CH620533A5

CH620533A5 -

Info

Publication number: CH620533A5
Application number: CH39077A
Authority: CH
Inventors: Jean-Claude Dubreuco
Original assignee: Regie Autonome Transports; Inter Elec
Priority date: 1976-02-04
Filing date: 1977-01-13
Publication date: 1980-11-28
Also published as: FR2340570B1; FR2340570A1; DE2704548A1; DE2704548C2; US4165850A; GB1564365A; CA1095148A

Description

L'invention est relative à un dispositif de sécurité pour une installation ou un appareil fonctionnant de façon séquentielle, ce dispositif de sécurité étant destiné à commander l'arrêt du fonctionnement de ladite installation ou dudit appareil quand, au moins sur une séquence, un paramètre représentatif dudit fonctionnement dépasse, dans un sens donné (par valeurs inférieures ou supérieures), un seuil déterminé. Elle concerne plus particulièrement un dispositif de sécurité pour véhicules propres à se déplacer sur un parcours divisé en séquences; dans ce cas, ledit paramètre de fonctionnement est la vitesse du véhicule sur chaque séquence, ou le temps de parcours de chaque séquence.

Dans le brevet français N° 2087293 et dans son premier certificat d'addition N° 2198658 déposés aux noms de la titulaire on a déjà décrit un tel dispositif de sécurité pour véhicules propres à se déplacer sur un parcours divisé en séquences, qui comporte un organe propre à émettre, pour chaque séquence, un signal de comparaison ayant une première valeur quand, sur cette séquence, le temps de parcours du véhicule est supérieur à un seuil (autrement dit, la vitesse est inférieure à un seuil sur la séquence). Ce signal de comparaison prend une seconde valeur, en général la valeur zéro, quand le temps de parcours descend en dessous dudit seuil. Le signal émis par cet organe est exploité par des moyens de commande d'un freinage d'urgence provoquant l'arrêt complet du véhicule. En général, on exploite ce signal de façon telle que la présence d'un signal n'a pas d'action sur les moyens de com5

10

15

20

25

30

35

40

45

50

55

60

65

3

620 533

mande du freinage d'urgence; au contraire, la disparition de ce signal, au moins sur une séquence, provoque un freinage d'urgence. Dans les dispositifs décrits dans ledit brevet et son certificat d'addition, ce freinage d'urgence n'est commandé que si le signal de comparaison disparaît (c'est-à-dire prend ladite seconde valeur) pendant un temps au moins égal à une durée déterminée ou sur une longueur supérieure à une valeur donnée; cette dernière disposition a pour but de ne pas provoquer des freinages ou des arrêts intempestifs.

Les dispositifs de sécurité décrits dans ce brevet et dans son premier certificat d'addition ont donné entière satisfaction. Toutefois, il est nécessaire de prendre un certain nombre de précautions lorsqu'on réalise les circuits de tels dispositifs de sécurité; en effet, ces circuits doivent être de sécurité intrinsèque ; autrement dit,

tout incident ou panne de ce circuit ne doit avoir pour conséquence qu'un freinage d'urgence et non la simple mise hors service du dispositif de sécurité.

L'invention a pour but de fournir un dispositif de sécurité du genre mentionné ci-dessus, simple, mais à sécurité intrinsèque, dans lequel au moins certains éléments ne sont pas spécialement conçus pour être de sécurité intrinsèque, permettant de réduire la probabilité d'apparition et le nombre d'incidents ou de pannes.

Le dispositif de sécurité objet de l'invention comprend au moins un premier et un second organe propres à émettre, chacun pour chaque séquence, un signal de comparaison ayant une première valeur quand, sur cette séquence, ledit paramètre ne dépasse pas la valeur seuil, ce signal de comparaison ayant une seconde valeur, différente de la première, quand ledit paramètre dépasse, sur la séquence, la valeur-seuil, et est caractérisé en ce qu'il comporte des moyens de coïncidence comprenant, d'une part, au moins une première et une seconde entrée reliées, respectivement, à la sortie du premier et du second organe et, d'autre part, au moins une sortie sur laquelle apparaît, pour chaque séquence, un signal ayant un premier niveau quand les signaux appliqués sur lesdites entrées présentent simultanément la première valeur, ce signal de sortie ayant un second niveau, différent du premier, dans les autres cas; ce signal de sortie, qui présente le second niveau, étant propre à commander l'arrêt du fonctionnement de ladite installation ou dudit appareil.

La sécurité de fonctionnement de l'installation ou de l'appareil est donc améliorée, car l'arrêt du fonctionnement est provoqué si les deux organes ne fournissent pas des informations concordantes au moins pendant un certain temps à chaque séquence. En d'autres termes, au moins certaines pannes du dispositif de sécurité lui-même provoquent un arrêt du fonctionnement, c'est-à-dire un freinage d'urgence dans le cas de l'application de l'invention à un véhicule se déplaçant sur un parcours divisé en séquences.

