FR 3114410 A1 20220325 FR 2009709 A 20200924 Architecture distribuée comportant une unité centrale (20) comprenant un module central (28) agencé pour mettre en œuvre une boucle d’asservissement lente adaptée à produire une consigne secondaire nominale à partir d’une consigne primaire, et une unité abonnée (21) comprenant un organe pilotable (34), un premier module abonné (37), miroir du module central (28) et agencé pour, lorsque la liaison de communication est défaillante, utiliser la consigne primaire pour mettre en œuvre la boucle d’asservissement lente de manière à produire une consigne secondaire alternative, et un deuxième module abonné (38) agencé pour acquérir la consigne secondaire nominale lorsque la liaison fonctionne normalement, ou bien la consigne secondaire alternative lorsque la liaison est défaillante, et pour mettre en œuvre une boucle d’asservissement rapide pour commander l’organe pilotable. FIGURE DE L’ABREGE : Fig.3 Architecture distribuée de système embarqué L’invention concerne le domaine des architectures distribuées de systèmes embarqués, et, en particulier, des architectures mises en œuvre dans les domaines de l’aéronautique, du spatial et de la défense. ARRIERE PLAN DE L’INVENTION Les systèmes d’actionnement électrique embarqués, utilisés par exemple dans les domaines de l’aéronautique, du spatial et de la défense, sont classiquement conçus selon une architecture centralisée. Un système d’actionnement électriques conçu selon une architecture centralisée « classique » comprend un calculateur central et des actionneurs électromécaniques déportés. Le calculateur central acquiert une consigne d’entrée provenant du réseau ou d’un autre calculateur, met en œuvre une ou des boucles d’asservissement, et commande un ou des onduleurs (intégrés dans ou situés à proximité du calculateur central) qui produisent des courants d’alimentation qui sont injectés sur les phases des moteurs électriques des actionneurs électromécaniques. Dans une telle architecture centralisée, toute l’intelligence de la commande est donc intégrée dans le calculateur central. Des architectures distribuées ont été conçues récemment. Une architecture distribuée de l’art antérieur est visible sur la figure 1. Cette architecture comporte un calculateur central 1 et un actionneur électromécanique 2. Le calculateur central 1 est relié à un réseau alternatif triphasé haute tension 3. Le calculateur central 1 est aussi relié à une source de tension d’alimentation basse tension 4 (28VDC). Le calculateur central 1 comporte un module de communication central 5, un premier module de traitement 6 et un deuxième module de traitement 7. Le calculateur central 1 et l’actionneur électromécanique 2 sont reliés par un bus-barre HVDC 8 (HVDC pour « High Voltage Direct Current » ), un bus de communication 9 et un câble d’alimentation 10. L’actionneur électromécanique 2 comporte quant à lui un moteur électrique triphasé 11, des capteurs 12 et une unité abonnée 14. L’unité abonnée 14 comprend un module de communication abonné 15, un onduleur 16 et un générateur PWM 17 (pour « Pulse Width Modulation » , ou « modulation de largeur d’impulsions », en français). Les trois phases du moteur électrique 11 sont connectées aux sorties de l’onduleur 16. Les capteurs 12 sont reliés à l’unité abonnée 14. L’onduleur 16 est alimenté par une haute tension continue qui est appliquée sur le bus-barre HVDC 8 par le calculateur central 1. L’unité abonnée 14 et les capteurs 12 sont alimentés par une tension continue de basse tension (15V par exemple) qui est appliquée sur le câble d’alimentation 10 par le calculateur central 1. Le module de communication central 5 et le module de communication abonné 15 communiquent via le bus de communication 9. Le calculateur central 1 intègre le cœur de contrôle de la chaîne de conversion électromécanique. L’unité abonnée 14 de l’actionneur électromécanique 2 intègre la partie convertisseur de puissance. Le premier module de traitement 6 du calculateur central 1 met en œuvre une boucle d’asservissement en vitesse (lente). Le deuxième module de traitement 7 du calculateur central 1 met en œuvre une boucle d’asservissement en courant (rapide). Le deuxième module de traitement 7 génère une commande comprenant trois rapports cycliques à destination du générateur PWM 17 de l’unité abonnée 14 de l’actionneur électromécanique 2. Les données descendantes suivantes transitent donc sur le bus de communication 9, du calculateur central 1 vers l’unité abonnée 14 : les trois rapports cycliques, ainsi que des booléens de mode. Les données montantes suivantes transitent sur le bus de communication 9, de l’unité abonnée 14 vers le calculateur central 1 : trois mesures de courant, une mesure de position, une mesure de vitesse, une mesure de tension HVDC, des booléens de statut. Bien sûr, en référence à la figure 2, le calculateur central 1 est généralement relié non pas à un mais à plusieurs actionneurs électromécaniques, qui communiquent avec le calculateur central 1 sur un même bus de communication 9. La mise en œuvre de cette architecture présente un certain nombre de difficultés, qui résultent notamment des contraintes exercées sur le bus de communication 9 par les échanges entre le calculateur central 1 et les actionneurs électromécaniques 2. La mise en œuvre des boucles d’asservissement en vitesse (lente) et en courant (rapide) dans le calculateur central 1 nécessite d’utiliser un bus de communication 9 suffisamment rapide au regard de la bande passante des boucles d’asservissement. De plus, cette répartition des boucles d’asservissement oblige le bus de communication 9 à être immunisé contre toute interruption. Le bus de