FR 3024925 A1 20160219 FR 1457843 A 20140814 1 Système et procédé de commande d'au moins un organe de puissance, notamment pour aéronef. L'invention a pour domaine technique la commande de systèmes de distribution électrique, et plus particulièrement la commande sécurisée de tels systèmes. L'invention concerne l'utilisation d'une architecture de contrôle et de protection centralisée associée à une électronique de puissance dont la fonction est de convertir une énergie électrique, de manière statique ou dynamique. On dénomme SSPC, de l'anglais Solid State Power Controller, les fonctions de distribution d'énergie électrique statique faisant intervenir des composants à base de semi-conducteurs. Ces fonctions sont réparties entre des voies SSPC et des cartes SSPC. Les voies SSPC ont pour rôle de distribuer l'énergie électrique à destination des charges de l'avion en fonction de signaux logiques provenant de moyens de commande liés à l'avionique. Les voies SSPC ont également pour rôle de protéger les lignes qui véhiculent l'énergie électrique vers les charges de l'avion. Par charge de l'avion, on entend des équipements électriques consommant l'énergie électrique mise à disposition. Des cartes SSPC complémentent les voies SSPC pour ce qui est de la protection des lignes de distribution et sont généralement comprises dans des équipements de distribution secondaire d'énergie, du fait de la moyenne puissance transmise. De plus, du fait de la puissance moyenne transmise par chaque ligne alimentée, plusieurs voies SSPC peuvent être regroupées et commandées par une carte SSPC. Chaque voie SSPC comprend tout d'abord un organe de puissance, qui opère la fermeture ou l'ouverture de la liaison entre une source d'énergie et une charge. L'organe de puissance comprend un ou plusieurs interrupteurs ou transistors à base de semi-conducteurs, notamment des JFET (Transistor à effet de champ à jonction), 3024925 2 MOSFET (Transistor à effet de champ à grille métal-oxyde), IGBT (Transistor bipolaire à grille isolée), Bipolaire ou Thyristor, etc. Les technologies de fabrication de ces semi-conducteurs peuvent être spécifiques à différents matériaux, tels que notamment à Si, SiC, GaN. 5 L'organe de puissance est associé à un ou plusieurs capteurs, notamment de courant et de tension, pour permettre de distinguer un cas nominal de fonctionnement d'un cas de panne, notamment sur-courant, court-circuit ou apparition d'arc électrique. La voie SSPC est commandée et configurée de manière 10 dynamique par la carte SSPC sur plusieurs aspects, notamment le calibre en courant de la voie (courant que verra la ligne en mode normal de fonctionnement), l'activation ou non de chacune des protections embarquées, la possibilité de remettre à zéro un champ indiquant que la voie SSPC a été commandée en ouverture en raison de 15 l'apparition d'un défaut. Pour toutes ces raisons et du fait de la complexité de certaines lois de protection régissant le comportement de la carte SSPC, cette dernière est très souvent pilotée par un microcontrôleur. Le microcontrôleur peut, au choix de l'utilisateur, être référencé du point de vue de la masse électrique de son 20 électronique, c'est-à-dire au niveau du bus de puissance, le microcontrôleur devant par conséquent être isolé des fonctions bas-niveaux de la carte SSPC. Dans ce cas, l'architecture est dite isolée. Sinon, il peut être référencé à la masse électrique des fonctions de bas niveaux de la carte SSPC. Dans ce cas l'architecture est dite non 25 isolée. La carte SSPC comprend des fonctions principales, dites de bas niveau, dont quelques exemples sont listées ci-après. Une fonction d'alimentation générale permet la fourniture de l'énergie pour les fonctions électroniques de la carte et la gestion du 30 temps de transparence. Des fonctions de communication avec l'extérieur sont réalisées par l'intermédiaire de blocs d'interfaçage avec des signaux discrets permettant la commande des voies SSPC, le pin programming, c'est-à-dire une programmation par broches et le renvoi d'informations et de 3024925 3 passerelles de communication permettant d'échanger, via des bus de données numériques, des informations telles que la commande, le surveillance et le test embarqué de type BITE (acronyme anglais pour « Built-In Test Equipment ») des voies SSPC. 5 Des fonctions de mesure permettent de déterminer le courant circulant dans la voie SSPC, ainsi que la tension et la température au niveau de l'organe de puissance. Des fonctions de limitation du courant de fuite permettent de compenser le courant de fuite de l'organe de puissance. 10 De la même manière, les fonctions principales réalisées par chacune des voies SSPC sont les suivantes : - Alimentation basse-tension pour générer la tension d'alimentation des fonctions ci-après - Electronique de commande du SSPC ; 15 - Electronique de détection rapide d'un cas de court-circuit ; - Electronique de verrouillage d'un défaut du type court-circuit ; et - Des fonctions de mesure de tension et de courant. Le microcontrôleur qui assure la gestion des protections de la 20 voie SSPC peut être relié à une passerelle de communication ou être un abonné direct d'un bus de communication avion. La voie SSPC est généralement, pour des raisons de disponibilité, connectée à au moins deux organes de commande. Les architectures généralement adoptées, isolées ou non, utilisent un microcontrôleur par voie SSPC, comme 25 illustré dans la figure 1. La figure 1 présente les différentes isolations galvaniques possibles. Une