BR102018076845A2

BR102018076845A2 - Método de reinicialização e sistema automático de controle de trens

Info

Publication number: BR102018076845A2
Application number: BR102018076845-0A
Authority: BR
Inventors: Javier Ballesteros; Mathieu Bresson
Original assignee: Alstom Transport Technologies
Priority date: 2017-12-22
Filing date: 2018-12-21
Publication date: 2019-07-09
Also published as: CN109955874B; CN109955874A; AU2018282271A1; FR3075742B1; FR3075742A1; US20190193766A1; SA118400295B1

Abstract

este método (100), implementado em um sistema de supervisão para trens do tipo gestão de trens com base em comunicação, inclui as etapas realizadas por um controlador de zona, consistindo em: durante a operação nominal (f1), salvar periodicamente (110, 130) uma imagem de uma situação operacional atual em uma memória externa; e, após um período de inatividade (f2) e reinicialização (300) do controlador de zona: estabelecer (320) uma imagem da situação operacional após a reinicialização; recuperar (340), a partir da memória externa, a imagem salva mais recente como imagem da situação operacional antes da falha; coletar (340) informação sobre o cruzamento das bordas da zona associada com o controlador de zona durante o período de tempo de inatividade; e verificar (350) a coerência da imagem da situação operacional após a reinicialização da imagem da situação operacional antes da falha e cruzamento de informações.

Description

“MÉTODO DE REINICIALIZAÇÃO E SISTEMA AUTOMÁTICO DE CONTROLE DE TRENS” [001] A presente invenção refere-se a um método de reinicialização de um controlador de zona em um sistema automático de controle de trem.

[002] Tal sistema é conhecido sob o nome ATC de “Controle Automático de Trem”.

[003] De uma maneira conhecida, um ATC inclui diferentes sistemas que cooperam entre si para permitir que os trens viajem com segurança em uma rede ferroviária.

[004] Diferentes ATCs existem. No entanto, a presente invenção refere-se mais especificamente a um ATC do tipo “controle de trens baseado em comunicação” (CBTC).

[005] Um exemplo de uma arquitetura CBTC é mostrado esquematicamente na Figura 1.

[006] A arquitetura do CBTC é baseada na presença de computadores de segurança (26) a bordo dos trens (16). Eles compõem o componente de bordo do ATC.

[007] O computador de bordo de um trem determina um certo número de parâmetros de operação do trem e se comunica com vários sistemas no solo para permitir que o trem execute sua missão atribuída com segurança. Este computador de bordo, por um lado, cobre as necessidades funcionais do trem, ou seja, o serviço de estações predeterminadas para troca de passageiros e, por outro lado, controla pontos de segurança, por exemplo, verificação de que o trem não está viajando a uma velocidade excessiva. O computador de bordo (26) de um trem (16) está conectado a uma unidade de radiocomunicação a bordo (27), capaz de estabelecer uma ligação de rádio com estações de base (37) de uma infraestrutura de comunicação, que por sua

Petição 870180166378, de 21/12/2018, pág. 10/36

2/19 vez está conectada a uma rede de comunicação (30) da arquitetura CBTC.

[008] O componente em solo da arquitetura CBTC compreende vários controladores de zona (ZC).

[009] A rede sendo subdividida em uma pluralidade de zonas, um ZC está associado a cada uma das referidas zonas. Na Figura 1, três zonas sucessivas são mostradas: (Sn-1), (Sn) e (Sn+1). Um controlador de zona está associado a cada um deles: ZCn-1, ZCn e ZCn+1.

[0010] O ZC é, em particular, responsável, por um lado, por monitorar a presença dos trens na zona associada e, por outro lado, por fornecer autorizações de movimento aos trens que são de natureza a garantir sua movimentação segura, ou seja, por exemplo, não fornece ao trem uma autorização de movimento que o fizesse passar pelo trem que o precedia.

[0011] A arquitetura ATC é parte de um sistema global, chamado sistema de sinalização (50) na Figura 1, que também é capaz de comandar uma pluralidade de equipamentos na pista.

[0012] O sistema de sinalização (50) inclui um sistema de supervisão automática de trens (ATS). O ATS é implementado em uma unidade operacional e compreende interfaces homem/ máquina, permitindo que os operadores intervenham nos vários sistemas do sistema de sinalização e, em particular, no equipamento de via. Por exemplo, o operador pode controlar remotamente o fechamento do sinal (transformando uma luz vermelha) no ATS.

[0013] O sistema de sinalização também inclui uma pluralidade de sistemas de intertravamento. Um sistema de intertravamento é, por exemplo, associado a cada uma das zonas da rede. Um sistema de intertravamento é capaz de gerenciar o equipamento de via, tais como luzes de sinalização, acionadores de comutação, etc., este equipamento de via que permite que os trens se movam com segurança, evitando movimentos conflitantes entre eles.

Petição 870180166378, de 21/12/2018, pág. 11/36

3/19

Uma vez baseados em relés eletromecânicos, hoje o sistema de intertravamento é computadorizado por computadores adequados capazes de comandar o equipamento de via. Tal computador de intertravamento é chamado CBI de “Intertravamento a base de computador”. Na Figura 1, um computador de intertravamento é associado a cada uma das zonas: CBIn-1, CBIn e CBIn+1.

