Architecture (10) de commande d’au moins un élément fonctionnel (3) d’un aéronef (1) pilotable entre une pluralité de configurations, l’architecture (10) comprenant : - au moins une interface homme-machine (12) comportant un afficheur (28) et une unité (30) de gestion d’affichage sur l’afficheur (28), l’unité de gestion d’affichage (30) étant configurée pour générer une commande principale en fonction d’une action d’un opérateur visant à passer l’au moins un élément fonctionnel (3) dans une configuration cible ; - au moins un module (16) de contrôle de l’au moins un élément fonctionnel (3) apte à piloter l’au moins un élément fonctionnel (3) entre ses configurations ; - au moins un module d’interfaçage (18) configuré pour transmettre la commande principale à l’au moins un module de contrôle (16) ; caractérisé en ce que l’architecture de commande (10) comprend, en outre, au moins un module (14) de confirmation de la commande principale, configuré pour générer une commande de sécurité associée à la commande principale, l’au moins un module d’interfaçage (18) étant configuré pour transmettre la commande de sécurité à l’au moins un module de contrôle (16), l’au moins un module de contrôle (16) passant l’au moins un élément fonctionnel (3) dans la configuration cible lorsque la commande principale correspond à une commande principale attendue de passage de l’au moins un élément fonctionnel (3) dans la configuration cible et lorsque la commande de sécurité correspond à une commande de sécurité attendue de passage de l’au moins un élément fonctionnel (3) dans la configuration cible. Architecture de commande (10) selon la revendication 1, dans lequel la commande principale comprend un multiplet principal, la commande principale attendue comprend un multiplet principal attendu, la commande de sécurité comprend un multiplet de sécurité et la commande de sécurité attendue comprend un multiplet de sécurité attendu, le multiplet principal et le multiplet principal attendu comprenant respectivement N bits, le multiplet de sécurité et le multiplet de sécurité attendu comprenant respectivement M bits, N et M étant des entiers supérieurs à 8, N et M étant par exemple égaux entre eux, notamment respectivement égaux à 16. Architecture de commande (10) selon la revendication 2, dans lequel : - au moins K bits sont distincts entre le multiplet principal attendu et le multiplet de sécurité attendu ; - au moins K bits sont distincts entre le multiplet principal attendu correspondant au passage de l’au moins un élément fonctionnel (3) dans la configuration cible et tout multiplet principal attendu correspondant à une commande alternative différant du passage de l’au moins un élément fonctionnel (3) dans la configuration cible ; - au moins K bits sont distincts entre le multiplet de sécurité attendu correspondant au passage de l’au moins un élément fonctionnel (3) dans la configuration cible et tout multiplet de sécurité attendu correspondant à une commande alternative différant du passage de l’au moins un élément fonctionnel (3) dans la configuration cible ; K étant un entier inférieur ou égal au minimum entre N et M, K étant notamment supérieur ou égal à 4. Architecture de commande (10) selon l’une quelconque des revendications précédentes, dans laquelle l’unité de gestion d’affichage (30) est configurée pour transmettre simultanément la commande principale à l’au moins un module d’interfaçage (18) et à l’au moins un module de confirmation (14), l’au moins un module d’interfaçage (18) étant configuré, sur réception de la commande principale, pour transmettre la commande principale à l’au moins un module de contrôle (16), l’au moins un module de confirmation (14) générant la commande de sécurité après une temporisation commençant lorsque l’au moins un module de confirmation (14) reçoit la commande principale. Architecture de commande (10) selon la revendication 4, dans lequel l’au moins un module de contrôle (16) est configuré pour recevoir successivement dans le temps une première commande et une deuxième commande, l’au moins un module de contrôle (16) comprenant : - un champs mémoire principal (34) configuré pour stocker la première commande ; - un champs mémoire de sécurité (36) configuré pour stocker la deuxième commande ; - une unité de vérification (40) générant une autorisation de passage de l’au moins un élément fonctionnel (3) dans la configuration cible lorsque simultanément la première commande stockée dans le champ mémoire principal (34) correspond à la commande principale attendue correspondant au passage de l’au moins un élément fonctionnel (3) dans la configuration cible et la deuxième commande stockée dans le champs mémoire de sécurité (36) correspond à la commande de sécurité attendue correspondant au passage de l’au moins un élément fonctionnel (3) dans la configuration cible, l’unité de vérification (40) étant configurée pour transmettre