IT201900003423A1 - Dispositivo supervisore per il monitoraggio del funzionamento di un dispositivo di antipattinaggio di un sistema frenante ferroviario - Google Patents

Description

DESCRIZIONE dell’invenzione industriale dal titolo: “Dispositivo supervisore per il monitoraggio del funzionamento di un dispositivo di antipattinaggio di un sistema frenante ferroviario”

DESCRIZIONE

Settore tecnico

La presente invenzione si colloca, in generale, nel settore dei sistemi frenanti ferroviari. In particolare, l’invenzione si riferisce ad un dispositivo supervisore per il monitoraggio del funzionamento di un dispositivo di antipattinaggio di un sistema frenante ferroviario.

Tecnica nota

Nel sistema di trasporto ferroviario, il valore istantaneo di aderenza tra la ruota e la rotaia rappresenta il limite massimo di forza frenante attualmente applicabile agli assili senza che le ruote di detti assili inizino una fase di pattinamento progressivo.

Qualora un assile entri in fase di pattinamento, se la forza frenante applicata non viene tempestivamente ed opportunamente ridotta, l'assile perde progressivamente velocità angolare fino a raggiungere il bloccaggio completo, con conseguente immediato surriscaldamento e danneggiamento per sovratemperatura della superficie delle ruote di detto assile nel punto di contatto tra le ruote e la rotaia. È noto che questa situazione, oltre ad allungare enormemente le distanze di arresto a causa di una ulteriore riduzione del coefficiente di attrito, può causare deragliamento ad alte velocità di esercizio del veicolo.

Per ovviare all’inconveniente descritto in precedenza, i sistemi frenanti pneumatici ferroviari sono equipaggiati con un sistema di protezione, noto come sistema di antipattinaggio.

Un sistema di antipattinaggio noto è illustrato in figura 1, per un veicolo a quattro assili 102, 103, 104, 105. Un sistema frenante 110 produce la pressione pneumatica di frenatura in funzione di una richiesta di pressione frenante o forza frenante, non illustrate in figura 1, alimentando cilindri freno 111, 112, 113, 114. Ciascuno di tali cilindro freno è incaricato di frenare rispettivamente gli assili 102, 103, 104, 105, mediante condotti pneumatici di alimentazione 115, 116. Quattro moduli valvolari di antipattinaggio 117, 118, 119, 120, pilotati da un dispositivo di antipattinaggio 101, sono frapposti tra i condotti pneumatici di alimentazione 115, 116 ed i rispettivi cilindri freno 111, 122 e 113, 114. Sensori di velocità angolare 106, 107, 108, 109 rilevano rispettivamente la velocità angolare degli assili 102, 103, 104, 105. Detti sensori di velocità angolare 106, 107, 108, 109 sono connessi elettricamente al dispositivo di antipattinaggio 101, fornendo con continuità un segnale elettrico rappresentante l’informazione di velocità angolare istantanea di ciascun assile 102, 103, 104, 105. Il dispositivo di antipattinaggio 101 stima continuamente la velocità lineare istantanea del veicolo attraverso operazioni eseguite sulle informazioni di velocità lineare stimata istantanea degli assili 102, 103, 104, 105 derivate dalle relative velocità angolari misurate. Tali operazioni sono note agli esperti del settore, quali ad esempio, ma non esclusivamente, il calcolo della media tra le quattro velocità, oppure il valor massimo istantaneo tra le quattro velocità lineari istantanee degli assili 102, 103, 104, 105, oppure ancora, come illustrato in figura 3, il valor massimo tra le quattro velocità istantanee 301, 302, 303, 304 associate agli assili 102, 103, 104, 105 ed un quinto valore, una velocità virtuale derivata 305, ottenuto decrementando il valore di velocità ottenuto al ciclo di campionamento precedente del sistema decrementato del valore di decelerazione massimo ammissibile per il veicolo in oggetto moltiplicato per il periodo di campionamento.

Valutando continuamente differenze �V tra la velocità lineare stimata istantanea del singolo assile e la velocità lineare istantanea stimata del veicolo, il dispositivo di antipattinaggio 101 rileva se uno o più assili hanno dato inizio ad una fase di pattinamento. Qualora uno o più assili abbiano dato inizio ad una fase di pattinamento, il dispositivo di antipattinaggio controlla il pattinamento di detti assili riducendo e modulando opportunamente la pressione ai cilindri freno relativi agli assili in pattinamento, agendo sui gruppi valvolari relativi a detti assili in pattinamento mediante algoritmi noti, ad esempio descritti in EP3393873, WO2017175108, evitando che detti assili incorrano in uno stato di bloccaggio e cercando di ottenere la miglior forza frenante pur permanendo in fase di scorrimento.

Detti moduli valvolari di antipattinaggio 117, 118, 119, 120, assumono ciascuno la forma dettagliata rappresentata dalla coppia di elettrovalvole pneumatiche 220, 221, illustrate in figura 2.

Le elettrovalvole pneumatiche 220, 221 sono eccitate dal dispositivo antipattinaggio 201 mediante rispettivi elementi di commutazione 202, 203. Tali elementi di commutazione 202, 203 sono tipicamente componenti elettronici a stato solido.

Per semplicità di illustrazione, in figura 2 non viene illustrato il collegamento di solenoidi, i.e. bobine elettriche, 204, 205 verso massa.

I moduli valvolari di antipattinaggio 117, 118, 119, 120 possono assumere quattro stati complessivi.

Il primo stato è definito ”di riempimento” e corrisponde ad uno stato in cui entrambe le valvole elettropneumatiche sono diseccitate, come rappresentato in figura 2: la valvola elettropneumatica 220 permette l’accesso della pressione presente in un condotto pneumatico 215, corrispondente al condotto pneumatico 115, 116 di figura 1, ad un cilindro freno 211, corrispondente al cilindro freno 111, 112, 113, 114 di figura 1, mentre la valvola elettropneumatica 221 impedisce lo svuotamento del cilindro freno 211 e del condotto pneumatico 215 alla atmosfera. Questo stato rappresenta lo stato di riposo, o di non intervento, del dispositivo di antipattinaggio, in quanto costituisce di fatto una connessione diretta tra il cilindro freno 211 ed il condotto pneumatico 215, attraverso il quale il sistema frenante controlla direttamente la pressione al cilindro freno 211 da un valore nullo ad un valore massimo.

Il secondo stato è definito “di mantenimento" e corrisponde ad uno stato in cui la valvola elettropneumatica 220 è eccitata. In tal caso la pressione nel cilindro freno 211 non può essere modificata da variazioni di pressione nel condotto pneumatico 215. La elettrovalvola pneumatica 221 continua a mantenere il cilindro freno 211 isolato dall’atmosfera. Complessivamente la pressione al cilindro freno 211 mantiene indefinitamente il suo valore a meno di perdite nel cilindro freno.

Il terzo stato è definito “di scarico” e corrisponde ad uno stato in cui entrambe le elettrovalvole pneumatiche 220, 221 sono eccitate. In tal caso la pressione nel cilindro freno 211 non può essere modificata da variazioni di pressione nel condotto pneumatico 215. La elettrovalvola pneumatica 221 eccitata connette il cilindro freno 211 all’atmosfera, riducendo la pressione al cilindro freno, eventualmente fino al valore nullo.

Il quarto stato è definito “proibito” e corrisponde ad uno stato in cui la sola elettrovalvola pneumatica 221 è eccitata. In tal caso la elettrovalvola pneumatica connette direttamente alla atmosfera sia il cilindro freno 211, sia il condotto pneumatico 215, provocando uno scarico indebito alla atmosfera della pressione prodotta dal sistema frenante.

Allo scopo di evitare sistematicamente lo stato “proibito”, l’elemento di commutazione 203 è connesso ad un nodo 206 a valle dell’elemento di commutazione 202. In tal modo, qualora l’elemento di commutazione 203 fosse chiuso da un indebito comando del circuito a monte o a causa di un suo corto circuito, non potrebbe eccitare la elettrovalvola pneumatica 221 a meno che anche l’elemento di commutazione 202 non fosse chiuso, nel qual caso anche la elettrovalvola pneumatica 220 verrebbe eccitata, portando effettivamente il cilindro freno 211 allo stato “di scarico”, ma evitando lo scarico indebito all’atmosfera del condotto pneumatico 215.

Sono arte nota diversi circuiti di pilotaggio delle elettrovalvole pneumatiche, riferiti alla alimentazione o riferiti alla massa, che comunque permettono di evitare sistematicamente lo stato “proibito”.

In generale, nella sua azione funzionale il sistema di antipattinaggio riduce necessariamente la forza frenante. Risulta evidente come, in certi modi di guasto hardware o software, il dispositivo di antipattinaggio possa mantenere le elettrovalvole pneumatiche 220, 221 permanentemente eccitate con conseguente perdita totale della forza frenante. Allo scopo di limitare casi di valvole permanentemente eccitate, le normative ferroviarie Europee UIC541-05 “BRAKES - SPECIFICATIONS FOR THE CON-STRUCTION OF VARIOUS BRAKE PARTS - WHEEL SLIDE PRO-TECTION DEVICE (WSP)”, §1.1.7. - EN15595 “Railway applications - Braking - Wheel slide protection” §4.2.2, impongono l’introduzione di dispositivi temporizzatori hardware generatori di “timeout” 210, 212.

Tali dispositivi temporizzatori sono introdotti per limitare temporalmente l’attivazione continuativa delle elettrovalvole pneumatiche 210, 212. In particolare, le norme sopra citate impongono un limite temporale di 10s, generalmente rispettato dalla maggioranza degli Operatori Ferroviari. Esistono comunque Operatori Ferroviari che ritengono opportuno avere tempi diversi da quanto raccomandato dalle norme citate.

Figura 2 illustra la realizzazione funzionale del sistema di controllo proprio del sistema antipattinaggio. Un microprocessore 207 esegue algoritmi di riconoscimento e controllo di pattinamento degli assi, ad esempio ma non esclusivamente descritti in EP3393873, WO2017175108, generando rispettivi segnali di comando 208, 209 per gli elementi di commutazione 202, 203.

Quando il microprocessore 207 porta il segnale di comando 208 a livello logico “1”, i.e. intendendo attivare l’elemento di commutazione 202, la transizione 0 � 1 del segnale di comando 208 attiva il dispositivo temporizzatore 210, il quale a sua volta porterà una sua uscita 213 a livello logico “1” per un intervallo di tempo T1 uguale, ad esempio ma non esclusivamente, a 10s. Una porta logica 216 esegue una funzione di AND tra il segnale di comando 208 e il segnale dell'uscita 213, portando un segnale 214 ad effettivamente comandare la chiusura dell’elemento di commutazione 202, per la conseguente eccitazione della elettrovalvola pneumatica 220.