première isolation (3, 3b, 3n) est possible entre la passerelle de communication et le microcontrôleur (1, lb, ln). Une deuxième isolation (5, 5b, 5n) est possible entre le microcontrôleur et 30 les voies SSPC (2, 2b, 2n). Dans le cas d'une architecture isolée, la première isolation (3, 3b, 3n) est implémentée, tandis que la deuxième isolation n'est pas (5, 5b, 5n) implémentée. Dans le cas d'une architecture non isolée, la deuxième isolation (5,5b, 5n) est 3024925 4 implémentée, tandis que la première isolation (3, 3b, 3n) n'est pas implémentée. Les figures 2 et 3 illustrent des architectures de commande/protection isolée et non isolée d'une voie SSPC. 5 La figure 2 illustre une isolation galvanique 3 disposée en amont du microcontrôleur 1, la sortie du microcontrôleur 1 étant directement connectée aux différents moyens de commande (6, 7, 8) et de surveillance 9 de la voie SSPC, notamment à l'organe de puissance 5. L'alimentation interne est fournie par l'intermédiaire 10 d'un convertisseur continu-continu 10 complétant l'isolation galvanique 11 séparant la zone isolée 12 de la zone non isolée 13. La figure 3 illustre une isolation galvanique 4 disposée en aval du microcontrôleur 1, avant la connexion aux différents moyens de commande (6, 7, 8) et de surveillance 9 de la voie SSPC, notamment à 15 l'organe de puissance 5. Toutefois, un moyen de mesure 9b relie directement le microcontrôleur 1 à la ligne de distribution commandée par l'organe de puissance 5. L'alimentation interne est fournie par l'intermédiaire d'un convertisseur continu-continu 10 complétant l'isolation galvanique 11 20 séparant la zone isolée 12 de la zone non isolée 13. Les inconvénients de l'architecture présentée en figure 1 sont multiples. Plus le nombre de voies SSPC est important et plus la surface occupée par les fonctions de protection est grande, une voie SSPC 25 correspondant à l'utilisation d'un microcontrôleur dédié à la protection de la ligne. Cette multiplicité de composants s'accompagne d'une augmentation des coûts, de la puissance dissipée et de la surface d'implantation, au détriment de la surface utile pour les parties puissance de ces mêmes voies SSPC. 30 Plus le nombre de voies SSPC est important, plus le temps moyen avant panne MTBF (acronyme anglais pour « Mean Time Before Failure ») de la carte SSPC est diminué, le microcontrôleur et ses périphérique étant un contributeur très important dans la valeur de MTBF d'une carte électronique. 3024925 5 Un autre inconvénient réside dans la nécessité d'utiliser des microcontrôleurs supplémentaires dédiés à des fonctions de communication en plus de ceux assurant la protection des lignes. L'existence nouvelle de ces microcontrôleurs s'accompagne d'une 5 augmentation des signaux échangés avec la voie SSPC et par conséquent d'un accroissement de la complexité du routage. Une alternative consiste à abonner le microcontrôleur de la voie SSPC directement sur un bus. Malheureusement, en augmentant le nombre d'abonnés par bus, 10 on s'expose aux risques de saturation du bus de données et à une plus grande probabilité de perte du bus. La multiplication des microcontrôleurs complexifie également la gestion de la communication avec la passerelle de communication de la carte SSPC. Il n'est en effet pas concevable de traiter de manière 15 séquentielle le passage des ordres de commandes depuis la passerelle de communication vers les microcontrôleurs gérant la protection des voies SSPC, à moins de ne pas être contraint du point de vue de la réactivité de la carte SSPC. Dans une configuration triphasée, il est nécessaire de partager 20 un lien entre les trois microcontrôleurs associés à un même groupement triphasé, une exigence souvent formulée étant en effet d'ouvrir les trois lignes à l'apparition d'un défaut sur une des lignes SSPC. Cette exigence a pour conséquence, dans le cas de l'utilisation de plusieurs microcontrôleurs, soit que les microcontrôleurs échangent 25 entre eux, soit qu'ils échangent avec une passerelle commune. Il existe un besoin pour un système et un procédé de commande d'organes de puissance permettant une commande efficace et sécurisée avec un nombre plus restreint de composants par rapport à l'état de l'art antérieur. 30 L'invention a pour objet un système de commande, notamment pour aéronef, d'au moins un organe de puissance apte à ouvrir ou fermer la connexion entre au moins une source d'énergie électrique et au moins un organe alimenté, et des moyens de mesure de l'état de la voie d'alimentation électrique. Le système comprend au moins deux 3024925 6 microcontrôleurs aptes chacun à émettre une commande à destination de chaque organe de puissance d'une voie d'alimentation électrique, et connectés à au moins une partie des moyens de mesure de l'état de la voie d'alimentation électrique, et un moyen de détermination de la 5 commande à transmettre apte à déterminer la commande à transmettre à chaque organe de puissance parmi les commandes émises par chaque microcontrôleur à destination dudit organe de puissance. Le moyen de détermination de la commande à transmettre peut comprendre trois entrées portant un signal de commande provenant de 10 trois microcontrôleurs, l'entrée portant le signal de commande d'un premier microcontrôleur étant reliée à une porte logique NON, l'entrée portant le signal de commande d'un deuxième microcontrôleur et l'entrée portant le signal de commande d'un troisième microcontrôleur étant reliées à une première porte logique ET, la porte logique NON et 15 la première porte logique ET étant reliées à une deuxième porte logique ET, l'entrée portant le signal de commande du deuxième microcontrôleur et l'entrée portant le signal de commande du troisième microcontrôleur étant reliées à une première porte logique OU, l'entrée portant le signal de commande du premier microcontrôleur et 20 la première porte logique OU étant reliées à une troisième porte logique ET, la deuxième porte logique ET et la troisième porte logique ET étant reliées à une deuxième porte logique OU, la sortie de la deuxième porte logique OU étant reliée à la sortie du moyen de détermination de la commande à transmettre. 