle sorte que le séquenceur d'état est adressé pour sortir un mot contenant des données, caractérisé comme étant le mot No contenant des données concernant l'état de la séquen- ce, et la sortie 28 du microprocesseur est initialisée pour sortir un mot- clé N 1 contenant des données La case 52 indique que, lorsque ces mots conte- nant des données sont envoyés au comparateur 22, la sortie de ce dernier est au niveau logique zéro En réponse à un signal d'horloge envoyé par la- ligne 14 de données, le microprocesseur 16 conduit un programme d'auto- contrôle et sort un mot-clé No contenant des données qui représente les ré- sultats du programme de contrôle En même temps, le diviseur 18 a empêché l'indexation du séquenceur 20 d'état, de sorte que ce dernier continue à sortir le mot No contenant des données concernant l'état de la séquence. Par conséquent, lé comparateur 22 reçoit à chaque entrée le même mot No contenant des données et sa sortie passe au niveau "un" logique Après qu'un nombre prédéterminé d'impulsions d'horloge ont été reçues par le diviseur 18, le séquenceur 20 d'état est indexé et il sort un mot N 1 contenant des données concernant l'état de la séquence, comme l'indique la case 56 A ce moment-là, le microprocesseur continue à sortir le mot- clé N et la sortie du comparateur 22 passe au niveau "zéro" logique De nouveau, le micropro- cesseur 16 conduit un programme d'auto-contrôle et crée un mot-clé N 1 qui est sorti comme l'indique la case 58 Lorsque le mot-clé et les données concernant l'état de la séquence sont en concordance, la sortie du compa- rateur revient au niveau "un" logique Ce mode de fonctionnement continue, comme l'indiquent les cases 60 et 62, jusqu'à ce qu'un nombre prédéterminé d'états de séquence aient été comparés et, à ce moment-là, le cycle se ré- pète Dans le présent exemple, seize états de séquence sont illustrés. 25278-15 Les formes d'onde représentées à la figure 3, illustrent davan- tage le fonctionnement du circuit de la figure 1 La sortie de l'horloge 10 est'illustrée par la forme d'onde A, les fronts montants des impulsions d'horloge étant représentés par la forme d'onde B Le diviseur 18 comprend un compteur qui assume les états binaires indiqués à la ligne C sur la figure 3 La forme d'onde D illustre la sortie du diviseur 18 A chaque front montant de la sortie du diviseur, le séquenceur 20 d'état change d'état, comme le représente la 1 ligne E sur la figure 3 Cependant, le mot-clé conte- nant des données, créé par le microprocesseur 16, n'est envoyé dans la li- gne 28 d'acheminement de données que lorsquapparait la queue descendante de la sortie du diviseur, comme le représente la ligne F sur la figure 3 De cette maniére, les entrées du comparateur 22 sont en discordance et en con- cordance comme le représente la ligne G sur la figure 3 En réponse à la sor- tie du comparateur représentée par la forme d'onde G, les formes d'onde H et I illustrent les tensions appliquées respectivement aux condensateurs C 1 et C 2 'En réglant la durée précise de présentation, au comparateur 22, des états de séquence du séquenceur 20 d'état et des mots-clés du microprocesseur'16, on peut maintenir la tension appliquée aux condensateurs C 1 et C 2 au-dessus d'une certaine tension prédéterminée. A titre d'exemple, le-tableau suivant donne une liste de composants spécifiques que l'on peut utiliser dans le-circuit représenté à la figure 1,. suivant un exemple de réalisation de la présente invention. TABLEAU 1 PAL Mémoires monolithiques PAL 16 R 6 MJ MICROPROCESSEUR Intel 8051 Z 1 75452 -Q 1 -2 N 2907 A Q 2 2 N 3019 Q 3 2 N 2222 Ci 3,3 pf C 2 3,3 pf R 1 200- R 2 2 K I R 3 2,2 K. R 4 2 K R 5 2,2 K R 6 750 Kfl R 7 22 K R 8 15 K:. R 9 o 10 Kn: R 10 1,5 Kf -Rll l K CRI 1 N 4004 CR 2 1 N 4004 CR 3 1 N 4004 CR 4 1 N 4004 CR 5 6,a V Zener CR 6 20 V Zéner VI 25 V En utilisant les valeurs 'de composants énumérées au tableau 1, une horloge ayant une sortie en signaux carrées de 400 Hz peut envoyer son si- gnal de sortie à un circuit diviseur par quatre de la logique d'ensemble programmable comprenant deux bascules Quatre autre bascules sont dispo- sées dans le circuit intégré logique d'ensemble programmable PAL de ma- nière à constituer un séquenceur d'état qui reçoit des impulsions d'hor- loges