l’autorisation de passage à une unité de contrôle (42) ; et - l’unité de contrôle (42), passant l’au moins un élément fonctionnel (3) dans la configuration cible lorsqu’elle reçoit l’autorisation de passage de l’au moins un élément fonctionnel (3) dans la configuration cible. Architecture de commande (10) selon l’une quelconque des revendications précédentes, dans lequel l’au moins un module de confirmation (14) est configuré, sur réception de la commande principale, pour générer une demande de confirmation de la commande principale, l’unité de gestion d’affichage (30) étant apte à afficher la demande de confirmation sur l’afficheur (28) à destination de l’opérateur. Architecture de commande (10) selon la revendication 6, dans lequel la demande de confirmation comprend une chaîne de caractères associée à la commande principale. Architecture de commande (10) selon la revendication 6 ou 7, comprenant en outre au moins un dispositif de confirmation (20) indépendant de l’au moins une interface homme-machine (12) et propre à être actionné par l’opérateur pour confirmer la commande principale lorsque la demande de confirmation correspond à une demande de confirmation de passage de l’au moins un élément fonctionnel (3) dans la configuration cible, l’au moins un module de confirmation (14) générant la commande de sécurité lorsque l’au moins un dispositif de confirmation (20) est actionné pour confirmer la commande principale. Architecture de commande (10) selon la revendication 8, dans lequel l’au moins un dispositif de confirmation (20) est configuré pour générer une confirmation lorsqu’il est actionné pour confirmer la commande principale, la confirmation comprenant par exemple un unique bit de confirmation, l’architecture de commande (10) comprenant en outre au moins un module d’interfaçage auxiliaire (22) configuré pour transmettre la confirmation au module de confirmation (14). Architecture de commande (10) selon l’une quelconque des revendications précédentes, dans lequel l’au moins un module de contrôle (16) est configuré pour générer des informations représentatives d’une configuration courante de l’au moins un élément fonctionnel (3), l’unité de gestion d’affichage (30) étant apte à afficher lesdites informations sur l’afficheur (28) à destination de l’opérateur. Procédé de commande d’au moins un élément fonctionnel (3) d’un aéronef (1), pilotable entre une pluralité de configurations à l’aide d’une architecture de commande (10) selon l’une quelconque des revendications précédentes, le procédé comprenant : - la génération de la commande principale en fonction d’une action d’un opérateur visant à passer l’au moins un élément fonctionnel (3) dans la configuration cible ; - la transmission de la commande principale à l’au moins un module de contrôle (16) et à l’au moins un module de confirmation (14) ; - la génération par l’au moins un module de confirmation (14) de la commande de sécurité associée à la commande principale ; - la transmission de la commande de sécurité à l’au moins un module de contrôle (16) ; - le passage de l’au moins un élément fonctionnel (3) dans la configuration cible lorsque la commande principale correspond à la commande principale attendue de passage de l’au moins un élément fonctionnel (3) dans la configuration cible et lorsque la commande de sécurité correspond à la commande de sécurité attendue de passage de l’au moins un élément fonctionnel (3) dans la configuration cible. Procédé de commande selon la revendication 11, dans lequel l’unité de gestion d’affichage (30) transmet simultanément la commande principale à l’au moins un module d’interfaçage (18) et à l’au moins un module de confirmation (14), l’au moins un module d’interfaçage (18) transmettant la commande principale au module de contrôle (16) sur réception de la commande principale, l’au moins un module de confirmation (14) générant la commande de sécurité après une temporisation commençant lorsque l’au moins un module de confirmation (14) reçoit la commande principale. Procédé de commande selon la revendication 11 ou 12, dans lequel, sur réception de la commande principale, l’au moins un module de confirmation (14) génère une demande de confirmation de la commande principale, l’unité de gestion d’affichage (30) affichant la demande de confirmation sur l’afficheur (28) à destination de l’opérateur. Procédé de commande selon la revendication 13, dans lequel l’opérateur actionne au moins un dispositif de confirmation (20) indépendant de l’au moins une interface homme-machine (12) pour confirmer la commande principale lorsque la demande de confirmation correspond à une demande de confirmation de passage de l’au moins un élément fonctionnel (3) dans la configuration cible, l’au moins un module de confirmation (14) générant la commande de sécurité lorsque l’au moins un dispositif de confirmation (20) est actionné pour confirmer la commande principale.