25 Le moyen de détermination de la commande à transmettre peut comprendre quatre entrées connectées deux à deux à deux microcontrôleurs, les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, et deux signaux de validité, provenant également chacun d'un microcontrôleur, le 30 deuxième microcontrôleur assurant la redondance du premier microcontrôleur, l'entrée portant le signal de commande du premier microcontrôleur et l'entrée portant le signal de validité du premier microcontrôleur étant connectées à une première porte logique NON- ET, 3024925 7 l'entrée portant le signal de commande du deuxième microcontrôleur et l'entrée portant le signal de validité du deuxième microcontrôleur étant connectées à une deuxième porte logique NON-ET, l'entrée portant le signal de validité du premier microcontrôleur et 5 la deuxième porte logique NON-ET étant connectées à une porte logique OU, la première porte logique NON-ET et la porte logique OU étant connectées à une troisième porte logique NON-ET, la sortie de la troisième porte logique NON-ET étant reliée à la sortie du moyen de 10 détermination de la commande à transmettre. Le moyen de détermination de la commande à transmettre peut comprendre quatre entrées connectées deux à deux à deux microcontrôleurs, les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, et deux signaux de 15 validité, provenant également chacun d'un microcontrôleur, le deuxième microcontrôleur assurant la redondance du premier microcontrôleur, l'entrée portant le signal de commande du premier microcontrôleur et l'entrée portant le signal de validité du premier microcontrôleur sont connectées à une première porte logique NON- 20 ET, l'entrée portant le signal de commande du deuxième microcontrôleur et l'entrée portant le signal de validité du deuxième microcontrôleur sont connectées à une deuxième porte logique NON-ET, 25 l'entrée portant le signal de validité du premier microcontrôleur et la deuxième porte logique NON-ET sont connectées à une première porte logique OU, la première porte logique NON-ET et la première porte logique OU (21) sont connectées à une troisième porte logique NON-ET, 30 l'entrée portant le signal de commande du premier microcontrôleur et l'entrée portant le signal de commande du deuxième microcontrôleur étant connectées à une deuxième porte logique OU exclusif, 3024925 8 l'entrée portant le signal de validité du premier microcontrôleur et l'entrée portant le signal de validité du deuxième microcontrôleur étant connectées à une quatrième porte logique ET, la deuxième porte logique OU exclusif et la quatrième porte 5 logique ET étant connectées à une cinquième porte logique ET, la troisième porte logique NON-ET et la cinquième porte logique ET étant connectées à une sixième porte logique NON-ET, la troisième porte logique NON-ET étant reliée à une porte logique NON, la porte logique NON et la cinquième porte logique ET étant 10 reliées à une septième porte logique NON-ET, la sixième porte logique NON-ET étant reliée à la première entrée d'une huitième porte logique NON-ET, la septième porte logique NON-ET étant reliée à la deuxième entrée d'une neuvième porte logique NON-ET, la sortie de la neuvième 15 porte logique NON-ET étant reliée à la deuxième entrée de la huitième porte logique NON-ET, la sortie de la huitième porte logique NON-ET étant reliée à la première entrée de la neuvième porte logique NON-ET, la sortie de la huitième porte logique NON-ET étant également 20 reliée à la sortie du moyen de détermination de la commande à transmettre. L'invention a également pour objet l'utilisation du système décrit ci-dessus et de ses variantes, dans un système de distribution électrique d'un aéronef comprenant au moins une voie d'alimentation 25 électrique comprenant au moins un organe de puissance. L'invention a par ailleurs pour objet un procédé de commande, notamment pour aéronef, d'un organe de puissance apte à ouvrir ou fermer la connexion entre au moins une source d'énergie électrique et au moins un organe alimenté, au moyen d'un système de commande 30 comprenant des moyens de mesure de l'état de la connexion, et au moins deux microcontrôleurs aptes chacun à émettre une commande à destination de chaque organe de puissance, et connectés à au moins une partie des moyens de mesure de l'état de la connexion. 3024925 9 Le procédé comprend une étape au cours de laquelle on détermine la commande transmise à chaque organe de puissance parmi les commandes émises par les microcontrôleurs à destination de chaque organe de puissance. 