communication 9 doit donc être robuste aux perturbations CEM (pour « compatibilité électromagnétique ») et foudre. En effet, en cas de perturbations sur la liaison, les commandes envoyées par le calculateur central 1 vers les transistors de chaque onduleur 16 (les rapports cycliques en l’occurrence) peuvent être erronées. Cette perte d’intégrité des données a pour conséquence de perdre la capacité à piloter les moteurs électriques 11 pendant un temps indéterminé. Or, dans beaucoup d’applications critiques, il n’est pas acceptable de perdre le pilotage des moteurs électriques 11, ce qui impose un besoin de transparence aux perturbations CEM et foudre. Ces contraintes d’immunité impliquent de mettre en œuvre des dispositifs de protection et de filtrage conséquents qui réduisent fortement le débit des données et limitent donc le nombre d’abonnés susceptibles d’être connectés sur le bus de communication 9 et/ou la bande passante des boucles d’asservissement. Le bus de communication 9 devient de ce fait prépondérant en terme de complexité, de dimensionnement et de coût pour l’unité abonnée. OBJET DE L’INVENTION L’innovation a pour objet de rendre une architecture distribuée tolérante aux perturbations CEM et foudre en garantissant la transparence de la commande, et ce, sans pénaliser les bandes passantes des boucles d’asservissement, tout en réduisant les coûts de développement et les coûts récurrents par rapport aux architectures de l’art antérieur. En vue de la réalisation de ce but, on propose une architecture distribuée de système embarqué, comprenant une unité centrale et au moins une unité abonnée reliée à un organe pilotable et connectée à l’unité centrale via une liaison de communication, l’unité centrale comprenant : - un premier module de traitement central agencé pour acquérir une consigne primaire et pour mettre en œuvre une première boucle d’asservissement adaptée à produire une consigne secondaire nominale ; - un module de communication central agencé pour transmettre à l’unité abonnée, via la liaison de communication, la consigne primaire et la consigne secondaire nominale ; l’unité abonnée comprenant : - un module de communication abonné agencé pour recevoir la consigne primaire et la consigne secondaire nominale ; - un premier module de traitement abonné, miroir du premier module de traitement central et agencé pour, lorsque la liaison de communication est défaillante, utiliser la consigne primaire pour mettre en œuvre la première boucle d’asservissement de manière à produire une consigne secondaire alternative ; - un deuxième module de traitement abonné agencé pour acquérir la consigne secondaire nominale lorsque la liaison de communication fonctionne normalement, ou bien la consigne secondaire alternative lorsque la liaison de communication est défaillante, et pour mettre en œuvre une deuxième boucle d’asservissement plus rapide que la première boucle d’asservissement et adaptée à produire une commande pour piloter l’organe pilotable. Ainsi, en cas de défaillance de la liaison de communication, le premier module de traitement abonné de l’unité abonnée est capable de piloter l’organe pilotable de l’unité abonnée (via le deuxième module de traitement abonné). La commande de l’organe pilotable n’est donc pas interrompue en cas de défaillance de la liaison de communication. L’architecture selon l’invention est donc tolérante aux défaillances de la liaison de communication, et donc aux perturbations CEM et foudre. Il n’est plus nécessaire de multiplier les éléments de protection du canal de communication (filaire ou non filaire) sur lequel est mise en œuvre la liaison de communication, de sorte que ledit canal de communication peut présenter un débit élevé et une bande passante importante, et être moins coûteux. Par ailleurs, comme la boucle d’asservissement rapide (la deuxième) est désormais mise en œuvre dans l’unité abonnée, le canal de communication n’est pas encombré par les échanges de données associées au pilotage, et peut donc être utilisé pour transporter d’autres types de données. On peut donc mettre en œuvre des fonctions additionnelles dans les unités abonnées sans augmenter leur coût. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle, lorsque la liaison de communication est défaillante sans être totalement interrompue, le module de communication central transmet uniquement la consigne primaire à l’unité abonnée. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle la consigne primaire comporte un vecteur de consignes comprenant une consigne présente et des consignes anticipées pour des itérations de la première boucle d’asservissement dans un horizon temporel de durée prédéfinie. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle, lorsque la liaison de communication est défaillante sans être totalement interrompue, le premier module de traitement abonné de l’unité abonnée utilise, pour chaque itération de la première boucle d’asservissement, la consigne présente du vecteur de consignes qui vient d’être transmis. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle, lorsque la liaison de communication est défaillante et totalement interrompue, le premier module de traitement abonné de l’unité abonnée utilise, pour les itérations de la première boucle d’asservissement, la consigne présente puis les consignes anticipées du dernier vecteur de consignes correctement transmis. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle la consigne primaire est produite par un deuxième module de traitement central intégré dans l’unité centrale et qui est agencé pour mettre en œuvre une troisième boucle d’asservissement plus lente que la première boucle d’asservissement. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle les consignes anticipées sont obtenues par mise en œuvre d’une commande prédictive. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle la consigne primaire est une consigne constante. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle, lorsque la liaison de communication est défaillante, le premier module de traitement central continue à mettre en œuvre la première boucle d’asservissement, de sorte que l’unité centrale peut estimer et surveiller la consigne secondaire alternative produite par le premier module de traitement abonné. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle chaque unité abonnée appartient à un dispositif d’actionnement électromécanique qui comprend, outre l’unité abonnée, un moteur électrique qui est l’organe pilotable, un organe mécanique entraîné par le moteur électrique, un onduleur et un générateur agencé pour produire des signaux de pilotage de l’onduleur. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle la première boucle d’asservissement est une boucle d’asservissement en vitesse d’un rotor du moteur électrique et la deuxième boucle d’asservissement est une boucle d’asservissement en courant. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle la troisième boucle d’asservissement est une boucle d’asservissement en position de l’organe mécanique. On propose de plus une architecture distribuée telle que précédemment décrite, dans laquelle l’organe pilotable est une alimentation à découpage. L’invention sera mieux comprise à la lumière de la description qui suit d’un mode de mise en œuvre particulier non limitatif de l’invention. Il sera fait référence aux dessins annexés, parmi lesquels : la figure 1 représente une architecture distribuée de l’art antérieur ; la figure 2 est une figure similaire à la figure 1, avec deux actionneurs électromécaniques ; la figure 3 représente une architecture distribuée selon l’invention, le système embarqué étant un système d’actionnement électrique ; la figure 4 est une représentation générique de l’architecture distribuée selon l’invention. DESCRIPTION DETAILLEE DE L’INVENTION L’architecture distribuée de système embarqué selon l’invention, représentée sur la figure 3, est une architecture d’un système d’actionnement électrique embarqué dans un aéronef. Plus précisément, le système d’actionnement électrique est un système d’inverseurs de poussée électriques. Bien sûr, cette application n’est aucunement limitative. Le système comprend une unité centrale, qui est un calculateur central 19, et des unités abonnées 20. Chaque unité abonnée 20 est intégrée dans un actionneur électromécanique 21. Un seul actionneur électromécanique 21 est représenté sur la figure 3, mais le calculateur central 19 est en réalité connecté à plusieurs actionneurs électromécaniques 21. Le calculateur central 19 est relié à un réseau alternatif triphasé haute tension 22. Le calculateur central 19 est aussi relié à une source de tension d’alimentation basse tension 23 (28VDC par exemple). Le calculateur central 19 est par ailleurs connecté à un calculateur 24 (pour Full Authority Digital Engine Control ) via un bus 25 de type µAFDX ou ARINC 429. Le calculateur 24 est alimenté par une source de tension d’alimentation basse tension 26 (28VDC). Le calculateur central 19 comporte un premier module de traitement central 28, un deuxième module de traitement central 29 et un module de communication central 30. Chaque actionneur électromécanique 21 comprend, outre l’unité abonnée 20, un organe pilotable, un organe mécanique et des capteurs 32. L’organe pilotable est ici moteur électrique triphasé 34. L’organe mécanique, par exemple une tige coulissante, est entraîné par le moteur électrique 34 (via un dispositif mécanique par exemple de type vis-écrou) et effectue un déplacement (en l’occurrence un coulissement) sous l’effet de cet entraînement. Les capteurs 32 comprennent un capteur de vitesse et un capteur de position du rotor du moteur électrique 34 (qui peuvent éventuellement utiliser la même partie sensible), des capteurs de courant qui mesurent les courants d’alimentation sur les phases du moteur électrique 34, ainsi qu’un capteur de position de l’organe mécanique. L’unité abonnée 20 comprend une ou des cartes électroniques sur lesquelles sont montés des composants électroniques. L’unité abonnée 20 est connectée au moteur électrique 34 et aux capteurs 32. L’unité abonnée 20 comporte tout d’abord un onduleur 35. La fonction de l’onduleur 35 est de produire des courants d’alimentation qui sont transmis aux phases du moteur électrique 34. L’unité abonnée 20 comporte de plus un microcontrôleur dans lequel sont programmés un premier module de traitement abonné 37, un deuxième module de traitement abonné 38, un générateur 39 et un module de communication abonné 40. L’unité abonnée 20 comporte aussi une mémoire. Le générateur 39 produit des signaux de pilotage de l’onduleur 35. Le générateur est en l’occurrence un générateur PWM. Les trois phases du moteur électrique 34 sont connectées aux sorties de l’onduleur 35. On note que certains des capteurs 32, par exemple les capteurs de courant, peuvent être intégrés dans l’unité abonnée 20. On note aussi que le capteur de position et le capteur de vitesse pourraient être remplacés par un observateur de position et de vitesse du rotor du moteur électrique 34, implémenté dans l’unité abonnée 20. Le calculateur central 19 est relié à tous les actionneurs électromécaniques 21 par un réseau HVDC 41, un même bus de communication 42 et un même câble d’alimentation 43 (qui comprennent des dérivations pour être reliés individuellement à chaque actionneur électromécanique 