[0014] Vantajosamente, cada zona é subdividida em uma pluralidade de porções. Na Figura 1, são mostradas três porções sucessivas 14A, 14B e 14C.

[0015] A ocupação de uma porção de uma zona é uma informação peça-chave para a segurança ferroviária. A determinação dessa informação será agora descrita.

[0016] Um ZC recebe informações, por um lado, de um sistema de detecção primário e, por outro lado, de um sistema de detecção secundário.

[0017] O sistema de detecção primário permite determinar a(s) porção(ões) ocupada(s) por um trem com base na posição instantânea do trem determinada pelo próprio trem. Mais especificamente, o ZCn recebe a posição instantânea do trem (16) que circula sobre a zona (Sn). Esta posição é determinada pelo computador de bordo (26) de um trem a partir da detecção de sinalizadores (24 A-C) colocados ao longo da via e cujas posições geográficas são conhecidas, e a partir de meios de odometria equipa o trem e permite ao computador de bordo (26) determinar o distância percorrida pelo trem (16) desde o último sinalizador cruzado. Em outra forma de realização, o trem utiliza outros meios para determinar a sua posição instantânea: por exemplo, um acelerômetro (em vez do odômetro) ou um GPS (em vez dos sinalizadores).

[0018] A partir da posição instantânea de um trem (16), o ZCn calcula um envelope de segurança ao redor do trem. Este envelope cobre não

Petição 870180166378, de 21/12/2018, pág. 12/36

4/19 apenas o trem, mas também a porção da via correspondente à distância máxima que o trem poderia cobrir entre o momento em que calcula sua posição e o momento em que o ZCn recebe essa informação de posição.

[0019] Além disso, enquanto nenhuma outra informação de posição for recebida pelo ZCn, este último continua a extrapolar a posição do trem para cobrir seus possíveis movimentos.

[0020] A discriminação de um trem é então a capacidade de um ZC calcular tal um envelope para um trem que circula pela zona associada.

[0021] O conceito de discriminação dos trens é, por exemplo, divulgado no pedido de patente FR 3,019,676.

[0022] A partir desse envelope de segurança e de um mapa geográfico da rede, no qual cada porção é identificada de maneira exclusiva, o ZCn coloca as porções que têm uma interseção com o envelope de segurança em um primeiro estado (E1), assumindo o valor “ocupado”. O primeiro estado (E1) das porções em que nenhum trem está localizado no momento atual, isto é, as porções que não têm interseções com um envelope de segurança, assume o valor “livre”. Um primeiro estado (E1) das diferentes porções é assim definido.

[0023] Deste modo, uma primeira informação de ocupação para cada porção da seção (Sn) é determinada pelo ZCn.

[0024] O sistema de detecção secundário é capaz de fazer o backup do sistema de detecção primário, por exemplo, no caso em que a unidade de radiocomunicação (27) de um trem (16) não funciona mais, o ZCn não pode mais obter a posição instantânea do trem. Utilizando equipamento de via adequado, posicionado ao longo da via, o sistema de detecção secundário é capaz de detectar a presença de um trem em uma determinada porção da seção considerada.

[0025] Em uma forma de realização atualmente preferida, a fim de

Petição 870180166378, de 21/12/2018, pág. 13/36

5/19 detectar a presença de um trem em uma porção, o sistema de detecção secundário conta o número de eixos (17) que entram e saem de uma porção.

[0026] Por exemplo, na Figura 1, o sistema secundário inclui um sensor de entrada (28A) situado na entrada da porção (14B) em questão e um sensor de saída (28B) situado na saída da porção (14B). Os sensores de entrada e saída são conectados por cabos ao CBIn.

[0027] O CBIn é capaz de manter uma variável, chamada contador de eixos, da porção (14B) atualizada.

[0028] Quando o trem (16) passa em frente do sensor de entrada da porção (14B), cada vez que a passagem de um eixo (17 A-D) pelo sensor de entrada é detectada, o CBIn adiciona uma unidade ao contador de eixos para a porção (14B).

[0029] Quando o trem (16) passa em frente do sensor de saída da porção (14B), cada vez que a passagem de um eixo (17 A-D) pelo sensor de saída é detectada, o CBIn subtrai uma unidade do contador de eixos para a porção (14B).

[0030] Assim, de acordo com o sistema de detecção secundário, a porção está em um segundo estado (E2), assumindo o valor “livre” quando o contador de eixos para essa porção é igual a zero. Caso contrário, o segundo estado da porção assume o valor “ocupado”.

[0031] O segundo estado (E2) de uma porção constitui uma segunda informação de ocupação, que é periodicamente enviada pelo CBIn ao ZCn.

[0032] O ZCn reconcilia a primeira e a segunda porções das informações de ocupação para as porções da zona (Sn) e, se corresponderem, pode autorizar um trem a ser movido, atribuindo-lhe uma autorização de movimento. O ponto final de uma autorização de movimento para um trem corresponde ao limite de entrada da primeira porção em frente ao trem em

Petição 870180166378, de 21/12/2018, pág. 14/36

6/19 questão que é ocupado por outro trem.

[0033] Com tal arquitetura, entende-se que qualquer falha de um ZC provoca a parada de operações, pelo menos sobre a zona controlada pelo ZC com falha.

