EP2300301B1

EP2300301B1 - Méthode et système de communication pour un contrôle sécurisé d'itinéraire

Info

Publication number: EP2300301B1
Application number: EP08875602.8A
Authority: EP
Inventors: Armand Pierre Bohe; Patrice Cortial; Regis Degouge; Jean-Luc Halle
Original assignee: Siemens SAS
Current assignee: Siemens SAS
Priority date: 2008-07-14
Filing date: 2008-07-14
Publication date: 2017-05-17
Anticipated expiration: 2028-07-14
Also published as: US20110118902A1; WO2010007216A1; KR20110044202A; TW201009760A; CA2730740A1; BRPI0822990B1; HUE033175T2; EP2300301A1; BRPI0822990A2; ES2637798T3; CN102089198A

Description

La présente invention concerne une méthode et un système de communication pour un contrôle sécurisé d'itinéraire selon le préambule des revendications 1 et 8.
Le dit contrôle sécurisé d'itinéraire vise en particulier des véhicules de transport publics s'y déplaçant tels qu'une unité de transport ferroviaire, un métro, un tramway, un trolley, un bus, etc. L'invention est également adaptée à un type de véhicule dont le guidage peut être effectué d'une façon complètement autonome d'un chauffeur dans le véhicule. C'est le cas par exemple d'un véhicule géré par un système de guidage automatique sur un itinéraire muni d'un automatisme (ferroviaire) de commande de guidage interfacé à une signalisation tel que du type standard CBTC (= « Communication-Based Train Control »). Par extension toutefois sans restriction sur ce type de véhicule, le terme « train » pourra être communément utilisé dans la suite du document, sans cependant omettre tous les types de véhicules énumérés ci-dessus.
Classiquement dans une signalisation ferroviaire, une logique de commande sécurisée de destruction d'urgence d'itinéraire, permet en dehors des modes d'exploitation nominaux de détruire un itinéraire en préservant la sécurité du système. Cette logique est fondée sur une définition statique de paramètres nécessaires à son bon fonctionnement. Ces paramètres sont dimensionnés pour être compatibles avec le pire cas de trains circulant sur une zone dite « de manoeuvre », sur laquelle des risques de collisions sont à prendre en compte, de manoeuvre d'aiguille sous le train, donc devant être rendue non circulable.
Actuellement, une méthode de contrôle sécurisé d'itinéraire parcouru par un véhicule circulant sur une zone d'approche d'une zone de manoeuvre est connue, pour laquelle :

la zone de manoeuvre est précédée d'une signalisation de fermeture disposée au sol (feux d'arrêt au niveau de la jonction de la zone d'approche et de la zone de manoeuvre) et adaptée pour informer le véhicule de s'arrêter,
une temporisation sécuritaire fixe est suffisamment dimensionnée (suffisamment longue en terme de durée d'approche) par une unité de commande au sol pour garantir un arrêt du véhicule avant son franchissement sur la zone de manoeuvre.

La temporisation sécuritaire est ainsi choisie longue, afin que le pire cas (collision, déraillement) soit évité quelque soit le type ou les caractéristiques d'approche du véhicule, même si celui-ci devait inévitablement ne pas pouvoir s'arrêter à un seuil limite de la zone d'approche. En d'autres termes, cette temporisation fixée se révèle fort longue alors que la technologie sécuritaire des trains se voit améliorée au fil des ans. Ceci provoque des arrêts de trains de longues durées et bloque donc le trafic outre mesure.
Le principe de la logique de commande précitée se fonde ainsi sur une signalisation classique pour laquelle la sécurité d'une « destruction » manuelle d'itinéraire (zone de manoeuvre à détruire pour éviter son franchissement) repose sur la temporisation sécuritaire et éventuellement sur une information de présence d'un train sur la zone d'approche associée à un signal d'arrêt (feux d'arrêt lumineux, disjoncteur d'alimentation motrice, etc.). L'itinéraire est détruit suivant une possible séquence selon laquelle:

1 - à la réception d'une (télé-)commande de destruction d'itinéraire provenant de l'unité de commande au sol, le signal d'arrêt au sol est fermé ;
2 - la temporisation sécuritaire est initialisée et l'itinéraire (zone de manoeuvre) est détruit après écoulement de celle-ci.