21). L’onduleur 35 de l’unité abonnée 20 de chaque actionneur électromécanique 21 est alimenté par une haute tension continue qui est appliquée sur le réseau HVDC 41 par le calculateur central 19. Les composants électroniques de l’unité abonnée 20 (autres que ceux de l’onduleur 35) ainsi que les capteurs 32 sont alimentés par une tension continue de basse tension (15V par exemple) qui est appliquée sur le câble d’alimentation 43 par le calculateur central 19. Tous les actionneurs électromécaniques 21 sont connectés au calculateur central 19 via une liaison de communication mise en œuvre sur le bus de communication 42. Trois boucles d’asservissement sont mises en œuvre pour piloter le moteur électrique 34 de chaque actionneur électromécanique 21 : une première boucle d’asservissement, qui est une boucle d’asservissement en vitesse (vitesse angulaire du rotor du moteur électrique 34), une deuxième boucle d’asservissement, qui est une boucle d’asservissement en courant (« consommé » par les phases du moteur électrique 34), et une troisième boucle d’asservissement, qui est une boucle d’asservissement en position (de l’organe mécanique). La boucle d’asservissement en courant est plus rapide que la boucle d’asservissement en vitesse, c’est-à-dire que ses itérations sont cadencées à une fréquence plus élevée. La boucle d’asservissement en position est plus lente que la boucle d’asservissement en vitesse. Trois régulations sont donc réalisées, de la plus lente à la plus rapide : une régulation en position, une régulation en vitesse et une régulation en courant. Le premier module de traitement central 28 du calculateur central 19 met en œuvre la boucle d’asservissement en vitesse. Le premier module de traitement abonné 37 de l’unité abonnée 20 est un module miroir du premier module de traitement central 28, c’est-à-dire qu’il produit une même sortie en réponse à une même entrée. Le premier module de traitement abonné 37 met donc lui aussi en œuvre la boucle d’asservissement en vitesse. Le deuxième module de traitement abonné 38 de l’unité abonnée 20 met en œuvre la boucle d’asservissement en courant. Le deuxième module de traitement central 29 du calculateur central 19 met en œuvre la boucle d’asservissement en position. La boucle de commande en position, c’est-à-dire la troisième boucle d’asservissement, élabore une consigne de vitesse (sortie du correcteur de position traitant l'erreur de position) souhaitée pour le rotor du moteur, liée à une position de consigne de l'organe mécanique actionné par le moteur électrique. Cette consigne de vitesse entre dans la boucle de commande en vitesse, c’est-à-dire la première boucle d’asservissement, qui élabore une consigne en courant (sortie du correcteur de vitesse traitant l'erreur de vitesse) pour le moteur électrique. Cette consigne de courant entre dans la boucle de commande en courant, c’est-à-dire la première boucle d’asservissement, pour élaborer une consigne de tension appliquée au générateur PWM. On décrit tout d’abord la régulation du pilotage du moteur électrique 34 lorsque la liaison de communication fonctionne normalement. Le calculateur 24 transmet au calculateur central 19 une consigne d’entrée pour chaque actionneur électromécanique 21, qui est ici une consigne en position. On note que la consigne d’entrée peut être la même pour tous les actionneurs électromécaniques 21, ou bien peut être différente selon les actionneurs électromécaniques 21. La consigne en position associée à un actionneur électromécanique 21 n’est ici pas constante, et doit être modifiée en fonction du positionnement de l’organe mécanique dudit actionneur électromécanique 21. Le deuxième module de traitement central 29 acquiert la consigne d’entrée et produit une consigne primaire, qui est donc une consigne de vitesse. La consigne primaire comporte un vecteur de consignes comprenant une consigne présente et des consignes anticipées associées à un horizon temporel de durée prédéfinie. Le deuxième module de traitement central 29 met ici en œuvre un correcteur et un prédicteur (observateur ou estimateur) pour définir le vecteur de consignes. La consigne présente est destinée à être utilisée pour une itération de boucle présente, et les consignes anticipées pour des itérations successives futures au cours de la durée prédéfinie de l’horizon temporel. Ici, le deuxième module de traitement central 29 met en œuvre une commande prédictive (ou MPC, pour Model Predictive Control ). Le vecteur de consignes est régulièrement remis à jour. Les consignes anticipées sont associées à un horizon temporel glissant de durée prédéfinie. Le deuxième module de traitement central 29 du calculateur central 19 produit donc la consigne primaire (comprenant le vecteur de consignes), et la transmet au premier module de traitement central 28 du calculateur central 19 (ainsi qu’au module de communication central 30). Le premier module de traitement central 28 utilise uniquement la première valeur du vecteur de consignes, c’est-à-dire la consigne présente, et met en œuvre la boucle d’asservissement en vitesse pour produire une consigne secondaire nominale (en courant). Le module de communication central 30 transmet au module de communication abonné 40 de l’unité abonnée 20 de l’actionneur électromécanique 21, via le bus de communication 42, la consigne secondaire nominale ainsi que la consigne primaire. Le premier module de traitement abonné 37 est inactif dans ce mode de fonctionnement normal. Le deuxième module de traitement abonné 38 acquiert la consigne secondaire nominale et met en œuvre la boucle d’asservissement en courant pour produire une commande pour piloter le moteur électrique 34. La commande est transmise