EP2643198B1

EP2643198B1 - Méthode de sécurisation d'un système de pilotage d'un véhicule multi-unité reconfigurable et système de pilotage sécurisé

Info

Publication number: EP2643198B1
Application number: EP11757325.3A
Authority: EP
Inventors: Eric Chenu
Original assignee: Siemens SAS
Current assignee: Siemens SAS
Priority date: 2010-11-23
Filing date: 2011-09-15
Publication date: 2017-11-01
Anticipated expiration: 2031-09-15
Also published as: BR112013012848A2; CA2818605A1; US20130245865A1; HUE037885T2; US8755957B2; KR20130140743A; CN103313902A; BR112013012848B1; ES2658184T3; EP2643198A1; WO2012069223A1

Description

La présente invention concerne une méthode de sécurisation d'un système de pilotage d'un véhicule multi-unité et un système de pilotage sécurisé dudit véhicule multi-unité, selon les préambules des revendications 1 et 7.
En particulier, la présente invention se rapporte au domaine des véhicules multi-unités reconfigurables, i.e. aptes à être composés de plusieurs unités et dont une configuration ou composition desdites unités dudit véhicule multi-unité est variable, ou autrement dit susceptible d'être modifiée ou re-configurée. De manière préférentielle, la présente invention se rapporte aux véhicules multi-unités dont un fonctionnement d'un système de pilotage, notamment automatique, est corrélable à la composition du véhicule multi-unité.
Ledit véhicule multi-unité appartient en particulier au domaine ferroviaire. Il s'agit par exemple d'un train pouvant être formé de plusieurs unités, par exemple plusieurs voitures et/ou locomotives couplées ou attelées successivement les unes aux autres et constituant une première rame dudit train. La composition dudit train, et donc de ladite première rame, peut alors varier, par exemple par scindage ou couplage de ladite première rame, afin de former une seconde rame composée d'au moins une partie des unités de ladite première rame, auxquelles peuvent être attelées d'autres unités. Ainsi, la composition d'un véhicule multi-unité peut varier en fonction d'un changement d'une disposition ou d'une distribution desdites unités formant ledit véhicule multi-unité, ainsi que par ajout, et/ou respectivement retrait, d'au moins une unité audit, et/ou respectivement dudit, véhicule multi-unité. Afin de garantir en sécurité de tels véhicules multi-unités composés de plusieurs unités disposées selon un ordre de formation, il est en particulier nécessaire que des données de composition dudit véhicule multi-unité, par exemple le nombre d'unités le composant, les caractéristiques desdites unités, les relations entre ces unités, leur couplage ou attelage à une ou deux autres unités, soient connues du système de pilotage destiné à piloter ledit véhicule multi-unité. Ce système de pilotage comprend généralement un calculateur connecté à des modules d'Entrées/Sorties permettant notamment une acquisition et une transmission de données de fonctionnement relatives au pilotage du véhicule multi-unité. Le calculateur est ainsi capable piloter, via les modules d'Entrées/Sorties, ledit véhicule multi-unité, notamment selon un mode automatique, ou encore selon un mode manuel dans lequel le système de pilotage, et donc le calculateur, est apte à être commandé par un conducteur ou un centre de commande. En effet, les données de fonctionnement sont en particulier échangées, via les modules d'Entrées/Sorties, entre ledit calculateur et des dispositifs compris dans au moins une partie des unités composant ledit véhicule multi-unité afin d'assurer son fonctionnement. Ledit échange des données de fonctionnement peut par exemple être mis en oeuvre au moyen d'une connexion bidirectionnelle entre le calculateur et lesdits dispositifs via lesdits modules d'Entrées/Sorties. Le calculateur et les modules d'Entrées/Sorties sont ainsi destinés à permettre et assurer le pilotage du véhicule multi-unité, ou autrement dit son fonctionnement correcte (déplacement, arrêt, ouvertures de portes, ...), en se basant sur les données de composition dudit véhicule multi-unité et sur les données de fonctionnement relatives au pilotage échangeables avec lesdits dispositifs d'au moins une partie desdites unités. Lors d'un changement de la configuration dudit véhicule multi-unité (scindage, couplage avec d'autres unités), lesdites données de compositions doivent être mises à jour afin que le système de pilotage, en particulier son calculateur, soit informé dudit changement de configuration et soit apte à corréler le changement de composition dudit véhicule multi-unité avec un changement des données de fonctionnement relatives au pilotage. En effet, si le calculateur n'est pas informé d'un changement de la composition du véhicule multi-unité, il risque d'interpréter une non-réception des données de fonctionnement des unités qui auront été dételées du véhicule multi-unités (et qui ne peuvent donc plus transmettre de données de fonctionnement relatives au pilotage) comme un risque en sécurité pour ledit véhicule multi-unité, pouvant résulter dès lors en une activation d'une procédure de mise en sécurité du véhicule multi-unité, comme par exemple un freinage d'urgence.
Le système de pilotage du véhicule multi-unité doit notamment être caractérisé par un haut degré de sécurité fonctionnelle afin d'empêcher tout évènement pouvant porter atteinte audit véhicule multi-unité ou à des passagers ou marchandises transportés par ledit véhicule multi-unité. La sécurité de tels systèmes de pilotage peut être caractérisée au moyen de normes de sécurité. En particulier, la norme IEC 61508 définit le SIL (Security Integrity Level), c'est-à-dire le niveau d'intégrité de la sécurité que doit avoir un système afin d'assurer une protection adéquate contre les risques pouvant survenir lors du fonctionnement dudit système. Plus le SIL a une valeur élevée, plus la réduction du risque est importante. Par exemple, un système de sécurité SIL4 apporte une réduction de risque comprise entre 10⁸ à 10⁹ en mode continu d'opération, alors que pour un système SIL1, cette réduction est comprise entre 10⁵ à 10⁶ seulement.
Afin de pouvoir garantir en sécurité le pilotage du véhicule multi-guidé, il faut pouvoir s'assurer que le calculateur du système de pilotage connaît exactement la composition et la configuration dudit véhicule multi-unité (par exemple, quels sont les unités composant un train et selon quel ordre de formation sont-elles ordonnées, ou autrement dit, dans quel ordre sont-elles couplées ou attelées), afin qu'il puisse échanger avec les unités du véhicule multi-unité toutes les données de fonctionnement nécessaires au pilotage dudit véhicule multi-unité. Une telle thématique est notamment abordée dans le document WO 2007/118837 décrivant une méthode d'adressage automatique dans un système de communication, notamment lié au domaine ferroviaire.
De plus, dans le cas d'un changement de la composition d'un véhicule multi-unité, par exemple, lorsqu'un train est scindé en plusieurs parties, le calculateur du système de pilotage doit être rapidement informé dudit changement de composition, par exemple afin de s'autoriser à ne plus prendre en compte des données de fonctionnement d'unités ayant été dételées du train lors de son scindage, et afin de ne pas tomber dans un état de sécurité ayant pour conséquence une mise en alerte d'un centre de surveillance d'un réseau de véhicules multi-unité ou même une activation d'un processus de mise en sécurité, comme un freinage d'urgence dudit véhicule multi-unité.
Malheureusement, les systèmes de pilotage, qu'ils soient automatiques ou manuels et de sécurité (SIL4), connus de l'homme du métier sont essentiellement basés sur des calculateurs "fermés" pour lesquels le périmètre d'Entrées/Sorties n'est pas reconfigurable, i.e. le calculateur est connecté à un ensemble fixe d'Entrées/Sorties de modules d'Entrées/Sorties, ces Entrées/Sorties connectant fixement le calculateur à certains dispositifs fonctionnels des unités gérées par ledit calculateur, et n'étant ainsi pas reconfigurables lors d'un changement de configuration du véhicule multi-unité. Par dispositif fonctionnel, il est fait référence à tout dispositif interagissant avec le système de pilotage afin de permettre le pilotage dudit véhicule multi-unité. Il s'agit par exemple de dispositifs de freinage, d'ouverture de portes, de dispositifs permettant ou surveillant le déplacement dudit véhicule multi-unité, etc. Dès lors, la gestion d'un véhicule multi-unité met généralement en oeuvre plusieurs calculateurs gérant chacun une partie du véhicule multi-unité, chaque calculateur étant connecté à des Entrées/Sorties les connectant de manière fixe à certains dispositifs fonctionnels des ou de l'unité qu'il gère. Bien que la composition du véhicule multi-unité soit ainsi connue par recoupement des informations provenant de chaque calculateur, cette conception du système de pilotage présente le désavantage de devoir gérer des fonctions réparties sur les différents calculateurs, nécessitant notamment des algorithmes de synchronisation desdits calculateurs, dont la complexité augmente avec le nombre d'unités constituant le véhicule multi-unité.
Actuellement, la composition ou la constitution d'un véhicule multi-unité est ainsi généralement déduite de recoupements de plusieurs informations applicatives échangées entre les différents calculateurs dudit véhicule. Ces informations applicatives sont des informations provenant d'autres dispositifs du véhicule multi-unité n'ayant pas toutes pour tâche première la détermination de la composition dudit véhicule multi-guidé. Il s'agit par exemple de données de localisation de la tête et de la queue du véhicule multi-unité transmises au calculateur par des dispositifs de localisations embarqués ou au sol, ou des données d'état des attelages des unités, ou des listes de véhicules multi-unités transmises au calculateur par un pilote automatique au sol non embarqué dans ledit véhicule multi-unité. Le recoupement de ces informations applicatives a le désavantage d'être compliqué et lent, et diminue ainsi les performances de pilotage dudit véhicule multi-unité. En effet, la complexité de l'échange d'informations applicatives entre les calculateurs introduit une perte de performance du système de pilotage, ainsi qu'une plus grande complexité de réalisation dudit système de pilotage, et par conséquence, une plus grande difficulté à démontrer et maintenir la sécurité dudit système de pilotage. De plus, ces informations applicatives peuvent être différentes d'un projet à l'autre ce qui nuit à la généricité des algorithmes.
Un but de la présente invention est de proposer une méthode de sécurisation d'un système de pilotage d'un véhicule multi-unité reconfigurable et un système de pilotage sécurisé qui soient simples, sûrs, fiables et efficaces, capables d'une actualisation automatique et autonome d'une composition du véhicule multi-unité, tout en ayant une capacité de sécurisation SIL4. En effet, la présente invention a pour objectif une détermination et une actualisation automatique de la composition du véhicule multi-unité, indépendamment d'informations applicatives, afin de garantir en sécurité le système de pilotage du véhicule multi-unité.
Dans ce but, une méthode de sécurisation d'un système de pilotage, un système de pilotage sécurisé et un dispositif d'aide à la détermination de la composition d'un véhicule multi-unité sont proposés par le contenu des revendications 1, 7 et 12. Un ensemble de sous-revendications présente également des avantages de l'invention.
La présente invention propose une méthode de sécurisation d'un système de pilotage destiné à équiper et piloter un véhicule multi-unité reconfigurable, comprenant en particulier au moins deux unités attelables l'une à la suite de l'autre, ladite méthode étant caractérisée en ce qu'elle comprend:

une détermination autonome, et de préférence cyclique et automatique, d'une composition du véhicule multi-unité par un dispositif de détermination de la composition dudit véhicule multi-unité corrélée à une génération, de préférence par ledit dispositif de détermination, d'une donnée de composition dudit véhicule multi-unité;
une transmission, de préférence cyclique et automatique, de ladite donnée de composition à un ensemble d'éléments du système de pilotage, au moins un élément desdits éléments dudit ensemble d'éléments étant un calculateur dudit système de pilotage;
une détermination, de préférence cyclique et automatique, par ledit calculateur et au moyen de ladite donnée de composition, d'un ensemble d'Entrées/Sorties d'au moins un module d'Entrée/Sortie destiné à équiper le véhicule multi-unité, ledit module d'Entrées/Sorties équipant par exemple une unité dudit véhicule multi-unité et permettant une communication et un échange de données entre le calculateur et des dispositifs fonctionnels de ladite unité, notamment afin de les contrôler et d'assurer leur fonctionnement correct;
une connexion de chaque élément dudit ensemble d'éléments, et donc dudit calculateur, audit ensemble d'Entrées/Sorties, en particulier chaque élément dudit ensemble d'éléments est connectable à chaque Entrée/Sortie dudit ensemble d'Entrées/Sorties.

La présente invention propose également un système de pilotage sécurisé, et préférentiellement automatique, d'un véhicule multi-unité reconfigurable, comprenant par exemple au moins deux unités attelables l'une à la suite de l'autre, caractérisé en ce que ledit système comprend:

un dispositif de détermination d'une composition du véhicule multi-unité, capable de déterminer de manière autonome ladite composition du véhicule multi-unité et de générer une donnée de composition corrélable à ladite composition dudit véhicule multi-unité, ladite détermination étant notamment autonome en ce qu'elle est indépendante de toute information applicative;
au moins un calculateur comprenant au moins un module de sécurisation, ledit calculateur étant destiné à équiper au moins une unité du véhicule multi-unité, chaque calculateur étant connectable au moyen d'au moins une connexion et via un réseau, d'une part à un ensemble d'Entrées/Sorties de modules d'Entrées/Sorties destinés à équiper une ou plusieurs unités, et d'autre part audit dispositif de détermination de la composition du véhicule multi-unité, afin d'échanger via chaque module d'Entrées/Sorties des données de fonctionnement de l'unité et/ou du véhicule multi-unité, et afin d'acquérir dudit dispositif de détermination, une donnée de composition dudit véhicule multi-unité, ledit réseau étant notamment destiné à permettre une communication entre chaque dispositif de génération d'identité et chaque calculateur, entre chaque calculateur et chaque module d'Entrées/Sorties, et entre chaque calculateur entre eux;
ledit module de sécurisation dynamique de ladite connexion de chaque calculateur avec ledit ensemble d'Entrées/Sorties, ledit module de sécurisation étant destiné à équiper au moins un calculateur, et étant capable de déterminer, à partir de ladite donnée de composition, ledit ensemble d'Entrées/Sorties susceptibles d'être connectées à chaque calculateur, de connecter chaque calculateur audit ensemble d'Entrées sorties, notamment à chaque Entrée/Sortie dudit ensemble d'Entrées/Sorties, et de contrôler, cycliquement ou suffisamment fréquemment (par exemple, au moins un contrôle par intervalle de temps inférieur ou égal à 100 millisecondes), une cohérence entre chaque connexion de chaque calculateur audit ensemble d'Entrées/Sorties, notamment une cohérence entre chaque connexion de chaque calculateur avec chacune desdites Entrées/Sorties dudit ensemble d'Entrées/Sorties et ladite donnée de composition. En particulier, chaque calculateur est susceptible de comprendre un module de sécurisation selon l'invention.

En d'autres termes, la méthode selon l'invention est une méthode de sécurisation, préférentiellement automatique et en particulier de sécurisation SIL4, d'un système de pilotage d'un véhicule multi-unité capable de déterminer à tout instant et de manière fiable, la composition du véhicule multi-unité, et de garantir, à tout instant, une cohérence entre la composition du véhicule multi-unité et les données de fonctionnement du système de pilotage du véhicule multi-unité, par l'association d'au moins un calculateur avec ledit ensemble d'Entrées/Sorties corrélable à ladite composition du véhicule multi-unité. Avantageusement, la méthode selon l'invention est en particulier caractérisée par une vérification cyclique, notamment de fréquence aléatoire ou fixe, mais dans tous les cas une vérification suffisamment fréquente (par exemple, au moins une vérification par intervalle de temps inférieur ou égal à 100 millisecondes), notamment au moyen du module de sécurisation, d'une cohérence entre la connexion de chaque élément dudit ensemble d'éléments avec ledit ensemble d'Entrées/Sorties et ladite donnée de composition.
En particulier, la présente invention est caractérisée en ce que ledit ensemble d'éléments comprend ou est un groupe de calculateurs susceptibles d'être distribués dans chaque unité dudit véhicule multi-unité. En d'autres termes, le système de pilotage selon l'invention comprend préférentiellement ledit groupe de calculateurs pouvant être composé de plusieurs calculateurs identiques, chaque calculateur pouvant notamment être distribué dans une unité du véhicule multi-unité, de sorte que chaque unité soit susceptible d'être équipée par au moins un calculateur. Avantageusement, le module de sécurisation selon l'invention est en particulier capable d'attribuer de façon exclusive la connexion audit ensemble d'Entrées/Sorties, notamment à chaque Entrée/Sortie dudit ensemble d'Entrées/Sorties, à un seul calculateur dudit groupe de calculateurs, les autres calculateurs dudit groupe de calculateurs étant exclus de ladite connexion ou autrement dit, interdits d'accès audit ensemble d'Entrées/Sorties. A cette fin, la méthode selon l'invention est susceptible de comprendre un mécanisme de sécurisation et de priorisation de la connexion d'au moins un calculateur dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties, capable d'attribuer de façon exclusive audit calculateur ladite connexion audit ensemble d'Entrées/Sorties. Le calculateur élu, i.e. ayant l'exclusivité d'accès à l'ensemble d'Entrées/Sorties est appelé le calculateur maître. De manière avantageuse, au moins un autre calculateur dudit groupe de calculateur est en particulier associable au calculateur maître en tant que calculateur redondant dudit calculateur maître. Le système de pilotage selon l'invention est notamment capable non seulement de choisir un calculateur maître parmi le groupe de calculateur, mais aussi de nommer un calculateur redondant parmi ledit groupe de calculateur. Le calculateur redondant est apte à effectuer les mêmes opérations que le calculateur maître, à acquérir les mêmes données de composition et de fonctionnement que le calculateur maître à des fins de vérification et de sécurisation du système de pilotage. En cas de défaillance du calculateur maître, le calculateur redondant est apte à remplacer ledit calculateur maître et à nommer un nouveau calculateur redondant.
De manière préférentielle, ledit mécanisme de sécurisation et de priorisation comprend une génération d'un jeton d'association codé apte à verrouiller ladite connexion d'au moins un calculateur dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties, et une génération d'une clé de déverrouillage apte à déverrouiller ladite connexion d'au moins un calculateur dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties. A cette fin, au moins un calculateur du système de pilotage peut en particulier être équipé d'un module de sécurisation comprenant un module de verrouillage capable de verrouiller chaque connexion du calculateur avec chacune des Entrées/Sorties dudit ensemble d'Entrées/Sorties. Ce module de verrouillage comprend en particulier un générateur de jeton d'association codé apte à générer, notamment cycliquement, d'une part ledit jeton d'association codé afin de verrouiller chaque connexion dudit calculateur avec chacune des Entrées/Sorties dudit ensemble d'Entrées/Sorties, et d'autre part ladite clé de déverrouillage apte à déverrouiller au moins une connexion dudit calculateur avec au moins une des Entrées/Sorties dudit ensemble d'Entrées/Sorties.
De plus, la méthode selon l'invention est en particulier caractérisée en ce que ladite détermination autonome comprend un ajout successif et ordonné à une liste, selon un ordre de composition dudit véhicule multi-unité, d'au moins une donnée identitaire de chaque unité dudit véhicule multi-unité de façon à ce qu'un ordre de succession des données identitaires comprises dans ladite liste soit corrélable à l'ordre de composition des unités dudit véhicule multi-unité, chaque donnée identitaire étant spécifique à une unique unité du véhicule multi-unité, et ladite liste étant apte à être encapsulée dans ladite donnée de composition. En particulier, la donnée identitaire comprend au moins une donnée temporelle, un identifiant de l'unité, une constante de codage, et au moins un identifiant d'un équipement de ladite unité.
De manière préférentielle, le système de pilotage selon l'invention est notamment caractérisé en ce que son dispositif de détermination d'une composition du véhicule multi-unité comprend au moins un dispositif de génération d'identité, chaque dispositif de génération d'identité du dispositif de détermination étant destiné à équiper une unité du véhicule multi-unité, de sorte que chaque unité puisse être équipée d'un seul dispositif de génération d'identité, chaque dispositif de génération d'identité étant capable de générer la donnée identitaire de l'unité qu'il est destiné à équiper. Egalement, la méthode selon l'invention est ainsi en particulier caractérisée par un équipement de chaque unité dudit véhicule multi-unité par ledit dispositif de génération d'identité identique capable de générer ladite donnée d'identité destinée à la détermination de la composition dudit véhicule multi-unité, de façon à ce que chaque unité du véhicule multi-unité est susceptible de comprendre un dispositif de génération d'identité identique, chaque dispositif de génération d'identité étant connectable ou couplable à au moins un autre dispositif de génération d'identité, de sorte à former une chaîne de dispositifs de génération d'identité équipant chacun une unité dudit véhicule multi-unité et couplés l'un à la suite de l'autre.
En particulier, ledit dispositif de génération d'identité, qui est d'une part destiné à permettre la détermination d'une composition du véhicule multi-unité comprenant au moins une unité, et d'autre part susceptible d'équiper ledit système de pilotage dudit véhicule multi-unité, est caractérisé en ce qu'il comprend:

un générateur de données identitaires capable de générer ladite donnée identitaire de l'unité que le dispositif de génération d'identité est destiné à équiper, ladite donnée identitaire étant destinée à permettre une identification de ladite unité;
un détecteur de connexion apte à détecter une présence ou une absence de couplage dudit dispositif de génération d'identité avec au moins un autre dispositif de génération d'identité;
un générateur de liste capable de créer une liste d'éléments destinée à comprendre des éléments aptes à être ordonnés et ajoutés successivement;
un composant de sérialisation capable d'ajouter un autre élément à ladite liste, soit à la suite d'un dernier élément d'une liste d'éléments ordonnables successivement destinée à être réceptionnée par ledit dispositif de génération d'identité, soit comme premier élément de la liste d'éléments susceptible d'être créée par le générateur de liste, ledit autre élément comprenant ladite donnée identitaire;
un transmetteur de liste capable de transmettre ladite liste d'éléments comprenant ledit autre élément soit à un autre dispositif de génération d'identité, soit à au moins un calculateur, comprenant notamment ledit module de sécurisation du système de pilotage du véhicule multi-unité, après encapsulation de ladite liste dans une donnée de composition dudit véhicule multi-unité.

Préférentiellement, ladite détermination de la composition du véhicule multi-unité est réalisée au moyen dudit dispositif de génération d'identité selon les étapes suivantes:

une génération par chaque dispositif de génération d'identité de chaque unité du véhicule multi-unité de ladite donnée identitaire destinée à permettre une identification de l'unité que ledit dispositif de génération équipe, ladite génération étant susceptible d'être réalisée par ledit générateur de donnée identitaire;
une détection, par ledit détecteur de connexion, pour chaque dispositif de génération d'identité, d'une présence ou d'une absence de couplage dudit dispositif de génération d'identité avec au moins un autre dispositif de génération d'identité;
en cas de détection pour au moins un dispositif de génération d'identité dudit véhicule multi-unité de ladite présence de couplage avec un seul autre dispositif de génération d'identité susceptible de lui être accouplé, ladite méthode selon l'invention comprend les sous-étapes suivantes:
1. a. une création, par ledit générateur de liste dudit dispositif de génération d'identité caractérisé par ladite présence de couplage avec un seul autre dispositif de génération d'identité, d'une liste d'éléments destinée à comprendre des éléments ordonnables successivement, ladite liste comprenant un premier élément, ledit premier élément comprenant ladite donnée identitaire de l'unité destinée à être équipée par ledit dispositif de génération d'identité caractérisé par ladite présence de couplage avec un seul autre dispositif de génération d'identité, ledit premier élément étant le premier élément de la liste créée par le générateur de liste, ladite création étant suivie d'une transmission de ladite liste par le dispositif de génération d'identité caractérisé par ladite présence de couplage avec un seul autre dispositif de génération d'identité audit autre dispositif de génération d'identité;
2. b. pour chaque dispositif de génération d'identité pour lequel ladite détection est susceptible de détecter ladite présence de couplage avec deux autres dispositifs de génération d'identité, une réception de ladite liste transmissible par l'un des deux autres dispositifs de génération d'identité, un ajout à ladite liste d'un autre élément à la suite du dernier élément de ladite liste et une transmission de ladite liste à l'autre des deux autres dispositifs de génération d'identité, ledit autre élément comprenant la donnée identitaire de l'unité destinée à être équipée par ledit dispositif de génération d'identité pour lequel ladite détection est susceptible de détecter ladite présence de couplage avec lesdits deux autres dispositifs de génération d'identité;
3. c. et pour chaque réception de ladite liste par un dispositif de génération d'identité pour lequel ladite détection est susceptible de détecter ladite présence de couplage avec un unique autre dispositif de génération d'identité, ladite réception est suivie dudit ajout à ladite liste d'un élément final à la suite du dernier élément de ladite liste, puis d'une encapsulation de ladite liste dans ladite donnée de composition;
en cas de détection, pour un dispositif de génération d'identité, de ladite absence de couplage avec un autre dispositif de génération d'identité, ladite méthode selon l'invention comprend une création, par le générateur de liste dudit dispositif de génération d'identité caractérisé par ladite absence de couplage avec un autre dispositif de génération d'identité, d'une liste d'éléments destinée à comprendre des éléments ordonnables successivement, ladite liste comprenant un premier élément, ledit premier élément comprenant ladite donnée identitaire de l'unité destinée à être équipée par ledit dispositif de génération d'identité caractérisé par ladite absence de couplage avec un autre dispositif de génération d'identité, ledit premier élément étant le premier élément de la liste créée par le générateur de liste, ladite création étant suivie d'une encapsulation de ladite liste dans ladite donnée de composition.

Ainsi, la détermination de la composition du véhicule multi-unité est réalisable au moyen d'un dispositif interne au système de pilotage, i.e. au moyen du ou des dispositifs de génération d'identité du dispositif de détermination de la composition du véhicule multi-unité, indépendamment d'autres dispositifs externe au système de pilotage qui seraient destinés à acquérir lesdites informations applicatives. Chaque dispositif de génération d'identité équipant chacune des unités du véhicule multi-unité est ainsi connectable à un ou deux dispositifs de génération d'identité identiques de façon à former une chaîne de dispositifs de génération d'identité capable de se transmettre successivement ladite liste. En particulier, chaque dispositif de génération d'identité comprend au moins deux connecteurs, respectivement un premier et un second connecteur, chacun destiné au couplage dudit dispositif de génération d'identité avec un autre dispositif de génération d'identité, i.e. un de ses voisins dans ladite chaîne de dispositifs de génération d'identité.
Ladite liste peut être créée par le générateur de liste d'un des deux, voir des deux, dispositifs de génération d'identité situés en extrémité de ladite chaîne dès que le véhicule multi-unité comprend plus de deux unités. Le dispositif de détermination de ladite composition comprend ainsi autant de dispositif de génération d'identité que le véhicule multi-unité comporte d'unités. Chacun de ces dispositifs de génération d'identité est capable de générer la donnée identitaire de l'unité qu'il équipe et de transmettre à l'un ou respectivement l'autre de ses voisins, ladite liste après que cette dernière lui ait été transmise par l'autre, respectivement l'un de ses voisins. Seuls les dispositifs de génération d'identité situés en bout de chaîne et ayant un unique voisin, i.e. les dispositifs de génération d'identité pour lesquels est détectée la présence de couplage avec un seul autre dispositif de génération d'identité, sont autorisés à générer la liste et/ou à encapsuler une liste reçue de leur unique voisin dans ladite donnée identitaire, afin que ladite liste soit transmise, en fin de chaîne, à au moins un module de sécurisation d'au moins un calculateur du système de pilotage au moyen de ladite donnée de composition.
Avantageusement, ledit générateur de liste est en particulier capable de créer cycliquement ladite liste. Préférentiellement, ledit générateur de liste est capable de créer ladite liste lorsque ledit détecteur de connexion détecte ladite présence de couplage dudit dispositif de génération d'identité avec un seul autre dispositif de génération d'identité ou avec aucun autre dispositif de génération d'identité. Ainsi, la création de ladite liste par le générateur de liste d'au moins un des dispositifs de génération d'identité situés en bout de chaîne, permet un contrôle et une continuelle actualisation de la composition du véhicule multi-unité lorsque ce dernier est composé d'au moins deux unités, étant donné que ladite liste peut être continuellement transmise au calculateur via ladite donnée de composition dès que ladite liste a traversé toute la chaîne de dispositifs de génération d'identité. Egalement, la création de ladite liste par le générateur de liste d'un dispositif de génération d'identité couplé avec aucun autre dispositif de génération d'identité permet ledit contrôle et la continuelle actualisation de la composition du véhicule multi-unité lorsque ce dernier est composé d'une seule unité. De plus, ledit générateur de données identitaires est en particulier capable de générer une donnée de polarisation capable d'autoriser la transmission de ladite liste d'éléments au moyen d'un seul des deux connecteurs dudit dispositif de génération d'identité, de sorte que ladite liste parcourt ladite chaîne de dispositifs de génération d'identité selon un sens priorisé définissable par ladite polarisation.
Selon la présente invention, chaque unité comprenant ledit système de pilotage est susceptible d'être autonome, i.e. elle est apte à se déplacer, à gérer son déplacement et son fonctionnement indépendamment de tout autre système de pilotage externe à ladite unité. De plus, le système de pilotage associable à une unité autonome est apte à commander et gérer le déplacement d'autres unités qui peuvent lui être attelées ou couplées, que ces autres unités comprennent au moins une autre unité autonome et/ou au moins une autre unité non autonome. Une unité non autonome, par opposition à ladite unité autonome, est une unité qui comprend seulement une partie du système de pilotage, en particulier au moins un dispositif de génération d'identité, chacun de ces dispositifs étant connectables au réseau de ladite unité, lui même connectable au réseau d'autres unités qui sont susceptibles de lui être couplées ou attelées afin de former le réseau du véhicule multi-unité. Ainsi, dans la suite du document, une unité autonome sera apte à embarquer ledit système de pilotage selon l'invention, et une unité non autonome fera référence à une unité n'ayant pas l'intégralité dudit système de pilotage embarqué.
Un véhicule multi-unité est alors susceptible d'être formé d'au moins une unité autonome pouvant être couplée, ou non, à une ou plusieurs unités autonomes ou non-autonomes. Dans tous les cas, un calculateur d'une des unités autonomes sera en particulier charger de la gestion du pilotage et du fonctionnement du véhicule multi-unité. Préférentiellement le calculateur maître d'une des unités autonomes est destiné à piloter le véhicule multi-unité. Une désignation automatique du calculateur maître destiné à piloter ledit véhicule multi-unité est réalisable en fonction par exemple de l'ordre de formation du véhicule multi-unité déductible de ladite donnée de composition susceptible d'être acquise par chaque calculateur de chaque unité. Le module de sécurisation du système de pilotage est d'une part apte à connecter chaque calculateur audit ensemble d'Entrées/Sorties afin de permettre un échange de données de fonctionnement entre chaque calculateur et les dispositifs fonctionnels des unités du véhicule multi-unité, mais aussi, et d'autre part, à prioriser la connexion dudit calculateur maître désigné automatiquement audit ensemble d'Entrées/Sorties et à lui associer un calculateur redondant. Par prioriser, il est notamment fait référence à l'attribution exclusive de la connexion avec ledit ensemble d'Entrées/Sorties à un calculateur, de préférence à un seul calculateur, par exemple ledit calculateur maître, ou encore ledit calculateur maître avec son redondant. L'ensemble d'Entrées/Sorties des modules d'Entrées/Sorties du système de pilotage sécurisé permet de connecter chaque calculateur du véhicule multi-unité aux dispositifs fonctionnels dudit véhicule multi-unité via le réseau du véhicule multi-unité, ledit réseau étant commun à tous les calculateurs du véhicule multi-unité. Ainsi, les données de compositions et de fonctionnements peuvent être facilement et rapidement centralisées vers un même calculateur, i.e. ledit calculateur maître, via ledit réseau, afin d'être traitées, ce qui a l'avantage de garantir une rapidité de traitement.
Ainsi, pour un véhicule multi-unité comprenant plusieurs unités autonomes, le système de pilotage selon l'invention est capable de choisir au moins un calculateur parmi l'ensemble des calculateurs distribués sur le réseau dudit véhicule afin qu'il agisse en tant que calculateur maître destiné à être associé directement, par connexion audit ensemble d'Entrées/Sorties, aux modules d'Entrées/Sorties dudit véhicule afin de le piloter, par exemple automatiquement. Lorsque le calculateur agissant en tant que calculateur maître pilote ledit véhicule, les autres calculateurs dudit véhicule peuvent en particulier être en état de veille, de sorte que seul le calculateur choisi comme calculateur maître par le module de sécurisation commande le pilotage dudit véhicule.
Des exemples de réalisations et d'applications fournis à l'aide des figures suivantes aideront à mieux comprendre la présente invention.