5 On peut transmettre en sortie une commande correspondant à la commande reçue d'une majorité des microcontrôleurs, le système de commande comprenant un nombre impair de microcontrôleurs supérieur à trois. Chaque microcontrôleur peut émettre une commande pouvant 10 prendre une première valeur ou une deuxième valeur et une valeur de validité pouvant prendre une première valeur si la commande est jugée valide par le microcontrôleur et une deuxième valeur si la commande est jugée invalide par le microcontrôleur, un deuxième microcontrôleur assurant la redondance du premier microcontrôleur. Si les commandes 15 reçues en entrées sont accompagnées de valeurs de validité différentes, on transmet la commande reçue en entrée pour laquelle la valeur de validité correspond à la première valeur, ou, si des commandes différentes reçues en entrées sont accompagnées de valeurs de validité correspondent à la deuxième valeur de validité, on transmet la 20 première valeur de commande, ou, si des commandes identiques reçues en entrées sont accompagnées de valeurs de validité correspondent à la deuxième valeur de validité, on transmet la première valeur de commande. Si des commandes différentes reçues en entrées sont 25 accompagnées de valeurs de validité correspondent à la première valeur, on peut transmettre la commande transmise par le premier microcontrôleur. Si des commandes différentes reçues en entrées sont accompagnées de valeurs de validité correspondent à la première 30 valeur, on peut transmettre la commande précédemment reçue. L'invention a aussi pour objet l'utilisation du procédé décrit ci-dessus et de ses variantes pour la commande du système de distribution électrique d'un aéronef comprenant au moins une voie 3024925 10 d'alimentation électrique comprenant au moins un organe de puissance. L'invention définie ci-dessus présente de nombreux avantages. Un premier avantage réside dans la réduction du nombre de 5 microcontrôleurs requis qui permet une augmentation de la surface utile pour les parties de puissance, un diminution du coût des composants, une diminution de la puissance totale dissipée par les fonctions de protection et une augmentation du MTBF de la carte électronique, le microcontrôleur et ses périphériques étant des 10 contributeurs très importants dans la valeur de MTBF d'une carte électronique, plus particulièrement d'une carte SSPC. Un deuxième avantage correspond à la centralisation des fonctions de protection et de commande dans un seul microcontrôleur, ce qui permet, dans une configuration triphasée, de mieux gérer la 15 commande des SSPC associés à même groupement triphasé. En effet, il est souvent requis pour des questions de sécurité d'ouvrir les trois phases à l'apparition d'un défaut sur une des lignes SSPC. Enfin, un autre avantage apparait du fait que le microcontrôleur centralisant les fonctions de protection peut également jouer le rôle de 20 passerelle de communication vers l'extérieur. Se faisant, les bus de communication interne entre le microcontrôleur de protection et la passerelle de communication sont supprimés. D'autres buts, caractéristiques et avantages de l'invention apparaîtront à la lecture de la description suivante, donnée uniquement 25 à titre d'exemple non limitatif et faite en référence aux dessins annexés sur lesquels : - la figure 1 illustre une architecture générale de commande et de protection de voies SSPC, 30 protection d'une voie SSPC selon l'invention, - la figure 2 illustre une architecture de commande et de protection isolée de voies SSPC, - la figure 3 illustre une architecture de commande et de protection non isolée de voies SSPC, - la figure 4 illustre une architecture de commande et de 3024925 11 - la figure 5 illustre un premier mode de réalisation d'un moyen de détermination de la commande à transmettre selon l'invention, - la figure 6 illustre un deuxième mode de réalisation d'un moyen de détermination de la commande à transmettre selon 5 l' invention, - la figure 7 illustre une autre architecture de commande et de protection de voies selon l'invention, et - la figure 8 illustre un troisième mode de réalisation d'un moyen de détermination de la commande à transmettre selon 10 l' invention, - la figure 9 illustre une autre architecture de commande et de protection de voies selon l'invention intégrant des FPGA. On décrit ci-dessous une architecture de contrôle et de protection centralisée, non isolée, associée à une partie puissance dont 15 la fonction est de distribuer une énergie électrique, de manière statique ou dynamique. L'utilisation de cette nouvelle architecture de contrôle et de protection est ici décrite ci-après dans le cadre d'une application SSPC. Toutefois, elle peut être généralisée à des dispositifs de 20 commande de distribution électrique. Les capacités des microcontrôleurs actuels permettent d'envisager de disposer, dans un même composant, d'une puissance de calcul importante. Du fait des développements techniques dans le domaine de la microélectronique, la puissance de calcul des 25 microprocesseurs ne devrait faire que grandir à l'avenir. Ainsi l'utilisation d'un seul microcontrôleur en lieu et place de plusieurs peut être considérée. Cette perspective donne naissance à une nouvelle architecture de commande et de protection illustrée par la figure 4 dans un contexte d'utilisation SSPC. 30 La description suivante est réalisée en considérant des microcontrôleurs. Toutefois, elle est généralisable aisément à tout type de moyen de commande apte à émettre les signaux requis en sortie. Dans cette architecture, un seul microcontrôleur est associé à tout ou partie des voies SSPC de la carte SSPC. Une voie SSPC est un 3024925 12 exemple particulier de voie d'alimentation électrique. La présente description peut être généralisée au cas d'une voie d'alimentation électrique. Par ailleurs, si les