FR 2721451 A1 19951222 FR 9506164 A 19950519 L'invention concerne un système électrique comportant une unité de traitement pourvue d'une entrée et d'une sortie. L'invention concerne également un procédé de commande d'un tel système électrique. En général, l'alimentation électrique à bord d'un aéronef est assurée par plusieurs générateurs, afin de garantir que les équipements critiques pour le vol disposent d'une puissance d'alimentation suffisante dans l'éventualité qu'un des générateurs tombe en panne. Quand l'un des générateurs tombe en panne, il faut commuter l'alimentation des équipements vitaux qui étaient alimentés par le générateur défaillant, pour les alimenter par un générateur opérationnel en interrompant le moins possible l'alimentation. Quoique les générateurs électriques puissent supporter une certaine surcharge pendant de brèves périodes, si un générateur est surchargé brusquement, excessivement ou pendant une durée prolongée, cela peut causer des dommages permanents au générateur. C'est pourquoi les générateurs sont munis de circuits de protection qui déclenchent le générateur s'il est sérieusement surchargé. Afin d'éviter de surcharger le générateur encore en fonction quand on lui connecte de nouvelles charges, il est nécessaire de déconnecter ou de délester certaines des charges non critiques qui sont connectées au générateur en fonction avant de lui transférer l'alimentation des équipements vitaux. La commande de l'alimentation des différents appareils d'équipement s'effectue généralement au moyen d'un processeur qui reçoit des signaux d'entrée provenant des générateurs et délivre des signaux de sortie commandant l'alimentation des appareils par l'entremise de relais ou de dispositifs analogues. Ces signaux de sortie résultent d'un algorithme ou d'un autre programme exécuté par le processeur durant le fonctionnement normal des générateurs. Le processeur recalcule les valeurs de commande du système à intervalles réguliers, c'est-à-dire à chaque cycle de traitement ou à des multiples de celui- ci. Si l'un des générateurs tombe en panne, ce fait est signalé au processeur et l'induit à exécuter un algorithme différent, à savoir un algorithme de délestage afin de déclencher des appareils appropriés pour permettre d'alimenter les équipements critiques pour le vol. Cet agencement a pour inconvénient qu'il existe un retard avant que le processeur commande un délestage, retard qui peut être égal à la durée du cycle de traitement. Du fait de ce retard, une surcharge du générateur en fonction ne peut être évitée qu'en retardant la commutation des équipements critiques du générateur en panne au générateur en fonction jusqu'au moment o le processeur a eu le temps de délester la charge. Les équipements vitaux sont donc privés de puissance pendant une durée notable. Bien qu'on puisse réduire ce retard en utilisant des processeurs à grande vitesse, le retard reste appréciable. Une autre manière de produire une réponse plus rapide consiste à interrompre immédiatement le cycle de traitement du processeur dès qu'une faute est détectée, suspendre le programme normal et exécuter le nouveau programme de délestage avec un retard minimal. Bien que cela puisse réduire le retard, l'interruption est du type non déterministe, puisqu'elle peut survenir à n'importe quel point du programme du processeur. Il est donc difficile de garantir que l'interruption soit toujours gérée correctement et qu'après l'interruption le processeur revienne toujours à son programme normal d'une manière appropriée, quel que soit le point o l'interruption survient dans le cycle de traitement. Il y a d'autres systèmes, aussi bien dans les aéronefs qu'ailleurs, o il est souhaitable de pouvoir répondre de manière fiable à un changement d'un stimulus externe, plus rapidement que la durée du cycle de traitement d'un programme. La présente invention a pour but de perfectionner des systèmes électriques et leurs procédés de commande de manière à remédier aux inconvénients évoqués ci-dessus. Selon un premier aspect de l'invention, il est prévu un système électrique du genre indiqué plus haut, caractérisé en ce que l'unité de traitement est agencée pour exécuter en même temps un premier et un second programme qui sont différents l'un de l'autre, et en ce que l'unité de traitement comporte un commutateur commandant ladite sortie et actionné en réponse à un changement d'un signal d'entrée pour transmettre à ladite sortie alternativement les résultats du premier et du second