1 - le train a réussi à s'arrêter en amont du signal et ne peut plus franchir le signal (respect du signal fermé). La destruction de l'itinéraire (zone de manoeuvre) peut alors se faire en toute sécurité.
2 - Le train n'a pas pu s'arrêter en amont du signal mais il est alors protégé d'une collision ou d'un déraillement sur la zone de manoeuvre, soit par un enclenchement d'une aiguille qui verrouille cette dernière et empêche tout autre train de parcourir la même zone de manoeuvre, soit parce que le train a franchi en totalité la zone de manoeuvre et il n'est plus concerné par la destruction d'itinéraire.

Le document EP 1 752 355A1 divulgue un train qui confirme la distance d'arrêt dont il a besoin en cas d'annulation de son itinéraire.
Pour ces raisons, un but de la présente invention est alors de réduire le temps nécessaire de la destruction d'urgence d'itinéraire en zone de manoeuvre tout en garantissant le caractère sécuritaire.
Une solution avantageuse sous forme de méthode ainsi que sous forme de système est ainsi proposée au travers de revendications indépendantes 1 et 8.
Plus précisément, une méthode de contrôle sécurisé d'itinéraire parcouru par un véhicule circulant sur une zone d'approche d'une zone de manoeuvre est proposée, pour laquelle :

la zone de manoeuvre est précédée d'une signalisation de fermeture disposée au sol et adaptée pour informer le véhicule de s'arrêter,
une temporisation sécuritaire est dimensionnée par une unité de commande au sol pour garantir un arrêt du véhicule avant son franchissement sur la zone de manoeuvre,
en parallèle de la signalisation de fermeture une requête d'information provenant de l'unité de commande au sol est transmise à une unité sécuritaire de commande embarquée dans le véhicule,
l'unité sécuritaire de commande embarquée ou un module d'évaluation associé évalue la capacité de freinage du véhicule sur la base d'un bilan énergétique lié à la cinétique du véhicule et la code (binairement par exemple) dans une information requise par l'unité de commande au sol, puis transmise en retour à l'unité de commande au sol,
suivant un état de l'information, l'unité de commande au sol minimise la temporisation sécuritaire, voire l'annule complètement si l'état de l'information assure un état clairement permissif de l'arrêt du véhicule hors de la zone de manoeuvre.

Une réalisation de l'invention ainsi décrite prévoit donc que suite à une commande manuelle d'urgence de destruction d'itinéraire émanant d'une signalisation de fermeture ou d'une unité de commande au sol, des paramètres dynamiques du train soient pris en compte, voire aussi transmis entre le train et le sol, en particulier les paramètres liés à la détermination d'une distance d'arrêt physique codable binairement (dans l'information requise) pour pouvoir la comparer à une distance acceptable d'arrêt ou d'un module de décision binaire (au niveau de l'unité de commande au sol). Si la distance codée binairement est inférieure à la distance acceptable, la temporisation sécuritaire peut même être annulée complètement.
Un codage linéaire peut ainsi être également envisagé de façon à transmettre des signaux plus graduels comme des distances métriques aboutissant de toute façon à évaluer si la temporisation sécuritaire initiale peut être diminuée ou voire annulée. Cet aspect permet ainsi d'affiner l'ajustement de la temporisation sécuritaire dans le but de la réduire.
Le codage peut aussi être sécurisé (par exemple au moyen d'un calcul de distance d'arrêt en redondance) et crypté afin de protéger plus sécuritairement l'échange d'information entre train et sol et donc pour éviter une réduction de la temporisation sécuritaire au cas où l'information liée au bilan énergétique était calculée de façon erronée ou transmise par erreur voire dans de mauvaises augures.
Un ensemble de sous-revendications présente également des avantages de l'invention.
Afin de décrire l'invention, en particulier sous ses plusieurs aspects techniques et leurs avantages, des exemples de réalisation et d'application sont fournis à l'aide de figures décrites :

Figure 1: Système de communication pour le contrôle sécurisé d'itinéraire.
Figure 2: Système de communication pour le contrôle sécurisé d'itinéraire adapté à un automatisme de type CBTC.