Figure 1: exemple de réalisation selon l'invention d'un système de pilotage sécurisé.
Figure 2: exemple de réalisation selon l'invention d'un dispositif de génération d'identité.
Figure 3: exemple de mécanisme de sécurisation d'un module de sécurisation et priorisation selon l'invention.
Figure 4: exemple de réalisation selon l'invention d'un couplage/scindage automatique d'unités d'un véhicule multi-unité.

A titre d'exemple, la figure 1 montre un système de pilotage sécurisé adapté à un pilotage d'un véhicule multi-unité reconfigurable comprenant trois unités 1, 2, 3. Le système de pilotage comprend au moins un dispositif de génération d'identité 4, chaque dispositif de génération d'identité 4 étant destiné à équiper une unité 1, 2, 3. Ainsi, chaque unité 1, 2, 3 est apte à comprendre ledit dispositif de génération d'identité 4. Chaque dispositif de génération d'identité 4 est connectable à ses voisins afin de former une chaîne de dispositifs de génération d'identité. Ladite chaîne de dispositifs de génération d'identité connectables l'un à la suite de l'autre forme ledit dispositif de détermination d'une composition du véhicule multi-unité selon l'invention. Ledit système de pilotage sécurisé comprend de plus au moins un calculateur 5 destiné à équiper chaque unité autonome 1, 2 du véhicule multi-unité, au moins un module d'Entrées/Sorties 91, et au moins un desdits calculateurs 5 du système de pilotage sécurisé comprenant au moins un module de sécurisation 6, éventuellement inclus dans le calculateur 5. En particulier, plusieurs calculateurs 5 sont distribués dans plusieurs unités autonomes 1, 2, et plusieurs modules d'Entrées/Sorties 91 sont distribués dans plusieurs unités, qu'elles soient autonomes ou non autonomes. Un réseau 8 du véhicule multi-unité permet de connecter les calculateurs 5, les modules de sécurisation 6, le dispositif de détermination de la composition du véhicule multi-unité, les modules d'Entrées/Sorties 91, et les dispositifs fonctionnels 7 de chaque unité les uns aux autres afin qu'ils puissent communiquer et échanger des informations, comme par exemple les données de composition et les données de fonctionnement, les uns avec les autres. En particulier, les modules d'Entrées/Sorties 91 du système de pilotage permettent la connexion, via le réseau 8, des calculateurs à un ensemble d'Entrées/Sorties, chaque Entrée/Sortie étant apte à connecter au moins un dispositif fonctionnel 7 à au moins un calculateur 5. Chaque calculateur 5 est en particulier dynamiquement reconfigurable sur la base de la donnée de composition fournie par le dispositif de détermination de la composition du véhicule multi-unité, afin de maintenir en temps réel une connexion avec lesdites Entrées/Sorties cohérente avec la composition dudit véhicule multi-unité.
La figure 2 présente un exemple de réalisation d'un dispositif de génération d'identité 4 selon l'invention. Chaque dispositif de génération d'identité 4 est connectable, notamment au moyen d'une connexion différentielle bidirectionnelle en série à bas débit, à au moins un autre dispositif de génération d'identité 4a, 4b identique, en particulier à deux autres dispositifs de génération d'identité 4a, 4b identiques tel que présenté en Fig. 2. Chaque dispositif de génération d'identité 4, 4a, 4b, comprend un générateur de données identitaires 41, un détecteur de connexion 42, un générateur de liste 43, un composant de sérialisation 44, un transmetteur de liste 45, et au moins deux connecteurs, respectivement un premier connecteur 46a et un second connecteur 46b, destiné à l'acquisition et la transmission de la liste. Un troisième connecteur 47 peut en particulier connecter le dispositif de génération d'identité au réseau de l'unité ou du véhicule multi-unité.
De plus, le détecteur de connexion du dispositif de génération d'identité est en particulier caractérisé en ce qu'il est capable de garantir en sécurité qu'une liste présente en entrée sur le premier connecteur 46a ou respectivement le second connecteur 46b et destinée à être acquise par ledit dispositif de génération d'identité, ne peut pas se trouver par diaphonie ou tout autre couplage sur le second 46b ou respectivement le premier connecteur 46a. A cette fin, le détecteur de connexion, couplable audits connecteurs 46b, 46a, peut en particulier comprendre au moins un buffer différentiel isolé électriquement, notamment un premier buffer 422 connectable au premier connecteur et un second buffer connectable au second connecteur, ainsi que des récepteurs à opto-coupleurs, notamment un premier récepteur opto-coupleur connectable au premier connecteur et un second récepteur opto-coupleur 421 connectable au second connecteur. Eventuellement, des composants de protection contre des perturbations et des surtensions peuvent être ajoutés audit dispositif de détection, ainsi que des filtres afin d'assurer en sécurité une isolation entre le premier et second connecteur 46a, 46b.
Préférentiellement, ledit composant de sérialisation 44 peut comprendre deux composants numériques distincts 441, 442, par exemple des FPGAs, capables de réaliser des fonctions de sérialisation et dé-sérialisation d'un élément de ladite liste, ainsi que la fonction d'ajout d'un autre élément à la suite du dernier élément de ladite liste, notamment afin de garantir en sécurité qu'une liste ne peut pas traverser le dispositif de génération d'identité du connecteur 46a vers le connecteur 46b, ou inversement, sans avoir été enrichie avec la donnée identitaire dudit dispositif de génération d'identité.
De plus, le générateur de donnée identitaire 41 est en particulier capable de générer une information de polarisation, ladite information de polarisation permettant, éventuellement de propager la liste comprenant ladite donnée identitaire uniquement vers un et un seul desdits premier ou second connecteurs 46a ou 46b. Finalement, ladite donnée identitaire peut avantageusement comprendre diverses informations permettant une identification de l'unité qu'elle équipe, comme par exemple un numéro d'équipement ou un numéro d'unité de l'unité qu'elle équipe. Le transmetteur de liste 45 est apte à servir d'interface entre le réseau, par exemple un réseau Ethernet IP, du véhicule multi-unité et le dispositif de génération d'identité. A cette fin, il peut éventuellement comprendre un composant numérique, tel un circuit logique programmable FPGA.
Dans le cas d'un véhicule multi-unité comportant n unités, numérotées successivement selon l'ordre de formation dudit véhicule multi-unité de 1 à n, l'indice 1 caractérisant l'unité positionnée à une extrémité du véhicule multi-unité et l'indice n l'unité positionnée à l'autre extrémité, un exemple de liste susceptible d'être créée par ajout successif de la donnée identitaire caractérisant chaque unité composant ledit véhicule multi-unité est donné par: $Liste = H 1 \cdot τ^{2 n + 1} + τ^{2 n} \cdot {Id}_{1} + τ^{2 n - 1} \cdot {Id}_{2} + \dots + τ^{2 (n - i + 1)} \cdot {Id}_{i} + \dots + τ^{2} \cdot {Id}_{n}$
avec ${Id}_{i} = {pol}_{i} + {Data}_{i} / τ pour i = 1, \dots, n$
et où

H1: est une donnée temporelle caractérisant la création de la liste;
τ: est une constante de codage de valeur suffisamment grande, exprimé sur, par exemple, 48 bits d'information, afin de garantir l'objectif de sécurité SIL4 et telle que la suite des τⁱ présente une distribution pseudo aléatoire;
Id_i: est la donnée identitaire de l'unité i du véhicule multi-unité;
poli: est une donnée caractérisant la polarité de l'unité i, la polarité indiquant simplement si l'unité i est attelée en marche avant ou marche arrière à l'unité i-1;
Data_i: est une donnée caractérisant au moins un équipement de l'unité i ou un numéro d'identification de l'unité i.