programme. Le système comporte de préférence un générateur électrique, ledit signal d'entrée indiquant si le générateur produit ou ne produit pas suffisamment de puissance pour le système. Le système peut comporter une pluralité d'appareils formant un équipement électrique qui est alimenté par le générateur, le second programme commandant la déconnexion d'un ou de plusieurs des appareils en réponse à une perte de puissance du générateur. Le système peut comporter deux générateurs électriques, ledit signal d'entrée étant représentatif du fonctionnement des deux générateurs. Dans une forme préférée du système, l'unité de traitement est agencée pour transmettre à ladite sortie les résultats du premier programme dans des conditions normales et les résultats du second programme lorsque le commutateur est actionné, et le premier programme continue d'être exécuté après l'actionnement du commutateur, de sorte que les résultats du premier programme peuvent être transmis à ladite sortie dès que le signal d'entrée revient à son état initial. Selon un autre aspect de la présente invention, il est prévu un procédé de commande d'un système électrique en réponse à un premier ou à un second programme, dans lequel on exécute en même temps le premier et le second programme, on commande le système par un seul des programmes, et ultérieurement on effectue une commutation pour commander le système par l'autre programme en réponse à un changement d'un stimulus externe. De préférence, on effectue ladite commutation par actionnement d'un commutateur matériel. De préférence, on continue d'exécuter les deux programmes après la commutation et on effectue une commutation inverse pour commander le système par le programme initial dès que le stimulus externe revient à son état initial. Selon un autre aspect de la présente invention, il est prévu un procédé de commande d'un système d'alimentation électrique comportant un générateur électrique et une pluralité d'appareils d'équipement électrique qui sont connectés pour être alimentés par le générateur, caractérisé en ce que l'on surveille le fonctionnement du générateur, on exécute un premier programme autorisant l'alimentation de chaque appareil, on exécute en même temps que le premier programme un second programme n'autorisant l'alimentation que de certains appareils sélectionnés, on délivre uniquement les résultats du premier programme à travers un commutateur matériel pour commander le système lorsque le fonctionnement du générateur suffit à l'alimentation de tous les appareils, et l'on change l'état du commutateur lorsque le fonctionnement du générateur ne suffit pas à l'alimentation de tous les appareils, de sorte que les résultats du second programme sont alors délivrés pour commander le système. Dans une forme de réalisation particulière, on continue d'exécuter le premier programme après le changement d'état du commutateur et l'on remet le commutateur à son état initial dès que le fonctionnement du générateur suffit à l'alimentation de tous les appareils, de sorte que les résultats du premier programme sont à nouveau délivrés pour commander le système. On décrira maintenant un système d'alimentation électrique d'un avion et son procédé de commande conformément à la présente invention, à titre d'exemple non limitatif et en référence au dessin annexé qui représente schématiquement le système. Le système d'alimentation électrique d'avion représenté dans le dessin comporte deux générateurs électriques 10 et 20 ayant chacun une puissance nominale continue de 120 kVA. Les générateurs 10 et 20 peuvent tous deux fonctionner sans dommages à une puissance plus élevée pendant de brèves périodes. En particulier, ils peuvent fonctionner jusqu'à 160 kVA pendant des périodes allant jusqu'à minutes, et entre 160 kVA et 180 kVA pendant 5 secondes. Les générateurs ne peuvent fonctionner au-dessus de 180 kVA que pour de très brèves périodes de 5 ms ou moins. Les générateurs 10 et 20 sont raccordés à des barres omnibus respectives 11 et 21 qui sont isolées électriquement l'une de l'autre, mais peuvent être interconnectées au moyen d'une liaison d'interconnexion 1 et d'un interrupteur 2. Le système comprend aussi divers appareils d'équipement électriques, dont seulement douze sont représentés, six appareils 101 à 106 étant connectés à la barre omnibus gauche 11 et les six autres appareils 201 à 206 étant connectés à la barre omnibus droite 21. Chaque appareil 101 à 106, 201 à 206 est connecté à sa barre omnibus 11 ou 