Figure 1 présente un système de communication pour le contrôle sécurisé d'itinéraire parcouru par un véhicule A circulant sur une zone d'approche ZA d'une zone de manoeuvre ZM pour lequel :

la zone de manoeuvre est précédée d'une signalisation de fermeture D, C, F disposée au sol et adaptée pour informer le véhicule de s'arrêter,
une unité de commande au sol USOL comprend une temporisation sécuritaire TS étant dimensionnée pour garantir un arrêt du véhicule avant son franchissement sur la zone de manoeuvre,
en parallèle de la signalisation de fermeture D, C, F une requête d'information RI provenant de l'unité de commande au sol est transmise à une unité sécuritaire de commande USEMB embarquée dans le véhicule, de préférence par un moyen de communication aérien,
l'unité sécuritaire de commande embarquée USEMB comprend (ou est connectée à) un module d'évaluation ME de la capacité de freinage du véhicule sur la base d'un bilan énergétique lié à la cinétique du véhicule,
un module embarqué de décodage de la requête d'information RI commande un module de codage (binaire) MCB d'une l'information requise IR en retour par l'unité de commande au sol USOL, puis transmise en retour à l'unité de commande au sol USOL,
suivant l'état (binaire) de l'information requise IR lié au bilan énergétique, l'unité de commande au sol comprend un module de décision et de redéfinition de la temporisation sécuritaire, visant à minimiser celle-ci, voire l'annuler.

Structurellement, figure 1 est un exemple de réalisation adapté à un système de communication dans le cadre d'une signalisation au sol classique comprenant un feu d'arrêt F (visible par un chauffeur de train sur la zone d'approche ZA) commandé par l'unité de commande au sol USOL via un signal de commande C. L'unité de commande au sol USOL est elle-même commandée par un opérateur F qui souhaite activer une destruction d'itinéraire (ou de déplacement) possible sur la zone de manoeuvre ZM via un signal de destruction D envoyé à l'unité de commande au sol USOL. Dans cette situation, l'unité de commande au sol USOL active la fermeture du feu d'arrêt F auquel cas la requête d'information RI est également envoyée de l'unité de commande au sol USOL à l'unité sécuritaire de commande embarquée USEMB. A ce stade, la temporisation sécuritaire TS est encore par défaut choisie à sa valeur maximale suivant le type de train/situation du pire des cas pour un freinage exigé. L'activation de l'envoi de la requête d'information RI est effectuée après identification de l'approche du train sur la zone d'approche ZA, en ayant pris en compte une distance de sécurité suffisamment élevée correspondant à la valeur maximale de temporisation sécuritaire TS. Le conducteur ou un automatisme embarqué prennent alors immédiatement leurs dispositions pour arrêter le train.
L'unité de commande au sol USOL est alors en mode d'attente d'un retour d'information (information requise RI) suite à la requête d'information RI précédemment initiée.
Plusieurs cas sont alors envisageables :

1 ^er cas: le train A répond « positivement ».

A la réception de la requête d'information RI, un calculateur de sécurité lié à l'unité sécuritaire de commande embarquée USEMB du train A, à partir de sa localisation évalue son énergie et la compare à sa capacité de freinage.
Si le train A a la capacité de s'arrêter sur la zone d'approche ZA sans franchissement de la zone de manoeuvre ZM, le calculateur de sécurité répond positivement à l'unité de commande au sol USOL en envoyant l'information requise IR, c'est-à-dire par exemple un message de type binaire 0-1 pouvant être accompagné de son domaine de marche et autorisant ou non la réduction voire l'annulation de la temporisation sécuritaire TS.
A la réception de l'information requise IR, l'unité de commande au sol USOL vérifie le signal binaire 0/1, que le domaine de marche correspond bien à l'itinéraire à détruire et que le train A garantit bien le respect du signal d'arrêt F. Ainsi selon l'invention, l'unité de commande au sol USOL autorise alors le dispositif de destruction d'itinéraire D à détruire immédiatement l'itinéraire (non prise en compte de la temporisation sécuritaire TS).
L'opérateur F est alors informé de la destruction de l'itinéraire via un signal RES émis par l'unité de commande au sol USOL.
Les échanges de requête d'information RI et d'information requise IR entre l'unité de commande au sol USOL et l'unité sécuritaire de commande embarquée USEMB se font idéalement par voie aériennes E, par exemple via radiofréquence.
2 ^ème cas le train A répond « négativement » à la demande ou ne répond pas (panne liée au train ou train non équipé d'un automatisme ou d'unité sécuritaire de commande embarquée USEMB adaptée):