Dans une forme d'exécution préférée de l'invention, cette sécurité est encore améliorée par une disposition supplémentaire qui consiste à prévoir des moyens de blocage à mémoire. Ces moyens de blocage sont agencés pour qu'à la sortie des moyens à coïncidence apparaisse, pour les séquences ultérieures, un signal présentant le second niveau lorsqu'au cours d'une séquence, les signaux de comparaison émis par le premier et le second organe n'ont pas présenté simultanément la même valeur. Ces moyens de blocage permettent donc un arrêt du fonctionnement de l'installation ou de l'appareil, même si cet arrêt n'a pas été provoqué au cours de la séquence pendant laquelle le signal de sortie des moyens de coïncidence a présenté le second niveau. Avantageusement, les moyens de blocage à mémoire comprennent, pour chaque organe émetteur de signal de comparaison, un élément à mémoire et un élément à porte ET à deux entrées; l'entrée de chaque élément à mémoire est reliée à une sortie respective des moyens à coïncidence et la sortie de cet élément est connectée à la première entrée de l'élément à porte ET correspondant; la seconde entrée de cet élément à porte ET est reliée à la sortie de l'organe émetteur associé; les sorties des éléments à porte ET correspondant aux premier et second organes émetteurs sont reliées, respectivement, aux première et seconde entrées des moyens de coïncidence. L'élément à mémoire fournit sur sa sortie un signal d'une première valeur quand est apparu, sur son entrée, un signal ayant le premier niveau; cet élément à mémoire est agencé pour que son signal de sortie passe de la première à la seconde valeur lorsqu'on applique, sur la seconde entrée de l'élément à porte ET corresondant, un signal de comparaison ayant ladite première valeur.

De préférence, le premier et le second organe émetteurs de signaux de comparaison comprennent, chacun, un générateur d'impulsions propres à engendrer une impulsion au cours de chaque séquence; cette impulsion a une première valeur quand, sur cette séquence, le paramètre de fonctionnement de l'installation ou de l'appareil ne dépasse pas, dans ledit sens donné, la valeur-seuil; cette impulsion présente la seconde valeur quand ledit paramètre dépasse la valeur-seuil dans le sens donné sur cette séquence. Selon une forme d'exécution avantageuse de l'invention, le dispositif de sécurité est agencé pour que l'impulsion produite par le générateur du second organe apparaisse, pour une même séquence et en fonctionnement normal, après un temps déterminé 0 après l'apparition de l'impulsion produite par le générateur d'impulsions du premier organe. Dans ce cas, au moins ce premier organe comporte des moyens à retard dont l'entrée est reliée à la sortie du générateur d'impulsions correspondant, de façon que les signaux se présentant sur les sorties du premier et du second organe apparaissent, pour la même séquence, de façon sensiblement simultanée en fonctionnement normal. Ainsi, des perturbations extérieures qui affectent de façon synchrone les signaux de sortie desdits générateurs ne provoquent pas d'arrêt intempestif du fonctionnement du système ou appareil.

D'autres avantages de l'invention apparaîtront plus clairement à la lecture de la description de certaines de ses formes d'exécution, cette description étant faite en se référant aux dessins ci-annexés sur lesquels ;

la fig. 1 est un schéma illustrant, sous forme de blocs, une forme d'exécution du dispositif de sécurité conforme à l'invention,

la fig. 2 représente des diagrammes illustrant le fonctionnement du dispositif représenté sur la fig. 1,

la fig. 3 illustre, de façon partielle, une forme d'exécution du dispositif représenté sur la fig. 1, et la fig. 4 illustre une autre forme d'exécution du dispositif de sécurité conforme à l'invention.

L'exemple de réalisation du dispositif de sécurité que l'on va décrire en relation avec les figures est relatif à un système de transport du type de celui décrit dans ledit brevet français N° 2087293 et dans son premier certificat d'addition N° 2198658. De façon plus précise, il s'agit d'un système de transport sur voie ferrée, notamment pour le réseau métropolitain, dans lequel le parcours du véhicule (un train) est divisé en séquences. Dans ce système de transport, les véhicules sont munis de moyens de pilotage automatique prévus pour que le véhicule parcoure chaque séquence dans un temps déterminé to. Chaque train comporte, bien entendu, des moyens de traction et des moyens de freinage; les moyens de freinage sont mis en action si le véhicule parcourt une séquence en un temps inférieur à t0; par contre, ce sont les moyens de traction qui sont mis en action si les séquences sont parcourues en un temps supérieur à ce temps déterminé U. Le dispositif de sécurité permet de provoquer un freinage d'urgence quand au moins une séquence est parcourue en un temps au plus égal à t'o, cette durée t'o étant inférieure à to. Autrement dit, on provoque un freinage d'urgence quand la vitesse du train dépasse, pour chaque séquence, une certaine valeur-seuil.

Un tel dispositif de sécurité comporte, de façon en soi connue, un générateur (non montré) de signaux variant de façon déterminée en fonction du temps, en général (comme dans l'exemple) des signaux en dents de scie de pente déterminée. Le début de chaque dent de scie correspond au début d'une séquence; à cet effet, on prévoit des moyens (non montrés) pour remettre à zéro au début

5

10

15

20

25

30

35

40

45

50

55

60

65

620 533

4

de chaque séquence ces dents de scie produites par ledit générateur. Ces signaux en dents de scie sont appliqués sur la première entrée d'un comparateur (non montré en détails sur la fig. 1). Sur la seconde entrée de ce comparateur, on applique un signal de référence de valeur constante représentant ladite durée t'o. De cette manière, on engendre sur la sortie dudit comparateur un signal ou impulsion quand le signal en dents de scie reste inférieur au signal de référence. Le signal de sortie du comparateur prend la valeur zéro quand ledit signal en dents de scie dépasse le signal de référence. La présence d'une telle transition sur la sortie dudit comparateur empêche normalement le déclenchement d'un freinage d'urgence. Par contre, l'absence de cette transition sur une séquence (cette absence de transition indique que le train roule en survitesse) est utilisée pour provoquer un freinage d'urgence. A cet effet, le signal de sortie du comparateur est mis en forme (à l'aide d'une bascule monostable en général), de façon à être transformé en une impulsion de durée déterminée, sensiblement inférieure à la durée d'une séquence, après l'apparition de ladite transition.

Conformément à l'invention, on prévoit, comme représenté sur la fig. 1, au moins un second ensemble générateur-comparateur grâce auquel on produit également des impulsions du genre mentionné ci-dessus. Sur la fig. 1, le premier et le second ensemble ont été représentés par un bloc, de référence 1 et 2 respectivement.