capacités de traitement du microcontrôleur 5 sont insuffisantes, au moins un microcontrôleur supplémentaire peut être employé de sorte que la somme des capacités de traitement des microcontrôleurs soit supérieure ou égale à la capacité de traitement nécessaire pour gérer l'ensemble des voies SSPC. Comme explicité précédemment chaque microcontrôleur peut s'interfacer avec un bus de 10 communication ou être directement relié à un bus avion. En outre, il envoie les ordres de commande à destination des organes de commande (8, 8b, 8n) des voies SSPC, et récupère les signaux (Vin, Vout, I, Trip out) en provenance des capteurs des voies SSPC. Dans le cas présent, un microcontrôleur émet une commande 15 pouvant prendre deux états, selon que l'organe de puissance de la voie SSPC doit être ouvert ou fermé. Dans le cas où un microcontrôleur suffit à contrôler la totalité des voies SSPC, il demeure un risque de perte de la totalité des voies SSPC en cas de défaillance de ce microcontrôleur. Il est donc 20 nécessaire, dans un tel cas, de disposer a minima de deux microcontrôleurs (la, lb), chaque microcontrôleur étant apte à contrôler la totalité des voies SSPC. Ce constat peut être élargi à un système à plusieurs microcontrôleurs, chaque microcontrôleur contrôlant un groupe de 25 voies SSPC. Afin de ne pas perdre un groupe de voies SSPC à cause de la défaillance du microcontrôleur de commande, il est nécessaire de disposer d'une redondance de chaque microcontrôleur contrôlant un groupe de voies SSPC. Ainsi, pour un ensemble de voies nécessitant la capacité de traitement de n microcontrôleurs, on prévoit 2n 30 microcontrôleurs de sorte que chaque microcontrôleur dispose de la redondance d'un autre microcontrôleur dédié à la gestion du même groupe de voies SSPC. Cependant, dès lors que deux microcontrôleurs émettent simultanément des commandes à destination d'un même groupe de 3024925 13 voies SSPC, il est nécessaire qu'un moyen de détermination de la commande à transmettre détermine quels ordres de commande doivent être transmis à la voie SSPC, de sorte qu'un seul microcontrôleur reste maître du groupe de voies SSPC. 5 Le fonctionnement du moyen de détermination de la commande à transmettre est décrit ci-après. Dans cette configuration, un groupe de voies SSPC comprend des voies SSPC qui sont en liaison chacune avec : - les lignes de puissance (Vin, Vout); 10 - le moyen de détermination de la commande à transmettre (14, 14b, 14n); - au moins deux microcontrôleurs (la, lb), ici respectivement nommés Master et Slave, qui reçoivent des mesures de tension de ligne, des mesures de courant, des informations de commutation (Trip 15 out) ou tout autre grandeur nécessaire à la détermination du bon fonctionnement de la voie SSPC. Les mesures peuvent également comprendre la fréquence d'un courant alternatif, le taux de distorsion, le taux d'ondulation d'une alimentation continue et le taux d'harmonique d'une alimentation alternative. 20 Différentes structures du moyen de détermination de la commande à transmettre (14, 14b, 14n) vont maintenant être décrites. L'annotation M signifie que les signaux ont pour provenance le microcontrôleur la dit Master. Réciproquement l'annotation S signifie que les signaux sont émis par le microcontrôleur lb dit Slave. Le 25 microcontrôleur Master et le microcontrôleur Slave sont chacun apte à commander les voies SSPC, le microcontrôleur Master étant considéré comme celui dont les ordres sont prioritaires, le microcontrôleur Slave étant considéré comme le microcontrôleur redondant assurant la continuité de la commande en cas de défaillance du microcontrôleur 30 Master. Toutefois, les rôles Master et Slave des microcontrôleurs peuvent être échangés lors de la configuration. Dans un premier mode de réalisation illustré par la figure 5, le moyen de détermination de la commande à transmettre comprend 3024925 14 quatre entrées connectées deux à deux à deux microcontrôleurs et une sortie destinée au contrôle d'une voie SSPC. Les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, notés Cmd M et Cmd S, et 5 deux signaux de validité, notés Validité M et Validité S, provenant également chacun d'un microcontrôleur. Le moyen de détermination de la commande à transmettre 14 ainsi obtenu comprend une vérification de la validité de la commande pour en assurer la redondance, tout en donnant la priorité à la 10 commande reçue du contrôleur Master. L'entrée portant le signal Cmd M et l'entrée portant le signal Validité M sont connectées à une première porte logique NON-ET référencée 15 (acronyme NAND en langue anglaise). L'entrée portant le signal Cmd S et l'entrée portant le signal 15 Validité S sont connectées à une deuxième porte logique NON-ET référencée 16. L'entrée portant le signal Validité M et la deuxième porte logique NON-ET référencée 16 sont connectées à une porte logique OU référencée 17. 20 La première porte logique NON-ET référencée 15 et la porte logique OU référencée 17 sont connectées à une troisième porte logique NON-ET référencée 18. La sortie de la troisième porte logique NON-ET référencée 18 est reliée à la sortie du moyen de détermination de la commande à transmettre 14. 25 Cette structure est simple car elle ne nécessite que deux microcontrôleurs. Le fonctionnement de ce moyen de détermination de la commande à transmettre est basé sur la vérification de la validité de la commande et non sur la cohérence des commandes en provenance d'au moins deux microcontrôleurs. 