Quando il microprocessore 207 porta il segnale di comando 208 a livello logico “0”, prima che il tempo T1 sia scaduto, per diseccitare la elettrovalvola pneumatica 220, allora pone il dispositivo temporizzatore 210 in condizione di reset attraverso un suo ingresso R attivo basso, preparandolo per una transizione 0 � 1 successiva.

Qualora il segnale di comando 208 dovesse restare bloccato permanentemente a livello logico “1” a causa di un guasto hardware del microprocessore 207 o a causa di un errore software dell’algoritmo di controllo antipattinaggio, allora il tempo T1 conteggiato dal dispositivo temporizzatore210 scadrebbe, provocando il ritorno dei segnali 213, 214 a livello logico “0” con conseguente diseccitazione permanente della elettrovalvola pneumatica 220.

Identico comportamento avviene per il dispositivo temporizzatore 212 relativamente alla valvola elettropneumatica 221.

In alcuni casi, sono presenti un trasduttore di pressione 222 che indica al circuito microprocessore 207 la pressione a monte della elettrovalvola pneumatica 220 attraverso una connessione 224, ed un trasduttore di pressione 223 che indica al circuito microprocessore 207 la pressione al cilindro freno 211 attraverso una connessione 225.

Sono arte nota varianti circuitali per realizzare la funzione di temporizzazione ed inibizione dei comandi di eccitazione delle valvole elettropneumatiche 220, 221.

I circuiti di temporizzazione illustrati in figura 2 sono replicati per ciascun gruppo valvolare di antipattinaggio 111, 112, 113, 114.

La soluzione precedentemente descritta rappresenta lo stato dell’arte riconosciuto da tutti gli operatori ferroviari e agenzie della sicurezza ferroviaria come metodo per ridurre il rischio che guasti hardware o problemi software possano provocare una riduzione indebita permanente della pressione pneumatica in fase di frenatura.

In situazioni di corretto funzionamento, allo scopo di mantenere l’uno o più assili 102…105 in uno stato di scorrimento controllato fintanto che permane lo stato di frenatura in condizioni di aderenza degradata, il sistema di antipattinaggio esegue continue correzioni alla pressione all’uno o più cilindri freno 111…114, resettando in tal modo i dispositivi temporizzatori 210,212.

Tuttavia, l’uso dei circuiti di temporizzazione secondo lo stato dell’arte precedentemente descritta presenta casi controproducenti nonostante il dispositivo di antipattinaggio stia eseguendo la sua funzione correttamente.

Uno primo caso viene illustrato in figura 4. In risposta alla richiesta di frenatura, il sistema frenante 110 aumenta una pressione 404 al cilindro freno 211. A causa di una condizione di aderenza degradata tra una ruota 202 e una rotaia 240, quando la forza frenante all’assile generata dalla pressione 404 supera la forza di aderenza disponibile, la ruota 202 inizia a pattinare. La velocità lineare stimata 401 dell’assile si stacca dalla velocità lineare 402 del convoglio nell’istante 403. Immediatamente, il dispositivo di antipattinaggio 201, con propri algoritmi, attiva una fase di “scarico”, provocando la transizione 0 � 1 dei segnali di comando 208, 209 per eccitare le elettrovalvole pneumatiche rispettivamente 220, 221. A partire dall’istante 403 la pressione inizia a scendere ed i dispositivi temporizzatori 210, 212, attivati dalle transizioni 0 � 1 iniziano a conteggiare i tempi rispettivamente T1, T2. Quando la velocità lineare stimata istantanea 401 dell’assile entra in una banda di tolleranza 405, il dispositivo di antipattinaggio 201 passa dalla fase di “scarico” alla fase di “mantenimento” portando a livello logico “0” il segnale 209 per diseccitare la valvola elettropneumatica 221. In tal modo il dispositivo temporizzatore 212 viene resettato. Qualora la velocità lineare stimata istantanea 401 si mantenga all’interno della banda di tolleranza 405, il dispositivo di antipattinaggio 201 mantiene invariato lo stato di “mantenimento”. In tal caso il dispositivo di temporizzazione 210 continua ad evolvere raggiungendo il valore T1, portando la sua uscita 213 allo stato logico “0”, diseccitando l’elemento di commutazione 202, riportando in sistema in stato di riempimento con conseguente bloccaggio definitivo delle ruote.

Un secondo caso illustrato in figura 5 si manifesta in casi di aderenza estremamente bassa e assili con momenti di inerzia molto elevati, ad esempio nel caso di assili connessi ai motori di trazione attraverso un riduttore ad ingranaggi.

In risposta alla richiesta di frenatura, il sistema frenante 110 aumenta una pressione 504 al cilindro freno 211. A causa di una condizione di aderenza tra a ruota 202 e la rotaia, quando la forza frenante all’assile generata dalla pressione 504 supera la forza di aderenza disponibile, la ruota inizia a pattinare. La velocità lineare stimata istantanea 501 dell’assile si stacca dalla velocità lineare 502 del convoglio nell’istante 503. Immediatamente il dispositivo di antipattinaggio 201 attiva una fase di “scarico” provocando la transizione 0 � 1 sui segnali di comando 208, 209 per eccitare rispettivamente le elettrovalvole pneumatiche 220, 221. A partire dall’istante 503, la pressione inizia a scendere ed i dispositivi temporizzatori 210, 212, attivati dalle transizioni 0 � 1 iniziano a conteggiare i tempi rispettivamente T1, T2. A causa della bassissima aderenza, nonostante la pressione 504 stia diminuendo a fronte della attivazione della fase di scarico, la velocità lineare stimata istantanea 501 continua a calare, scendendo di molto al di sotto di una banda di tolleranza 505, arrestando la sua discesa quando la forza frenante prodotta dalla pressione 504 diventa inferiore alla bassa forza di aderenza.

In questo caso il dispositivo di antipattinaggio 201 continua a permanere nella fase di “scarico” in attesa che la velocità lineare stimata istantanea 501 dell’assile rientri nella banda di tolleranza. A causa della bassa aderenza e dell’elevato momento di inerzia la velocità lineare stimata istantanea 501 dell’assile riprende molto lentamente con una accelerazione dv/dt>0 ma molto bassa. In tal caso, i dispositivi di temporizzazione 210, 212 continuano ad evolvere raggiungendo il valore rispettivamente T1, T2. In particolare, il dispositivo di temporizzazione 210, porta la sua uscita 213 allo stato logico “0”, diseccitando l’elemento di commutazione 202, rimuovendo l’alimentazione a solenoidi 204, 205, riportando in sistema in stato di “riempimento” con conseguente bloccaggio definitivo delle ruote.

Va precisato che, nel caso illustrato in figura 5, la velocità lineare stimata istantanea 501 può uscire dalla banda di tolleranza 505 a causa di aderenza estremamente bassa contemporaneamente a tempi di risposta lenti delle valvole elettropneumatiche (220, 221), o a causa di variazioni improvvise di aderenza, non illustrato in figura 5. In entrambi i casi il sistema di antipattinaggio provvede a regolare la pressione al cilindro freno associato a detta velocità lineare stimata istantanea 501 riportandola all’interno della banda di tolleranza 405. Questo è un evento normale ed è tollerato purché la permanenza continuativa della velocità lineare stimata istantanea 501 al di fuori della banda di tolleranza 505 non perduri oltre il tempo TB.

Un terzo caso illustrato in figura 6 si manifesta in casi di problemi di malfunzionamento software dell’algoritmo o di guasto hardware del microcontrollore 207.

In risposta alla richiesta di frenatura, il sistema frenante 110 aumenta la pressione 604 al cilindro freno 211. A causa di una condizione di bassa aderenza tra a ruota 202 e la rotaia, quando la forza frenante all’assile generata dalla pressione 604 supera la forza di aderenza disponibile, la ruota inizia a pattinare. La velocità lineare stimata 601 dell’assile si stacca dalla velocità lineare 602 del convoglio nell’istante 603. Immediatamente il dispositivo di antipattinaggio 201 attiva una fase di “scarico” provocando la transizione 0 � 1 sui segnali di comando 208, 208 per eccitare le valvole elettropneumatiche rispettivamente 220, 221. A partire dall’istante 603 la pressione inizia a scendere ed i dispositivi temporizzatori 210, 212, attivati dalle transizioni 0 � 1 iniziano a conteggiare i tempi rispettivamente T1, T2. Come conseguenza della riduzione della pressione 604, la velocità lineare stimata istantanea 601 dell’assile 202 inizia a recuperare attraversando con pendenza positiva la banda di tolleranza 605. Contemporaneamente, per motivi di un qualche sopravvenuto malfunzionamento software o hardware del microprocessore 207, il dispositivo di antipattinaggio non ha alcuna reazione, la velocità lineare stimata istantanea 601 dell’assile 202 recupera completamente la velocità lineare istantanea 602 del veicolo, la pressione non riprende il valore iniziale o perlomeno un valore necessario a mantenere in pattinamento controllato l’assile 202. In questo caso solamente quando i dispositivi di temporizzazione 210, 212 avranno raggiunto il valore rispettivamente T1, T2, il particolare il dispositivo di temporizzazione 210, porterà la sua uscita 213 allo stato logico “0”, diseccitando l’elemento di commutazione 202, rimuovendo l’alimentazione ai solenoidi 204, 205, riportando in sistema in stato di “riempimento” con conseguente frenatura, anche se causando il bloccaggio delle ruote. In questo specifico caso il cilindro freno resta inutilmente e per tutto il tempo T1, T2 senza una pressione frenante applicata, quando invece sarebbe opportuno per ragioni di sicurezza ripristinare la pressione frenante senza attendere lo scadere dei tempi T1, T2

Un modo per ovviare ai primi due casi descritti, potrebbe essere rappresentato dal resettare i dispositivi di temporizzazione, in anticipo rispetto allo scadere dei tempi T1, T2, forzando di fatto una estensione dei tempi T1, T2 e provocando via software transizioni 1 � 0� 1 dei segnali di comando 208, 209 tali da provocare il reset dei dispositivi di temporizzazione ma rapido a sufficienza da essere mascherato dalle inerzie meccaniche delle elettrovalvole pneumatiche 220, 221. Nel primo caso verrebbe permesso al dispositivo di antipattinaggio di continuare il proprio corretto modo di operare, nel secondo caso verrebbe dato modo all’assile 202 di recuperare la velocità istantanea fintanto che possa raggiungere la banda di tolleranza 405, permettendo così al dispositivo di antipattinaggio di riapplicare una pressione minima. In alcuni casi, gli Operatori Ferroviari hanno richiesto di aumentare i tempi T1, T2 sulla base di casi reali, tipicamente verificatesi nella stagione autunnale/invernale con situazioni di bassissima aderenza causata da foglie marce o neve depositatesi sulle rotaie per lunghi tratti.