Le système de pilotage selon l'invention est ainsi capable de garantir qu'au moins un calculateur, préférentiellement le calculateur maître, est associé de manière cohérente à l'ensemble des dispositifs fonctionnels du véhicule multi-unité afin d'assurer le pilotage dudit véhicule multi-unité. Le dispositif de détermination de la composition du véhicule multi-unité permet de découvrir ladite composition par propagation de ladite liste d'une unité à une autre unité composant ledit véhicule multi-unité. Sur la base de la donnée de composition apte à encapsuler ladite liste, le module de sécurisation associe, préférentiellement de façon exclusive, une connexion à un ensemble d'Entrées/Sorties distribuées sur le réseau dudit véhicule multi-unité avec un calculateur, en particulier avec un calculateur maître, lesdites Entrées/Sorties étant destinées à connecter ledit calculateur aux dispositifs fonctionnels des unités qui composent ledit véhicule multi-unité. De manière préférentielle, chaque calculateur est couplé à un module de sécurisation selon l'invention, et chaque module de sécurisation selon l'invention est apte, en fonction de ladite donnée de composition à entrer dans un mode inactif ou dans un mode actif, de sorte qu'un unique module se sécurisation est actif pour le véhicule multi-unité. En particulier, au moins une condition prédéfinissable dans chacun desdits modules de sécurisation permet à chacun des modules de sécurisation de déterminer son propre mode de fonctionnement, i.e. soit ledit mode actif, soit ledit mode inactif. Ladite condition prédéfinissable pouvant par exemple être corrélée à une position, au sein du véhicule multi-unité, de l'unité équipée d'un calculateur comprenant ledit module de sécurisation.
La figure 3 présente un exemple de mécanisme de sécurisation de l'association d'au moins un calculateur d'un système de pilotage selon l'invention avec un ensemble d'Entrées/Sorties de modules d'Entrées/Sorties destinés à équiper le véhicule multi-unité. Une fois que la donnée de composition du véhicule multi-unité a été créée, la méthode selon l'invention est caractérisée en ce qu'un module de sécurisation est choisi, par exemple en fonction de ladite donnée de composition, afin de sécuriser la connexion d'un calculateur ou d'un groupe de calculateur, par exemple un calculateur maître et son calculateur redondant, avec un ensemble d'Entrées/Sorties de modules d'Entrées/Sorties. A cette fin, le module de sécurisation comprend en particulier un générateur de jeton d'association codé capable de générer un jeton d'association codé comprenant en particulier un code d'identification spécifique du calculateur ou du groupe de calculateurs autorisés à être connecté aux Entrées/Sorties desdits modules d'Entrées/Sorties. Le module de verrouillage du module de sécurisation est en particulier capable de transmettre ledit jeton à tous les modules d'Entrées/Sorties dont les Entrées/Sorties doivent être connectées audit calculateur ou groupe de calculateur afin de rester cohérent avec ladite donnée de composition du véhicule multi-unité, et afin de permettre un contrôle, par le calculateur ou le groupe de calculateur, des dispositifs fonctionnels du véhicule multi-unité. Ladite donnée de composition permet en particulier au module de sécurisation de déterminer quelles Entrées/Sorties de quels modules d'Entrées/Sorties doivent être contrôlées par le calculateur ou groupe de calculateur afin d'assurer le fonctionnement du véhicule multi-unité, et donc de déterminer quelles Entrées/Sorties doivent être connectées audit calculateur ou groupe de calculateur.
Chaque module d'Entrées/Sorties recevant ledit jeton d'association codé est en particulier capable, durant une phase de réponse, d'émettre périodiquement ou suffisamment fréquemment un message de confirmation capable de confirmer la connexion dudit calculateur avec les Entrées/Sorties dudit module d'Entrées/Sorties, et de transmettre ledit message de confirmation audit calculateur, en particulier audit module de sécurisation dudit calculateur du système de pilotage sécurisé. Ledit message de confirmation peut par exemple être émis périodiquement à une période d'émission dont la valeur temporelle, i.e. sa durée, peut-être prédéfinie. Avantageusement, la phase de réponse peut être précédée par une phase d'initialisation 1 permettant la génération et l'initialisation du message de confirmation. La durée de cette phase d'initialisation est en particulier supérieure à la durée de ladite période d'émission afin de garantir en sécurité que le mécanisme de sécurisation ait le temps de détecter qu'un calculateur ou un groupe de calculateurs préalablement connectés à une Entrée/Sortie d'un module d'Entrées/Sorties a ou ont perdu ladite connexion avec ladite Entrée/Sortie avant qu'un autre calculateur ou un autre groupe de calculateur ait eu le temps de se connecter à ladite Entrée/Sortie. Cette durée de la phase d'initialisation supérieure à la période d'émission peut être par exemple garantie par un générateur pseudo aléatoire obligé à fonctionner en permanence durant ladite phase d'initialisation du message de confirmation.
Ainsi, à la fin de la phase d'initialisation 1, un message de confirmation initialisé 2 est généré par le module d'Entrées/Sorties. Lors de la réception 3 d'un jeton d'association codé transmis par le module de sécurisation du système de pilotage, le module d'Entrées/Sorties est apte à associer, durant une phase d'association 4, ledit jeton d'association codé audit message de confirmation initialisé. A la fin de cette phase d'association, ledit message de confirmation 5 est prêt pour être transmis périodiquement au module de sécurisation. Avantageusement, ce message de confirmation, suite à ladite phase d'association, comprend d'une part ladite donnée d'identification du calculateur ou groupe de calculateur, mais aussi d'autre part, une identification des Entrées/Sorties du module d'Entrées/Sorties connectées audit calculateur ou groupe de calculateurs, et une donnée temporelle afin de vérifier une fraîcheur du message de confirmation. Le message de confirmation est ensuite envoyé, notamment cycliquement, durant la phase de réponse 6, au moins audit module de sécurisation ayant émis le jeton d'association codé. Le module de verrouillage dudit module de sécurisation est en particulier capable de décoder le message de confirmation afin de contrôler que les Entrées/Sorties dudit module d'Entrées/Sorties sont connectées audit calculateur ou audit groupe de calculateur, et non à d'autres calculateurs.
Avantageusement, tant qu'un module d'Entrées/Sorties est connecté à un calculateur ou groupe de calculateur via ses Entrées/Sorties, ledit module d'Entrées/Sorties génère, notamment cycliquement, à ladite période d'émission ledit message de confirmation et aucun autre calculateur ne peut y être connecté. Afin de libérer le module d'Entrées/Sorties de sa connexion avec un calculateur ou groupe de calculateur, le générateur de jeton d'association dudit module de verrouillage est capable de générer une clé de déverrouillage destinée à être transmise par le module de verrouillage à l'ensemble des modules d'Entrées/Sorties dont les connexions avec le calculateur ou le groupe de calculateur doivent être coupées. A la réception d'une telle clé de déverrouillage 7, le module d'Entrées/Sorties est en particulier apte à désassocier le jeton d'association codé du message de confirmation initialisé afin de restaurer ledit message de confirmation initialisé 2.
En cas de défaillance 9, par exemple en cas de perte de connexion ou de communication avec le module de sécurisation ou le calculateur, le module d'Entrées/Sorties est capable de se réinitialiser en retournant à la phase d'initialisation du message de confirmation afin de permettre, par exemple, qu'un jeton d'association codé d'un autre calculateur soit susceptible d'être associé audit message de confirmation initialisé.
La phase de réponse 6 permet d'envoyer, notamment cycliquement, au module de sécurisation la confirmation, via ledit message de confirmation, que les Entrées/Sorties dudit module d'Entrées/Sorties sont connectées et contrôlées par le calculateur, par exemple le calculateur maître, ou par un groupe de calculateurs, par exemple le calculateur maître et son redondant. Ledit module de sécurisation est ainsi en particulier capable de vérifier en permanence une cohérence de la connexion du calculateur avec chaque module d'Entrées/Sorties pour lequel il a reçu ledit message de confirmation et ladite donnée de composition, garantissant ainsi en sécurité la connexion d'un calculateur audit ensemble d'Entrées/Sorties.
La figure 4 décrit un couplage automatique d'un premier véhicule multi-unité 1 avec un second véhicule multi-unité 2 comprenant chacun un système de pilotage sécurisé selon l'invention, afin de former un nouveau véhicule multi-unité. Avant le couplage, les deux véhicules multi-unités, par exemple un premier train comprenant trois voitures et un second train comprenant deux voitures, comprennent chacun un système de pilotage sécurisé distribué qui leur est propre, lesdits systèmes de pilotage sécurisés de chacun des véhicules multi-unités étant indépendants l'un de l'autre. Le premier véhicule multi-unité 1 comprend en particulier trois unités, et le second véhicule multi-unité 2 comprend quant à lui deux unités.
Le système de pilotage du premier véhicule multi-unité 1 comprend en particulier au moins trois calculateurs 51, 52, 53 et au moins trois modules d'Entrées/Sorties 91, 92, 93, reliés par un premier réseau 81, par exemple Ethernet, CPL, Wi-Fi. Similairement, le second véhicule multi-unité 2 comprend en particulier au moins deux calculateurs 54, 55, et au moins deux modules d'Entrées/Sorties 94, 95, reliés par un second réseau 82. Pour chacun des deux véhicules multi-unités, au moins un calculateur et au moins un module d'Entrées/Sorties du système de pilotage sécurisé sont destinés à équiper une unité, de sorte que chaque unité comprenne au moins un calculateur et au moins un module d'Entrées/Sorties. Ainsi, dans cet exemple, chaque unité est une unité autonome. Cependant, lesdits premier et second véhicules multi-unités pourraient tout aussi bien comprendre une ou plusieurs unités non-autonomes, chaque unité non-autonome comprenant par exemple au moins un module d'Entrées/Sorties et un dispositif de génération d'identité.
Un des calculateurs 51, 52, 53 du premier véhicule multi-unité 1 est choisi pour être le calculateur maître du premier véhicule multi-unité 1, par exemple le calculateur 51 apte à être positionné à une extrémité dudit premier véhicule multi-unité 1, et éventuellement un autre des calculateurs 51, 52, 53 du premier véhicule multi-unité 1 est choisi pour être son redondant, par exemple le calculateur 53 positionnable à l'autre extrémité du premier véhicule multi-unité 1. Similairement, un des calculateurs 54, 55 du second véhicule multi-unité 2 est choisi pour être le calculateur maître du second véhicule multi-unité 2, par exemple le calculateur 54 positionnable à une extrémité du second véhicule multi-unité 2, et éventuellement un autre des calculateurs 54, 55 du second véhicule multi-unité 2 est choisi pour être son redondant, par exemple le calculateur 55 positionnable à l'autre extrémité du second véhicule multi-unité 2. De manière générale, il est toujours préférable que le système de pilotage sécurisé comprenne en particulier un calculateur maître positionnable, notamment dans une unité autonome, à une extrémité du véhicule multi-unité et un calculateur mis en redondance dudit calculateur maître, i.e. son redondant, positionnable, notamment dans une unité autonome, à l'autre extrémité dudit véhicule multi-unité, afin de permettre un scindage efficace dudit véhicule multi-unité.
Les autres calculateurs du premier véhicule multi-unité 1, respectivement du second véhicule multi-unité 2, sont dans un état inactif, tel que par exemple, le calculateur 52 du premier véhicule multi-unité 1. De manière générale, le choix du calculateur maître et de son redondant peut être basé sur un algorithme de choix utilisant une numérotation, comme par exemple une adresse IP ou un numéro de calculateur, ou bien une détermination d'une position des calculateurs dans le véhicule multi-unité, ladite position étant par exemple une position centrale, une position en tête ou en queue de véhicule multi-unité, la position d'un calculateur étant déductible de ladite donnée de composition. Préférentiellement, pour chacun des systèmes de pilotage du premier et second véhicule multi-unité, au moins un mécanisme de sécurisation et de priorisation d'un module de sécurisation d'un calculateur du système de pilotage est apte à choisir ledit calculateur maître et son redondant, et permet dès lors une priorisation du calculateur maître, ou autrement dit, une connexion exclusive du calculateur maître avec les Entrées/Sorties des modules d'Entrées/Sorties du véhicule multi-unité, de sorte que seul le calculateur maître soit apte à contrôler les Entrées/Sorties des modules d'Entrées/Sorties destinés à équiper ledit véhicule multi-unité. Le calculateur redondant est quant à lui apte à prendre le contrôle desdites Entrées/Sorties en cas de défaillance du calculateur maître. Pour chaque véhicule multi-unité, ledit module de sécurisation apte à réaliser ledit mécanisme de sécurisation et priorisation peut éventuellement être choisi automatiquement en fonction de ladite donnée de composition pour chacun desdits véhicules multi-unités. De manière préférentielle, le module de sécurisation est apte à choisir comme calculateur maître via son mécanisme de sécurisation et priorisation le calculateur qu'il est destiné à équiper. Ainsi, le module de sécurisation est apte à prioriser préférentiellement le calculateur qu'il équipe.
Ainsi, un module de sécurisation 6 du premier véhicule multi-unité 1 est apte à choisir ledit calculateur 51 en tant que calculateur maître afin de permettre à ce dernier de contrôler les Entrées/sorties des modules d'Entrées/Sorties 91, 92, 93 du premier véhicule multi-unité 1 via le premier réseau 81. De manière similaire, un module de sécurisation 6 du second véhicule multi-unité 2 est apte à choisir ledit calculateur 54 en tant que calculateur maître afin de lui permettre de contrôler les Entrées/Sorties des modules d'Entrées/Sorties 94, 95 du second véhicule multi-unité 2 via le second réseau 82.
Avantageusement, chaque calculateur selon l'invention, lorsqu'il est le calculateur redondant d'un calculateur maître, est en particulier capable de vérifier un état de synchronisation de son contexte avec un contexte dudit calculateur maître. Préférentiellement, le calculateur maître et son redondant, lorsque le contexte de ce dernier est vérifié synchrone à celui du calculateur maître, sont aptes à être connectés aux Entrées/Sorties des modules d'Entrées/Sorties qui leurs sont associables. En particulier, le module de sécurisation 6 du calculateur maître est capable de verrouiller, au moyen d'un jeton d'association codé, la connexion dudit calculateur maître et de son redondant avec lesdites Entrées/Sorties. Préférentiellement, lorsqu'un calculateur maître et son redondant sont connectés via une connexion verrouillée à un ensemble d'Entrées/Sorties, seul le calculateur maître est autorisé à commander les dispositifs fonctionnels du véhicule multi-unité, alors que le calculateur redondant est apte à vérifier des opérations effectuées par le calculateur maître et à remplacer ledit calculateur maître en cas de défaillance de ce dernier.
Le système de pilotage du premier véhicule multi-unité 1 est de plus caractérisé en ce qu'il comprend au moins un dispositif de génération d'identité, en particulier trois dispositifs de génération d'identité 41, 42, 43, chacun destiné à équiper une unité du premier véhicule multi-unité 1. Egalement, le système de pilotage du second véhicule multi-unité comprend deux dispositifs de génération d'identité destinés à équiper, chacun, une unité dudit second véhicule multi-unité 2. Ainsi, un premier dispositif de génération d'identité 41, un second dispositif de génération d'identité 42 et un troisième dispositif de génération d'identité 43 équipent chacun une unité du premier véhicule multi-unité 1, et un premier dispositif de génération d'identité 44 et un second dispositif de génération d'identité équipent ledit second véhicule multi-unité. Les dispositifs de génération d'identité 41, 42, 43 du premier véhicule multi-unité 1, respectivement ceux du second véhicule multi-unité 2, sont connectables l'un à la suite de l'autre afin de former une première chaîne de dispositif de génération d'identité, respectivement une seconde chaîne de dispositifs de génération d'identité, chacune desdites chaînes étant en d'autres termes un premier, respectivement second, dispositif de détermination de la composition du véhicule multi-unité selon l'invention. Chaque dispositif de génération d'identité est capable de communiquer et d'échanger des données, notamment ladite liste selon l'invention, avec son ou ses voisins. De manière identique pour le système de pilotage du premier ou du second véhicule multi-unité, une communication peut être établie d'une extrémité à l'autre de sa chaîne de dispositifs de génération d'identité, ou en d'autres termes, d'une extrémité à l'autre du véhicule multi-unité, soit dans un premier sens de la tête à la queue du véhicule multi-unité, par exemple du dispositif de génération d'identité 41 situé à la tête du véhicule multi-unité au dispositif de génération d'identité 43 situé à la queue dudit véhicule multi-unité, soit à l'inverse, de la queue à la tête du véhicule multi-unité, par exemple du dispositif de génération d'identité 43 en queue au dispositif de génération d'identité 41 en tête, ou bien même, dans les deux sens à la fois. Il en va de même pour les dispositifs de génération d'identité 44, 45 du second véhicule multi-unité.