au générateur PWM 39 qui la transforme en signaux de pilotage de l’onduleur 35. L’onduleur produit les courants d’alimentation pour les phases du moteur électrique 34. On note que, dans ce mode de fonctionnement normal (sans défaillance de la liaison de communication), l’ensemble du vecteur de consignes de la consigne primaire est fourni à l’unité abonnée 20 de l’actionneur électromécanique 21 à chaque mise à jour du correcteur/prédicteur du deuxième module de traitement central 29. Les valeurs de consigne et, en particuliers, les consignes anticipées, sont stockées dans la mémoire de l’unité abonnée 20 de l’actionneur électromécanique 21 sans être utilisées, en prévision d’une défaillance de la liaison de communication. La mise en œuvre de ces boucles d’asservissement utilise bien sûr les mesures réalisées par les capteurs 32 : en particulier, le module de communication abonné 40 transmet au module de communication central 30 les mesures de position et de vitesse via la liaison de communication. Le module de communication abonné 40 transmet aussi au module de communication central 30 des données de surveillance produites par l’unité abonnée 20. Le calculateur central 19 héberge les boucles lentes de régulation de vitesse et de position. Il transmet donc uniquement la consigne secondaire nominale (en courant) et la consigne primaire (de vitesse) à l’unité abonnée 20 via la liaison de communication en fonctionnement normal. Les besoins de débit pour assurer ces transmissions de données sont environ dix fois plus faibles que dans le système de l’art antérieur (figures 1 et 2), ce qui réduit du même facteur les vitesses de transmission nécessaires ainsi que les ressources de calcul pour embarquer les algorithmes de codage et de décodage de la liaison de communication, qui sont mis en œuvre dans le module de communication abonné 40 de l’unité abonnée 20 de l’actionneur électromécanique 21. On note par ailleurs que la régulation de courant mise en œuvre dans le deuxième module de traitement abonné 38 est exprimée dans le domaine de Park à travers des transformées vectorielles. La génération PWM est réalisée par une méthode dite « intersective » et l’observateur est réalisé par des modes glissants supérieurs, ce qui permet de limiter significativement les besoins de ressources de calcul. Ainsi, le microcontrôleur de l’unité abonnée 20, dans lequel sont programmés le premier module de traitement abonné 37, le deuxième module de traitement abonné 38, le générateur PWM 39 et le module de communication abonné 40, peut être un microcontrôleur à faible coût (inférieur à cinq dollars). Il n’est pas nécessaire de prévoir un microcontrôleur très performant, ni un FPGA dont le coût serait nettement plus élevé. On décrit maintenant la régulation du pilotage du moteur électrique 34 lorsque la liaison de communication est défaillante. La défaillance peut résulter de diverses perturbations : perturbations électromagnétiques sur le bus de communication 42, foudre, rupture d’un câble, panne du calculateur central 19, problème d’alimentation du calculateur central 19, etc. Une défaillance peut soit conduire à une interruption totale de la liaison de communication, soit affecter l’intégrité des données sans interrompre totalement la liaison de communication. Ce second type de défaillance est détecté à la fois par le calculateur central 19 et par l’unité abonnée 20, grâce à des mécanismes de vérification de l’intégrité des données échangées sur le bus de communication 42 : CRC (pour « contrôle de redondance cyclique »), checksum (ou « somme de contrôle »), etc. En cas de perturbation affectant l’intégrité des données transmises sur la liaison de communication, une gestion assurant la transparence du contrôle du moteur électrique 34 est assuré par une semi-autonomie des unités abonnées 20 et une gestion duale du bus de communication 42. Le premier module de traitement abonné 37 de l’actionneur électromécanique 21 prend le relais du premier module de traitement central 28 du calculateur central 19 (dont il est le miroir) pour continuer à piloter le moteur électrique 34 sur la base des dernières consignes intègres envoyées par le calculateur central 19. Lorsque la liaison de communication est défaillante sans être totalement interrompue, la liaison de communication bascule dans un mode de robustesse maximale. La transmission est limitée à un nombre minimum de données de façon à garantir l’intégrité des données et le synchronisme des boucles. Les données échangées se limitent à la consigne primaire dans le sens descendant (vers l’unité abonnée 20) et aux mesures de vitesse dans le sens montant (vers le calculateur central 19). Lorsque la liaison de communication est perturbée/défaillante, seule la valeur de consigne présente (et non un vecteur de consignes complet) est envoyée par le deuxième module de traitement central 29 (boucle position) au premier module de traitement abonné 37 (boucle vitesse). Le premier module de traitement abonné 37 met en œuvre la première boucle d’asservissement pour produire une consigne secondaire alternative (consigne de courant). Le deuxième module de traitement abonné 38 acquiert la consigne secondaire alternative et met en œuvre la deuxième boucle d’asservissement (en courant) pour produire une commande pour piloter le moteur électrique 34. La commande est transmise au générateur PWM 39 qui la transforme en signaux de pilotage de l’onduleur 35. L’onduleur 35 produit les courants d’alimentation pour les phases du moteur électrique 34. L’unité abonnée 20 de l’actionneur électromécanique 21 fonctionne donc en « semi-autonomie » : elle a besoin d’un nombre limité de données pour fonctionner (les