[0034] No entanto, algumas falhas que afetam o funcionamento correto de um controlador de zona não são graves e exigem apenas a reinicialização do controlador de zona, opcionalmente após uma operação de manutenção. Se, por exemplo, envolver uma falha que afeta a fonte de energia do ZC ou de sua placa de rede, uma vez que o componente com falha tenha sido substituído, é necessário reinicializar o computador de segurança que compõe o ZC.

[0035] No entanto, após a reinicialização, o ZC deve restabelecer a discriminação dos vários trens que circulam pela zona que ele controla, a fim de permitir a retomada da supervisão segura da circulação dos trens.

[0036] No entanto, o restabelecimento dessa discriminação requer verificações pesadas para garantir o cumprimento do nível de segurança exigido. Assim, os agentes devem ser enviados para os trilhos para uma reinicialização manual e para conduzir os trens pela visão. Isto serve para evitar qualquer colisão com outro trem, que, sob seu próprio momento no momento da falha do ZC, pode ter entrado em uma porção diferente daquela que ocupou antes da falha do ZC.

[0037] Tal procedimento após a reinicialização de um ZC é complicado. Pode demorar várias horas. Isso interrompe a operação da rede, que não está mais disponível. Afeta a imagem do operador, os viajantes têm que sair dos trens e continuar sua jornada por meios alternativos.

[0038] A invenção visa, portanto, compensar este problema, em particular propondo um método para a reinicialização de um controlador de zona, tornando possível restabelecer as condições para reinicializar a

Petição 870180166378, de 21/12/2018, pág. 15/36

7/19 supervisão da circulação dos trens mais rapidamente e, portanto, a operação do tráfego na rede.

[0039] Para este fim, a invenção refere-se a um método de reinicialização de um controlador de zona em um sistema de supervisão para trens do tipo “gestão de trens com base em comunicações”, incluindo as seguintes etapas, realizadas pelo controlador de zona: durante períodos operacionais nominais do controlador de zona, salvando periodicamente uma imagem de uma situação operacional atual em uma memória externa; e, após um período de inatividade do controlador de zona e após a reinicialização do controlador de zona, durante um período de reinicialização: estabelecendo uma imagem da situação operacional após a reinicialização do controlador de zona; recuperar, a partir da memória externa, a imagem mais recente da situação operacional salva como imagem da situação operacional antes da falha do controlador de zona; coletar informações sobre o cruzamento de bordas da zona associada ao controlador de zona durante o período de inatividade do controlador de zona; e verificar a coerência da imagem da situação operacional após a reinicialização do controlador de zona a partir da imagem da situação operacional antes da falha do controlador de zona e cruzar informações.

[0040] De acordo com formas de realização específicas, o método inclui uma ou mais das seguintes características, consideradas isoladamente ou de acordo com quaisquer combinações tecnicamente possíveis:

- periodicamente salvar uma imagem da situação operacional atual consiste em, usar uma comunicação entre o controlador de zona e os trens presentes na zona associada com o controlador de zona, gerar e armazenar uma primeira lista incluindo: um indicador geral, indicando se todos os trens que circulam no momento atual na zona associada ao controlador de zona são identificados por este último e respondem a este último; um identificador de cada um dos trens presentes na zona associada ao

Petição 870180166378, de 21/12/2018, pág. 16/36

8/19 controlador de zona no momento atual; para cada um dos trens presentes na zona associada ao controlador de zona, um indicador de discriminação, que é preferencialmente uma variável Booleana, assumindo o valor de unidade quando o trem é discriminado pelo controlador de zona no momento atual e o valor zero quando não é.

- estabelecer uma imagem da situação operacional após a reinicialização do controlador de zona consiste em estabelecer uma segunda lista incluindo, para cada trem dentre os trens que conseguem restabelecer uma comunicação funcional com o controlador de zona durante o período de reinicialização, um identificador do trem e um indicador de discriminação assumindo de forma vantajosa o valor de unidade quando o controlador de zona consegue discriminar o trem e o valor zero de outro modo.

- recolher informação de passagem consiste em estabelecer: uma terceira lista, que inclui, para cada trem, entre os trens que saem de uma zona adjacente para entrar na zona associada ao controlador de zona, um identificador do trem e um indicador de discriminação assumindo de forma vantajosa o valor de unidade se o trem foi discriminado por um controlador de zona adjacente associado à zona adjacente antes de entrar na zona associada ao controlador de zona ou ao valor zero se o trem não foi discriminado; e uma quarta lista, que inclui, para cada trem dentre os trens que entram em uma zona adjacente deixando a zona associada com o controlador de zona, um identificador do referido trem e um indicador de discriminação do trem, assumindo de forma vantajosa o valor de unidade se o trem é discriminado por um controlador de zona adjacente associado à zona adjacente, agora que está na zona adjacente, ou o valor zero, se o trem não é discriminado.

- as informações de cruzamento são fornecidas por cada um dos controladores de zona adjacentes ao controlador de zona.

Petição 870180166378, de 21/12/2018, pág. 17/36

9/19

- as informações de cruzamento são coletadas por cada um dos controladores de zona adjacentes a partir de um momento correspondente ao momento de detecção da falha do controlador de zona, opcionalmente diminuído por uma duração predeterminada correspondente a um tempo de detecção de falha.