21 par l'intermédiaire d'un relais respectif 111 à 116, 211 à 216. Chaque relais est connecté à une unité de traitement 3 qui délivre des commandes appropriées pour maintenir les relais ouverts ou fermés selon les besoins. L'unité de traitement 3 est également connectée par une ligne 30 à l'interrupteur d'interconnexion 2 pour commander son fonctionnement. L'unité de traitement 3 est pourvue de diverses entrées 31 à 33 telles que, par exemple, des capteurs de température, des détecteurs d'incendie et des capteurs de courant associés aux différents appareils. Les signaux provenant des entrées 31 à 33 sont utilisés dans un algorithme ou un autre programme exécuté par l'unité de traitement 3 et représenté par le bloc A. L'algorithme calcule lesquels des relais 111 à 116 et 211 à 216 devraient être ouverts et lesquels devraient être fermés, et il délivre des signaux appropriés à un étage de sortie 34 de l'unité de traitement, cet étage commandant les relais. La durée du cycle de traitement de l'algorithme peut être par exemple d'environ 20 ms. Outre l'algorithme A, l'unité de traitement 3 exécute aussi un second algorithme B en même temps. Cet algorithme détermine quels signaux de sortie devraient être délivrés aux relais 111 à 116 et 211 à 216 si l'un des générateurs 10 ou 20 tombait en panne, de sorte qu'un seul générateur serait disponible pour alimenter les charges. Le résultat de ces calculs n'est toutefois pas utilisé pendant le fonctionnement normal, donc quand les deux générateurs fonctionnent correctement. L'unité de traitement 3 comporte aussi un interrupteur matériel 35 qui reçoit des signaux provenant des deux générateurs 10 et 20. Le commutateur 35 a deux états. Dans l'état représenté, il transmet les résultats de l'algorithme A à l'étage de sortie 34. Si l'un des générateurs 10 et 20 tombe en panne, le commutateur 35 change rapidement d'état et établit une connexion entre l'autre algorithme B et l'étage de sortie 34. La commutation du commutateur matériel 35 peut se faire en environ 1 à 3 ms, c'est-à-dire beaucoup plus rapidement que le cycle de traitement de l'unité 3. Le second algorithme B utilise aussi les entrées 31 à 33 et effectue des calculs différents de ceux du premier algorithme. L'algorithme B a pour effet initial de commander un délestage de toutes les charges non essentielles pour que, aussitôt que le générateur tombe en panne et que le commutateur 35 sélectionne l'algorithme B pour le transmettre à la sortie, toutes les charges non essentielles soient immédiatement déconnectées. Il délivre ensuite une commande de fermeture de l'interrupteur 2, pour que la liaison d'interconnexion 1 relie les deux barres omnibus 11 et 21, permettant ainsi d'alimenter l'équipement connecté aux deux barres omnibus au moyen du seul générateur 10 ou 20 fonctionnant encore. Le délestage des charges non essentielles garantit que la charge totale après fermeture de la liaison 1 reste toujours dans les limites de la capacité du générateur en fonction. L'algorithme B compare ensuite les charges connectées à la puissance mise à disposition par le générateur en fonction et il rétablit autant de charges non essentielles qu'il est possible sans créer de surcharge. Durant cette période de fonctionnement o la charge a été délestée, le premier algorithme A continue d'être exécuté dans l'unité de traitement. De cette manière, si le générateur en panne redevient opérationnel, le commutateur 35 revient à son état initial et transmet les résultats du premier algorithme A pour commander les relais. La présente invention permet de rétablir l'alimentation des appareils essentiels très rapidement après une panne d'un générateur, sans risque de surcharger le générateur restant en fonction et sans qu'il soit nécessaire de prévoir des générateurs de trop grande capacité, qui seraient chacun capables d'alimenter toutes les charges par lui- même. L'invention permet aussi de reconnecter des charges non essentielles s'il y a une réserve de puissance disponible. Etant donné que les deux programmes de l'unité de traitement 3 sont exécutés en même temps, il n'y a pas besoin d'interrompre le programme mis hors service par l'actionnement du commutateur 35, puisque son exécution peut continuer sans avoir aucun effet sur la commande, de sorte que le processus est entièrement déterministe. L'invention n'est pas limitée à l'exemple de réalisation décrit ci- dessus, mais s'étend à toute modification ou variante évidente pour un homme du métier. En particulier, les