de la sortie du circuit diviseur par quatre Ce circuit séquenceur effectuera la mise en séquence de seize états êventuels, en commençant toujours par l'état 0000 lors de l'application initiale de l'énergie du circuit Les seize états ne sont pas dans l'ordre binaire mais ils sont plutôt organisés spécifiquement de telle sorte que deux au moins des quatre chiffres binaires doivent varier entre des états contigus En outre, deux états contigus ne sont jamais dans l'ordre binaire Une illustration d'une telle séquence dans la numération hexadécimale est la suivante: 0,-D, 4, 1, 8, 2, B, 5, 3, F, 9, C, 6, A, 7 et E Le sé- quenceur d'état change d'état et passe au suivant lorsqu'apparalt le front montant de la forme d'onde D représentée à la figure 3 Ceci cor- respond à l'état 00 du compteur dans le diviseur 18 Le mot-clé précé- dent N-1 continue à apparaître à la sortie du microprocesseur 16 jusqu'à ce que le compteur dans le diviseur 18 atteigne l'état 10; de ce fait, le comparateur 22 dans le circuit intégré d'ensemble programmable PAL passera au niveau bas puisque le mot-clé et l'état sont en discordance. Le microprocesseur 16 sortira son mot-clé suivant N lorsque le compteur sera à l'état 10, faisant passer le comparateur au niveau haut Lorsque le compteur reviendra à l'état 00, le séquenceur d'état avancera à l'état N+ 1 et le fonctionnement continuera comme dans le pas précédent. Tant que la sortie du comparateur sera à un état logique faux (niveaubas), la sortie de la porte ET du circuit Z 1 A sera au niveau bas, provoquant la charge du condensateur C 1 et la décharge du conden- sateur C 2 Tant que la sortie du comparateur 22 sera à un état logique vrai (niveau haut), la sortie de la porte ET du circuit Zl A sera au niveau haut, fermant de ce fait le transistor du circuit ZMA et provoquant la dé- charge du condensateur Cl et la charge du condensateur C 2 Les constantes de temps des résistances et condensateurs du circuit 36 de verrouillage sont choisies, dans le présent exemple, de telle sorte que la tension appliquée aux condensateurs Cl et C 2 reste supérieure à 9,2 V environ si le microprocesseur sort les mot-clés corrects au moment convenable Si le microprocesseur 16 ne sort pas les mots-clés corrects au moment convenable, la tension appliquée à l'un des deux condensateurs Cl ou C 2, ou aux deux, chutera en dessous de 9,2 V environ, faisant passer de ce fait la borne de sortie OUT à un niveau haut. On décrira maintenant en détail quatre modes de défaillances pos- sibles: 1) le microprocesseur subit une défaillance mais le circuit de verrouillage n'est pas défaillant; 2) le circuit de verrouillage subit une défaillance mais le microprocesseur n'est pas défaillant; 3) le circuit de verrouillage et le microprocesseur sont tous deux défaillants; et 4) le circuit de verrouillage et le microprocesseur sont opérationnels mais le circuit de sortie est défaillant L'avantage de la présente invention rési- 2 U de dans sa capacité à traiter chacune de ces éventualités. Le premier mode de défaillance, dans lequel le microprocesseur subit une défaillance, tandis que le circuit de verrouillage est opération- nel, est le mode de défaillance le plus suceptible de se produire, du fait de la complexité relative de ces deux sous-ensemble Afin de maintenir la sortie du dispositif de surveillance en dehors de son mode prédéterminé de défaillance, le microprocesseur doit sortir correctement seize mots-clés aux moments spécifiés afin de satisfaire le circuit de verrouillage Si le -20 microprocesseur est défaillant, il y aura seulement 5,42 x 10 probabili- tés que la séquence requise, dans l'exemple de réalisation représenté, soit devinée correctement Ce chiffre des probabilités ne tient pas compte des exigences de durée des mots-clés Par conséquent, même si le fonctionnement du microprocesseur est défectueux, il est peu probable qu'il puisse ouvrir le circuit de verrouillage même une fois On doit bien insister sur le fait que la capacité du système de verrouillage de détecter une défaillance du microprocesseur, dépend directement des programmes d'auto-contrôle Ces der- niers doivent envisager chaque aspect du système et ils doivent être rédigés de telle sorte qu'aucune défaillance ne puisse provoquer la création et la sortie