Cependant, comme on le verra plus loin en relation avec la fig. 2, les ensembles 1 et 2 ne sont pas identiques en tous points. En effet, lesdites valeurs-seuils (t'o) sont distinctes pour ces deux voies; elles diffèrent d'une valeur 0. Dans l'exemple, le signal de référence appliqué sur la seconde entrée du comparateur de l'ensemble 1 correspond à une durée t'o, tandis que le signal de référence appliqué sur la seconde entrée du comparateur de l'ensemble 2 correspond à une durée t'o + 0 à 8t près, c'est-à-dire à une durée t'„+0+5t.

La sortie du bloc 1 est reliée à l'entrée d'une bascule monostable 3 dont la sortie est connectée à l'entrée d'un circuit de mise en forme 4. Dans l'exemple, comme on le verra plus loin en relation avec la fig. 3, le circuit 4 comporte un condensateur (non montré sur la fig. 1) qui se charge quand la bascule monostable 3 fournit une impulsion sur l'entrée 6 dudit circuit 4. Ce condensateur se décharge, provoquant un signal sur la sortie 5 dudit circuit 4, après la disparition du signal sur l'entrée 6. Enfin, ce circuit 4 comprend une entrée 7 de remise à zéro. Ledit condensateur se décharge quand un signal est appliqué sur cette entrée 7.

De même, à la sortie du bloc 2 est reliée l'entrée d'une seconde bascule monostable 13. La sortie de cette bascule monostable 13 est reliée à l'entrée 16 d'un circuit 14 de mise en forme comportant une sortie 15 et une entrée 17 de remise à zéro. Ce circuit 14 est analogue au circuit 4.

La sortie 5 du circuit 4 est connectée à la première entrée 21 d'une porte ET 20 à deux entrées. La seconde entrée 22 de cette porte est reliée à la sortie 24 d'un élément à mémoire 23 comportant également un condensateur (non montré sur la fig. 1). Dans l'exemple, la porte ET 20 est constituée par un oscillateur qui fournit sur sa sortie 25 un signal périodique quand des signaux continus sont appliqués simultanément sur ses entrées 21 et 22.

Ladite sortie 25 de la porte ET 20 est reliée à la première entrée 27 d'une porte ET 26 à deux entrées 27 et 29. Cette porte ET 26 est, comme la porte ET 20, constituée par un oscillateur. Elle comporte trois sorties 30, 31 et 32 délivrant des signaux (périodiques) identiques; toutefois, ces trois sorties sont isolées galvaniquement les unes par rapport aux autres, afin d'éviter qu'une panne ou un incident survenant à un circuit relié à l'une de ces sorties n'ait de conséquence sur les signaux délivrés par les autres sorties. La sortie 30 est connectée à l'entrée 33 de l'élément à mémoire 23. La sortie 31 est reliée, d'une part, à l'entrée 34 d'un circuit de traitement 60 et, d'autre part, aux entrées de remise à zéro 7 et 17 des circuits 4 et 14, respectivement.

De même, la sortie 15 du circuit 14 est connectée à la première entrée 41 d'une porte ET 40 du type oscillateur et comportant une seconde entrée 42 connectée à la sortie 44 d'un élément à mémoire 43. La sortie 45 de la porte ET 40 est reliée à l'entrée 29 de la porte ET 26.

L'entrée 46 de l'élément à mémoire 43 (du type à condensateur) est connectée à la sortie 32 de la porte ET 26.

La sortie du circuit 60 est connectée à l'entrée d'un circuit d'interface 61.

Enfin, les bornes d'entrée 27 et 29 de la porte ET 26 sont reliées à deux sorties galvaniquement isolées (mais délivrant des signaux analogues) de moyens d'initialisation 48.

Le fonctionnement du dispositif de sécurité que l'on vient de décrire en relation avec la fig. 1 va maintenant être exposé en relation avec les diagrammes de la fig. 2.

Ces diagrammes correspondent à un fonctionnement normal du dispositif de sécurité conforme à l'invention, c'est-à-dire à un fonctionnement sans panne des circuits dudit dispositif de sécurité. Diverses hypothèses de pannes seront envisagées plus loin.

Sur cette fig. 2, les abscisses correspondent au temps, tandis que les ordonnées correspondent aux valeurs des divers signaux illustrés.

La ligne 1 des diagrammes de la fig. 2 représente le signal de sortie du bloc 1, tandis que la ligne 2 représente le signal de sortie du bloc 2. Comme déjà indiqué ci-dessus, en fonctionnement normal, ces signaux présentent des transitions d'un niveau haut à un niveau bas qui sont séparées, pour une même séquence, par une durée 0, à 8t près. Lesdits signaux de sortie des blocs 1 et 2 reprennent leur niveau haut, de façon simultanée au début de chaque séquence (temps T sur la fig. 2).

La ligne 3 représente les variations du signal de sortie de la bascule monostable 3, et la ligne 4 montre les variations du signal de sortie de la bascule monostable 13. Ces bascules sont déclenchées par le front de descente des signaux appliqués sur leur entrée. La durée du signal fourni par la bascule 3 a pour valeur To+0, tandis que la durée du signal fourni par la bascule 13 a pour valeur To. Dans ces conditions, en fonctionnement normal, les fronts de descente des signaux apparaissant sur les sorties des bascules 3 et 13 sont pratiquement simultanés pour chaque séquence (à ôt près).