applications de l'invention ne se limitent pas aux systèmes d'alimentation dans les aéronefs, mais peuvent être utilisées dans d'autres applications o il est nécessaire de produire un changement rapide entre différents algorithmes ou autres programmes de commande. L'invention n'est pas limitée à l'utilisation avec deux programmes, mais pourrait au contraire fonctionner avec trois ou plusieurs programmes. REVENDICATIONS 1. Système électrique comportant une unité de traitement (3) pourvue d'une entrée et d'une sortie, caractérisé en ce que l'unité de traitement (3) est agencée pour exécuter en même temps un premier et un second programme qui sont différents l'un de l'autre, et en ce que l'unité de traitement (3) comporte un commutateur (35) commandant ladite sortie (34) et actionné en réponse à un changement d'un signal d'entrée pour transmettre à ladite sortie (34) alternativement les résultats du premier et du second programme. 2. Système électrique selon la revendication 1, caractérisé en ce qu' il comporte un générateur électrique (10, 20) et en ce que ledit signal d'entrée indique si le générateur produit ou ne produit pas suffisamment de puissance pour le système. 3. Système électrique selon la revendication 2, caractérisé en ce qu'il comporte une pluralité d'appareils (101 à 106, 201 à 206) formant un équipement électrique qui est alimenté par le générateur (10, 20), et en ce que le second programme commande la déconnexion d'un ou de plusieurs des appareils en réponse à une perte de puissance du générateur. 4. Système électrique selon la revendication 2 ou 3, caractérisé en ce qu'il comporte deux générateurs électriques (10 et 20) et en ce que ledit signal d'entrée est représentatif du fonctionnement des deux générateurs. 5. Système électrique selon l'une des revendications précédentes, caractérisé en ce que l'unité de traitement (3) est agencée pour transmettre à ladite sortie (34) les résultats du premier programme dans des conditions normales et les résultats du second programme lorsque le commutateur (35) est actionné, et en ce que le premier programme continue d'être exécuté après l' actionnement du commutateur (35), de sorte que les résultats du premier programme peuvent être transmis à ladite sortie (34) dès que le signal d'entrée revient à son état initial. 6. Procédé de commande d'un système électrique en réponse à un premier ou à un second programme, dans lequel on exécute en même temps le premier et le second programme, on commande le système par un seul des programmes, et ultérieurement on effectue une commutation pour commander le système par l'autre programme en réponse à un changement d'un stimulus externe. 7. Procédé selon la revendication 6, caractérisé en ce que l'on effectue ladite commutation par actionnement d'un commutateur matériel (35). 8. Procédé selon la revendication 6 ou 7, caractérisé en ce que l'on continue d'exécuter les deux programmes après la commutation et en ce que l'on effectue une commutation inverse pour commander le système par le programme initial dès que le stimulus externe revient à son état initial. 9. Procédé de commande d'un système d'alimentation électrique comportant un générateur électrique (10, 20) et une pluralité d'appareils d'équipement électrique (101 à 106, 201 à 206) qui sont connectés pour être alimentés par le générateur, caractérisé en ce que l'on surveille le fonctionnement du générateur (10, 20), on exécute un premier programme autorisant l'alimentation de chaque appareil (101 à 106, 201 à 206), on exécute en même temps que le premier programme un second programme n'autorisant l'alimentation que de certains appareils sélectionnés, on délivre uniquement les résultats du premier programme à travers un commutateur matériel (35) pour commander le système lorsque le fonctionnement du générateur suffit à l'alimentation de tous les appareils, et l'on change l'état du commutateur (35) lorsque le fonctionnement du générateur ne suffit pas à l'alimentation de tous les appareils, de sorte que les résultats du second programme sont alors délivrés pour commander le système. 10. Procédé selon la revendication 9, caractérisé en ce que l'on continue d'exécuter le premier programme après le changement d'état du commutateur (35) et en ce que l'on remet le commutateur à son état initial dès que le fonctionnement du générateur (10, 20) suffit à l'alimentation de tous les appareils, de sorte que les résultats du premier programme sont à nouveau délivrés pour commander le système.