d'un mot-clé incorrect Le microprocesseur n'a pas à savoir si le mot-clé créé par un programme de contrôle est un mot-clé correct C'est le circuit de verrouillage qui en est seul responsable. Le deuxième mode de défaillance concerne une défaillance du cir- cuit de verrouillage seul La plupart de ces défaillances auront pour consé- quence une chute de la tension appliquée au-condensateur Cl et (ou) au con- densateur C 2 jusqu'au voisinage-de zéro volt Des défaillances du diviseur 18, du séquenceur d'état et du comparateur aboutiraient à ce résultat On notera que, quels que soient les états des défaillances du circuit de verrouil'lage,- le microprocesseur a la capacité de placer obligatoirement la sortie du dis- positif de surveillance dans un état prédéterminé en envoyant un signal de - l U sortie de niveau bas dans la ligne 30 de transmission de signaux ou un signal' de sortie de niveau haut dans la ligne 44 de transmission de signaux, comme le représente la figure 1. Le troisième mode de défaillance est tout à fait analogue au deuxième Il existe une combinaison potentiellement dangereuse de défaillances qui pourrait se produire en cas de court-circuit entre le collecteur et l'émetteur du transistor Qi et si les circuits ZIA et Z 1 B ouvrent le circuit de verrouillage Cependant, cette éventualité est assez peu probable et des précautions peuvent être prises pour réduire au minimum son apparition. Le dernier mode de défaillance pourrait être détecté par le micro- processeur, si la sortie est explorée et examinée au cours du programme d O auto- contrôle Bien que le microprocesseur ne puisse pas accéder au problème, il. pourrait émettre un signal indiquant qu'une commutation manuelle du circuit de sortie est requise On doit bien noter-que la durée moyenne sans défaillances du circuit transistorisé de sortie est assez longue et que, par conséquent, la probabilité d'une défaillance associée à ce circuit de sortie est plutôt faible. Le dispositif de surveillance de systèmes de commande-à verrouilla- ge que l'on vient de décrire, est tout à fait simple, de faibles dimensions et peu coûteux mais il présente une grande capacite de détection des défaillances et une fiabilité importante Le circuit de verrouillage n'exige qu'une surface d'environ 12,90 à 19,35 cm 2 de plaquette de circuit imprimé. La présente invention n'est pas limitée aux exemples de réalisa- tion qui viennent d'être décrits, elle est au contraire susceptible de va- riantes et de modifications qui apparaîtront à l'homme de l'art Par exemple, le séquenceur 20 d'état pourrait être une mémoire morte qui-est indexée par le diviseur 18 pour sortir les mots prédéterminés contenant des données rela- tives à l'état de la séquence En outre, on pourrait utiliser d'autres cir- cuits au lieu des composants CR 6, RM, Z 1 B, Q 4 et RI. La présente invention est utilisable pour surveiller le fonctionne- ment d'un système électrogène à génératrices multiples tel qu'on en trouve à bord des aéronefs et avions Dans un système de ce genre, la sortie de plu- sieurs génératrices peut être surveillée de manière fiable et une génératrice défaillante peut être verrouillée et désolidarisée du système tandis qu'une génératrice de réserve est couplée au système La demande de brevet N O 275 4 Z 5 en cours d'examen, déposée le 18 juin 1981, décrit un système électrogène dans lequel on peut introduire le dispositif de surveillance représenté à la figure 1 et elle est incorporée aux présentes à titre de référence. Le fonctionnement du circuit représenté à la figure 1 illustre un procédé pour surveiller un système de commande, ce procédé comprenant les 1 u stades de conduite d'une série de-programmes d auto-contrôle d'un système de commande; création d'une première séquence de mots contenant des données indi- quant les résultats du programme de contrôle; présentation de chaque-mot con- tenant des données de la première séquence à un comparateur pendant un premier intervalle présélectionné de temps; présentation d'une deuxième séquence de mots prédéterminés contenant des données au comparateur, chaque mot contenant des données de cette deuxième séquence étant présenté au comparateur pendant un deuxième intervalle présélectionné de temps, ce premier et ce deuxième inter- valles