Avantageusement, au moins un des dispositifs de génération d'identité 41, 42, 43 du premier véhicule multi-unité 1, respectivement du second véhicule multi-unité 2, en particulier situé en extrémité de la première chaîne, respectivement de la seconde chaîne, est apte à initialiser ladite liste selon l'invention, par exemple une première liste pour le système de pilotage du premier véhicule multi-unité 1, et une seconde liste pour le second véhicule multi-unité 2. Chacune de ces listes comprend de préférence une donnée temporelle, par exemple une date, et permet un encodage de la composition du véhicule multi-unité pour lequel elle a été générée. Ainsi, la première liste sera apte à être initialisée pour le premier véhicule multi-unité 1 par un de ses dispositifs de génération d'identité et permettra un encodage de la composition dudit premier véhicule multi-unité 1, et une seconde liste sera apte à être initialisée pour le second véhicule multi-unité 2 par un de ses dispositifs de génération d'identité, et permettra aussi un encodage de sa composition. Pour chacun des systèmes de pilotage du premier et du second véhicule multi-unité, une fois la première, respectivement seconde, liste initialisée à une extrémité de ladite première chaîne, respectivement seconde chaîne, ladite première liste, respectivement seconde liste, est transmise à un autre dispositif de génération d'identité en direction de l'autre extrémité de ladite première, respectivement seconde, chaîne de façon à ce qu'elle parcourt toute ladite première, respectivement seconde, chaîne de dispositifs de génération d'identité. Chaque dispositif de génération d'identité 41, 42, 43 du premier véhicule multi-unité 1, respectivement chaque dispositif de génération d'identité 44, 45 du second véhicule multi-unité 2, est capable d'accumuler ou ajouter une donnée identitaire dans ladite première liste, respectivement seconde liste, à la suite du dernier élément (par exemple à la suite de la dernière donnée identitaire) ajouté dans ladite première, respectivement seconde, liste par le dispositif de génération d'identité précédent. Le dispositif de génération d'identité situé à l'autre extrémité de ladite première chaîne, respectivement seconde chaîne, i.e. situé en fin de chaîne, est en particulier apte à transmettre, notamment cycliquement, ladite première liste, respectivement seconde liste, encapsulée dans une donnée de composition, au calculateur maître 51 et à son redondant 53 via ledit premier réseau 81 dans le cas du premier véhicule multi-unité 1, et au calculateur maître 54 et à son redondant 55, via ledit second réseau 82 dans le cas du second véhicule multi-unité 2.
En particulier, dans le cas d'une initialisation de ladite liste par chacun des dispositifs de génération d'identité situés en extrémité de chaîne, i.e. une première initialisation d'une première liste à une extrémité de la chaîne et une seconde initialisation d'une seconde liste à l'autre extrémité de la chaîne, et une propagation de chacune des deux listes dans un sens opposé dans ladite chaîne de dispositifs de génération d'identité, le dispositif de génération d'identité susceptible de recevoir la première liste par un de ses connecteurs et la seconde liste par un autre de ses connecteurs est en particulier capable de créer une nouvelle liste comprenant les éléments de la première liste, auxquels est ajouté d'abord la donnée identitaire créée par ledit dispositif de génération susceptible de recevoir la première et seconde liste, et ensuite les éléments de la seconde liste. La nouvelle liste comprend ainsi les données identitaires de toutes les unités composant le véhicule multi-unité. Alternativement, le dispositif de génération d'identité susceptible de recevoir la première liste par un de ses connecteurs et la seconde liste par un autre de ses connecteurs est capable de choisir soit la première liste, soit la seconde liste, i.e. une seule des deux listes, afin de la transmettre vers un dispositif de génération d'identité situé en extrémité de la chaîne. Ainsi, malgré une génération de deux listes, une et une seule des deux listes est apte à se propager vers un et un seul dispositif de génération d'identité situé en extrémité de chaîne, destiné à prendre en charge la création de la liste complète des données identitaires de toutes les unités composant le véhicule multi-unité. Préférentiellement, le dispositif de génération d'identité ayant créé ladite nouvelle liste est de plus capable d'encapsuler ladite nouvelle liste dans ladite donnée de composition afin qu'elle soit transmise, notamment cycliquement, à au moins un calculateur, par exemple à tous les calculateurs équipant chacun des véhicules multi-unités, ou de préférence au calculateur maître 51 et à son redondant 53.
Lorsque le premier véhicule multi-unité 1 et le second véhicule multi-unité 2 sont couplés l'un à l'autre pour former un nouveau véhicule multi-unité 3 comprenant les unités du second véhicule multi-unité 2 attelées à la suite des unités du premier véhicule multi-unité 1, une procédure de reconfiguration automatique du système de pilotage du nouveau véhicule multi-unité 3 est automatiquement réalisable.
En effet, lors d'un couplage de deux véhicules multi-unités l'un avec l'autre, les dispositifs de génération d'identité étant tous identiques et connectables les uns aux autres, il s'ensuit que les dispositifs de génération d'identité 41, 42, 43 du premier véhicule multi-unité 1 sont connectables aux dispositifs de génération d'identité 44, 45 du second véhicule multi-unité 2 afin de former une nouvelle chaîne de dispositifs de génération d'identité composée de la première chaîne connectée à la seconde chaîne, et formant ainsi un nouveau dispositif de détermination de la composition du nouveau véhicule multi-unité 3. Ce nouveau dispositif de détermination de la composition du nouveau véhicule multi-unité 3 est capable de déterminer automatiquement la composition du nouveau véhicule multi-unité 3 et de générer une donnée de composition encodant ladite composition du nouveau véhicule multi-unité 3. De même, lors du couplage d'un premier véhicule multi-unité 1 avec un second véhicule multi-unité 2, le premier réseau 81 et le second réseau 82 sont connectables l'un à l'autre afin de former un nouveau réseau 83, ledit nouveau réseau 83 étant une réunion du premier réseau 81 et du second réseau 82.
Le nouveau dispositif de détermination de la composition du nouveau véhicule multi-unité 3, formé des dispositifs de génération d'identité du premier et du second véhicule multi-unité, est capable de transmettre via ledit nouveau réseau 83, ladite donnée de composition du nouveau véhicule multi-unité 3, à l'ensemble des calculateurs du nouveau véhicules multi-unités 3, notamment afin qu'au moins un module de sécurisation reçoive ladite donnée de composition. En particulier, une fois cette donnée de composition acquise par les calculateurs 41 à 45 du nouveau véhicule multi-unité 3 et par les modules d'Entrées/Sorties 91 à 95 via ledit nouveau réseau 83, le calculateur maître 51 et son redondant 53 du premier véhicule multi-unité 1, ainsi que le calculateur maître 54 et son redondant 55 du second véhicule multi-unité 2 sont capables, au moyen de leur module de sécurisation, de se déconnecter des Entrées/Sorties des modules d'Entrées/Sorties auxquelles ils étaient connectés lorsque le premier et le second véhicule mutli-unité étaient non couplés l'un à l'autre, i.e. indépendants. Avantageusement, chaque système de pilotage selon l'invention est capable, au moyen de ladite clé de déverrouillage transmise par leurs modules de sécurisation respectifs, de couper la connexion d'au moins un de ses calculateurs, en particulier de tous ses calculateurs, audit ensemble d'Entrées/Sorties dès détection d'une variation de ladite donnée de composition. En particulier, le module de sécurisation du système de pilotage selon l'invention est capable de détecter ladite variation de la donnée de composition et de couper la connexion d'au moins un calculateur avec ledit ensemble d'Entrées/Sorties, en particulier la connexion du calculateur maître et de son redondant, afin de permettre à un nouveau calculateur maître et à son redondant de prendre le contrôle desdites Entrées/Sorties en s'y connectant. Préférentiellement, un nouveau module de sécurisation 6, choisi par exemple en fonction de la donnée de composition du nouveau véhicule multi-unité 3, détermine ledit nouveau calculateur maître et son redondant. De préférence, le nouveau calculateur maître est situé à une extrémité du nouveau véhicule multi-unité 3, par exemple le calculateur 51, et son redondant à l'autre extrémité, par exemple le calculateur 55. Les autres calculateurs 52, 53, 54 du nouveau véhicule multi-unité 3 sont de préférence dans un état inactif.
Le nouveau module de sécurisation 6 du système de pilotage du nouveau véhicule multi-unité 3 est ensuite capable, sur la base de ladite donnée de composition, de connecter au moins un calculateur, en particulier ledit nouveau calculateur maître et son redondant, à l'ensemble des Entrées/Sorties des modules d'Entrées/Sorties 91 à 95 du nouveau véhicule multi-unité 3. Dès que le module de sécurisation 6 est en mesure de valider une cohérence entre les Entrées/Sorties associées aux calculateurs et la donnée de composition, le système de pilotage du nouveau véhicule multi-unité 3 est apte à prendre le contrôle desdites Entrées/Sorties afin de commander les dispositifs fonctionnels du nouveau véhicule multi-unité permettant son pilotage.
La Figure 4 permet aussi d'expliquer un scindage d'un véhicule multi-unité équipé d'un système de pilotage sécurisé selon l'invention. Lors du scindage d'un véhicule multi-unité, par exemple dudit nouveau véhicule multi-unité 3, en deux ou plusieurs autres véhicules multi-unités, par exemple en un premier véhicule multi-unité 1 et un second véhicule multi-unité 2, ladite nouvelle chaîne de dispositifs de génération d'identité dudit nouveau véhicule multi-unité formée des dispositifs de génération d'identité 41 à 45 est rompue, séparée en deux parties, par exemple en ladite première chaîne de dispositifs de génération d'identité 41 à 43 du premier véhicule multi-unité 1, et en ladite seconde chaîne de dispositifs de génération d'identité 44, 45 du second véhicule multi-unité 2. Pareillement, le réseau 83 du nouveau véhicule multi-unité 3 est séparé en un premier réseau 81 du premier véhicule multi-unité 1 et en un second réseau 82 dudit second véhicule multi-unité 2.
Après scindage, chacune des deux parties de la chaîne de dispositifs d'identité du nouveau véhicule multi-unité 3 est capable de générer indépendamment et automatiquement une nouvelle donnée de composition caractérisant respectivement le premier véhicule multi-unité 1, et le second véhicule multi-unité 2. Comme précédemment avec le couplage de deux véhicules multi-unités, la nouvelle donnée de composition est en particulier capable de provoquer la génération par au moins un module de sécurisation de la clé de déverrouillage permettant une déconnexion de chacun des calculateurs, d'avec les Entrées/Sorties auxquelles ils étaient préalablement connecté dans la configuration dudit nouveau véhicule multi-unité 3. Avantageusement, ladite clé de déverrouillage est susceptible d'être transmise à chaque module de sécurisation d'un système de pilotage sécurisé selon l'invention, afin que chaque module de sécurisation soit capable de déconnecter un calculateur de sa connexion avec au moins une Entrée/Sortie lors dudit scindage. En particulier, la connexion du calculateur maître 51 et de son redondant 55 avec les Entrées/Sorties de leurs modules d'Entrées/Sorties 91 à 95 est apte à être coupée au moyen de ladite clé de déverrouillage apte à être fournie par le module de sécurisation, soit lors de ladite détection de la variation de la donnée de composition lors du scindage, soit lors d'un processus préalable de notification du scindage audit système de pilotage dudit nouveau véhicule multi-unité.
Dans un autre cas de figure, notamment lorsque ledit scindage n'est pas notifié audit système de pilotage dudit nouveau véhicule multi-unité 3, et si le module de sécurisation 6 détecte, avant d'avoir détecté ladite variation de ladite donnée de composition, une perte de connexion du calculateur maître avec les Entrées/Sorties du ou des modules d'Entrées/Sorties auxquelles il était préalablement connecté avant scindage, cette perte de connexion peut être interprétée par ledit module de sécurisation et le module d'Entrées/Sorties comme une défaillance pouvant en particulier résulter en une réinitialisation du message de confirmation. Cette réinitialisation du message de confirmation rendra possible la connexion d'un nouveau calculateur maître choisi après scindage pour chacun des premier et second véhicules multi-unités aux Entrées/Sorties des module d'Entrées/Sorties équipant leurs unités.
Par rapport à l'art antérieur pour lequel le calculateur maître est susceptible de tomber dans un état puits de sécurité lors de la détection d'une perte de connexion avec une partie des Entrées/Sorties des modules d'Entrées/Sorties des unités ayant été dételées, la présente invention permet, lors d'un scindage ou d'un couplage, de corréler automatiquement la nouvelle composition du véhicule multi-unité avec l'ensemble des Entrées/Sorties devant être prises en considération par le calculateur maître, de sorte qu'une perte d'une connexion du calculateur maître avec une partie de ses Entrées/Sorties ne résulte pas en une activation d'une procédure d'urgence du système de pilotage.
Pour un véhicule multi-unité comprenant plusieurs unités autonomes, au moins un calculateur parmi l'ensemble des calculateurs distribués sur le réseau dudit véhicule est apte à agir en tant que calculateur maître afin de piloter ledit véhicule et afin d'être associé directement, par connexion audit ensemble d'Entrées/Sorties, aux modules d'Entrées/Sorties dudit véhicule. Lorsque le calculateur agissant en tant que calculateur maître pilote ledit véhicule, les autres calculateurs dudit véhicule peuvent en particulier être en état de veille, de sorte que seul le calculateur identifié comme calculateur maître par le module de sécurisation commande le pilotage dudit véhicule, de préférence, le module de sécurisation identifie le calculateur qu'il équipe comme calculateur maître.
Finalement, la présente invention a permis de décrire un système de pilotage sécurisé capable de découvrir de manière autonome la composition d'un véhicule multi-unité tel un train, et de vérifier en sécurité la connexion correcte d'au moins un calculateur du système de pilotage avec un ensemble d'Entrées/Sorties de modules d'Entrées/Sorties distribués sur le réseau dudit véhicule multi-unité.
La mise en sécurité du système de pilotage sécurisé est notamment réalisée en contrôlant, notamment cycliquement, la cohérence entre l'ensemble des Entrées/Sorties aptes à être connectées et verrouillées avec ledit calculateur et la composition du véhicule multi-unité déduite de la donnée de composition fournie par ledit dispositif de détermination de la composition du véhicule multi-unité. En particulier, des données de composition dudit véhicule multi-unité aptes à décrire un ensemble de caractéristiques des unités susceptibles de composer ledit véhicule multi-unité, et un ensemble de configurations possibles dudit véhicule multi-unité peuvent servir de référence au contrôle, notamment cyclique, de la cohérence entre l'ensemble des Entrées/Sorties aptes à être connectées et verrouillées avec ledit calculateur et la composition du véhicule multi-unité.
Avantageusement, la présente invention permet une validation de l'intégrité d'un véhicule multi-unité libre d'un recours à des informations de niveau applicatif, tel que la localisation par exemple, et un apport d'une plus grande généricité de traitement grâce à un accès direct à l'ensemble des Entrées/Sorties du véhicule multi-unité et à la possibilité de centraliser les traitements logiciels liés à la sécurisation du système de pilotage sur un seul calculateur.
En résumé, la méthode et le système de sécurisation d'un système de pilotage selon l'invention présentent plusieurs avantages par rapport aux méthodes et systèmes de pilotage existant en ce que:

ils permettent une indépendance de la sécurisation de la détermination de la composition d'un véhicule multi-unité: la détermination de la composition est indépendante de logiciels applicatifs portés par des calculateurs destinés au pilotage automatique;
ils autorisent une modification dynamique de la composition d'un train sans interruption du contrôle en sécurité de la composition dudit véhicule multi-unité;
ils permettent une utilisation en sécurité SIL4 du système de pilotage sécurisé, distribué et dynamiquement reconfigurable;
le mécanisme de sécurisation et de priorisation permet une attribution exclusive de la connexion d'un ensemble d'Entrées/Sorties avec au moins un calculateur, en particulier un seul calculateur, et permet d'associer en sécurité, directement un calculateur maître avec des sorties sécuritaire. Cela permet la réalisation d'une architecture distribuée dynamiquement reconfigurable, et donc une centralisation des données de fonctionnement et une plus grande souplesse de déploiement;
ils permettent de connaître en permanence la composition du véhicule multi-unité et un état de verrouillage des Entrées/Sorties avec le calculateur maître. Notamment, une actualisation de la donnée de composition est compatible avec la période d'émission du message de confirmation destiné à rafraichir les Entrées/Sorties connectées au calculateur maître;
la centralisation des informations vers un calculateur permet de simplifier la complexité du système de pilotage automatique et donc réduit la complexité de l'analyse de sécurité. Le pilotage du véhicule multi-unité par un calculateur via les modules d'Entrées/Sorties est ainsi sécurisé;
ils permettent l'ajout ou respectivement la suppression automatique d'une unité à ou respectivement d'un véhicule multi-unité.