Di contro, nel terzo caso sarebbe opportuno avere tempi T1, T2 molto corti, per evitare soprattutto in condizione di Frenatura di Emergenza di restare per lungo tempo senza una pressione applicata al cilindro freno in condizione di dispositivo di antipattinaggio guasto.

Nel decidere quali possibili soluzioni adottare vanno tenute in considerazione le normative Europee:

- EN50126 “Railway applications. The specification and demonstration of reliability, availability, maintainability and safety (RAMS). Basic requirements and generic process”

- EN50128 “Railway applications – Communications, signaling and processing systems – Software for railway control and protection systems” - EN50129 “Railway applications. Communication, signalling and processing systems. Safety related electronic systems for signalling”

In particolare, la norma EN50126 definisce la metodologia per l’assegnazione dei livelli di sicurezza SIL0/1/2/3/4 ai sottosistemi, in base ai risultati dell’Analisi di Sicurezza mentre le norme EN50128 ed EN50129 definiscono i criteri di progettazione da applicarsi alle componenti rispettivamente Software e Hardware in base ai livelli SIL assegnati. Sulla base dell’applicazione delle norme in precedenza citate, le seguenti affermazioni e concetti possono essere espressi:

- Sistemi elettronici utilizzati per la realizzazione della funzione Frenatura di Servizio possono essere generalmente realizzati in accordo alle prescrizioni dettate dalle suddette norme, limitando detta realizzazione a livelli di sicurezza non superiori a SIL2.

- Sistemi elettronici utilizzati per la realizzazione della funzione Frenatura di Emergenza possono essere realizzati in accordo alle prescrizioni dettate dalle suddette norme, restringendo detta realizzazione a livelli di sicurezza non inferiori a SIL3.

Gli attuali sistemi di antipattinaggio sono generalmente realizzati in accordo ai livelli SIL2 delle norme EN50128, EN50129. La possibile soluzione di resettare i dispositivi di temporizzazione con rapide transizioni 1 � 0� 1 va contro la ragione di sicurezza stessa per cui i dispositivi di temporizzazione sono introdotti. Solo una realizzazione eseguita in accordo al livello SIL≥3 relativamente alle norme EN50128, EN50129, basata su una osservazione delle grandezze proprie del sistema di antipattinaggio completo ed una conseguente reazione razionale, potrebbe consentire una adeguata e sicura introduzione della soluzione di re-trigger dei dispositivi di temporizzazione durante le frenature di emergenza.

La complessità degli algoritmi di antipattinaggio, il fatto che questi facciano sempre più uso di criteri adattativi, rende estremamente complesso e costoso lo sviluppo di sistemi di antipattinaggio in accordo ai livelli di sicurezza SIL≥3 secondo le Norme EN50128, EN50129. È noto che il rapporto di complessità e di costo di sviluppo e certificazione tra sistemi SIL ≤ 2 e sistemi SIL ≥ 3 varia tipicamente tra 1:20 ed 1:40. L’elevata quantità di parametrizzazioni, la complessità di adattamento delle interfacce tra gli algoritmi di antipattinaggio, gli algoritmi di controllo frenatura, gli algoritmi di sincronizzazione tra la frenatura pneumatica e la frenatura rigenerativa ottenuta mediante l’uso dei motori di trazione richiede una continua parziale riscrittura degli algoritmi di antipattinaggio, con conseguente onerosa ricertificazione SIL4 EN50128.

Ulteriormente, l’uso di un dispositivo sviluppato secondo il livello SIL2 EN50128, EN50129, essendo di fatto adibito a ridurre la forza frenante per un certo periodo, va contro le normali analisi di sicurezza per la Frenatura di Emergenza eseguite secondo la norma EN50126. È infatti caso frequente che gli Operatori Ferroviari o le Agenzie per la Sicurezza richiedano ormai l’inibizione dei dispositivi di antipattinaggio durante la Frenatura di Emergenza, scontrandosi con l’esigenza di avere il dispositivo di antipattinaggio attivo soprattutto durante la Frenatura di Emergenza, in quanto in questa situazione è necessario avere a disposizione tutti i mezzi di ausilio al recupero della aderenza ed al raggiungimento della più breve distanza di arresto.

È stato dell’arte quindi evitare di eseguire azioni volontarie di re-trigger dei dispositivi di temporizzazione mediante il dispositivo di antipattinaggio stesso, ed allo stesso limitarsi ad applicate i tempi T1, T2 previsti dalla UIC e dalla EN, ulteriormente accettando di inibire il dispositivo di antipattinaggio durante la Frenatura di Emergenza.

Sintesi dell’invenzione

Uno scopo della presente invenzione è dunque quello di ovviare ai casi controproducenti dei dispositivi di antipattinaggio noti, attraverso una soluzione che presenti complessità e costi di sviluppo ridotti.

In sintesi, il presente brevetto descrive l’utilizzo di un dispositivo supervisore per un sistema di antipattinaggio ferroviario. Il dispositivo supervisore essendo predisposto per monitorare il comportamento del sistema di antipattinaggio associato e, mediante azioni dirette o indirette sui dispositivi temporizzatori propri di detto sistema di antipattinaggio, e per aumentarne il livello di sicurezza globale in modo tale da raggiungere i livelli di sicurezza richiesti ai sistemi frenanti durante la fase di frenatura di emergenza. Inoltre, l’intervento del dispositivo supervisore sui dispositivi temporizzatori migliora.

Ulteriormente, il dispositivo supervisore può sostituirsi al sistema di antipattinaggio, qualora verifichi malfunzionamenti di detto sistema di antipattinaggio.

I suddetti ed altri scopi e vantaggi sono raggiunti, secondo un aspetto dell’invenzione, da un dispositivo supervisore avente le caratteristiche definite nella rivendicazione 1. Forme di attuazione preferenziali dell’invenzione sono definite nelle rivendicazioni dipendenti, il cui contenuto è da intendersi come parte integrante della presente descrizione.

Breve descrizione dei disegni

Verranno ora descritte le caratteristiche funzionali e strutturali di alcune forme di realizzazione preferite di un sistema di controllo elettronico della frenatura di emergenza e di servizio secondo l’invenzione. Si fa riferimento ai disegni allegati, in cui:

- la figura 1 illustra un sistema di antipattinaggio noto;

- la figura 2 illustra una realizzazione funzionale di un sistema di controllo di un sistema antipattinaggio;

- la figura 3 illustra l'andamento del tempo di velocità istantanea degli assili e di una velocità virtuale derivata;

- la figura 4 illustra grafici esplicativi di un primo caso controproducente di circuiti di temporizzazione secondo lo stato dell’arte; - la figura 5 illustra grafici esplicativi di un secondo caso controproducente di circuiti di temporizzazione secondo lo stato dell’arte; - la figura 6 illustra grafici esplicativi di un terzo caso controproducente di circuiti di temporizzazione secondo lo stato dell’arte; - la figura 7 e la figura 8 illustrano rispettivamente esempi realizzativi di un dispositivo supervisore;

- la figura 9 illustra uno scambio continuo di hand-shake del dispositivo supervisore con il sistema di antipattinaggio per verificare la corretta reazione del dispositivo di antipattinaggio; e

- la figura 10 illustra esemplificativamente uno scambio di informazioni tra il dispositivo supervisore e il sistema di antipattinaggio, quando il mezzo di connessione è costituito da un canale di comunicazione.

- Descrizione dettagliata

Prima di spiegare nel dettaglio una pluralità di forme di realizzazione dell’invenzione, va chiarito che l’invenzione non è limitata nella sua applicazione ai dettagli costruttivi e alla configurazione dei componenti presentati nella seguente descrizione o illustrati nei disegni. L’invenzione è in grado di assumere altre forme di realizzazione e di essere attuata o realizzata praticamente in diversi modi. Si deve anche intendere che la fraseologia e la terminologia hanno scopo descrittivo e non vanno intese come limitative. L’utilizzo di “includere” e “comprendere” e le loro variazioni sono da intendersi come ricomprendenti gli elementi enunciati a seguire e i loro equivalenti, così come anche elementi aggiuntivi e gli equivalenti di questi.

Nel seguito è descritta una prima forma di realizzazione di un dispositivo supervisore 701, 801 per il monitoraggio del funzionamento di un dispositivo di antipattinaggio 703, 803 di un sistema frenante ferroviario.

Il dispositivo di antipattinaggio è predisposto per ricevere segnali di velocità istantanea di almeno due assili 102, …, 105, controllare pressioni a cilindri freno 111, …, 114 associati agli assili 102, …, 105 mediante gruppi elettro-valvolari (117…120), prevenire il bloccaggio degli assili (102…105) e per controllare il pattinamento di detti assili (102…105) tramite il controllo delle pressioni ai cilindri freno 111, …, 114) associati agli assili 102, …, 105 per mezzo dei gruppi elettro-valvolari 117, …, 120.

I gruppi elettro-valvolari 117, …, 120 comprendono ciascuno due elettrovalvole pneumatiche 220, 221. Ciascuna elettrovalvola pneumatica 220, 221 è provvista di un dispositivo temporizzatore 210, 212, 726, 727, 826, 827 predisposto per misurare un tempo di alimentazione della rispettiva elettrovalvola pneumatica 220, 221 e per generare ciascuno un segnale predisposto per disalimentare la rispettiva elettrovalvola pneumatica 220, 221 se il tempo di alimentazione della rispettiva elettrovalvola pneumatica 220, 221 misurato supera un predeterminato valore di tempo precaricato T1, T2.

Il dispositivo supervisore 701, 801 è predisposto per acquisire velocità lineari stimate istantanee 301, …, 304 associate agli assili 102, …, 105 controllati dal dispositivo di antipattinaggio 703, 803, confrontare le velocità lineari stimate istantanee 301, …, 304 associate agli assili 102, …, 105 con una velocità lineare di riferimento (306) del veicolo ferroviario, monitorare lo stato delle pressioni ai cilindri freno 111, …, 114.