Avant de poursuivre la description du fonctionnement du dispositif de sécurité représenté sur la fig. 1, il convient d'ores et déjà de mentionner que la disposition que l'on vient de décrire — selon laquelle on agence les blocs 1 et 2 de façon telle que les signaux qu'ils produisent soient désynchronisés, et on resynchronise ces signaux grâce aux bascules 3 et 13 — permet au dispositif de sécurité de ne pas tenir compte des signaux parasites se présentant simultanément sur les deux voies, c'est-à-dire sur les deux blocs. En effet, de tels signaux parasites, en l'absence de ladite disposition, pourraient produire un signal indiquant, de façon erronée, un fonctionnement correct empêchant le déclenchement d'un freinage d'urgence. De façon plus générale, on a décorrélé puis corrélé à nouveau les signaux des blocs 1 et 2, afin de vérifier la corrélation des signaux d'entrée.

Les signaux de sortie des bascules 3 et 13 provoquent la charge des condensateurs (non montrés sur la fig. 1) des circuits 4 et 14. Par contre, la disparition de ces signaux de sortie des bascules 3 et 13 entraîne le transfert de niveau et la décharge desdits condensateurs. Dans le mode de réalisation décrit (comme on le verra plus loin en relation avec la fig. 3), la charge du condensateur du circuit 4 (ou 14) est effectuée avec une polarité négative. Quand le signal de sortie de la bascule monostable correspondante 3 (ou 13) retombe à zéro, la charge dudit condensateur change de niveau (est transférée). Ces considérations sont illustrées par la ligne 5 qui représente les variations du signal apparaissant sur la sortie 5 du circuit 4.

La ligne 6 des diagrammes de la fig. 2 montre les variations, en fonction du temps, du signal se présentant sur la sortie 24 de l'élément à mémoire 23. Comme déjà mentionné, cet élément 23

5

10

15

20

25

30

35

40

45

50

55

60

65

5

620 533

comporte un condensateur (non montré sur la fig. 1) qui est chargé en fonctionnement normal. En d'autres termes, sur la sortie 24 de l'élément 23 apparaît normalement un signal 50 (ligne 6), de niveau positif supérieur à une valeur déterminée. Le condensateur de l'élément à mémoire 23 se décharge à travers le circuit de la porte ET 20 quand, sur l'entrée 21 de cette porte, est appliqué un signal dépassant un seuil 51 (ligne 5) de valeur déterminée. Dans ces conditions, sur la sortie 25 de la porte 20 apparaît un signal périodique pendant un temps x (ligne 7, fig. 2).

Le circuit 14 fonctionne de façon analogue au circuit 4. De même, l'élément à mémoire 43 est analogue à l'élément 23.

Enfin, le fonctionnement de la porte ET 40 est identique à celui de la porte ET 20. On n'a donc pas représenté les diagrammes de variation des signaux apparaissant sur la sortie de ces circuits. Il convient cependant de noter que, en fonctionnement normal, le signal périodique de sortie de la porte 40 apparaît en même temps que le signal produit sur la sortie 25 de la porte 20, sa durée étant sensiblement la même (t). Dans ces conditions, c'est-à-dire lors de l'apparition simultanée de signaux sur les sorties 25 et 45 des portes 20 et 40, les sorties 30, 31 et 32 de la porte 26 délivrent, chacune, un signal périodique. On notera que les signaux en sortie des portes 20 et 40 peuvent apparaître avec une tolérance, en temps, égale à la durée t.

Le signal apparaissant sur la sortie 31 est appliqué à l'entrée 34 du circuit de traitement 60 qui délivre, par l'intermédiaire du circuit d'interface 61, un signal continu représentant un niveau de sécurité. Ce signal continu permanent est utilisé pour maintenir fermées des électrovannes (non montrées) empêchant le déclenchement du freinage d'urgence. L'absence du signal sur la sortie 34 provoque la disparition dudit signal continu permanent et donc l'ouverture de ces électrovannes, entraînant le déclenchements d'un freinage d'urgence.

Le signal apparaissant sur la sortie 31 est également utilisé pour décharger les condensateurs des circuits 4 et 14.

Le signal se présentant sur la sortie 30 de la porte 26 permet de charger le condensateur de l'élément à mémoire 23. De même, le signal fourni sur la sortie 32 permet de charger le condensateur de l'élément à mémoire 43. Ainsi, comme on le verra plus loin, il ne pourra apparaître, pour une séquence ultérieure, de signaux sur les sorties de la porte 26 que si, pour la séquence antérieure, il est apparu un signal sur les sorties de ladite porte 26 ou si, pour cette même séquence antérieure, il n'a pas été produit de signaux par le bloc 1 ou le bloc 2 (ou les deux). En effet, c'est un tel signal qui permet la décharge du condensateur de l'élément à mémoire correspondant (23 ou 43). En d'autres termes, le signal de sortie de chaque élément 23 ou 43 est, pour chaque séquence, fonction des signaux qui ont été produits (par les blocs 1 et 2) à la séquence précédente. Ces éléments ont donc bien une fonction de mémorisation d'états antérieurs.

Pour la première séquence du parcours du train, il est nécessaire de charger les condensateurs des éléments 23 et 43 et, éventuellement, de décharger les condensateurs des circuits 4 et 14. A cet effet, on applique, grâce au circuit 48, un signal d'initialisation sur les entrées 27 et 29. Ainsi, il apparaît simultanément un signal sur ces entrées; de cette manière, on engendre un signal de sortie, ce qui entraîne la charge des condensateurs des éléments 23 et 43 et, éventuellement, la décharge des condensateurs des circuits 4 et 14.

Comme on va maintenant le voir en envisageant diverses hypothèses d'incidents, le dispositif de sécurité conforme à l'invention permet de provoquer un freinage d'urgence non seulement quand la vitesse du train est prohibitive, mais également quand les deux voies (blocs 1 et 2) ne fournissent pas des indications concordantes. En effet, dans ce dernier cas, il est nécessaire d'arrêter le véhicule, car cet incident signifie que le dispositif de sécurité ne fonctionne pas de façon correcte.