- a verificação consiste em: se a primeira lista incluir um indicador geral de zero (Ind), indicando a presença de um trem não comunicante na zona associada ao controlador de zona antes do período de inatividade deste último, parando o método; caso contrário, se a terceira lista indicar que um trem não comunicante entrou na zona associada ao controlador de zona durante o período de inatividade, parando o método; caso contrário, verificar se a segunda lista é igual à primeira lista, a partir da qual os trens da terceira lista foram adicionados e os trens da quarta lista foram removidos, uma verificação positiva indicando uma correspondência entre as situações operacionais antes e depois do período de inatividade do controlador de zona, uma verificação negativa indicando uma incompatibilidade.

- em caso de correspondência entre as situações operacionais antes e depois do período de inatividade do controlador de zona detectado durante a etapa de verificação, o controlador de zona indica, para um sistema de supervisão de trem, que os diferentes trens na zona associada ao controlador de zona são discriminados e que a supervisão automática de trens pode ser retomada; caso contrário, o método é interrompido.

- a informação de cruzamento é, no todo ou em parte, fornecida por um sistema de intertravamento da zona associada ao controlador de zona usando um dispositivo de segurança de detecção de trem externo.

[0041] A invenção também se refere a um sistema automático de controle de trem do tipo “gerenciamento de trens baseado em comunicação”, caracterizado pelo sistema de sinalização incluir pelo menos uma memória

Petição 870180166378, de 21/12/2018, pág. 18/36

10/19 externa e pelo menos um controlador de zona implementando o método anterior, o controlador de zona periodicamente salvando imagens do sistema operacional na memória externa, sendo a memória externa uma memória que não compartilha um modo de falha comum com o controlador de zona.

[0042] A invenção e as suas vantagens serão melhor compreendidas após a leitura da seguinte descrição detalhada de uma forma de realização particular, fornecida unicamente como um exemplo ilustrativo e não limitativo, sendo esta descrição feita em referência aos desenhos anexos, nos quais:

[0043] A Figura 1 é uma ilustração esquemática de um sistema de sinalização incluindo um sistema de supervisão de trem do tipo CBTC;

[0044] A Figura 2 é uma ilustração em bloco do método de acordo com a invenção; e [0045] As Figuras 3, 4 e 5 são ilustrações esquemáticas de diferentes situações operacionais de uma seção (Sn) controlada por um controlador de zona ZCn implementando o método da Figura 2.

[0046] O princípio geral da invenção consiste, após a reinicialização do ZC, em comparar a situação operacional após a reinicialização do ZC, em reconstruir a partir das informações primárias e secundárias fornecidas pelos trens e pelos equipamentos de via, com a situação operacional antes da reinicialização do ZC, enquanto leva em conta a informação de cruzamento das bordas finais da zona associada à falha do ZC durante o período de inatividade do último.

[0047] Para ter a situação operacional antes da falha, o método estabelece que a situação operacional atual é salva periodicamente.

[0048] De acordo com o método, a informação de cruzamento é determinada pelos controladores de zona adjacentes ao ZC com falha, ao longo de um período de tempo entre vários segundos antes da detecção da

Petição 870180166378, de 21/12/2018, pág. 19/36

11/19 falha do ZC pelos ZCs adjacentes e o fim de um período de reinicialização do ZC.

[0049] A falha do ZC é então capaz de verificar a correspondência entre a situação operacional após a reinicialização e, de forma afirmativa, autorizar o ATS a retomar a operação com a supervisão completa da circulação dos trens.

[0050] Em referência à Figura 2, é mostrada a forma de realização preferida do método de reinicialização de acordo com a invenção. É implementado pelo ZCn da Figura 1.

[0051] Este baseia-se no estabelecimento de quatro listas:

- a primeira lista (L1) é composta de todos os trens que circulam pela zona controlada pelo ZCn antes de sofrer uma falha;

- a segunda lista (L2) é composta pelos trens que circulam pela zona após a reinicialização do ZCn e que restabeleceram uma comunicação funcional com o ZCn;

- a terceira lista (L3) é composta por trens que entraram na zona (Sn) controlada pelo ZCn durante o período de inatividade do último; e

- a quarta lista (L4) é composta de todos os trens que deixaram a zona (Sn) controlada pelo ZCn durante o período de inatividade do último.

[0052] Durante a operação normal do ZCn, período (F1) na Figura 2, o método (100) estabelece a economia da situação operacional no momento atual (t).

[0053] Esta economia consiste em desenvolver, durante uma etapa (110), a primeira lista (L1) e carimbada com uma data de salvaguarda que corresponde ao momento atual (t): (L1) (t).

[0054] A primeira lista (L1) inclui de preferência as seguintes informações:

Petição 870180166378, de 21/12/2018, pág. 20/36

12/19

- um indicador geral Ind, indicando se todos os trens que circulam no momento atual (t) sobre a zona (Sn) controlada pelo ZCn são identificados por este último e estão respondendo ao Zcn. “Um trem respondendo a um ZC” significa um trem cujo computador de bordo está em comunicação funcional com o referido ZC. Um trem que não responde ao ZC é um trem cujo meio de comunicação a bordo do computador e/ ou de bordo/ no solo está em situação de falha ou um trem que circula na rede mas que não está equipado com um computador de bordo e, portanto, a circulação não é supervisionada pelo ATS.

- um identificador Id_Ti de cada um dos trens Ti presentes na zona (Sn) (i sendo um número inteiro).