de temps se chevauchant en partie; chargement d'un premier condensateur et déchargement d'un deuxième condensateur lorsque les mots contenant des données présentés au comparateur sont en concordance; déchargement d'un pre- mier condensateur et chargement d'un deuxième condensateur lorsque les mots contenant des données présentés au comparateur sont en discordance; et créa- tion d'un signal prédéterminé de sortie lorsque la charge due à la tension appliquée au premier ou au deuxième condensateur chute en dessous d'une va- leur présélectionnée IDENTIFICATION DES NUMEROS'DE REFERENCE UTILISES SUR LES DESSINS LEGENDE HORLOGE DIVISEUR SEQUENCEUR D'ETAT COMPARATEUR INITIALISATION *ETAT DE LA SEQUENCE = ETAT DE LA SEQUENCE = ETAT DE LA SEQUENCE = ETAT DE LA SEQUENCE = ETAT DE LA SEQUENCE = ETAT DE LA SEQUENCE = No CLE N O CLE N 1 CLE N 1 CLE N 15 CLE N 15 CLE = N_ = NO O =, NO = N 1 = N 14 = N 15 COMPARATEUR = COMPARATEUR = COMPARATEUR = COMPARATEUR- COMPARATEUR = COMPARATEUR = REF 'N 0 52- 0 54 0 56 0 58 0 60 1 62 FIGURE R E V E N D I C A T I O N S 1 Dispositif de surveillance de système de commande, caractérisé en ce qu'il comprend un premier ensemble de circuits pour créer une première séquence de données indiquant l'état de fonctionnement; un deuxième ensemble de circuits pour créer une deuxième séquence de données; un comparateur pour comparer successivement les sorties du premier et du deuxième ensembles de circuits, ces derniers comprenant dés circuits tels que les intervalles de temps successifs se chevauchent pendant un temps donné; et un ensemble de circuits de sortie pour créer un signal de sortie lorsque la sortie du com- parateur n'oscille pas de manière prescrite. 2 Dispositif de surveillance de système de commande suivant la revendication 1, caractérisé en ce que les circuits de sortie comprennent deux condensateurs dont l'un se charge pendant que la sortie du comparateur se trouve à un premier niveau de sortie et se décharge lorsque la sortie du comparateur se trouve à un deuxième niveau de sortie, l'autre de ces conden- sateurs se déchargeant-pendant que la sortie du comparateur se trouve au premier niveau de sortie et se chargeant lorsque la sortie du comparateur se trouve au deuxième niveau de sortie, les cadences de chargement et de dé- chargement de ces condensateurs étant choisies de telle manière que la ten- sion appliquée à chaque condensateur reste supérieure à un niveau présélec- tionné lorsque la sortie du comparateur oscille entre le premier et le deu- xième niveaux de sortie de la manière prescrite. 3 Dispositif de surveillance de système de commande suivant l'une des revendications 1 ou 2, caractérisé en ce que le premier ensemble de cir- cuits comprend un microprocesseur connecté au système sous surveillance et prévu pour effectuer des contrôles du système, les résultats de ces contrô- les étant codés dans la première séquence de données. 4 Dispositif de surveillance de système de commande suivant l'une des revendications 2 ou 3 lorsque la revendication 3 dépend de la revendica- tion 2, caractérisé en ce que les cadences de chargement et de déchargement des condensateurs sont réglées par un circuit comprenant une première branche de circuit connectée entre une source de tension et la terre, cette première branche de circuit étant constituée du montage en série d'une première et d'une deuxième résistances et du premier des condensateurs, ce condensateur étant mis à la terre; un premier condensateur à transistor connecté entre la jonction de la première et de la deuxième résistances et la terre, la base de ce transistor étant connectée à la sortie du comparateur; une deuxième branche de circuit connectée entre la source de tension et la terre, cette deuxième branche de circuit étant constituée du montage en série d'un deu- 2 527815 xième commutateur à transistor, d'une troisième résistance et du deuxième condensateur; deux dispositifs à-courant unidirectionnel montés en opposi- tion entre les deux condensateurs; une quatrième résistance montée en pa- ra-llèle avec le deuxième condensateur; et le deuxième transistor étant ou- vert lorsque le premier commutateur à transistor est fermé et le deuxième transistor étant fermé lorsque le premier commutateur à transistor est ou- vert -