consignes de vitesse), qui sont transmises avec un débit peu élevé. Dans le cas où la liaison de communication est totalement interrompue, le module de communication abonné 40 de l’unité abonnée 20 de l’actionneur électromécanique 21 ne reçoit plus de données descendantes et donc ne reçoit plus la consigne primaire (ni bien sûr la consigne secondaire nominale). Dans ce cas, le premier module de traitement abonné 37 utilise, à chaque itération de la première boucle d’asservissement au cours de la durée prédéfinie de l’horizon temporel, les consignes anticipées du dernier vecteur de consignes correctement transmis. L’horizon temporel est cette fois avec un horizon fixe, c’est à dire sans mise à jour possible du vecteur de consignes. Le premier module de traitement abonné 37 met en œuvre la première boucle d’asservissement (en vitesse) pour produire la consigne secondaire alternative (consigne de courant), et transmet la consigne secondaire alternative au deuxième module de traitement abonné 38. Le deuxième module de traitement abonné 38 acquiert la consigne secondaire alternative et met en œuvre la deuxième boucle d’asservissement (en courant) pour produire la commande pour piloter le moteur électrique 34. La commande est transmise au générateur PWM 39 qui la transforme en signaux de pilotage de l’onduleur 35. L’unité abonnée 20 de l’actionneur électromécanique 21 fonctionne cette fois en « autonomie », sans recevoir de données du calculateur central 19. Dans ces deux modes de fonctionnement dégradés, dans lesquels le moteur électrique 34 est piloté en vitesse via le premier module de traitement abonné 37, le premier module de traitement central 28 du calculateur central 19 continue à mettre en œuvre la première boucle d’asservissement. Ainsi, grâce à l’effet miroir sur le correcteur de vitesse, le deuxième module de traitement central 29 du calculateur central 19 peut surveiller l’écart entre la consigne secondaire alternative et la consigne secondaire nominale, et peut donc à tout instant estimer la trajectoire de la grandeur asservie par les boucles de régulation de l’unité abonnée 20 de l’actionneur électromécanique 21. Le calculateur central 19 peut donc comparer cette trajectoire avec la trajectoire nominale (ou modifiée en cas de perturbations ou de pannes). Le calculateur central 19 peut ainsi évaluer si la trajectoire ne dérive pas de façon anormale. Le calculateur central 19 peut aussi reprendre le pilotage au rétablissement de la liaison de communication sans générer de discontinuité non souhaitable sur la réponse globale du système. Alternativement, cette surveillance peut être réalisée par un module de surveillance indépendant, intégré dans le calculateur central 19. L’architecture COM-MON (pour Command-Monitor ) est donc conservée en cas de gestion semi-autonome de l’unité abonnée 20, et en cas de gestion autonome, en comparant l’écart entre le dernier vecteur de consignes transmis et celui mis à jour par le premier module de traitement central 28. Le calculateur central 19 surveille le fonctionnement de l’actionneur électromécanique 21 de la manière suivante. Le premier module de traitement central 28 met à jour son vecteur de consignes en horizon glissant et compare chaque première valeur du vecteur à celle lue par le premier module de traitement abonné miroir 37 à chaque itération de la première boucle d’asservissement. En cas d’écart non acceptable, le calculateur central 19 sera en mesure de d’agir soit en coupant l’alimentation de l’actionneur électromécanique 21, soit en émettant un discret pour arrêter l’asservissement. Dans l’application qui vient d’être décrite, la consigne primaire (de vitesse) varie en fonction du positionnement de l’organe mécanique. Cependant, dans d’autres applications, la consigne primaire peut parfaitement être une consigne constante : application de type ventilation, compresseur, etc. L’invention présente des gains en matière de performance, de sécurité et de disponibilité, et de coût. Les gains en matière de performance sont les suivants. La bande passante des boucles de régulation n’est plus limitée par le débit du bus de communication. Le système est désormais tolérant aux interruptions résultant de perturbations. La transparence aux perturbations CEM permet de tenir des niveaux CEM plus élevés et/ou de favoriser des bus de communication plus rapides. Il est de plus possible de mettre en œuvre des liaisons de communication plus simples en limitant les protections contre lesdites perturbations (filtrage, etc.). Ainsi, il est par exemple possible de s’affranchir, dans le cas d’un bus Ethernet, des transceivers PHY et des transformateurs d’isolement, ou bien de remplacer le bus Ethernet par une liaison RS-485 moins couteuse. Il est possible d’augmenter significativement le débit du bus de communication en l’absence de perturbation du fait de la gestion duale du bus de communication qui vient d’être décrite. Ainsi, il est possible d’implémenter des fonctions additionnelles dans les unités abonnées, par exemple des fonctions de health monitoring (que l’on traduit généralement par « maintenance prédictive »). Ces fonctions additionnelles peuvent transférer un nombre important de mesures sans qu’il soit nécessaire d’ajouter d’espace de stockage mémoire, en tirant profit de l’augmentation du débit pour remonter des mesures réalisées par l’actionneur électromécanique dans le cadre de ces fonctions additionnelles. De même, comme les boucles d’asservissement rapides sont sorties du calculateur central, celui-ci peut lui-aussi réaliser des fonctions additionnelles et, en particulier, embarquer des algorithmes en temps réel de plus haut niveau, ou bien des fonctions