30 Le tableau ci-dessous illustre une table de vérité pour ce mode de réalisation du moyen de détermination de la commande à transmettre. 3024925 15 Cmd Master Validité Master Cmd Slave Validité Slave Cmd 0 0 0 0 0 0 0 0 1 0 0 0 1 0 0 0 0 1 1 1 0 1 0 0 0 0 1 0 1 0 0 1 1 0 0 0 1 1 1 0 1 0 0 0 0 1 0 0 1 0 1 0 1 0 0 1 0 1 1 1 1 1 0 0 1 1 1 0 1 1 1 1 1 0 1 1 1 1 1 1 Dans un deuxième mode de réalisation illustré par la figure 6, le moyen de détermination de la commande à transmettre comprend quatre entrées connectées deux à deux à un microcontrôleur et une 5 sortie destinée au contrôle d'une voie SSPC. Les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, notés Cmd M et Cmd S, et deux signaux de validité, notés Validité M et Validité S, provenant également chacun d'un microcontrôleur. 10 Le moyen de détermination de la commande à transmettre ainsi obtenu comprend une vérification de la validité de la commande pour assurer la redondance de la commande, tout en donnant la priorité à la commande précédente en cas de conflit. L'entrée portant le signal Cmd M et l'entrée portant le signal 15 Validité M sont connectées à une première porte logique NON-ET référencée 19. 3024925 16 L'entrée portant le signal Cmd S et l'entrée portant le signal Validité S sont connectées à une deuxième porte logique NON-ET référencée 20. L'entrée portant le signal Validité M et la deuxième porte 5 logique NON-ET référencée 20 sont connectées à une première porte logique OU référencée 21 La première porte logique NON-ET référencée 19 et la première porte logique OU référencée 21 sont connectées à une troisième porte logique NON-ET référencée 22. 10 L'entrée portant le signal Cmd M et l'entrée portant le signal Cmd S sont connectées à une deuxième porte logique OU exclusif référencée 23. L'entrée portant le signal Validité M et l'entrée portant le signal Validité S sont connectées à une quatrième porte logique ET 15 référencée 24. La deuxième porte logique OU exclusif référencée 23 et la quatrième porte logique ET référencée 24 sont connectées à une cinquième porte logique ET référencée 25. La troisième porte logique NON-ET référencée 22 et la 20 cinquième porte logique ET référencée 25 sont connectées à une sixième porte logique NON-ET référencée 26. La troisième porte logique NON-ET référencée 22 est reliée à une porte logique NON référencée 27. La porte logique NON référencée 27 et la cinquième porte 25 logique ET référencée 25 sont reliées à une septième porte logique NON-ET référencée 28. La sixième porte logique NON-ET référencée 26 est reliée à la première entrée entrée d'une huitième porte logique NON-ET référencée 29. 30 La septième porte logique NON-ET référencée 28 est reliée à la deuxième entrée d'une neuvième porte logique NON-ET référencée 30. La sortie de la neuvième porte logique NON-ET référencée 30 est reliée à la deuxième entrée de la huitième porte logique NON-ET référencée 29. La sortie de la huitième porte logique NON-ET 3024925 17 référencée 29 est reliée à la première entrée de la neuvième porte logique NON-ET référencée 30. La sortie de la huitième porte logique NON-ET référencée 29 est également reliée à la sortie du moyen de détermination de la 5 commande à transmettre 14. Cette structure est proche de celle du premier mode de réalisation. L'intérêt de ce deuxième mode de réalisation réside dans la maitrise de l'état de la commande en cas de conflit des commandes reçues jugées valides. 10 Le tableau ci-dessous illustre une table de vérité pour ce mode de réalisation du moyen de détermination de la commande à transmettre. Cmd Master Validité Master Cmd Slave Validité Slave Cmd 0 0 0 0 0 0 0 0 1 0 0 0 1 0 0 0 0 1 1 1 0 1 0 0 0 0 1 0 1 0 0 1 1 0 0 0 1 1 1 Commande précédente 1 0 0 0 0 1 0 0 1 0 1 0 1 0 0 1 0 1 1 1 1 1 0 0 1 1 1 0 1 Commande précédente 1 1 1 0 1 1 1 1 1 1 3024925 18 En variante, il est possible d'associer plus de deux microcontrôleurs pour générer la commande des voies SSPC par le biais d'un moyen de détermination de la commande à transmettre. La figure 7 illustre une architecture de commande et de protection de 5 voies SSPC utilisant trois microcontrôleurs. Dans le cadre de cette architecture, on utilise un moyen de détermination de la commande à transmettre (14, 14b, 14n) apte à gérer trois commandes issues de trois microprocesseurs (la, lb, 1c) différents. Le reste de l'architecture de commande correspond à l'architecture illustrée par la figure 4 et 10 décrite plus haut. Un tel mode de réalisation du moyen de détermination de la commande à transmettre est illustré par la figure 8. On peut voir que le moyen de détermination de la commande à transmettre comprend trois entrées connectées chacune à un microcontrôleur et une sortie destinée au contrôle d'une voie SSPC. 15 Dans cet exemple, les trois microcontrôleurs émettent respectivement des commandes Cmdl, Cmd2, et Cmd3. Le signal Cmd émis en sortie du moyen de détermination de la commande à transmettre correspond au signal majoritairement reçu sur les trois entrées Cmdl, Cmd2, Cmd3. 20 L'entrée portant le signal de commande Cmdl est reliée à une porte logique NON référencée 31. L'entrée portant le signal de commande Cmd2 et l'entrée portant le signal de commande Cmd3 sont reliées à une première porte logique ET référencée 32. 25 La porte logique NON référencée 31 et la première porte logique ET référencée 32 sont reliées à une deuxième porte logique ET référencée 33. L'entrée portant le signal de commande Cmd2 et l'entrée portant le signal de commande Cmd3 sont reliées à une première porte 30 logique OU référencée 34. L'entrée portant le signal de commande Cmdl et la première porte logique OU référencée 34 sont reliées à une troisième porte logique ET référencée 35. 