Première hypothèse d'incident — Après un fonctionnement normal sur une séquence, on obtient un signal sur la sortie de la bascule 3, mais aucun signal sur la sortie de la bascule 13.

Dans ce cas, on n'obtient aucun signal sur les sorties de la porte 26, car le signal apparaissant sur son entrée 29 est au niveau logique 0, aucun signal n'étant appliqué sur l'entrée 41 de la porte 40. Ainsi, à la fin de cette séquence, et au début de la séquence suivante, la sortie 24 de l'élément 23 présente le niveau logique 0, tandis que la sortie 44 de l'élément 43 présente le niveau logique 1.

Si cet incident se poursuit pour les séquences ultérieures (un signal à la sortie de la bascule 3, aucun signal à la sortie de la bascule 13), les sorties de la porte 26 resteront au niveau logique 0, le condensateur de l'élément 23 ne pouvant se recharger. Au bout d'un certain temps (correspondant par exemple à deux séquences) ou après une certaine longueur pour laquelle il n'est apparu aucun signal sur les sorties de la porte 26, le freinage d'urgence est déclenché; ce temps et/ou cette longueur sont déterminés par le circuit de traitement 60.

Si au contraire, après une séquence pour laquelle les indications fournies par les bâscules 3 et 13 ont été contradictoires, pour les séquences ultérieures, les signaux apparaissant sur les sorties des bascules 3 et 13 sont concordants, c'est-à-dire indiquent un fonctionnement normal, le freinage d'urgence est quand même déclenché. En effet, le niveau logique 0 sur la sortie 24 de l'élément 23, et donc sur l'entrée 22 de la porte 20, maintient l'entrée 27 de la porte 26 également au niveau logique 0, empêchant également qu'il apparaisse un signal sur les sorties de la porte 26. Il est d'ailleurs à noter que, dans ce cas, le signal de sortie de la bascule 13 provoque la décharge du condensateur de l'élément 43 et amène la sortie 44 de cet élément au niveau logique 0.

Cette propriété de fonctionnement du dispositif de sécurité conforme à l'invention, selon laquelle des informations contradictoires fournies par les deux voies provoquent un freinage d'urgence, est particulièrement intéressante, car elle permet d'utiliser, pour chacune de ces voies, des circuits qui ne sont pas obligatoirement conçus pour être de sécurité intrinsèque, cette sécurité intrinsèque étant assurée par le contrôle de la concordance des informations fournies sur les deux voies.

A cette première hypothèse de panne, on peut rattacher l'incident suivant; l'une des deux voies est affectée d'une panne périodique, un signal n'apparaissant à la sortie de la bascule monostable correspondante que pour une séquence sur deux,

alors qu'un signal apparaît sur la sortie de l'autre bascule monostable pour toutes les séquences. Dans ce cas, il se produira également un freinage d'urgence, car cette panne correspond au premier cas envisagé ci-dessus. Dans la pratique, une telle panne cyclique peut se produire, par exemple quand une soudure est détériorée sur l'une des voies.

Il est à noter que l'on peut encore envisager, dans le même ordre d'idées, le cas où il se produit une telle panne cyclique simultanément sur les deux voies (pas de signal sur la sortie des bascules 3 et 13 pour une séquence sur deux). Dans ce cas, on ne provoquerait pas de freinage d'urgence. Toutefois, cela n'est pas gênant en pratique, car la probabilité d'apparition d'un tel incident est pratiquement nulle.

Seconde hypothèse — Les deux voies tombent simultanément en panne de façon telle que les bascules 3 et 13 ne fournissent aucun signal au moins pour deux séquences successives.

Dans ce cas, le freinage d'urgence sera déclenché car, pendant un certain temps ou sur une certaine longueur, il n'apparaîtra aucun signal sur les sorties de la porte 26.

Troisième hypothèse — On suppose qu'au moins un des blocs 1 ou 2 est affecté d'une panne telle que, pour une séquence, les transitions des signaux de sortie de ces blocs 1 et 2 apparaissent en des temps qui diffèrent d'une durée t telle qu'elle ne satisfasse pas à la condition 0 — T<t<0 + T.

Dans ce cas, les signaux de sortie des portes 20 et 40 n'appa5

10

15

20

25

Î0

35

40

45

50

55

60

65

620 533

6

raissent pas simultanément sur les entrées 27 et 29 de la porte 26 et on ne peut donc obtenir de signal sur les sorties de cette dernière.

Même si on revient à un fonctionnement normal pour la séquence suivante, on provoquera un freinage d'urgence, car les condensateurs des éléments 23 et 43 ne peuvent pas se recharger (autrement dit, le signal logique de sortie de ces éléments 23 et 43 est maintenu à 0).

Une panne correspondant à cette troisième hypothèse intervient, par exemple, quand il se produit un court-circuit tel que le signal de référence appliqué sur la seconde entrée du comparateur de l'un des blocs soit pratiquement nul; dans ce cas, la transition du niveau haut au niveau bas du signal de sortie de ce bloc apparaît au tout début de la séquence.