- para cada trem Ti presente na zona (Sn), um indicador de discriminação Disc_Ti, que é uma variável Booleana, assumindo o valor de unidade quando o trem Ti é discriminado pelo ZCn no momento atual e o valor zero quando não é.

[0055] A primeira lista (L1) é em seguida enviada para uma memória fora do ZCn para ser guardada lá (etapa (130) na Figura 2).

[0056] A memória fora do ZCn refere-se a uma memória que não compartilha os modos de falha do ZCn. Pode, por exemplo, como na presente forma de realização, ser a memória de um controlador de zona adjacente, isto é, o controlador de zona ZCn-1 ou o controlador de zona ZCn+1. Alternativamente, pode ser a memória dos computadores a bordo dos trens que circulam na zona controlada pelo ZCn no momento atual.

[0057] Em qualquer caso, essa memória externa deve respeitar o nível de segurança exigido pelo sistema de supervisão, por exemplo, nível SI(L4).

[0058] Ainda durante o funcionamento normal, o método estabelece de forma vantajosa uma etapa (120) durante a qual o ZCn envia a

Petição 870180166378, de 21/12/2018, pág. 21/36

13/19 cada trem Ti o indicador de discriminação Disc_Ti calculado no momento atual (t).

[0059] A situação operacional é salva periodicamente, por exemplo, com um período Át igual a 10 segundos.

[0060] Em paralelo e independentemente, na etapa (150), cada ZC adjacente, ZCn-1 e ZCn+1, monitora o funcionamento correto do ZCn. Por exemplo, uma alternância é trocada regularmente entre dois ZCs adjacentes.

[0061] Quando um ZC adjacente, ZCn-1 ou ZCn+1, não recebe mais a alternância do ZCn, ele considera que o ZCn está com defeito.

[0062] Durante o período de inatividade do ZCn, período F2 na Figura 2, o método (100) fornece, em uma etapa (200), que cada ZC adjacente, ZCn-1 e ZCn+1, desenvolva informação cruzada que tornará possível construir a terceiro e a quarta listas (L3) e (L4).

[0063] O controlador de zona ZCn-1, respectivamente ZCn+1, desenvolve uma terceira lista a montante (L3)n-1, respectivamente, lista a jusante (L3)n+1, armazenando o identificador Id_Tk de cada um dos trens Tk que deixa a zona (Sn-1), respectivamente a zona (Sn+1), para entrar na zona (Sn).

[0064] O controlador de zona ZCn-1, respectivamente ZCn+1, desenvolve uma quarta lista a montante (L4)n-1, respectivamente, lista a jusante (L4)n+1, armazenando o identificador Id_Tk de cada um dos trens Tk que entra na zona (Sn-1), respectivamente (Sn+1), vindo da zona (Sn).

[0065] Além disso, com cada um dos identificadores armazenados, os controladores de zona adjacentes ZCn e ZCn+1 associam um indicador de discriminação Disc_Tk do trem Tk, assumindo o valor de unidade se o trem Tk foi discriminado na zona (Sn-1) ou na zona (Sn+1) antes de deixar a dita zona para entrar na zona (Sn), ou é discriminada na zona (Sn1) ou na zona (Sn+1) agora que entrou na dita zona; ou o valor zero se o trem

Petição 870180166378, de 21/12/2018, pág. 22/36

14/19

Tk não foi ou não é discriminado.

[0066] Esta informação é armazenada na etapa (230) nos controladores de zona adjacentes.

[0067] O período de tempo ao longo do qual os controladores de zona adjacentes armazenam a referida informação de cruzamento se estende do momento de detecção da falha do ZCn, compensado com vantagem por um tempo predeterminado correspondendo a um tempo de detecção de falha e até o final do momento de reinicialização do ZCn.

[0068] De acordo com o método (100), o ZCn com falha é reiniciado na etapa (300), remotamente ou localmente por uma equipe de manutenção que intervém em seu local de instalação. Em seguida, reentra um período de reinicialização, (F3) na Figura 2.

[0069] O ZC primeiro entra em uma etapa (310) para a reinicialização tradicional de hardware e software, depois uma etapa (320) para reinicialização da situação operacional.

[0070] Durante a etapa de reinicialização (320), o ZCn constrói a segunda lista (L2). Isso inclui:

- os identificadores Id_Tj de cada um dos trens Tj que conseguem restabelecer a comunicação funcional com o ZCn durante o período de reinicialização e dar sua posição instantânea;

- para cada um dos referidos trens Tj, um indicador de discriminação Disc_Tj, assumindo o valor de unidade para um trem Tj que o ZCn consegue discriminar, e o valor zero, caso contrário.

[0071] Na etapa (340), o ZCn consulta a memória externa e os controladores de zona adjacentes, que são um e o mesmo na presente forma de realização.

[0072] Depois de ler a memória (etapa (33)), o ZCn-1 e o ZCn+1 enviam, durante a etapa (330), ao ZCn, a lista salva mais recente (L1) de antes

Petição 870180166378, de 21/12/2018, pág. 23/36

15/19 da falha do ZCn.

[0073] O ZCn-1 e o ZCn+1 também enviam, durante a etapa (330), ao ZCn, a terceira e quarta listas a montante e a jusante, incluindo a informação de cruzamento em uma direção ou na outra para os limites que delimitam a zona (Sn).