Il dispositivo supervisore 701, 801 è inoltre predisposto per determinare, per ciascun assile in fase di pattinamento, se il dispositivo di antipattinaggio 703, 803 sta funzionando correttamente o se sta funzionando non correttamente, in funzione di predeterminate condizioni operative includenti predeterminati andamenti di ciascuna delle velocità lineari stimate istantanee 301, …, 304 associate agli assili 102, …, 105 in fase di pattinamento, rispetto ad una velocità lineare di riferimento 306 del veicolo ferroviario, in associazione a ciascuna delle pressioni ai cilindri freno 111, …, 114 associati agli assili 102, …, 105.

Ulteriormente, il dispositivo supervisore 701, 801 è predisposto per mantenere, ridurre o annullare il valore di tempo precaricato T1, T2 in almeno uno dei dispositivi temporizzatori 726, 727, 826, 827 associati agli assili 102, … 105 in fase di pattinamento, durante l’esecuzione di conteggio di detti tempi precaricati T1, T2 da parte di detti dispositivi temporizzatori 726, 727, 826, 827, quando il dispositivo supervisore 701, 801 determina che il dispositivo di antipattinaggio 703, 803 sta funzionando non correttamente.

Il dispositivo supervisore 701, 801 è quindi previsto con lo scopo di agire direttamente o indirettamente sui dispositivi di temporizzazione.

Preferibilmente, il dispositivo supervisore 701, 801 è predisposto inoltre per mantenere o aumentare il valore di tempo precaricato T1, T2 in almeno un dispositivo temporizzatore 726, 727, 826, 827, durante il conteggio di detti tempi precaricati T1, T2 da parte di detti dispositivi temporizzatori 726, 727, 826, 827 associati agli assili 102…105 in fase di pattinamento, quando il dispositivo supervisore determina che il dispositivo di antipattinaggio 703, 803 sta funzionando correttamente.

Preferibilmente, si può determinare che il dispositivo di antipattinaggio 703, 803 sta funzionando correttamente se gli assili in stato di scorrimento assumono una delle seguenti predeterminate condizioni operative:

- un valore di velocità lineare stimata istantanea 401 degli assili è compreso all’interno di una banda di tolleranza 405, per almeno un tempo predeterminato TP1;

- un valore di velocità lineare stimata istantanea 501 degli assili è caratterizzato dall’avere una accelerazione istantanea superiore ad una determinata soglia di accelerazione As, per almeno un tempo predeterminato TP2.

La banda di tolleranza 405, 505, 605 può essere una funzione della velocità lineare di riferimento 402, 502, 602.

Preferibilmente, si può determinare che il dispositivo di antipattinaggio 703, 803 sta funzionando non correttamente se almeno un assile in stato di scorrimento assume una delle seguenti predeterminate condizioni operative:

- un valore di una pressione istantanea 604 del cilindro freno associato all'almeno un assile in stato di scorrimento è rappresentativo della condizione di “mantenimento”, in cui il valore di pressione al cilindro freno è mantenuto costante, o di “svuotamento”, in cui il valore di pressione al cilindro freno è nullo, contemporaneamente ad un valore di velocità lineare istantanea 606 associata a detta pressione istantanea 604 caratterizzato dall’essere nominalmente uguale alla velocità lineare di riferimento del veicolo 602 per un tempo predeterminato TP3;

- un valore di una pressione istantanea 604 del cilindro freno associato all'almeno un assile in stato di scorrimento è rappresentativo della condizione di “mantenimento” o di “svuotamento” contemporaneamente ad un valore di velocità lineare istantanea 607 associata a detta pressione istantanea 604 caratterizzato dall’evolvere all’esterno di una banda di tolleranza 605 con accelerazione inferiore ad un predeterminato valore As per un tempo predeterminato TP3.

Preferibilmente, si può determinare che il dispositivo di antipattinaggio 703, 803 sta funzionando non correttamente se una procedura di controllo continuativo tra il dispositivo supervisore 701, 801 ed il dispositivo di antipattinaggio (703, 803 non è instaurato correttamente.

La procedura di controllo continuativo può comprendere lo scambio di un primo segnale master 901 generato dal dispositivo supervisore 701, 801 e ricevuto dal dispositivo di antipattinaggio 703, 803, e di un secondo segnale slave 902 generato al dispositivo di antipattinaggio 703, 803 e ricevuto dal dispositivo supervisore 701, 801.

Il segnale master 901 presenta transizioni di stato logico continuative S1, …, Sn decise dal dispositivo supervisore 701, 801 e il segnale slave presenta transizioni di stato logico di risposta A1, …, An generate dal dispositivo di antipattinaggio 703, 803 in risposta alle transizioni S1, …, Sn del segnale master 901.

Le transizioni di stato logico di risposta A1, …, An sono richieste che avvengano entro un tempo TOK a partire dalla corrispondente transizione S1, …, S3 del segnale master 901 affinché detto dispositivo di antipattinaggio 703, 803 sia considerato funzionante correttamente.

Oppure, la procedura di controllo continuativo può comprendere la continua generazione di richieste di informazioni 1030 generate dal dispositivo supervisore 701, 801 e ricevute dal dispositivo di antipattinaggio 703, 803, e risposte 1031 alle richieste di informazione 1030.

Le risposte 1031 sono generate dal dispositivo di antipattinaggio 703, 803 e ricevute dal dispositivo supervisore 701, 801. Le richieste di informazione sono prelevate dal dispositivo supervisore 801, 803 in modo casuale da una lista 1020 predeterminata, precaricata in una memoria non volatile del dispositivo supervisore 801, 803.

Le risposte 1031 sono calcolate indipendentemente dal dispositivo di antipattinaggio 703, 803 e dal dispositivo supervisore 701, 801.

Il dispositivo di antipattinaggio 703, 803 è considerato funzionante correttamente fintanto che il dispositivo supervisore verifica la congruenza tra la risposta calcolata da se stesso e la risposta 1031 inviata dal dispositivo di antipattinaggio.

In un ulteriore aspetto, preferibilmente, il monitoraggio dello stato di pressione del cilindro freno 111, …, 114 può essere effettuato in modo diretto mediante sensori di pressione 222, 223 propri di ciascun gruppo valvolare di antipattinaggio 117, …, 120 associato a ciascun cilindro freno 111, …, 114. Una delle due elettrovalvole pneumatiche 220, 221 può essere una elettrovalvola pneumatica di riempimento 220. I sensori di pressione 222, 223 potranno indicare rispettivamente la pressione frenante a monte di ciascuna elettrovalvola pneumatica di riempimento 220 dei gruppi valvolari di antipattinaggio 117, …, 120 e la pressione a ciascun cilindro freno 111, …, 114.

Preferibilmente, il monitoraggio dello stato di pressione del cilindro freno 111, …, 114 può essere effettuato in modo indiretto mediante osservazione dello stato di segnali di controllo 208, 209 relativi a ciascun modulo valvolare di antipattinaggio 117, …, 120 associato a ciascun cilindro freno 111, …, 114.

In un ulteriore aspetto, il valore di tempo precaricato T1, T2 può presentare un valore maggiore o uguale a zero secondi e minore di dieci secondi.

Preferibilmente, il dispositivo supervisore 701, 801 può essere predisposto per calcolare la velocità lineare di riferimento 306, 402, 502, 602 del veicolo ferroviario, mediante operazioni eseguite sui valori delle velocità istantanee 301, …, 304 degli assili 102, …, 105 e su almeno una velocità virtuale derivata 305.

Il dispositivo supervisore 701, 801 può essere inoltre predisposto per calcolare la velocità lineare di riferimento 306, 402, 502, 602 del veicolo ferroviario associato mediante operazioni eseguite su ulteriori valori di velocità istantanee di assili associati ad ulteriori dispositivi supervisore o di antipattinaggio associati al medesimo convoglio ferroviario. Gli ulteriori dispositivi di supervisione e di antipattinaggio potranno essere connessi al dispositivo supervisore 701, 801 mediante una rete di comunicazione.

I suddetti ulteriori valori di velocità possono essere trasmessi dai dispositivi generatori secondo la norma EN50159 attraverso detta rete di comunicazione in accordo ad un livello di sicurezza uguale o maggiore al livello di sicurezza utilizzato per lo sviluppo del dispositivo supervisore 701, 801.

In un ancora ulteriore aspetto, il dispositivo supervisore 701, 801 può essere predisposto per inviare comandi al dispositivo di antipattinaggio 703, 803. I comandi sono comandi richiedenti transizioni logiche sulle uscite di controllo 208, 209 e sono inviati attraverso un mezzo di connessione 750, 850. Il mezzo di connessione 750, 850, potrà quindi connettere il dispositivo supervisore 701, 801 al dispositivo di antipattinaggio 703, 803. Il mezzo di connessione 750, 850 può comprendere uno o più segnali digitali o un canale di comunicazione. La pluralità di segnali digitali hardware possono permettere semplici scambi di “handshake”. Il canale di comunicazione può essere, ad esempio ma non esclusivamente, RS232, RS485, CAN.

Preferibilmente, il dispositivo supervisore 701 può essere predisposto per rileggere il valore di tempo residuo attuale dai dispositivi temporizzatori 726, 727 di ciascun gruppo valvolare di antipattinaggio 117, …, 120, e per ricaricare detti dispositivi temporizzatori 726, 727 con un valore superiore a quello riletto nel caso in cui si intenda attuare una estensione del tempo rimanente da conteggiare. Oppure, il dispositivo supervisore 701 può essere predisposto per ricaricare detti dispositivi temporizzatori 726, 727 con un valore inferiore a quello riletto o con un valore nullo nel caso in cui intenda attuare una riduzione o un azzeramento del tempo rimanente da conteggiare.

Il dispositivo supervisore può essere predisposto per:

- rileggere il valore di tempo residuo attuale di contatori interni 828, 829 associati ai dispositivi temporizzatori 826, 827 di ciascun gruppo valvolare di antipattinaggio 117, …, 120;

- nel caso in cui intenda estendere il tempo rimanente da conteggiare, “retriggerare” i dispositivi temporizzatori 826, 827 relativi all’assile associato 112, …, 115 e ricaricare i contatori interni 828, 829 associati ai dispositivi temporizzatori 826, 827 con i valori di tempo precaricati T1, T2 propri dei dispositivi temporizzatori 826, 827;

- se si intende azzerare il tempo rimanente da conteggiare, “resettare” i dispositivi temporizzatori 826, 827 relativi all’assile associato 112, …, 115 ed azzerare i contatori interni 828, 829 associati ai dispositivi temporizzatori 826, 827.