Pour en terminer avec la description du fonctionnement du dispositif de sécurité représenté sur la fig. 1, on peut enfin indiquer que la porte ET 26 est un circuit de coïncidence qui engendre un signal de sortie seulement si des signaux sont appliqués simultanément sur ses deux entrées, alors que la combinaison des portes ET 20 et 40 et des éléments 23 et 43 réalise une fonction d'anticoïncidence à mémoire, du type de la fonction complément de OU exclusif. Toutefois, cette fonction de complément de OU exclusif n'est pas assurée entre des signaux simultanés, mais entre des signaux séparés par une séquence. On sait qu'une porte réalisant cette fonction, complément de OU exclusif, fournit sur sa sortie un signal de niveau 1 quand les signaux d'entrée présentent tous la même valeur (1 ou 0), ce signal de sortie présentant le niveau logique 0 dans le cas contraire, c'est-à-dire quand les signaux d'entrée présentent des valeurs différentes. Dans le cas présent, on a affaire à trois signaux d'entrée. Le premier signal d'entrée est le signal de sortie de la bascule 3, le second signal d'entrée est celui fourni par la bascule 13, et le troisième de ces signaux d'entrée est le signal apparaissant sur la sortie de la porte 26. Le signal de sortie (de la porte, fictive, complément de OU exclusif) est constitué par le signal de sortie des éléments 23 et 43 ; on affecte le niveau logique 1 à ce signal de sortie si les niveaux des signaux de sortie de ces éléments ont simultanément la valeur 1 ; ce signal de sortie est au niveau 0 dans les autres cas.

On a illustré, sur la fig. 3, un mode de réalisation de certaines parties du dispositif de sécurité que l'on a décrit en relation avec la fig. 1. De façon plus précise, les blocs 1 et 2, les bascules monostables 3 et 13 et les circuits 60 et 61 n'ont pas été représentés sur cette fig. 3.

Dans cet exemple, le niveau bas ou 0 des signaux est constitué par un potentiel négatif, par exemple —12 V, alors que le niveau haut ou 1 est constitué par un potentiel nul.

Comme représenté sur la fig. 3, le circuit 4 comporte, notamment, un transistor 70 du type NPN et un condensateur 71, dont une armature 71a est reliée au collecteur du transistor 70. Ce collecteur du transistor 70 est relié à la masse (potentiel nul) par l'intermédiaire d'une résistance 72, alors que son émetteur est relié au pôle négatif (—) d'une source de courant continu (non représentée). Pour la décharge du condensateur 71, on prévoit un circuit comportant un transistor 73 à effet de champ du type à canal N, dont l'émetteur constitue la borne 7 de remise à zéro du circuit 4, et une diode 73a.

La porte ET 20 comprend un montage oscillateur à transistor NPN 75, enroulement 76 et condensateurs 77. L'émetteur du transistor 75 est relié à la masse. De même, sa base est connectée à la masse par l'intermédiaire d'une diode Zener 78. L'entrée 21 de la porte 20 est constituée par la base du transistor 75. La seconde entrée 22 de la porte 20 est constituée par la seconde borne de l'inductance 76, la première borne de cette inductance étant reliée au collecteur du transistor 75.

L'élément à mémoire 23 comporte essentiellement un condensateur 80, dont une armature est connectée à la masse et l'autre armature est reliée à la susdite entrée 22.

A l'enroulement 76 est couplé un enroulement 76a. Le signal apparaissant aux bornes de cette inductance 76a constitue le signal de sortie de la porte 20.

De même que la porte ET 20, la porte ET 26 comporte un montage oscillateur à transistor 82, enroulement 83 et condensateur 84. La borne de l'inductance 83 qui n'est pas reliée au collecteur du transistor 82 constitue la première entrée 27 de la porte 26. La seconde entrée 29 de cette porte est constituée par la base dudit transistor 82. Comme pour la porte 20, on prévoit une diode Zener 85 entre la base du transistor 82 et la masse.

A l'enroulement 83 sont couplés trois enroulements séparés 83a, 83b et 83c, aux bornes desquels apparaissent les signaux de sortie de la porte 26.

Comme montré sur la fig. 3, le signal apparaissant aux bornes de l'enroulement 76a est redressé grâce à un montage 86 à diode et condensateur. De même, le signal se présentant aux bornes de l'enroulement 83a est redressé à l'aide d'une diode 87 pour charger le condensateur 80.

Le montage d'initialisation 48 comporte, dans l'exemple, un transformateur 90 comportant deux enroulements secondaires 91 et 92. Le signal apparaissant aux bornes de l'enroulement 91 est redressé par un montage 93 à diode et condensateur pour être appliqué sur l'entrée 27; de façon analogue, le signal se présentant aux bornes de l'enroulement 92 est redressé par un montage 94 à diode et condensateur pour être appliqué sur l'entrée 29 de la porte 26. Bien entendu, une source de courant alternatif (non montrée) est prévue pour alimenter l'enroulement primaire du transformateur 90.

Dans l'exemple, le circuit 14 est identique au circuit 4, le circuit 40 est identique au circuit 20 et l'élément 43 comporte, comme l'élément 23, essentiellement un condensateur 80'.

Enfin, il convient de noter que la sortie de l'enroulement 83b est reliée à l'émetteur du transistor 73 (ainsi qu'à l'émetteur du transistor correspondant du circuit 14) par l'intermédiaire d'un élément redresseur 96.

En ce qui concerne le fonctionnement du circuit représenté sur la fig. 3, il suffit de noter que les signaux de potentiel nul transmis sur la base du transistor 70 saturent ce dernier transistor. Dans ces conditions, le condensateur 71 peut se charger. Quand le signal transmis sur la base du transistor 70 reprend la valeur —12 V, ce dernier repasse à l'état bloqué et, ainsi, la seconde armature 71b (constituant la sortie 5 du circuit 4) du condensateur 71 se trouve portée à un potentiel positif, du fait de la charge accumulée par ledit condensateur.

En ce qui concerne le fonctionnement de la porte 20 (et 26), on notera que c'est la présence simultanée de potentiels positifs sur la base du transistor correspondant et sur la borne de l'inductance 76 (et 83), qui n'est pas reliée au collecteur dudit transistor, qui permet d'engendrer des signaux périodiques de sortie.