[0074] A terceira lista (L3), respectivamente a quarta lista (L4), é obtida pela concatenação das terceiras listas a montante e a jusante, respectivamente as quartas listas a montante e a jusante, estabelecidas por cada um dos controladores de zona adjacentes.

[0075] O período de reinicialização é escolhido por tempo suficiente para que os diferentes trens possam comunicar sua posição instantânea ao ZCn, e para que este último possa discriminá-los. Ele também é escolhido para ser longo o suficiente para os controladores de zona adjacentes comunicarem informações de cruzamento ao ZCn e para a memória externa comunicar a situação operacional antes da falha ao ZCn.

[0076] A reinicialização termina com uma etapa (350) para verificar a coerência entre as situações operacionais antes e depois do período de inatividade do ZCn.

[0077] A etapa (350) consiste em comparar as primeira e segunda listas (L1) e (L2) entre si, levando em conta as informações de cruzamento da terceira e quarta listas (L3) e (L4).

[0078] Mais especificamente, se a primeira lista (L1) incluir um indicador geral zero Ind, indicando a presença de um trem não comunicante sobre a zona (Sn) antes da falha do ZCn, o método de reinicialização é interrompido (etapa (360)). De fato, não é possível retornar a uma situação operacional que permita que os trens circulem com segurança, já que não é possível determinar a posição que esse trem não comunicante ocuparia na zona (Sn) ou as zonas adjacentes (Sn+1) ou (Sn-1) no momento da

Petição 870180166378, de 21/12/2018, pág. 24/36

16/19 reinicialização.

[0079] Então, se a terceira lista (L3) indicar que um trem não comunicante entrou na zona (Sn), o método de reinicialização é interrompido (etapa (360)). Mais uma vez, neste caso, não é possível restabelecer uma situação operacional sem ter mais informações sobre a localização deste trem não comunicante sobre a zona (Sn).

[0080] O ZCn seguinte considera as quatro listas que possui e verifica que a segunda lista (L2) é igual à primeira lista (L1) da qual os trens da terceira lista (L3) foram adicionados (trens que entraram na zona (Sn) durante o período de inatividade do ZCn) e os trens da quarta lista (L4) foram removidos (trens que deixaram a zona (Sn) durante o período de inatividade do ZCn).

[0081] Em caso de verificação positiva, indicando coerência entre a situação operacional após a falha e a situação operacional antes da falha, o ZCn indica, na etapa (370), ao ATS que os diferentes trens sobre o (Sn) estão discriminados e que a supervisão automática dos trens pode continuar. Em seguida, retorna-se ao modo de exploração nominal da rede, correspondendo ao modo operacional do período (F1).

[0082] Em caso de verificação negativa, o método é interrompido (etapa (360)), uma vez que a conciliação entre as listas não possibilitou a coerência entre as situações operacionais antes e depois da falha do ZCn.

[0083] As Figuras 3, 4 e 5 mostram situações diferentes em uma zona (Sn) de uma rede incluindo uma trilha de saída e uma trilha de retorno.

[0084] A Figura 3 mostra a situação operacional antes da falha do ZC controlando a zona (Sn). São sete trens, (T3 a T9), gerenciados pela ZCn, dois trens, (T1 e T2), gerenciados pela ZCn-1, e dois trens, (T10 e T11), gerenciados pela ZCn+1.

[0085] Neste exemplo, todos os trens gerenciados pelo ZCn são

Petição 870180166378, de 21/12/2018, pág. 25/36

17/19 discriminados e cada um ocupa uma porção ou duas porções (quando o trem considerado está na borda entre essas duas porções). Uma porção da zona (Sn) ocupada por um trem é descrita nas figuras.

[0086] O ZCn, então, experimenta uma falha.

[0087] No momento da falha do ZCn, os computadores de bordo dos trens (T3 a T9), reconhecendo que a comunicação com o ZCn está perdida, acionam a frenagem de emergência.

[0088] Reconhecendo a falha do ZCn, o ZCn-1 modifica a autorização de movimento do trem (T2) para que seu ponto final corresponda à borda entre as zonas (Sn-1) e (Sn). Quando o trem (T2) está muito próximo da borda, isso pode levar ao acionamento da frenagem de emergência. É então possível que, sob seu próprio momento, o trem (T2) possa entrar na zona (Sn).

[0089] Uma descrição semelhante poderia ser feita para o ZCn+1 e o trem (T11).

[0090] Os trens, portanto, percorrem uma certa distância antes de parar completamente. Suas posições, portanto, mudam em relação à situação operacional antes da falha do ZCn: alguns trens ainda podem estar presentes na zona (Sn), outros deixaram a zona (Sn), outros ainda podem ter entrado nela.

[0091] O ZCn é então reiniciado.

[0092] Através da informação primária e secundária, o ZCn reconhece, como mostrado na Figura 4, que dez porções estão ocupadas.

[0093] Devido à implementação do método (100), o ZCn é capaz de encontrar o número de trens presentes na zona (Sn) e verificar que nenhum outro trem não comunicante está presente na zona (Sn) após a reinicialização. Isso é mostrado na Figura 5.

[0094] Em particular, o ZCn é informado pelos ZCs adjacentes dos cruzamentos: saída dos trens (T9) e (T6) e entrada dos trens (T11) e (T2).