Preferibilmente, il dispositivo supervisore 701, 801 può essere predisposto per “retriggerare” indirettamente i dispositivi temporizzatori 726, 727, 826, 827, provocando una variazione di pressione 404 sufficiente da causare l’uscita della velocità lineare stimata istantanea 401 dalla fascia di tolleranza 405. La variazione di pressione 401 può essere ottenuta agendo su opportuni segnali 720, 721, 820, 821.

Preferibilmente, il dispositivo supervisore 701, 801 può essere predisposto per inibire il dispositivo di antipattinaggio 703, 803 mediante gli opportuni segnali 720, 721, 820, 821, per pilotare direttamente i gruppi valvolari di antipattinaggio 117, …, 120 mediante ulteriori segnali 732, 733, 832, 833 al fine di operare un algoritmo di antipattinaggio.

Preferibilmente, il dispositivo supervisore 701, 801 può essere predisposto per inibire il dispositivo di antipattinaggio 703, 803 mediante gli opportuni segnali 720, 721, 820, 821 e per pilotare direttamente i gruppi valvolari di antipattinaggio 117, …, 120 mediante ulteriori segnali 732, 733, 832, 833 al fine di operare un algoritmo di antibloccaggio.

Preferibilmente, il dispositivo supervisore 701, 801 può comprendere un circuito “watch-dog” 706, 806 predisposto per il monitoraggio del corretto funzionamento del dispositivo supervisore 701, 801. Il circuito “watch-dog” 706, 806 essendo provvisto di un elemento di commutazione 710, 810 posto in serie su un ramo di alimentazione di solenoidi 714, 715, 814, 815 propri dei moduli valvolari di antipattinaggio 117, …, 120. L'elemento di commutazione 710, 810 potrò essere posizionato in condizione chiusa dal circuito “watch_dog” 706, 806 quando il circuito “watch-dog” 706, 806 verifica un corretto funzionamento di detto dispositivo supervisore 701, 801. L'elemento di commutazione 710, 810 potrà essere posizionato in condizione aperta dal circuito “watch-dog” 706, 806 quando il circuito “watch-dog” 706, 806 verifica un non corretto funzionamento del dispositivo supervisore 701, 801.

Il dispositivo supervisore può inoltre comprendere un elemento di commutazione di emergenza 704, 804 posto in parallelo all’elemento di commutazione 710, 810. L'elemento di commutazione di emergenza 704, 804 potrà essere in condizione chiusa quando un segnale di richiesta di emergenza 705, 805 è in stato “non attivo”, e in condizione aperta quando il segnale di richiesta di emergenza 705, 805 è in stato “attivo”.

Preferibilmente, il dispositivo supervisore 701, 801 è sviluppato in accordo a livelli SIL≥3 relativamente alle normative EN50128 ed EN50129. Inoltre, i suddetti ulteriori valori di velocità saranno generati dai dispositivi generatori secondo le norme EN50128, EN50129, in accordo al livello uguale o maggiore al livello di sicurezza utilizzato per lo sviluppo del dispositivo supervisore 701, 801.

In un ulteriore aspetto, il dispositivo supervisore 701, 801 potrà essere realizzato mediante circuiti a microprocessore ridondati, o mediante circuiti logici programmabili ridondati, o mediante almeno un circuito a microprocessore ed almeno un circuito logico programmabile.

Preferibilmente, i dispositivi temporizzatori 726, 727 e funzioni logiche annesse 722, 723, 734, 735) potranno essere realizzate all’interno del dispositivo supervisore. Le funzioni equivalenti ai dispositivi temporizzatori 726, 727 e le funzioni logiche annesse 722, 723, 734, 735 potranno essere realizzate mediante codice software o all’intendo dei circuiti logici programmabili.

Figura 7 e figura 8 illustrano alcuni esempi realizzativi, non esclusivi.

Nel seguito è descritto dettagliatamente un esempio realizzativo.

Il dispositivo supervisore 701, 801, riceve due o più segnali di velocità istantanea 702, 802, degli assili 102, 103, 104, 105 provenienti da sensori di velocità 106, 107, 108, 109. Ad esempio, ma non esclusivamente, mediante il metodo precedentemente descritto ed illustrato in figura 4, il dispositivo supervisore 701, 801 calcola in tempo reale la velocità lineare istantanea del veicolo. Ulteriormente, non illustrato in figura 7, 8, il dispositivo supervisore 701, 801 è connesso attraverso un bus di comunicazione ad altri sistemi di bordo quali ad esempio ma non esclusivamente altri dispositivi supervisore o di antipattinaggio da cui può ricevere informazioni di velocità di ulteriori assili.

Poiché la velocità lineare istantanea calcolata del veicolo ha un ruolo diretto nella analisi dello stato del sistema di antipattinaggio monitorato, la funzione di calcolo relativa riveste lo stesso livello di sicurezza a cui va assoggettato il dispositivo supervisore 701, 801. Per tale ragione, anche il trasferimento di informazioni di velocità di assili appartenenti ad altri sistemi di bordo dovrà essere eseguito seguendo le procedure descritte, per gli stessi livelli di sicurezza a cui è soggetto il dispositivo supervisore 701, 801, secondo la norma Europea EN50159 Railway applications - Communication, signalling and processing systems - Safety-related communication in transmission systems.

Gli stessi due o più segnali di velocità istantanea 752, 852, degli assili 102, 103, 104, 105 sono ricevuti dal dispositivo di antipattinaggio 703, 803 per l’esecuzione dell’algoritmo di antipattinaggio. In alternativa, i segnali di velocità istantanea 752, 852 possono essere generati e trasmessi dal dispositivo supervisore 701, 801 per il dispositivo di antipattinaggio 703, 803 come riproduzione dei segnali di velocità istantanea 702, 802. Come ulteriore alternativa i segnali di velocità istantanea 752, 852 possono essere generati dal supervisore 701, 801 e trasmessi al dispositivo di antipattinaggio 703, 803 attraverso il mezzo di connessione 750, 850.

Il segnale di Frenatura di Emergenza 705, 805, potrà essere in stato “non attivo” per indicare richiesta di frenatura di emergenza assente, è in stato “attivo” per indicare richiesta di frenatura di emergenza presente.

Un elemento di commutazione 704, 804 è in condizione chiusa quando il segnale di Frenatura di Emergenza 705, 805 è ”non attivo”. L’elemento di commutazione 704, 804 è in condizione aperta quando il segnale di Frenatura di Emergenza 705, 805, è “attivo”.

Una funzione di Watch-dog 706, 806 mantiene una sua uscita 711, 811 a livello logico “1” fintanto che detta funzione di Watch-dog 706, 806 verifica un corretto funzionamento del dispositivo supervisore 701, 801 e porta la sua uscita 711, 811 a livello logico “0” quando detto circuito di Watch-dog 706, 806 verifica un non corretto funzionamento del dispositivo supervisore 701, 801

In condizione di corretto funzionamento, essendo il segnale all'uscita 711, 811 a livello logico “1”, il dispositivo supervisore 701, 801, può chiudere l’elemento di commutazione 710, 810, pilotando il segnale interno 708, 808, a livello logico “1”. L’elemento di commutazione 710, 810, viene aperto da un segnale 709, 809, quando il segnale interno 708, 808 viene portato a livello logico “0” dal dispositivo supervisore 701, 801, o quando il circuito di Watch-dog 706, 806, rileva un errore nel funzionamento del dispositivo supervisore 701, 801.

Sistemi di sicurezza progettati secondo la norma EN50126 richiedono l’esistenza di uno “stato sicuro” ovvero di uno stato ove il livello di sicurezza obiettivo del progetto sia garantito in presenza di un guasto che porti il sistema di sicurezza stesso ad essere completamente inefficiente.

In un sistema di antipattinaggio controllato da un sistema a sicurezza superiore si intende “stato sicuro”, ad esempio ma non esclusivamente, lo stato di inibizione del sistema durante la frenatura di emergenza.

Il parallelo di elementi di commutazione 710, 704, ovvero 810, 804, costituisce lo “stato sicuro” del sistema: qualora il dispositivo supervisore 701, 801 possa essere affetto da un guasto tale da non permettergli di eseguire le attività di supervisione sicura per le quali al sistema di antipattinaggio 703, 803 è permesso di operare durante la frenatura di emergenza, il circuito Watch-dog pilota l’elemento di commutazione 710, in condizione aperta, permettendo al segnale di Frenatura di Emergenza 705, 805 in condizione di Frenatura di Emergenza attiva, di rimuovere l’alimentazione ai solenoidi 714, 715 ovvero 814, 815, aprendo lo switch 704, 804 portando il sistema globale nella condizione di inibizione della funzione di antipattinaggio durante la frenatura di emergenza. Qualora sia richiesto di inibire la funzione di antipattinaggio anche durante la frenatura di servizio, nel caso il dispositivo supervisore 701, 801 sia affetto da un guasto tale da non permettergli di eseguire le attività di supervisione sicura, si connette il segnale 730, 830 rispettivamente al segnale 709, 809. In tal modo il dispositivo di Watch-dog 706, 806 inibisce il dispositivo di antipattinaggio 703, 803 anche durante la frenatura di servizio aprendo l’elemento di commutazione 731, 831, quando un malfunzionamento è riscontrato nel dispositivo supervisore 701, 801.

L’elemento di commutazione 712, 812 corrisponde funzionalmente all’elemento di commutazione 202, essendo adibito all’eccitazione del solenoide 715, 815 corrispondente al solenoide 204 della elettrovalvola pneumatica 220. L’elemento di commutazione 713, 813 corrisponde funzionalmente all’elemento di commutazione 203, essendo adibito all’eccitazione del solenoide 714, 814 corrispondente al solenoide 205 della elettrovalvola pneumatica 221.

I dispositivi temporizzatori 726, 727 sono contatori di tipo digitale il cui conteggio è cadenzato da un “clock” non rappresentato in figura. Il loro contenuto può essere letto o modificato dal dispositivo supervisore 701 mediante i bus bidirezionali rispettivamente 724, 725.

I dispositivi temporizzatori 826, 827 sono monostabili di tipo analogico. Per poter essere a conoscenza del tempo residuo da conteggiarsi da parte dei due dispositivi temporizzatori 826, 827, il dispositivo supervisore 801 emula il comportamento di detti dispositivi temporizzatori 826, 827, mediante due contatori software 828, 829. I due contatori software 826, 827 sono precaricati con un tempo corrispondente nominalmente ai tempi di conteggio T1, T2 propri dei rispettivi dispositivi temporizzatori 826, 827. I segnali di comando 208, 209 sono letti dal dispositivo supervisore 801. Quando le combinazioni dei segnali di comando 208, 818, e 209, 819, operano avviando o resettando i rispettivi dispositivi temporizzatori 826, 827, attraverso rispettive porte logiche 824, 825, il dispositivo supervisore 801 esegue le stesse operazioni sui due rispettivi contatori software 826, 827, avendo in tal modo conoscenza continua ed in tempo reale dello stato di conteggio di tempo dei rispettivi dispositivi temporizzatori 826, 827.