3024925 19 La deuxième porte logique ET référencée 33 et la troisième porte logique ET référencée 35 sont reliées à une deuxième porte logique OU référencée 36. Le tableau ci-dessous illustre une table de vérité pour ce mode 5 de réalisation du moyen de détermination de la commande à transmettre. Cmdl Cmd2 Cmd3 Cmd 0 0 0 0 0 0 1 0 0 1 0 0 0 1 1 1 1 0 0 0 1 0 1 1 1 1 0 1 1 1 1 1 Cette architecture de commande et le moyen de détermination de la commande à transmettre correspondant sont utilisés pour les 10 commandes de vol qui nécessitent le plus haut niveau de sécurité et de disponibilité. Cela est obtenu au prix de l'utilisation de trois microcontrôleurs. Par ailleurs, il est possible d'utiliser un FPGA (acronyme anglais pour « field-programmable gate array », réseau de portes 15 programmables in situ) ou plus généralement un PLD (acronyme anglais pour « Programmable Logic Device », circuit logique programmable) associé au microcontrôleur. Ce FPGA permet d'alléger la charge du microcontrôleur en réalisant une partie des fonctions lui incombant normalement. Il peut par exemple réaliser le traitement des 20 données numériques, le traitement de données analogiques en s'interfaçant avec un ou plusieurs ADC (acronyme anglais pour Analogic-to-Digital Converter », convertisseur analogique vers numérique); la mise en mémoire RAM de données ; Etc. Le FPGA peut échanger des données avec le microcontrôleur 25 via des bus parallèles, série ou des signaux discrets. La figure 9 3024925 20 illustre un tel mode de réalisation, correspondant à celui illustré par la figure 4, complété par deux FPGA 37a, 37b connectés chacun entre une voie SSPC et un microcontrôleur. 5 REVENDICATIONS1. Système de commande, notamment pour aéronef, d'au moins un organe de puissance (5, 5b, 5n) apte à ouvrir ou fermer la connexion entre au moins une source d'énergie électrique et au moins un organe alimenté, et des moyens de mesure de l'état de la voie d'alimentation électrique, le système étant caractérisé par le fait qu'il comprend au moins deux microcontrôleurs (la, lb) aptes chacun à émettre une commande à destination de chaque organe de puissance (5, 5b, 5n) d'une voie d'alimentation électrique, et connectés à au moins une partie des moyens de mesure de l'état de la voie d'alimentation électrique, un moyen de détermination de la commande à transmettre (14, 14b, 14n) apte à déterminer la commande à transmettre à chaque organe de puissance (5, 5b, 5n) parmi les commandes émises par chaque microcontrôleur (la, lb) à destination dudit organe de puissance (5, 5b, 5n). 2. Système selon la revendication 1, dans lequel le moyen de détermination de la commande à transmettre (14, 14b, 14n) comprend trois entrées portant un signal de commande provenant de trois microcontrôleurs, l'entrée portant le signal de commande d'un premier microcontrôleur (la) étant reliée à une porte logique NON (31), l'entrée portant le signal de commande d'un deuxième microcontrôleur (lb) et l'entrée portant le signal de commande d'un troisième microcontrôleur (1c) étant reliées à une première porte logique ET (32), la porte logique NON (31) et la première porte logique ET (32) étant reliées à une deuxième porte logique ET (33), l'entrée portant le signal de commande du deuxième microcontrôleur (lb) et l'entrée portant le signal de commande du troisième microcontrôleur (1c) étant reliées à une première porte logique OU (34), 3024925 22 l'entrée portant le signal de commande du premier microcontrôleur (la) et la première porte logique OU (34) étant reliées à une troisième porte logique ET (35), la deuxième porte logique ET (33) et la troisième porte logique 5 ET (35) étant reliées à une deuxième porte logique OU (36), la sortie de la deuxième porte logique OU (36) étant reliée à la sortie du moyen de détermination de la commande à transmettre (14, 14b, 14n). 3. Système selon la revendication 1, dans lequel le moyen de 10 détermination de la commande à transmettre (14, 14b, 14n) comprend quatre entrées connectées deux à deux à deux microcontrôleurs (la, lb), les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, et deux signaux de validité, provenant 15 également chacun d'un microcontrôleur, le deuxième microcontrôleur assurant la redondance du premier microcontrôleur, l'entrée portant le signal de commande du premier microcontrôleur (la) et l'entrée portant le signal de validité du 20 premier microcontrôleur (la) étant connectées à une première porte logique NON-ET (15), l'entrée portant le signal de commande du deuxième microcontrôleur (lb) et l'entrée portant le signal de validité du deuxième microcontrôleur (lb) étant connectées à une deuxième porte 25 logique NON-ET (16), l'entrée portant le signal de validité du premier microcontrôleur (la) et la deuxième porte logique NON-ET (16) étant connectées à une porte logique OU (17), la première porte logique NON-ET (15) et la porte logique 30 OU (17) étant connectées à une troisième porte logique NON-ET (18), la sortie de la troisième porte logique NON-ET (18) étant reliée à la sortie du moyen de détermination de la commande à transmettre (14). 