On va maintenant décrire, en relation avec la fig. 4, une autre forme d'exécution du dispositif de l'invention avec laquelle on déclenche un freinage d'urgence quand les signaux produits par les blocs 1 et 2 ne sont pas identiques. En d'autres termes, cette forme d'exécution du dispositif de l'invention s'applique seulement dans le cas où lesdits blocs 1 et 2 sont agencés pour produire des signaux identiques à tout instant.

Dans la réalisation illustrée sur la fig. 4, chaque bloc comprend, comme dans les exemples décrits ci-dessus, un comparateur 101 (et 102). Chaque comparateur comporte deux entrées dont la première, respectivement 103 et 104, reçoit des signaux en dents de scie présentant une pente constante. Les secondes entrées 105 et 106 de ces comparateurs 101 et 102 sont alimentées par des sources de signaux de référence délivrant des tensions de valeurs Vi et V2, respectivement.

Dans ce dispositif, on prévoit un amplificateur différentiel saturable 110, dont la première entrée 111 reçoit, par un conducteur 115a, le signal en dents de scie alimentant également l'entrée 103 du comparateur 101. La seconde entrée 112 de l'amplificateur différentiel 110 reçoit un signal qui est constitué

5

10

15

20

25

30

35

40

45

50

55

60

65

7

620 533

par la somme du signal en dents de scie alimentant l'entrée 104 du comparateur 102 et d'un signal alternatif de fréquence f et d'amplitude 5V déterminés. L'amplitude 5V est sensiblement inférieure aux tensions Vi et V2 et la fréquence f est nettement supérieure à la fréquence d'apparition des signaux en dents de 5 scie. Dans un exemple de réalisation, la fréquence f est de 10 kHz. Ledit signal périodique est engendré par un oscillateur 113 alimentant l'enroulement primaire d'un transformateur 114 dont l'enroulement secondaire est installé en série avec le conducteur 115 sur lequel est appliqué le signal en dents de scie alimen- 10 tant ladite entrée 104 du comparateur 102.

La sortie de l'amplificateur différentiel 110 est reliée à l'entrée d'un filtre passe-bande 116. La bande passante de ce filtre comprend la fréquence f du signal engendré par l'oscillateur 113.

La sortie du filtre 116 est connectée à l'entrée d'un circuit 15 redresseur 117. Le signal apparaissant sur la sortie de ce circuit redresseur est utilisé pour maintenir fermées les électrovannes de commande du freinage d'urgence.

En fonctionnement normal, les signaux en dents de scie apparaissant sur les conducteurs 115 et 115a ont, à chaque instant, la 20 même valeur. Dans ces conditions, sur la sortie de l'amplificateur différentiel 110 n'apparaît que le signal fourni par l'oscillateur 113. On obtient donc un signal sur la sortie du filtre 116. Ce signal est redressé par le circuit 117 qui fournit un signal continu permanent empêchant le déclenchement d'un freinage d'urgence. 25

Si, au contraire, à la suite d'un incident, les signaux en dents de scie présentent des valeurs différentes pouvant dépasser l'amplitude SV, le signal de différence saturera l'amplificateur différentiel 110, et le signal de sortie de cet amplificateur ne contiendra alors plus la fréquence f. Dans ces conditions, on 30 n'obtiendra pas de signal sur la sortie du circuit 117, ce qui provoquera le déclenchement d'un freinage d'urgence.

L'avantage de la forme d'exécution que l'on vient de décrire en relation avec la fig. 4 est qu'elle permet de détecter rapidement les incidents survenant au dispositif de sécurité. En effet, le signal de sortie du circuit 117 peut être exploité pour déclencher, de façon immédiate, un freinage d'urgence. Au contraire, les signaux produits par le dispositif décrit en relation avec les fig. I à 3 ne permettent de déclencher un freinage d'urgence, en général qu'après deux séquences de parcours du train ; en effet, la détection d'un défaut n'est réalisée qu'après le parcours d'une séquence.

Le dispositif de sécurité que l'on vient de décrire en relation avec les fig. 1 à 4 peut se prêter à de nombreuses variantes de réalisation. En particulier, le nombre de voies du dispositif de sécurité n'est pas limité à deux. En outre, il n'est pas indispensable que les deux voies soient, comme dans l'exemple décrit, réalisées de façon identique; cette dernière considération s'applique non seulement aux éléments qui ont été représentés, mais aussi à tous les organes contribuant à produire les signaux alimentant le dispositif de sécurité. Egalement en ce qui concerne les variantes, il est à noter que la décorrélation d'une durée 0 entre les signaux de sortie des blocs 1 et 2 (fig. 1) peut être réalisée non seulement en choisissant des valeurs-seuils distinctes, mais également en décalant pour une voie d'un nombre déterminé d'impulsions d'horloge le début du comptage de détermination du temps de parcours d'une séquence; cette décorrélation peut être également réalisée des deux manières indiquées.

Enfin, le dispositif de sécurité que l'on a décrit peut trouver de nombreuses applications. Il s'applique de façon générale à une installation ou un appareil fonctionnant de façon séquentielle.

Outre les avantages déjà mentionnés, on indiquera que le dispositif de sécurité conforme à l'invention est de réalisation particulièrement simple et économique.