Il dispositivo supervisore 701, 801, mantiene normalmente i segnali 732, 733 ovvero 832, 833 a livello logico “0” rendendo le porte logiche “OR” 734, 735 ovvero 834, 835 trasparenti per i segnali di uscita delle porte logiche “AND” 722, 723, ovvero 822, 823.

Il dispositivo supervisore 701, 801, mantiene normalmente i segnali 720, 721 ovvero 820, 821, a livello logico “1” per abilitare le porte logiche “AND” rispettivamente 722, 723 ovvero 822, 823 ad operare in funzione dello stato degli altri segnali di ingresso a dette porte logiche 722, 723 ovvero 822, 823. Quando i segnali 720, 721 ovvero 820, 821 sono mantenuti a livello logico “1” ed i segnali 732, 733 ovvero 832, 833 sono mantenuti a livello logico “0” dal supervisore 701, 801, il dispositivo di antipattinaggio 703, 803 agisce sui dispositivi temporizzatori 726, 727 ovvero 826, 827 e sugli elementi di commutazione 712, 713 ovvero 812, 813 analogamente a quanto descritto per il circuito di figura 2.

In ogni momento, ad esempio quando il dispositivo supervisore 701, 801 riscontra un malfunzionamento nel dispositivo di antipattinaggio 703, 803, il circuito supervisore 701, 801 può decidere come prima soluzione di inibire il sistema di antipattinaggio aprendo il contatto 731, 831 mediante i segnali 730, 830, oppure portando a livello logico “0” i segnali 818, 819, ovvero 720, 721, ovvero 820, 821. Ulteriormente il dispositivo supervisore 701, 801può decidere di sostituirsi al dispositivo di antipattinaggio 703, 803, inibendo il dispositivo di antipattinaggio 703, 803 portando a livello logico “0” i segnali 720, 721 ovvero 820, 821 e controllando direttamente lo stato dei solenoidi 715, 714 ovvero 815, 814 pilotando direttamente gli elementi di commutazione 712, 713 ovvero 812, 813 attraverso i rispettivi segnali 733, 732 ovvero 833, 832. In questo caso, l’algoritmo usato dal dispositivo supervisore 701, 801 può essere di tipo estremamente semplificato, per semplificare una certificazione EN50128 SIL≥3, ad esempio un semplice algoritmo derivativo sensibile alle variazioni istantanee di velocità dell’assile, e con una soglia di velocità istantanea dell’assile sotto la quale il modulo valvolare di antipattinaggio viene portato in stato di “svuotamento” per un tempo sufficiente ad evitare condizioni di bloccaggio delle ruote.

Il dispositivo supervisore 701, 801 può monitorare permanentemente le attività del dispositivo di antipattinaggio 703, 803, confrontando il comportamento individuale della velocità lineare istantanea di ciascun assile 102, 103, 104, 105 con la velocità lineare di riferimento del veicolo, e contemporaneamente osservare lo stato di ciascuna pressione pneumatica relativa al cilindro freno proprio di ciascun assile 102, 103, 104, 105.

Ulteriormente il dispositivo supervisore 701, 801 può monitorare le attività delle uscite 208, 209 del dispositivo di antipattinaggio 703, 803.

Lo stato di una pressione relativa al cilindro freno 211 può essere osservata come differenza tra la pressione di frenatura 215, letta mediante il sensore 222, e la pressione al cilindro freno 211, letta mediante il sensore di pressione 223.

Lo stato di “riempimento” indicativo ad una frenatura piena corrisponde al valore di pressione al cilindro freno 211 nominalmente uguale alla pressione di frenatura 215.

Lo stato di “mantenimento” corrisponde ad un valore di pressione al cilindro freno 211 costante ed inferiore alla pressione di frenatura 215. In particolare, è noto agli esperti del settore che la differenza tra la pressione di frenatura 215 e la pressione al cilindro freno 211 è indicativa del valore di aderenza al punto di contatto tra l’assile e la rotaia, ovvero, maggiore è la differenza minore è il coefficiente di attrito.

Lo stato di “svuotamento” indicativo di un rilascio completo del freno corrisponde ad un valore nullo di pressione al cilindro freno 211.

In assenza dei sensori di pressione 222, 223, lo stato di una pressione relativa al cilindro freno 211 può essere dedotta dallo stato dei segnali di controllo 208, 209 secondo le definizioni inizialmente fornite, ovvero lo stato di “riempimento” corrisponde ad entrambe le valvole elettropneumatiche diseccitate, lo stato di “mantenimento” corrisponde alla eccitazione della sola valvola elettropneumatica 220,lo stato di “scarico” corrisponde all’eccitazione contemporanea delle valvole elettropneumatiche 220, 221.

Per ciascun assile 102…105, e sulla base del comportamento individuale della velocità istantanea di ciascun assile 102, …, 105 con la velocità di riferimento del veicolo, e lo stato di ciascuna pressione pneumatica relativa al cilindro freno 111, …, 114 proprio di ciascun assile 102, …, 105, il dispositivo supervisore 701, 801 può decidere di non intervenire, o di prolungare, ridurre, azzerare i tempi T1, T2 associati a ciascun gruppo valvolare 117, …, 120 in accordo a situazioni di buon funzionamento o malfunzionamento identificati.

Casi in cui il dispositivo supervisore può decidere di non intervenire o di prolungare i tempi T1, T2 sono rappresentati ad esempio ma non esclusivamente in figura 4 ed in figura 5.

Il dispositivo supervisore può decidere di non intervenire quando la velocità lineare istantanea 607 permane al di fuori della banda 604 per un tempo superiore a TB.

Caso in cui il dispositivo supervisore può decidere di ridurre o azzerare i tempi T1, T2 è rappresentato ad esempio ma non esclusivamente in figura 6.

Il dispositivo supervisore 701 può prolungare i tempi T1, T2 dei dispositivi temporizzatori rispettivamente 726, 727 ad esempio ma non esclusivamente leggendo i tempi residui nei dispositivi temporizzatori 726, 727 mediante i bus rispettivamente 724, 725 e ricaricando nei detti dispositivi temporizzatori 726, 727 un valore di tempo superiore a quello residuo. Il dispositivo supervisore 701 può abbreviare i tempi T1, T2 dei dispositivi temporizzatori rispettivamente 726, 727 ad esempio ma non esclusivamente leggendo i tempi residui nei dispositivi temporizzatori 726, 727 mediante i bus rispettivamente 724, 725 e ricaricando nei detti dispositivi temporizzatori 726, 727 un valore di tempo inferiore a quello residuo o un valore nullo.

Il dispositivo supervisore 801 può prolungare i tempi T1, T2 dei dispositivi temporizzatori rispettivamente 826, 827 ad esempio retriggerando direttamente i dispositivi temporizzatori mediante una rapida transizione 1 � 0�1 eseguita sui segnali 818, 819. In questo caso i dispositivi temporizzatori ricaricheranno i tempi rispettivamente T1, T2.

Il dispositivo supervisore 801 può azzerare i tempi T1, T2 dei dispositivi temporizzatori rispettivamente 826, 827 ad esempio resettando direttamente i dispositivi temporizzatori 826, 827 in modo permanente mediante una transizione permanente 1 �0 eseguita sui segnali 818, 819.

In un secondo modo, il dispositivo supervisore 701, 801 può retriggerare in modo indiretto i tempi T1, T2 provocando una minima destabilizzazione del sistema, in modo che sia il circuito di antipattinaggio stesso 703, 803 a retriggerare direttamente i dispositivi temporizzatori 726, 727 ovvero 826, 827. Il dispositivo supervisore 701, 801 può destabilizzare il sistema provocando uno stato di “svuotamento” eccitando i segnali 732, 733 ovvero 832 833 per un tempo sufficientemente lungo da causare una riduzione di pressione al cilindro freno 221, detta riduzione essendo sufficiente a portare la velocità lineare stimata 401 al di fuori della parte superiore della banda di tolleranza 405. A questo punto il dispositivo di antipattinaggio, se attivo e correttamente funzionante, reagirà portando il sistema in stato di “riempimento” agendo sui segnali 208, 209 e retriggerando i dispositivi di temporizzazione 726, 727 ovvero 826, 827. Ulteriormente il dispositivo di antipattinaggio farà rientrare la velocità lineare stimata 401 all’interno della banda di tolleranza 405. Il dispositivo supervisore 701, 801 rileva la corretta reazione del dispositivo di antipattinaggio 703, 803 monitorando le uscite 208, 209, del dispositivo di antipattinaggio 703, 803.

Ulteriormente, il dispositivo supervisore 701, 801 può sollecitare il dispositivo di antipattinaggio 703, 803 richiedendo al dispositivo di antipattinaggio 701, 801 stesso di eseguire una transizione 1 � 0� 1 sulle uscite 208, 209, mediante richiesta eseguita attraverso il mezzo di comunicazione 750, 850. Questo metodo è particolarmente utile nel caso rappresentato in figura 5, dove il dispositivo di antipattinaggio tende a mantenere costantemente le sue uscite 208, 209 allo stato logico “1” fintanto che la velocità lineare stimata 501 dell’assile non rientra nella banda di tolleranza 505. Qualunque altro metodo precedentemente descritto porterebbe al retrigger dei dispositivi temporizzatori 726, 727 ovvero 826, 826 ottenendo lo scopo di allungare i tempi, ma non otterrebbe come conseguenza una transizione delle uscite 208, 209 tali da permettere al supervisore 701, 801 di verificare lo stato di “vita” del dispositivo di antipattinaggio 703, 803.

Nel caso illustrato in figura 7, osservato il malfunzionamento del sistema, il dispositivo supervisore 701, 801 può decidere di riapplicare immediatamente ed in modo permanente la pressione frenante agendo sui segnali disponibili senza attendere che i dispositivi di temporizzazione 726, 727 ovvero 826, 827 facciano scadere i tempi T1, T2. Ulteriormente, il dispositivo supervisore può sostituirsi al dispositivo di antipattinaggio come precedentemente descritto, inibendo il dispositivo di antipattinaggio 703, 803 portando a livello logico “0” i segnali 720, 721 ovvero 820, 821 e controllando direttamente lo stato dei solenoidi 715, 714 ovvero 815, 814 pilotando direttamente gli elementi di commutazione 712, 713 ovvero 812, 813 attraverso i segnali rispettivamente 733, 732 ovvero 833, 832.