4. Système selon la revendication 1, dans lequel le moyen de détermination de la commande à transmettre (14, 14b, 14n) comprend 3024925 23 quatre entrées connectées deux à deux à deux microcontrôleurs (la, lb), les quatre entrées portent deux signaux de commande provenant chacun d'un microcontrôleur, et deux signaux de validité, provenant 5 également chacun d'un microcontrôleur, le deuxième microcontrôleur assurant la redondance du premier microcontrôleur, l'entrée portant le signal de commande du premier microcontrôleur (la) et l'entrée portant le signal de validité du 10 premier microcontrôleur (la) sont connectées à une première porte logique NON-ET (19), l'entrée portant le signal de commande du deuxième microcontrôleur (lb) et l'entrée portant le signal de validité du deuxième microcontrôleur (lb) sont connectées à une deuxième porte 15 logique NON-ET (20), l'entrée portant le signal de validité du premier microcontrôleur (la) et la deuxième porte logique NON-ET (20) sont connectées à une première porte logique OU (21), la première porte logique NON-ET (19) et la première porte 20 logique OU (21) sont connectées à une troisième porte logique NON- ET (22), l'entrée portant le signal de commande du premier microcontrôleur (la) et l'entrée portant le signal de commande du deuxième microcontrôleur (lb) étant connectées à une deuxième porte 25 logique OU exclusif (23), l'entrée portant le signal de validité du premier microcontrôleur (la) et l'entrée portant le signal de validité du deuxième microcontrôleur (lb) étant connectées à une quatrième porte logique ET (24), 30 la deuxième porte logique OU exclusif (23) et la quatrième porte logique ET (24) étant connectées à une cinquième porte logique ET (25), la troisième porte logique NON-ET (22) et la cinquième porte logique ET (25) étant connectées à une sixième porte logique NON-ET 3024925 24 (26), la troisième porte logique NON-ET (22) étant reliée à une porte logique NON (27), la porte logique NON (27) et la cinquième porte logique ET (25) étant reliées à une septième porte logique NON-ET (28), 5 la sixième porte logique NON-ET (26) étant reliée à la première entrée d'une huitième porte logique NON-ET (29), la septième porte logique NON-ET (28) étant reliée à la deuxième entrée d'une neuvième porte logique NON-ET (30), la sortie de la neuvième porte logique NON-ET (30) étant reliée à la deuxième 10 entrée de la huitième porte logique NON-ET (29), la sortie de la huitième porte logique NON-ET (29) étant reliée à la première entrée de la neuvième porte logique NON-ET (30), la sortie de la huitième porte logique NON-ET (29) étant également reliée à la sortie du moyen de détermination de la 15 commande à transmettre (14). 5. Utilisation du système selon l'une quelconque des revendications précédentes, dans un système de distribution électrique d'un aéronef comprenant au moins une voie d'alimentation électrique comprenant au moins un organe de puissance (5, 5b, 5n). 20 6. Procédé de commande, notamment pour aéronef, d'un organe de puissance (5, 5b, 5n) apte à ouvrir ou fermer la connexion entre au moins une source d'énergie électrique et au moins un organe alimenté, au moyen d'un système de commande comprenant des moyens de mesure de l'état de la connexion 25 au moins deux microcontrôleurs (la, lb) aptes chacun à émettre une commande à destination de chaque organe de puissance (5, 5b, 5n), et connectés à au moins une partie des moyens de mesure de l'état de la connexion, caractérisé par le fait qu'il comprend une étape au cours de 30 laquelle on détermine la commande transmise à chaque organe de puissance (5, 5b, 5n) parmi les commandes émises par les microcontrôleurs à destination de chaque organe de puissance (5, 5b, 5n). 3024925 25 7. Procédé selon la revendication 6, dans lequel on transmet en sortie une commande correspondant à la commande reçue d'une majorité des microcontrôleurs (la, lb, 1c), le système de commande comprenant un nombre impair de microcontrôleurs (la, lb, 1c) 5 supérieur à trois. 8. Procédé selon la revendication 6, dans lequel chaque microcontrôleur (la, lb) émet une commande pouvant prendre une première valeur ou une deuxième valeur et une valeur de validité pouvant prendre une première valeur si la commande est jugée valide 10 par le microcontrôleur et une deuxième valeur si la commande est jugée invalide par le microcontrôleur, Un deuxième microcontrôleur assurant la redondance du premier microcontrôleur, Si les commandes reçues en entrées sont accompagnées de 15 valeurs de validité différentes, on transmet la commande reçue en entrée pour laquelle la valeur de validité correspond à la première valeur, Ou, si des commandes différentes reçues en entrées sont accompagnées de valeurs de validité correspondent à la deuxième 20 valeur de validité, on transmet la première valeur de commande, Ou, si des commandes identiques reçues en entrées sont accompagnées de valeurs de validité correspondent à la deuxième valeur de validité, on transmet la première valeur de commande. 9. Procédé selon la revendication 8, dans lequel si des 25 commandes différentes reçues en entrées sont accompagnées de valeurs de validité correspondent à la première valeur, on transmet la commande transmise par le premier microcontrôleur. 10. Procédé selon la revendication 8, dans lequel si des commandes différentes reçues en entrées sont accompagnées de 30 valeurs de validité correspondent à la première valeur, on transmet la commande précédemment reçue. 11. Utilisation du procédé selon l'une quelconque des revendications 6 à 10, pour la commande du système de distribution 3024925 26 électrique d'un aéronef comprenant au moins une voie d'alimentation électrique comprenant au moins un organe de puissance (5, 5b, 5n). 5