Claims

Méthode de sécurisation d'un système de pilotage destiné à équiper et piloter un véhicule multi-unité, ladite méthode comprend:
- une détermination autonome d'une composition d'un véhicule multi-unité par un dispositif de détermination de la composition dudit véhicule multi-unité corrélée à une génération d'une donnée de composition dudit véhicule multi-unité;

- une transmission de ladite donnée de composition à un ensemble d'éléments du système de pilotage, au moins un élément dudit ensemble d'éléments étant un calculateur (5) dudit système de pilotage; et caractérisée en ce que ladite méthode comprend:
- une détermination, par ledit calculateur (5) et au moyen de ladite donnée de composition, d'un ensemble d'Entrées/Sorties d'au moins un module d'Entrée/Sortie (91) destiné à équiper le véhicule multi-unité;

- une connexion de chaque élément dudit ensemble d'éléments audit ensemble d'Entrées/Sorties.
Méthode selon revendication 1, caractérisée en ce que ledit ensemble d'éléments comprend un groupe de calculateurs.
Méthode selon revendication 2, caractérisée par un mécanisme de sécurisation et de priorisation de la connexion d'au moins un calculateur (5) dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties.
Méthode selon revendication 3, caractérisée en ce que ledit mécanisme de sécurisation et priorisation comprend une génération d'un jeton d'association codé apte à verrouiller ladite connexion d'au moins un calculateur (5) dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties, et une génération d'une clé de déverrouillage apte à déverrouiller ladite connexion d'au moins un calculateur (5) dudit groupe de calculateurs avec ledit ensemble d'Entrées/Sorties.
Méthode selon une des revendications 1 à 4, caractérisée par une vérification cyclique ou suffisamment fréquente d'une cohérence entre la connexion de chaque élément dudit ensemble d'éléments avec ledit ensemble d'Entrées/Sorties et ladite donnée de composition.
Méthode selon une des revendications 1 à 5, caractérisée en ce que ladite détermination autonome comprend un ajout successif et ordonné à une liste, selon un ordre de composition dudit véhicule multi-unité, d'au moins une donnée identitaire de chaque unité (1, 2, 3) dudit véhicule multi-unité de façon à ce qu'un ordre de succession des données identitaires comprises dans ladite liste soit corrélable à l'ordre de composition des unités (1, 2, 3) dudit véhicule multi-unité, chaque donnée identitaire étant spécifique à une unique unité (1, 2, 3) du véhicule multi-unité, et ladite liste étant apte à être encapsulée dans ladite donnée de composition.
Système de pilotage sécurisé d'un véhicule multi-unité, ledit système comprend:
- un dispositif de détermination d'une composition du véhicule multi-unité, capable de déterminer de manière autonome ladite composition du véhicule multi-unité et de générer une donnée de composition corrélable à ladite composition dudit véhicule multi-unité;

- au moins un calculateur (5) comprenant au moins un module de sécurisation (6), ledit calculateur (5) étant destiné à équiper au moins une unité (1, 2, 3) du véhicule multi-unité, chaque calculateur étant connectable au moyen d'au moins une connexion et via un réseau (8), d'une part à un ensemble d'Entrées/Sorties de modules d'Entrées/Sorties (91) destinés à équiper une ou plusieurs unités (1, 2, 3), et d'autre part audit dispositif de détermination de la composition du véhicule multi-unité, afin d'échanger via chaque module d'Entrées/Sorties (91) des données de fonctionnement de l'unité (1, 2, 3) et/ou du véhicule multi-unité, et afin d'acquérir dudit dispositif de détermination, une donnée de composition dudit véhicule multi-unité; et caractérisé en ce que ledit système comprend:
- ledit module de sécurisation (6) dynamique de ladite connexion de chaque calculateur (5) avec ledit ensemble d'Entrées/Sorties, ledit module de sécurisation (6) étant capable de déterminer, à partir de ladite donnée de composition, ledit ensemble d'Entrées/Sorties susceptibles d'être connectées à chaque calculateur (5), de connecter chaque calculateur (5) audit ensemble d'Entrées sorties, et de contrôler une cohérence entre chaque connexion de chaque calculateur (5) audit ensemble d'Entrées/Sorties.
Système de pilotage selon revendication 7, caractérisé en ce qu'il comprend un groupe de calculateurs, et en ce que le module de sécurisation (6) est capable de prioriser la connexion d'un seul calculateur (5) dudit groupe de calculateurs audit ensemble d'Entrées/Sorties.
Système de pilotage selon une des revendications 7 ou 8, caractérisé en ce que le module de sécurisation (6) comprend un module de verrouillage capable de verrouiller chaque connexion du calculateur (5) avec chacune des Entrées/Sorties dudit ensemble d'Entrées/Sorties.
Système de pilotage selon la revendication 8, caractérisé en ce que ledit module de verrouillage comprend un générateur de jeton d'association codé apte à générer un jeton d'association codé afin de verrouiller chaque connexion dudit calculateur (5) avec chacune des Entrées/Sorties dudit ensemble d'Entrées/Sorties et une clé de déverrouillage apte à déverrouiller au moins une connexion dudit calculateur (5) avec au moins une des Entrées/Sorties dudit ensemble d'Entrées/Sorties.
Système de pilotage selon une des revendications 7 à 10, caractérisé en ce que le dispositif de détermination d'une composition du véhicule multi-unité comprend au moins un dispositif de génération d'identité (4), chaque dispositif de génération d'identité (4) du dispositif de détermination étant destiné à équiper une unité du véhicule multi-unité, chaque dispositif de génération d'identité (4) étant capable de générer une donnée identitaire de l'unité (1, 2, 3) qu'il est destiné à équiper.
Dispositif de génération d'identité (4) destiné à permettre une détermination d'une composition d'un véhicule multi-unité comprenant au moins une unité (1, 2, 3), le dispositif de génération d'identité (4) destiné à équiper une unité (1, 2, 3) du véhicule multi-unité comprend:
- un générateur de données identitaires capable de générer une donnée identitaire de l'unité (1, 2, 3) que le dispositif de génération d'identité est destiné à équiper, ladite donnée identitaire étant destinée à permettre une identification de ladite unité (1, 2, 3);

- un détecteur de connexion apte à détecter une présence ou une absence de couplage dudit dispositif de génération d'identité (4) avec au moins un autre dispositif de génération d'identité (4);

- un générateur de liste capable de créer une liste d'éléments destinée à comprendre des éléments aptes à être ordonnés et ajoutés successivement; caractérisé en ce que ledit dispositif comprend:
- un composant de sérialisation capable d'ajouter un autre élément à ladite liste, soit à la suite d'un dernier élément d'une liste d'éléments ordonnables successivement destinée à être réceptionnée par ledit dispositif de génération d'identité, soit comme premier élément de la liste d'éléments susceptible d'être créée par le générateur de liste, ledit autre élément comprenant ladite donnée identitaire;

- un transmetteur de liste capable de transmettre ladite liste d'éléments comprenant ledit autre élément soit à un autre dispositif de génération d'identité (4), soit à au moins un calculateur (5) du véhicule multi-unité après encapsulation de ladite liste dans une donnée de composition dudit véhicule multi-unité.
Dispositif selon revendication 12, caractérisé en ce que ledit générateur de liste est capable de créer cycliquement ou suffisamment fréquemment ladite liste.
Dispositif selon une des revendication 12 à 13, caractérisé en ce que le dispositif de génération d'identité (4) comprend au moins deux connecteurs, respectivement un premier et un second connecteur, chacun destiné au couplage dudit dispositif de génération d'identité (4) avec un autre dispositif de génération d'identité (4).
Dispositif selon la revendication 14, caractérisé en ce que ledit générateur de données identitaires est capable de générer une donnée de polarisation capable d'autoriser la transmission de ladite liste d'éléments au moyen d'un seul des deux connecteurs.