R

1 feuille dessins

Claims

620 533

1. Dispositif de sécurité pour une installation ou un appareil, notamment un véhicule, propre à fonctionner de façon séquentielle, ce dispositif étant destiné à commander l'arrêt du fonctionnement de ladite installation ou dudit appareil quandi au moins sur une séquence, un paramètre représentatif dudit fonctionnement dépasse dans un sens donné un seuil déterminé, et comportant au moins un premier et un second organe (1,2) propres à émettre chacun, pour chaque séquence, un signal de comparaison ayant une première valeur quand, sur cette séquence, ledit paramètre ne dépasse pas ledit seuil, ce signal de comparaison ayant une seconde valeur, différente de la première, quand ledit paramètre dépasse, sur ladite séquence, ledit seuil, caractérisé en ce qu'il comporte des moyens de coïncidence (26) comprenant, d'une part, au moins une première et une seconde entrée (27, 29) reliées, respectivement, à la sortie du premier et du second organe (1,2) et, d'autre part, au moins une sortie (31) sur laquelle apparaît, pour chaque séquence, un signal ayant un premier niveau quand les signaux appliqués sur lesdites entrées présentent, simultanément, la première valeur, ce signal de sortie ayant un second niveau, différent du premier, dans les autres cas, ledit signal de sortie présentant le second niveau étant propre à commander l'arrêt du fonctionnement de ladite installation ou dudit appareil.

2. Dispositif de sécurité selon la revendication 1, caractérisé en ce qu'il comprend des moyens de blocage à mémoire (20,23 ; 40, 43) agencés pour qu'à la sortie des moyens de coïncidence (26) apparaisse, pour les séquences ultérieures, un signal présentant le second niveau lorsqu'au cours d'une séquence les signaux de comparaison émis par le premier et le second organe n'ont pas présenté, simultanément, la même valeur.

2

REVENDICATIONS

3. Dispositif de sécurité selon la revendication 2, caractérisé en ce que les moyens de coïncidence présentent plusieurs sorties et en ce que les moyens de blocage à mémoire comprennent, pour chaque organe émetteur de signal de comparaison, un élément (23, 43) à mémoire et un élément (20, 40) à porte ET à deux entrées (21, 22; 41, 42), l'entrée (33, 46) de chaque élément à mémoire étant reliée à une sortie respective des moyens de coïncidence (26), la sortie (24,44) de chaque élément à mémoire étant connectée à la première entrée (22, 42) de l'élément à porte ET correspondant, la seconde entrée (21, 41) de cet élément à

porte ET étant reliée à la sortie de l'organe émetteur associé, les sorties (25, 45) des éléments à porte ET correspondant aux premier et second organes émetteurs étant reliées respectivement aux première et seconde entrées des moyens de coïncidence, ledit élément à mémoire fournissant sur sa sortie un signal d'une première valeur quand est apparu sur son entrée un signal dudit premier niveau, le signal de sortie de cet élément à mémoire étant propre à passer de la première à la seconde valeur lorsqu'est appliqué, sur la seconde entrée dudit élément à porte ET, un signal de comparaison ayant ladite première valeur.

4. Dispositif de sécurité selon la revendication 3, caractérisé en ce que ledit élément à mémoire comporte un condensateur (80, 80').

5. Dispositif de sécurité selon la revendication 3, caractérisé en ce que les moyens à coïncidence comprennent au moins trois sorties (30, 31, 32) délivrant des signaux de même niveau, ces sorties étant galvaniquement isolées, la première (31) de celles-ci étant propre à commander ledit arrêt du fonctionnement, la seconde (30) de celles-ci étant reliée à l'entrée de l'élément à mémoire associé au premier organe émetteur et la troisième (32) de ces sorties étant connectée à l'entrée de l'élément à mémoire associé au second organe émetteur.

6. Dispositif de sécurité selon la revendication 1, caractérisé en ce que le premier et le second organe émetteur d'un signal de comparaison comprennent, chacun, un générateur d'impulsions (1,2), chacun de ces générateurs étant propre à engendrer une impulsion au cours de chaque séquence, cette impulsion ayant une première valeur quand, sur cette séquence, ledit paramètre ne dépasse pas ledit seuil, dans le sens donné, cette impulsion ayant une seconde valeur quand ce paramètre, sur cette séquence, dépasse ce seuil dans le sens donné, l'impulsion produite par le générateur du second organe apparaissant, pour une même séquence, en fonctionnement normal, après un temps déterminé après l'apparition de l'impulsion produite par le générateur d'impulsions du premier organe, au moins le premier organe comportant des moyens à retard (3) dont l'entrée est reliée à la sortie du générateur d'impulsions correspondant, de façon que les signaux se présentant sur les sorties du premier et du second organe, et correspondant à la même séquence, apparaissent de façon sensiblement simultanée en fonctionnement normal.

7. Dispositif de sécurité selon la revendication 1, caractérisé en ce que chacun desdits organes émetteurs d'un signal de comparaison comprend un comparateur (101, 102) et un élément générateur d'un signal variant de façon déterminée en fonction dudit paramètre, la sortie de cet élément générateur étant reliée à une première entrée (103, 104) dudit comparateur, dont la seconde entrée (105, 106) est propre à recevoir un signal représentatif dudit seuil, les signaux produits par les éléments générateurs du premier et du second organe ayant, à chaque instant, des valeurs pratiquement identiques, et en ce qu'il comporte un amplificateur différentiel (110) dont la première entrée est reliée à la sortie de l'élément générateur du premier organe, des moyens générateurs (113) d'un signal de fréquence déterminée, des moyens additionneurs (45) propres à faire la somme du signal produit par l'élément générateur du second organe et du signal fourni par lesdits moyens générateurs, la sortie de ces moyens additionneurs étant reliée à la seconde entrée (112) de l'amplificateur différentiel, et des moyens de filtrage (116) du type passe-bande reliés à la sortie de l'amplificateur différentiel, la bande passante de ces moyens de filtrage comportant ladite fréquence déterminée, la sortie de ces moyens de filtrage étant connectée à des moyens de commande d'arrêt de façon à déclencher un arrêt du fonctionnement lorsque le signal fourni par lesdits moyens de filtrage tombe au-dessous d'une valeur prédéterminée au moins pour une séquence.