Le dispositif de destruction d'itinéraire D attend la fin de la temporisation sécuritaire TS (par défaut maximale) pour détruire physiquement l'itinéraire (= déplacement sur la zone de manoeuvre ZM).

L'opérateur F est informé de la destruction de l'itinéraire via le signal RES.
Figure 2 présente un système de communication pour le contrôle sécurisé d'itinéraire adapté à un automatisme H_CBTC de type CBTC interfacé entre l'unité de commande au sol USOL et l'unité sécuritaire de commande embarquée USEMB.
Les échanges de requête d'information RI et d'information requise IR tels qu'à la figure 1 s'effectuent alors ici entre l'unité sécuritaire de commande embarquée USEMB et l'automatisme H_CBTC qui va donc lui-même commander l'unité de commande au sol USOL pour activer une réduction de temporisation sécuritaire TS par le biais d'un signal de destruction DI. Inversement, une requête d'information liée à une demande de destruction d'un opérateur ou de l'unité de commande au sol USOL sera dirigée vers l'unité sécuritaire de commande embarquée USEMB du train via l'automatisme H_CBTC par l'intermédiaire du signal de destruction D, puis d'un signal de destruction « étendu » D_CBTC depuis l'unité de commande au sol USOL vers l'automatisme H_CBTC même.
Dans cet exemple, l'automatisme H CBTC a le rôle d'un conducteur de train connaissant ainsi tous les paramètres dynamiques du train et peut aussi disposer de données provenant de toute source d'information lié au trafic sur des zones diverses, à la signalisation, etc. Ceci est donc très avantageux dans le cas d'une gestion dynamique du trafic de véhicules sans conducteur, en particulier permettant des zones de marche plus étroitement contrôlées.
Tel qu'à la figure 1, l'opérateur F commande une destruction manuelle d'itinéraire à l'unité de commande au sol USOL.
L'unité de commande au sol USOL ferme immédiatement le signal d'arrêt F associé à l'itinéraire, enclenche le dispositif de destruction manuelle d'itinéraire via le signal de destruction D (initialisation de la temporisation sécuritaire TS à sa valeur maximale) et envoie à l'équipement d'automatisme H_CBTC au sol une information de destruction d'itinéraire en cours via le signal,étendu D_CBTC afin de permettre l'envoi de requête d'information RI vers l'unité sécuritaire de commande embarquée USEMB.
Le conducteur si présent ou l'unité sécuritaire de commande embarquée USEMB prennent immédiatement les dispositions pour arrêter le train A.
L'automatisme H_CBTC au sol identifie alors le train A en approche du signal d'arrêt F, et par une liaison sol/train envoie la requête d'information RI qui comprend une requête d'arrêt du train A.
L'équipement d'automatisme H_CBTC au sol se met alors en attente d'une réponse IR à la requête d'information RI:

1 ^er cas: le train A répond « positivement ».