I circuiti di figura 7 ovvero figura 8 sono propri di ciascun gruppo valvolare 117, 118, 119, 120 associati al dispositivo di antipattinaggio 101, 703, 803 ed al dispositivo supervisore 701, 801.

Un metodo per irrobustire i criteri secondo cui il dispositivo supervisore 701, 801 considera corretto il comportamento del sistema di antipattinaggio 703, 803 è quello per cui il dispositivo supervisore 701, 801 attua uno scambio continuo di handshake con il sistema di antipattinaggio 703, 803 mediante il mezzo di connessione 750, 850, verificando la corretta reazione del dispositivo di antipattinaggio.

Qualora il mezzo di connessione 750, 850 sia costituito da segnali discreti hardwired, un metodo esemplificativo ma non esclusivo è illustrato in figura 9: un segnale digitale 901 facente parte dell’insieme dei segnali discreti 750, 850 è generato dal dispositivo supervisore 701, 801 e ricevuto dal dispositivo di antipattinaggio 703, 803. Un segnale digitale 902 facente parte dell’insieme dei segnali discreti 750, 850 è generato dal dispositivo di antipattinaggio 703, 803 e ricevuto dal dispositivo supervisore 701, 801. Il segnale 901 viene generato ad esempio ma non esclusivamente a frequenza variabile. Il segnale 902 viene generato in risposta al segnale 901, ovvero il dispositivo di antipattinaggio 703, 803 risponde con una variazione A1, A2, … An dello stato logico del segnale 902 a ciascuna variazione S1, S2… Sn dello stato logico del segnale 901. Il dispositivo di antipattinaggio 703, 803 monitora il segnale 901 ed esegue le variazioni A1, A2, … An esclusivamente mediante funzioni software integrate nel flusso di programma inerente alla funzione antipattinaggio, completamente svincolate da esecuzione sotto chiamata interrupt. Il dispositivo supervisore 701, 801 considera corretto lo stato di salute del dispositivo di antipattinaggio 703, 803 quando una variazione di stato logico A1, A2, …An del segnale 902 viene riscontrata in risposta ad una variazione di stato logico S1, S2, …Sn del segnale 901 entro un tempo massimo TOK.

Qualora il mezzo di connessione 750, 850 sia costituito da un canale di comunicazione, un metodo esemplificativo ma non esclusivo è rappresentato da uno scambio di informazioni illustrato in figura 10.

Il dispositivo supervisore 701, 801 ha a disposizione una lista 1020 di n richieste di informazione da inviare al dispositivo di antipattinaggio 703, 803. Le richieste di informazione prevedono ad esempio ma non esclusivamente, richieste di informazioni relative a stati variabili del sistema le cui risposte non sono note apriori ma sono ottenibili in tempo reale sia dal dispositivo supervisore 701, 801 che dal dispositivo di antipattinaggio 703, 803.

Il dispositivo supervisore 701, 801 esegue il flusso 1001 con ciclicità ad esempio ma non esclusivamente a frequenza variabile: in 1002 viene eseguita la generazione di un numero casuale in un range 0�n con n corrispondente al numero massimo di possibili richieste di informazione, ed una richiesta di informazione viene prelevata in una lista di sta di richieste di informazione 1020.

In 1003 il dispositivo supervisore 701, 801 invia la richiesta di informazione al dispositivo di antipattinaggio 703, 803 attraverso il canale di comunicazione costituente il mezzo di connessione 750, 850.

In 1012 il dispositivo di antipattinaggio 703, 803 elabora la risposta alla richiesta di informazione ricevuta.

In 1013 il dispositivo di antipattinaggio 703, 803 invia la risposta elaborata al dispositivo supervisore 701, 801.

In 1004 il dispositivo supervisore 701, 801 elabora a sua volta la risposta alla richiesta di informazione da esso prelevata in 1002 dalla lista di richieste di informazione 1020.

In 1005 il dispositivo supervisore 701, 801 verifica la congruenza tra la risposta da esso elaborata e la risposta elaborata dal dispositivo di antipattinaggio 703, 803.

In entrambi i casi descritti, qualora il dispositivo supervisore 701, 801 riscontri una non corretta reazione da parte del dispositivo di antipattinaggio 703, 803, può decidere di azzerare immediatamente i tempi T1, T2 ed inibire il funzionamento del dispositivo di antipattinaggio 703, 803 aprendo l’elemento di commutazione 701, 801 oppure forzando allo stato logico “0” i segnali 720,721, 820, 821.

Le funzionalità descritte in figura 7 e figura 8 possono essere realizzate in svariate forme alternative.

Il circuito supervisore 701, 801, può essere realizzato mediante uno o più microprocessori, o mediante uno o più circuiti FPGA, o mediante un insieme formato da un microprocessore e da un circuito FPGA, secondo una architettura tale che l’integrazione tra il circuito supervisore 701, 801 con il sistema di antipattinaggio risulti in un livello di sicurezza globale della funzione di antipattinaggio SIL≥3 secondo la norma EN50126.

Le funzionalità corrispondenti alla porzione circuitale compresa entro la linea tratteggiata 760 può essere eventualmente realizzata completamente in modo software all’interno dei microprocessori o delle FPGA costituenti il dispositivo supervisore 701.

Gli elementi di commutazione 704, 710, 731, ovvero 804, 810, 831 possono essere relè o dispositivi a stato solido.

Le limitazioni dell'esempio realizzativo sopra riportato costituiscono forma di realizzazione attualmente preferita ma possono essere variate senza per questo allontanarsi dall'ambito più esteso definito nella rivendicazione principale.

Il vantaggio conseguito è dunque quello di ottenere una soluzione che ovvi i casi controproducenti dei dispositivi di antipattinaggio noti, attraverso una soluzione con complessità e costi ridotti.

Sono stati descritti diversi aspetti e forme di realizzazione di un procedimento di realizza-zione di un dispositivo supervisore secondo l’invenzione. Si intende che ciascuna forma di realizzazione può essere combinata con qualsiasi altra forma di realizzazione. L’invenzione, inoltre, non è limitata alle forme di realizzazione descritte, ma potrà essere variata entro l’ambito definito dalle rivendicazioni annesse.

Claims (27)