Petição 870180166378, de 21/12/2018, pág. 26/36

18/19 [0095] Após a reinicialização, o ZCn gerencia automaticamente e de forma autônoma para restabelecer uma identificação precisa da situação operacional atual.

[0096] Ele informa o ATS do mesmo para retomar o tráfego.

[0097] Muitas alternativas deste método podem ser consideradas.

[0098] Em particular, o CBIn pode ser adaptado para coletar as informações cruzadas durante o período de inatividade do ZCn e comunicá-las ao ZCn ao reiniciar o último no lugar dos controladores de zona devido à instalação de equipamentos de segurança externos que detectam a entrada de um veículo na zona (Sn). Essa alternativa é particularmente adequada para o caso em que a seção (Sn) controlada pelo ZCn em falha é uma seção final da infraestrutura de supervisão, os trens não sendo supervisionados pela zona (Sn+1), por exemplo, que não está equipada com um controlador de zona.

[0099] Será salientado que qualquer trem Tk que entre na seção (Sn) associada ao controlador de zona a partir da seção adjacente não equipada (Sn+1) não é discriminado. O indicador Disc_Tk está, portanto, em um estado restritivo. Esse estado faz com que o processo de reinicialização automática do controlador de zona pare. De fato, não é possível saber se o trem Tk entra sozinho, puxado por outro veículo, com outro veículo atrás dele, ou se vários trens entram sucessivamente na seção (Sn).

[00100] Na forma de realização das Figuras 3, 4 e 5, a subdivisão de uma seção em porções é fixa. O sistema de supervisão só permite a circulação de um único trem no máximo em cada porção. No entanto, o método descrito acima também se aplica ao caso de uma subdivisão dinâmica de uma porção, segundo a qual vários trens podem ser engatados ao mesmo tempo em uma mesma porção, sendo este último virtualmente subdividido em uma pluralidade de sub-porções com bordas se movendo. A borda de uma sub-porção é determinada a partir da posição atual da porção

Petição 870180166378, de 21/12/2018, pág. 27/36

19/19 traseira de um trem anterior e uma distância de segurança. A autorização de movimento de um trem seguinte estende-se então a um ponto final correspondente à borda com a primeira sub-porção, na direção de circulação do trem seguinte, ocupado pelo trem precedente.

[00101] Um técnico no assunto irá notar que este método de reinicialização tem muitas vantagens. Ele reduz o tempo necessário para retornar ao modo nominal. Este método é executado automaticamente pelo controlador de zona. Como resultado, o impacto de um mau funcionamento ou uma falha de um controlador de zona na operação da rede é grandemente minimizado.

[00102] Uma vez que envolve o retorno a uma situação operacional que permite respeitar o nível de segurança exigido pela supervisão, por exemplo, o nível (SIL4), este método atualmente não permite abordar casos em que um trem não comunicante esteja circulando na zona no momento da falha do controlador de zona ou entre na zona controlada por um controlador de zona, enquanto o último não está disponível.

[00103] Será notado que o indicador geral Ind torna possível determinar se o método de reinicialização automática pode finalizar. Para que o indicador geral Ind seja permissivo, é necessário que todos os trens sejam discriminados e que nenhum trem não comunicante esteja presente.

[00104] A etapa (120) para transmissão do parâmetro Disc_Ti do controlador de zona para cada trem discriminado torna possível que cada trem determine se foi discriminado pelo controlador de zona associado à zona em que está circulando.

[00105] Se o método de inicialização não for bem-sucedido, isso fornecerá um indicador final para determinar de onde o problema está vindo, em uma análise retrospectiva da situação.

Claims

Reivindicações

1. MÉTODO DE REINICIALIZAÇÃO (100) de um controlador de zona (ZCn) em um sistema de supervisão de trem do tipo controle de trem baseado em comunicação, caracterizado pelo fato de que inclui as seguintes etapas, realizadas pelo controlador de zona (ZCn):

- durante um período operacional nominal (F1) do controlador de zona, salvando periodicamente (110, 130) uma imagem de uma situação operacional atual em uma memória externa; e

- após um período de inatividade (F2) do controlador de zona e após a reinicialização do controlador de zona (300), durante um período de reinicialização (F3):

- estabelecer (320) uma imagem da situação operacional após a reinicialização do controlador de zona (300);

- recuperar (340), a partir da memória externa, uma imagem mais recente da situação operacional salva como imagem da situação operacional antes da falha do controlador de zona (300);

- coletar (340) informações de cruzamento sobre o cruzamento de bordas de uma zona (Sn) associada ao controlador de zona (ZCn) durante o período de inatividade do controlador de zona (300); e

- verificar (350) a coerência da imagem da situação operacional após a reinicialização do controlador de zona (300) a partir da imagem da situação operacional antes da falha do controlador de zona (300) e cruzamento de informações.
2. MÉTODO (100), de acordo com a reivindicação 1, caracterizado pelo fato de que salvar periodicamente uma imagem da situação operacional atual consiste em, usar uma comunicação entre o controlador de zona e os trens presentes na zona associada com o controlador de zona, gerar (110) e armazenar (130) uma primeira lista (L1) incluindo:

Petição 870180166378, de 21/12/2018, pág. 29/36

2/4

- um indicador geral (Ind), indicando se todos os trens que circulam no momento atual sobre a zona (Sn) associados ao controlador de zona (300) são identificados por este último e estão respondendo a este último;