de health monitoring . Il est aussi possible de décharger le bus de communication en plaçant volontairement une ou des unités abonnées dans un mode autonome de contrôle si les conditions le permettent. Par exemple, si une unité abonnée ne nécessite pas de contrôle régulier ou de surveillance régulière, le calculateur central peut très bien lui transmettre un vecteur de consignes pour le rendre autonome pendant une durée prédéfinie pour ne pas surcharger le bus de communication. Il est d’ailleurs envisageable de réaliser du « surbooking », c’est-à-dire de surcharger le bus de communication en connectant audit bus de communication un grand nombre d’unités abonnées et en prévoyant que certaines unités abonnées seront mises en autonomie et libèreront du débit de données pour d’autres unités abonnées. Il est possible d’augmenter, sans contraindre le bus de communication, les bandes passantes et/ou les échantillonnages des traitements numériques réalisés dans les unités abonnées et ce, de façon hétérogène entre les unités abonnées. Il est possible de mettre en œuvre une architecture COM-MON sans ajouter de composant numérique supplémentaire. Les gains en matière de sécurité et de disponibilité sont les suivants. L’architecture est tolérante et transparente à la perte transitoire ou indéterminée du bus de communication, ce qui améliore nettement la sécurité et la disponibilité de la commande. De plus, le principe du correcteur miroir permet de bénéficier d’une solution COM-MON intrinsèque dans le mode semi-autonome et autonome. Par ailleurs, une panne ou un reset du calculateur central est transparente pour l’unité abonnée, ce qui engendre aussi un gain de disponibilité important. Les gains en matière de coût sont les suivants. Il est possible de remplacer le bus Ethernet par un bus de communication moins gourmand en composants électroniques et en ressources de calcul numérique – et donc moins coûteux. Comme les boucles d’asservissement rapides sont sorties du calculateur central, il est possible de réduire son cœur numérique à un seul FPGA ou processeur. De plus, comme on l’a vu plus tôt, on peut remplacer le FPGA de l’unité abonnée par un microcontrôleur peu coûteux. Il est aussi possible de mettre en œuvre des fonctions additionnelles, de health monitoring par exemple, avec un impact négligeable sur le taux d’occupation de la bande passante du bus de communication et sur le coût de celui-ci. Bien entendu, l’invention n’est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l’invention telle que définie par les revendications. L’architecture selon l’invention a été décrite ici dans une application de système d’actionnement électrique embarqué dans un aéronef, plus précisément de système d’inverseurs de poussée électriques. Cette application n’est bien sûr pas limitative. Le système d’actionnement électrique pourrait être un système d’actionnement électrique différent (par exemple, un système de freinage électrique). Plus généralement, l’invention s’applique à tout système embarqué semblable à celui de la figure 4, qui comprend une unité centrale 50 et au moins une unité abonnée 51 connectée à l’unité centrale 50 via une liaison de communication sur un canal de communication 52. L’unité centrale 50 comprend un premier module de traitement central 53 qui met en œuvre une première boucle d’asservissement (lente), ainsi qu’un module de communication central 54. L’unité abonnée 51 comprend un module de communication abonné 55, un premier module de traitement abonné 56, miroir du premier module de traitement central 53, qui met en œuvre la première boucle d’asservissement, et un deuxième module de traitement abonné 57, qui met en œuvre la deuxième boucle d’asservissement (rapide). L’unité abonnée est reliée à un organe pilotable 58 (électrique ou électromécanique). Le système embarqué peut donc être tout système électrique ou électromécanique asservi. Dans le cas où le système embarqué est un système « purement » électrique, l’organe pilotable est par exemple une alimentation à découpage. Dans le cas où le système est un système d’actionnement électromécanique, chaque unité abonné n’est pas nécessairement intégrée dans un actionneur électromécanique. L’unité abonnée appartient plus généralement à un dispositif d’actionnement électromécanique qui comprend, outre l’unité abonnée, un moteur électrique qui est l’organe pilotable, un organe mécanique entraîné par le moteur électrique, un onduleur, et un générateur agencé pour produire des signaux de pilotage de l’onduleur. Ces différents éléments ne sont pas nécessairement intégrés dans un même corps (comme c’est le cas pour un actionneur). L’onduleur et le générateur n’appartiennent pas forcément à l’unité abonnée, qui peut parfaitement être positionnée à distance de l’onduleur, du générateur, du moteur électrique et de l’organe mécanique. Le canal de communication, sur lequel est mise en œuvre la liaison de communication, n’est pas nécessairement un canal filaire, mais pourrait être un canal sans-fil (par exemple radioélectrique ou optique). On a mis en œuvre ici une commande prédictive dans le deuxième module de traitement central de l’unité centrale. D’autres techniques de correcteur/prédicteur plus simples pourraient être utilisées, selon la nature des contraintes à prendre en compte. Des contraintes fixes peuvent être implémentées, par exemple des vitesses maximales, des couples maximums, des limitations, etc. Le premier module de traitement central, le deuxième module de traitement central et le module de communication central de l’unité centrale peuvent parfaitement être implémentés dans un même composant électronique ou bien dans différents composants