A la réception de la requête d'information RI, l'unité sécuritaire (aussi compatiblement automatisée selon le type CBTC) de commande embarquée USEMB du train A, à partir de sa localisation évalue son énergie et la compare à sa capacité de freinage.
Si le train A a la capacité de s'arrêter, l'unité sécuritaire de commande embarquée USEMB répond positivement à l'équipement d'automatisme H_CBTC en lui retournant l'information requise IR, c'est-à-dire par exemple un message de type binaire 0-1 pouvant être accompagné de son domaine de marche et autorisant ou non la réduction voire l'annulation de la temporisation sécuritaire TS.
A la réception du message, l'équipement d'automatisme H_CBTC au sol vérifie que le domaine de marche correspond bien à l'itinéraire à détruire et que le train A garantit bien le respect du signal d'arrêt F.
L'équipement d'automatisme H CBTC au sol informe l'unité de commande au sol USOL du respect (ou non) du signal F par le train A en approche au moyen d'un signal binaire de destruction DI.
Suivant l'état permissif du signal binaire de destruction DI, l'unité de commande au sol USOL autorise alors le dispositif de destruction d'itinéraire D à détruire immédiatement l'itinéraire (non prise en compte, annulation de la temporisation sécuritaire TS).
L'opérateur F est informé de la destruction de l'itinéraire par l'unité de commande au sol USOL.
2 ^ème cas le train A répond « négativement » à la requête d'information RI ou ne répond pas (panne liée au train ou train non équipé d'un automatisme ou d'unité sécuritaire de commande embarquée USEMB adaptée).
L'unité de commande au sol USOL, en mode d'attente, attend si besoin jusqu'à la fin de la temporisation sécuritaire TS pour détruire l'itinéraire. Ainsi, aucun risque de diminuer la temporisation sécuritaire TS « prématurément » ne peut subsister.
L'opérateur F est ensuite informé de la non-destruction de l'itinéraire par l'unité de commande au sol USOL.
Les deux systèmes de communication selon figures 1 et 2 permettent ainsi de mettre en oeuvre la méthode de contrôle sécurisé proposée précédemment aux figures.
En résumé :

suivant l'état de l'information requise IR, l'unité de commande au sol USOL annule la temporisation sécuritaire TS si un état idéalement binaire de l'information requise IR assure un arrêt du train A sans franchissement de la zone de manoeuvre ZM. Ceci est donc un avantage majeur au niveau de l'épargne de temps destiné au trafic lié à des manoeuvres ou autres actions de service sans fonction de transport public particulier.
suivant l'état de l'information requise IR, l'unité sécuritaire de commande embarquée USEMB retransmet un ordre de sûreté d'arrêt accompagné idéalement d'un domaine de marche à l'unité de commande au sol USOL. Cette transmission aérienne est ainsi dynamiquement effectuée tout en restant sécuritaire entre le train A et le sol.
l'unité de commande au sol USOL et l'unité sécuritaire de commande embarquée USEMB peuvent communiquer par l'intermédiaire d'un automatisme au sol H_CBTC qui au moins détecte et ordonne un déplacement du véhicule sur la zone d'approche ZA et qui communique par interfaçage à des équipements de signalisation (au sol). Ceci rend donc la méthode selon l'invention flexiblement adaptable à des trains équipés de moyens automatisés pour lesquels les technologies de communication et de commande sont de plus en plus performantes via des outils évolutifs. A l'opposé, l'invention est aussi adaptée à des trains non équipés de tels automatismes, ce qui la rend universellement applicable pour des réseaux de trafic existants et voués à être actualisés ou modernisés.
la présente méthode est applicable pour tout type de véhicule de transport public muni d'un émetteur/récepteur radiofréquence et s'affranchit de tout lien de communication physique de type rail ou caténaire entre le train et le sol. Ceci est permis car l'unité sécuritaire de commande embarquée USEMB communique avec des équipements au sol USOL, H_CBTC au moyen d'une liaison aérienne E. Il est ainsi appréciable de pouvoir effectuer en permanence une liaison sécuritaire, alors qu'un châssis de véhicule est guidé par aucun voire au moins un, deux ou trois rails.
la requête d'information RI et l'information requise IR peuvent être codées binairement de façon à simplifier les échanges d'informations liés à l'invention, mais aussi de pouvoir être compatibles à des mécanismes d'activation au sol, comme une aiguille dans la zone de manoeuvre, une fois que la sécurisation sur cette zone est assurée conformément à l'invention.