- um identificador de cada um dos trens presentes na zona associada ao controlador de zona (300) no momento atual;

- para cada um dos trens presentes na zona associada ao controlador de zona (300), um indicador de discriminação, que é preferencialmente uma variável Booleana, assumindo o valor de unidade quando o trem é discriminado pelo controlador de zona (300) no momento atual e o valor zero quando não é.
3. MÉTODO (100), de acordo com qualquer uma das reivindicações 1 a 2, caracterizado pelo fato de que o estabelecimento de uma imagem da situação operacional após a reinicialização do controlador de zona (ZCn) consiste em estabelecer uma segunda lista (L2) incluindo, para cada trem dentre os trens que conseguem restabelecer uma comunicação funcional com o controlador de zona durante o período de reinicialização, um identificador do trem e um indicador de discriminação assumindo o valor de unidade quando o controlador de zona (ZCn) consegue discriminar o trem e o valor zero de outra forma.
4. MÉTODO (100), de acordo com qualquer uma das reivindicações 1 a 3, caracterizado pelo fato de que a coleta de informação de cruzamento consiste em estabelecer:

- uma terceira lista (L3), que inclui, para cada trem dentre os trens que saem de uma zona adjacente (Sn-1, Sn+1) para entrar na zona (Sn) associada ao controlador de zona (ZCn), um identificador do trem e um indicador de discriminação assumindo o valor de unidade se o trem foi discriminado por um controlador de zona adjacente (ZCn-1, ZCn+1) associado à zona adjacente (Sn-1, Sn+1) antes de entrar na zona (Sn) associada ao

Petição 870180166378, de 21/12/2018, pág. 30/36

3/4 controlador de zona (ZCn) ou ao valor zero se o trem não foi discriminado; e

- uma quarta lista (L4), que inclui, para cada trem dentre os trens que entram em uma zona adjacente (Sn-1, Sn+1), deixando a zona (Sn) associada ao controlador de zona (ZCn), um identificador do trem e um indicador de discriminação do trem, assumindo o valor de unidade se o trem for discriminado por um controlador de zona adjacente (ZCn-1, ZCn+1) associado à zona adjacente (Sn-1, Sn+1) que está agora na zona adjacente, ou o valor zero se o trem não é discriminado.
5. MÉTODO (100), de acordo com a reivindicação 4, caracterizado pelo fato de que a informação de cruzamento é fornecida por cada um dos controladores de zona (ZCn-1, ZCn+1) adjacente ao controlador de zona (ZCn).
6. MÉTODO (100), de acordo com a reivindicação 5, caracterizado pelo fato de que a informação de cruzamento é coletada por cada um dos controladores de zona adjacentes a partir de um momento correspondente a um momento de detecção de uma falha do controlador de zona, opcionalmente diminuído por uma duração predeterminada correspondente ao tempo de detecção de falha.
7. MÉTODO (100), de acordo com qualquer uma das reivindicações 2 a 4, caracterizado pelo fato de que a etapa de verificação (350) consiste em:

- se a primeira lista (L1) incluir um indicador geral zero (Ind), indicando a presença de um trem não comunicante na zona (Sn) associada ao controlador de zona (ZCn) antes do período de inatividade deste último, para o método;

- caso contrário, se a terceira lista (L3) indicar que um trem não comunicante entrou na zona (Sn) associada ao controlador de zona (ZCn) durante o período de inatividade, para o método;

Petição 870180166378, de 21/12/2018, pág. 31/36

ΑΙΑ

- caso contrário, verificar se a segunda lista (L2) é igual à primeira lista (L1), a partir da qual os trens da terceira lista (L3) foram adicionados e os trens da quarta lista (L4) foram removidos, uma verificação positiva indicando uma correspondência entre as situações operacionais antes e depois do período de inatividade do controlador de zona, uma verificação negativa indicando uma incompatibilidade.
8. MÉTODO (100), de acordo com qualquer uma das reivindicações 1 a 7, caracterizado pelo fato de que no caso de correspondência entre as situações operacionais antes e depois do período de inatividade do controlador de zona detectado durante a etapa de verificação, o controlador de zona (ZCn) indica (370), a um sistema de supervisão de trens (ATS), que os diferentes trens na zona (Sn) associados ao controlador de zona (ZCn) estão discriminados e que a supervisão automática de trens pode ser retomada; caso contrário, o método é interrompido.
9. MÉTODO, de acordo com a reivindicação 4, caracterizado pelo fato de que a informação de cruzamento é, no todo ou em parte, fornecida por um sistema de interbloqueio (CBIn) da zona (Sn) associada ao controlador de zona (ZCn) utilizando um dispositivo de segurança externo de detecção de trens.
10. SISTEMA AUTOMÁTICO DE CONTROLE DE TRENS do tipo controle de trens baseado em comunicação, caracterizado pelo fato de que o sistema de sinalização inclui pelo menos uma memória externa e pelo menos um controlador de zona (ZCn) que implementa o método, conforme definido em qualquer uma das reivindicações 1 a 9, o controlador de zona (ZCn) salva periodicamente uma imagem do sistema operacional na memória externa, sendo a memória externa uma memória que não compartilha um modo de falha comum com o controlador de zona.