électroniques. Le ou les composants électroniques comprennent par exemple un processeur, un microcontrôleur, ou bien un circuit logique programmable tel qu’un FPGA (pour Field Programmable Gate Arrays ) ou un ASIC (pour Application Specific Integrated Circuit ). De même, le premier module de traitement abonné, le deuxième module de traitement abonné, le module de communication abonné (et le générateur des signaux de pilotage) de l’unité abonnée ne sont pas nécessairement implémentés dans un même microcontrôleur, et peuvent être implémentés dans un ou plusieurs composants électroniques. A nouveau, le ou les composants électroniques comprennent par exemple un processeur, un microcontrôleur, ou bien un circuit logique programmable tel qu’un FPGA ou un ASIC. Architecture distribuée de système embarqué, comprenant une unité centrale (19 ; 50) et au moins une unité abonnée (20 ; 51) reliée à un organe pilotable (34 ; 58) et connectée à l’unité centrale via une liaison de communication, l’unité centrale (19 ; 50) comprenant : - un premier module de traitement central (28 ; 53) agencé pour acquérir une consigne primaire et pour mettre en œuvre une première boucle d’asservissement adaptée à produire une consigne secondaire nominale ; - un module de communication central (30 ; 54) agencé pour transmettre à l’unité abonnée, via la liaison de communication, la consigne primaire et la consigne secondaire nominale ; l’unité abonnée (20 ; 51) comprenant : - un module de communication abonné (40 ; 55) agencé pour recevoir la consigne primaire et la consigne secondaire nominale ; - un premier module de traitement abonné (37 ; 56), miroir du premier module de traitement central (28 ; 53) et agencé pour, lorsque la liaison de communication est défaillante, utiliser la consigne primaire pour mettre en œuvre la première boucle d’asservissement de manière à produire une consigne secondaire alternative ; - un deuxième module de traitement abonné (38 ; 57) agencé pour acquérir la consigne secondaire nominale lorsque la liaison de communication fonctionne normalement, ou bien la consigne secondaire alternative lorsque la liaison de communication est défaillante, et pour mettre en œuvre une deuxième boucle d’asservissement plus rapide que la première boucle d’asservissement et adaptée à produire une commande pour piloter l’organe pilotable. Architecture distribuée selon la revendication 1, dans laquelle, lorsque la liaison de communication est défaillante sans être totalement interrompue, le module de communication central (30) transmet uniquement la consigne primaire à l’unité abonnée (20). Architecture distribuée selon l’une des revendications précédentes, dans laquelle la consigne primaire comporte un vecteur de consignes comprenant une consigne présente et des consignes anticipées pour des itérations de la première boucle d’asservissement dans un horizon temporel de durée prédéfinie. Architecture distribuée selon la revendication 3, dans laquelle, lorsque la liaison de communication est défaillante sans être totalement interrompue, le premier module de traitement abonné (37 ; 56) de l’unité abonnée (20 ; 51) utilise, pour chaque itération de la première boucle d’asservissement, la consigne présente du vecteur de consignes qui vient d’être transmis. Architecture distribuée selon l’une des revendications 3 à 4, dans laquelle, lorsque la liaison de communication est défaillante et totalement interrompue, le premier module de traitement abonné (37 ; 56) de l’unité abonnée (20 ; 51) utilise, pour les itérations de la première boucle d’asservissement, la consigne présente puis les consignes anticipées du dernier vecteur de consignes correctement transmis. Architecture distribuée selon l’une des revendications précédentes, dans laquelle la consigne primaire est produite par un deuxième module de traitement central (29) intégré dans l’unité centrale (19) et qui est agencé pour mettre en œuvre une troisième boucle d’asservissement plus lente que la première boucle d’asservissement. Architecture distribuée selon l’une des revendications 3 à 6, dans laquelle les consignes anticipées sont obtenues par mise en œuvre d’une commande prédictive. Architecture distribuée selon l’une des revendications 1 à 7, dans laquelle la consigne primaire est une consigne constante. Architecture distribuée selon l’une des revendications précédentes, dans laquelle, lorsque la liaison de communication est défaillante, le premier module de traitement central (28 ; 53) continue à mettre en œuvre la première boucle d’asservissement, de sorte que l’unité centrale peut estimer et surveiller la consigne secondaire alternative produite par le premier module de traitement abonné (37 ; 56). Architecture distribuée selon l’une des revendications précédentes, dans laquelle chaque unité abonnée appartient à un dispositif d’actionnement électromécanique qui comprend, outre l’unité abonnée, un moteur électrique (34) qui est l’organe pilotable, un organe mécanique entraîné par le moteur électrique, un onduleur (35) et un générateur (39) agencé pour produire des signaux de pilotage de l’onduleur. Architecture distribuée selon la revendication 10, dans laquelle la première boucle d’asservissement est une boucle d’asservissement en vitesse d’un rotor du moteur électrique (34) et la deuxième boucle d’asservissement est une boucle d’asservissement en courant. Architecture distribuée selon la revendication 6 et la revendication 11, dans laquelle la troisième boucle d’asservissement est une boucle d’asservissement en position de l’organe mécanique. Architecture distribuée selon l’une des revendications 1 à 9, dans laquelle l’organe pilotable est une alimentation à découpage.