Claims

Méthode de contrôle sécurisé d'itinéraire parcouru par un véhicule (A) circulant sur une zone d'approche (ZA) d'une zone de manoeuvre (ZM), pour laquelle :
- la zone de manoeuvre est précédée d'une signalisation de fermeture (D, C, F) disposée au sol et adaptée pour informer le véhicule de s'arrêter,

- une temporisation sécuritaire (TS) est dimensionnée par une unité de commande au sol (USOL) pour garantir un arrêt du véhicule avant son franchissement sur la zone de manoeuvre,

- en parallèle de la signalisation de fermeture (D, C, F) une requête d'information (RI) provenant de l'unité de commande au sol est transmise à une unité sécuritaire de commande (USEMB) embarquée dans le véhicule, caractérisée en ce que

- l'unité sécuritaire de commande embarquée évalue la capacité de freinage du véhicule sur la base d'un bilan énergétique lié à la cinétique du véhicule et la code dans une information requise (IR) par l'unité de commande au sol, puis transmise en retour à l'unité de commande au sol,

- suivant un état de l'information requise lié au bilan énergétique, l'unité de commande au sol minimise la temporisation sécuritaire.
Méthode selon revendication 1, pour laquelle suivant l'état de l'information requise, l'unité de commande au sol annule la temporisation sécuritaire si cet état, idéalement binaire, assure un arrêt du train sans franchissement de la zone de manoeuvre.
Méthode selon une des revendications 1 à 2, pour laquelle suivant l'état de l'information requise, l'unité sécuritaire de commande embarquée retransmet un ordre de sûreté d'arrêt accompagné d'un domaine de marche à l'unité de commande au sol.
Méthode selon revendication 3, pour laquelle l'unité de commande au sol et l'unité sécuritaire de commande embarquée communiquent par l'intermédiaire d'un automatisme au sol (H_CBTC) qui au moins détecte et ordonne un déplacement du véhicule sur la zone d'approche (ZA) et qui communique par interfaçage à des équipements de signalisation.
Méthode selon une des revendications précédentes, pour laquelle le véhicule est guidé par au moins un rail.
Méthode selon une des revendications précédentes, pour laquelle l'unité sécuritaire de commande embarquée communique avec des équipements au sol au moyen d'une liaison aérienne (E).
Méthode selon une des revendications précédentes, pour laquelle la requête d'information (RI) et l'information requise (IR) sont codées binairement.
Système de communication pour le contrôle sécurisé d'itinéraire parcouru par un véhicule circulant sur une zone d'approche (ZA) d'une zone de manoeuvre (ZM) pour lequel :
- la zone de manoeuvre est précédée d'une signalisation de fermeture (D, C, F) disposée au sol et adaptée pour informer le véhicule de s'arrêter,

- une unité de commande au sol (USOL) comprend une temporisation sécuritaire (TS) étant dimensionnée pour garantir un arrêt du véhicule avant son franchissement sur la zone de manoeuvre,

- en parallèle de la signalisation de fermeture (D, C, F) une requête d'information (RI) provenant de l'unité de commande au sol est transmise à une unité sécuritaire de commande (USEMB) embarquée dans le véhicule, caractérisé en ce que

- l'unité sécuritaire de commande embarquée comprend un module d'évaluation (ME) de la capacité de freinage du véhicule sur la base d'un bilan énergétique lié à la cinétique du véhicule,

- un module embarqué de décodage de la requête d'information (RI) qui commande un module de codage (MCB) d'une information requise (IR) par l'unité de commande au sol, puis transmise en retour à l'unité de commande au sol,

- suivant un état de l'information requise (IR) lié au bilan énergétique, l'unité de commande au sol comprend un module de redéfinition de la temporisation sécuritaire, visant à minimiser celle-ci, voire l'annuler.
Système selon revendication 8, pour lequel l'unité de commande au sol et l'unité sécuritaire de commande embarquée sont reliés par un automatisme au sol (H_CBTC) qui au moins détecte et ordonne un déplacement du véhicule sur la zone d'approche (ZA) et qui communique par interfaçage avec des équipements de signalisation.