1. RIVENDICAZIONI 1. Dispositivo supervisore (701, 801) per il monitoraggio del funzionamento di un dispositivo di antipattinaggio (703, 803) di un sistema frenante ferroviario; detto dispositivo di antipattinaggio essendo predisposto per: - ricevere segnali di velocità istantanea di almeno due assili (102, …, 105); - controllare pressioni a cilindri freno (111, …, 114) associati a detti assili (102, …, 105) mediante gruppi elettro-valvolari (117, …, 120); - prevenire il bloccaggio degli assili (102, …, 105) e per controllare il pattinamento di detti assili (102, …, 105) tramite il controllo delle pressioni ai cilindri freno (111, …, 114) associati a detti assili (102, …, 105) per mezzo di detti gruppi elettro-valvolari (117…120); detti gruppi elettro-valvolari (117, …, 120) comprendendo ciascuno due elettrovalvole pneumatiche (220, 221); ciascuna elettrovalvola pneumatica (220, 221) essendo provvista di un dispositivo temporizzatore (210, 212, 726, 727, 826, 827) predisposto per misurare un tempo di alimentazione della rispettiva elettrovalvola pneumatica (220, 221) e per generare ciascuno un segnale predisposto per disalimentare detta rispettiva elettrovalvola pneumatica (220, 221) se il tempo di alimentazione della rispettiva elettrovalvola pneumatica (220, 221) misurato supera un predeterminato valore di tempo precaricato (T1, T2); il dispositivo supervisore (701, 801) essendo predisposto per: - acquisire velocità lineari stimate istantanee (301, …, 304) associate agli assili (102, …, 105) controllati da detto dispositivo di antipattinaggio (703, 803); - confrontare dette velocità lineari stimate istantanee (301, …, 304) associate agli assili (102…105) con una velocità lineare di riferimento (306) del veicolo ferroviario; - monitorare lo stato delle pressioni ai cilindri freno (111, …, 114); - determinare, per ciascun assile in fase di pattinamento, se detto dispositivo di antipattinaggio (703, 803) sta funzionando correttamente o se sta funzionando non correttamente, in funzione di predeterminate condizioni operative includenti predeterminati andamenti di ciascuna delle velocità lineari stimate istantanee (301…304) associate agli assili (102…105) in fase di pattinamento, rispetto alla velocità lineare di riferimento (306) del veicolo ferroviario, in associazione a ciascuna delle pressioni ai cilindri freno (111…114) associati agli assili (102…105); - mantenere, ridurre o annullare il valore di tempo precaricato (T1, T2) in almeno uno dei dispositivi temporizzatori (726, 727, 826, 827) associati agli assili (102…105) in fase di pattinamento, durante l’esecuzione di conteggio di detti tempi precaricati (T1, T2) da parte di detti dispositivi temporizzatori (726, 727, 826, 827), quando il dispositivo supervisore (701, 801) determina che il dispositivo di antipattinaggio (703, 803) sta funzionando non correttamente.
2. 2. Dispositivo supervisore (701, 801) secondo la rivendicazione 1, predisposto inoltre per mantenere o aumentare il valore di tempo precaricato (T1, T2) in almeno un dispositivo temporizzatore (726, 727, 826, 827), durante il conteggio di detti tempi precaricati (T1, T2) da parte di detti dispositivi temporizzatore (726, 727, 826, 827) associati agli assili (102…105) in fase di pattinamento, quando detto dispositivo supervisore determina che il dispositivo di antipattinaggio (703, 803) sta funzionando correttamente.
3. 3. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni 1 o 2, in cui si determina che detto dispositivo di antipattinaggio (703, 803) sta funzionando correttamente se gli assili in stato di scorrimento assumono una delle seguenti predeterminate condizioni operative: - un valore di velocità lineare stimata istantanea (401) degli assili è compreso all’interno di una banda di tolleranza (405), per almeno un tempo predeterminato (TP1); - un valore di velocità lineare stimata istantanea (501) degli assili è caratterizzato dall’avere una accelerazione istantanea superiore ad una determinata soglia di accelerazione (As), per almeno un tempo predeterminato (TP2).
4. 4. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, in cui si determina che detto dispositivo di antipattinaggio (703, 803) sta funzionando non correttamente se almeno un assile in stato di scorrimento assume una delle seguenti predeterminate condizioni operative: - un valore di una pressione istantanea (604) del cilindro freno associato all'almeno un assile in stato di scorrimento è rappresentativo di una condizione di “mantenimento”, in cui il valore di pressione al cilindro freno è mantenuto costante, o di “svuotamento”, in cui il valore di pressione al cilindro freno è nullo, contemporaneamente ad un valore di velocità lineare istantanea (606) associata a detta pressione istantanea (604) caratterizzato dall’essere nominalmente uguale alla velocità lineare di riferimento del veicolo (602) per un tempo predeterminato (TP3); - un valore di una pressione istantanea (604) del cilindro freno associato all'almeno un assile in stato di scorrimento è rappresentativo della condizione di “mantenimento” o di “svuotamento” contemporaneamente ad un valore di velocità lineare istantanea (607) associata a detta pressione istantanea (604) caratterizzato dall’evolvere all’esterno di una banda di tolleranza (605) con accelerazione inferiore ad un predeterminato valore (As) per un tempo predeterminato (TP3).
5. 5. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, in cui si determina che detto dispositivo di antipattinaggio (703, 803) sta funzionando non correttamente se una procedura di controllo continuativo tra il dispositivo supervisore (701, 801) ed il dispositivo di antipattinaggio (703, 803) non è instaurata correttamente.
6. 6. Dispositivo supervisore (701, 801) secondo la rivendicazione 5, in cui la procedura di controllo continuativo comprende lo scambio di un primo segnale master (901) generato dal dispositivo supervisore (701, 801) e ricevuto dal dispositivo di antipattinaggio (703, 803), e di un secondo segnale slave (902) generato al dispositivo di antipattinaggio (703, 803) e ricevuto dal dispositivo supervisore (701, 801); detto segnale master (901) avendo transizioni di stato logico continuative (S1…Sn) decise dal dispositivo supervisore (701, 801) e detto segnale slave avendo transizioni di stato logico di risposta (A1, …, An) generate dal dispositivo di antipattinaggio (703, 803) in risposta alle transizioni (S1, …, Sn) del segnale master (901); dette transizioni di stato logico di risposta (A1, …, An) essendo richieste avvenire entro un tempo TOK a partire dalla corrispondente transizione (S1, …, S3) del segnale master (901) affinché detto dispositivo di antipattinaggio (703, 803) sia considerato funzionante correttamente.
7. 7. Dispositivo supervisore (701, 801) secondo la rivendicazione 5, in cui la procedura di controllo continuativo comprende la continua generazione di: - richieste di informazioni (1030) generate dal dispositivo supervisore (701, 801) e ricevute dal dispositivo di antipattinaggio (703, 803); e - risposte (1031) alle richieste di informazione (1030); dette risposte (1031) essendo generate dal dispositivo di antipattinaggio (703, 803) e ricevute dal dispositivo supervisore (701, 801); dette richieste di informazione essendo prelevate dal dispositivo supervisore (801, 803) in modo casuale da una lista (1020) predeterminata precaricata in una memoria non volatile di detto dispositivo supervisore (801, 803); dette risposte (1031) essendo calcolate indipendentemente dal dispositivo di antipattinaggio (703, 803) e dal dispositivo supervisore (701, 801); detto dispositivo di antipattinaggio (703, 803) essendo considerato funzionante correttamente fintanto che il dispositivo supervisore verifica la congruenza tra la risposta calcolata da se stesso e la risposta (1031) inviata dal dispositivo di antipattinaggio.
8. 8. Dispositivo supervisore (701, 801) secondo una qualsiasi delle precedenti rivendicazioni, in cui il monitoraggio dello stato di pressione del cilindro freno (111, …, 114) è effettuato in modo diretto mediante sensori di pressione (222, 223) propri di ciascun gruppo valvolare di antipattinaggio (117, …, 120) associato a ciascun cilindro freno (111, …, 114); una delle due elettrovalvole pneumatiche (220, 221) essendo una elettrovalvola pneumatica di riempimento (220); detti sensori di pressione (222, 223) indicando rispettivamente la pressione frenante a monte di ciascuna elettrovalvola pneumatica di riempimento (220) dei gruppi valvolari di antipattinaggio (117, …, 120) e la pressione a ciascun cilindro freno (111, …, 114).
9. 9. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni da 1 a 7, in cui il monitoraggio dello stato di pressione del cilindro freno (111, …, 114) è effettuato in modo indiretto mediante osservazione dello stato di segnali di controllo (208, 209) relativi a ciascun modulo valvolare di antipattinaggio (117…120) associato a ciascun cilindro freno (111…114).
10. 10. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, in cui il valore di tempo precaricato (T1, T2) ha un valore maggiore o uguale a zero secondi e minore di dieci secondi.
11. 11. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, predisposto per calcolare la velocità lineare di riferimento (306, 402, 502, 602) del veicolo ferroviario, mediante operazioni eseguite sui valori delle velocità lineari stimate istantanee (301, …, 304) degli assili (102…105) e su almeno una velocità virtuale derivata (305).
12. 12. Dispositivo supervisore (701, 801) secondo la rivendicazione 11, predisposto per calcolare la velocità lineare di riferimento (306, 402, 502, 602) del veicolo ferroviario associato mediante operazioni eseguite su ulteriori valori di velocità istantanee di assili associati ad ulteriori dispositivi supervisore o di antipattinaggio associati al medesimo convoglio ferroviario; detti ulteriori dispositivi di supervisione e di antipattinaggio essendo connessi al dispositivo supervisore (701, 801) mediante una rete di comunicazione.
13. 13. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni da 3 a 12, in cui la banda di tolleranza (405, 505, 605) è una funzione della velocità lineare di riferimento (402, 502, 602).
14. 14. Dispositivo supervisore (701, 801) secondo la rivendicazione 13, in cui gli ulteriori valori di velocità sono trasmessi dagli ulteriori dispositivi generatori secondo la norma EN50159 attraverso detta rete di comunicazione in accordo ad un livello di sicurezza uguale o maggiore al livello di sicurezza utilizzato per lo sviluppo del dispositivo supervisore (701, 801).
15. 15. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, predisposto per inviare comandi al dispositivo di antipattinaggio (703, 803); detti comandi essendo comandi richiedenti transizioni logiche sulle uscite di controllo (208, 209) ed essendo inviati attraverso un mezzo di connessione (750, 850); detto mezzo di connessione (750, 850) comprendendo uno o più segnali digitali o un canale di comunicazione.
16. 16. Dispositivo supervisore (701) secondo una qualsiasi delle rivendicazioni precedenti, predisposto per rileggere il valore di tempo residuo attuale dai dispositivi temporizzatori (726, 727) di ciascun gruppo valvolare di antipattinaggio (117…120), e ricaricare detti dispositivi temporizzatori (726, 727) con un valore superiore a quello riletto nel caso in cui si intenda attuare una estensione del tempo rimanente da conteggiare; oppure, ricaricare detti dispositivi temporizzatori (726, 727) con un valore inferiore a quello riletto o con un valore nullo nel caso in cui intenda attuare una riduzione o un azzeramento del tempo rimanente da conteggiare.
17. 17. Dispositivo supervisore (801) secondo una qualsiasi delle precedenti rivendicazioni, predisposto per: - rileggere il valore di tempo residuo attuale di contatori interni (828, 829) associati ai dispositivi temporizzatori (826, 827) di ciascun gruppo valvolare di antipattinaggio (117…120) - nel caso in cui si intenda estendere il tempo rimanente da conteggiare, “re-triggerare” i dispositivi temporizzatori (826, 827) relativi all’assile associato (112…115) e ricaricare i contatori interni (828, 829) associati ai detti dispositivi temporizzatori (826, 827) con i valori di tempo precaricati (T1, T2) propri di detti dispositivi temporizzatori (826, 827); - se si intende azzerare il tempo rimanente da conteggiare, “resettare” i dispositivi temporizzatori (826, 827) relativi all’assile associato (112…115) ed azzerare i contatori interni (828, 829) associati a detti dispositivi temporizzatori (826, 827).
18. 18. Dispositivo supervisore (701, 801) secondo una qualsiasi delle precedenti rivendicazioni, predisposto per “re-triggerare” indirettamente i dispositivi temporizzatori (726, 727, 826, 827) provocando una variazione di pressione (404) sufficiente da causare l’uscita della velocità lineare stimata istantanea (401) dalla fascia di tolleranza (405); detta variazione di pressione (404) essendo ottenuta agendo su opportuni segnali (720, 721, 820, 821).
19. 19. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, predisposto per inibire il dispositivo di antipattinaggio (703, 803) mediante gli opportuni segnali (720, 721, 820, 821) per pilotare direttamente i gruppi valvolari di antipattinaggio (117, …, 120), mediante ulteriori segnali (732, 733, 832, 833), al fine di operare un algoritmo di antipattinaggio.
20. 20. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, predisposto per inibire il dispositivo di antipattinaggio (703, 803) mediante gli opportuni segnali (720, 721, 820, 821) e per pilotare direttamente i gruppi valvolari di antipattinaggio (117…120) mediante ulteriori segnali (732, 733, 832, 833) al fine di operare un algoritmo di antibloccaggio.
21. 21. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, comprendente un circuito “watch-dog” (706, 806) predisposto per il monitoraggio del corretto funzionamento di detto dispositivo supervisore (701, 801), e provvisto di un elemento di commutazione (710, 810) posto in serie su un ramo di alimentazione di solenoidi (714, 715, 814, 815) propri dei moduli valvolari di antipattinaggio (117…120); detto elemento di commutazione (710, 810) essendo posizionato in condizione chiusa da detto circuito “watch_dog” (706, 806) quando detto circuito “watch-dog” (706, 806) verifica un corretto funzionamento di detto dispositivo supervisore (701, 801); detto elemento di commutazione (710, 810) essendo posizionato in condizione aperta da detto circuito “watch-dog” (706, 806) quando detto circuito “watch-dog” (706, 806) verifica un non corretto funzionamento di detto dispositivo supervisore (701, 801).
22. 22. Dispositivo supervisore (701, 801) secondo la rivendicazione 21, in cui un elemento di commutazione di emergenza (704, 804) è posto in parallelo all’elemento di commutazione (710, 810); detto elemento di commutazione di emergenza (704, 804) essendo in condizione chiusa quando il segnale di richiesta di emergenza (705, 805) è in stato “non attivo”; detto elemento di commutazione di emergenza (704, 804) essendo in condizione aperta quando il segnale di richiesta di emergenza (705, 805) è in stato “attivo”.
23. 23. Dispositivo supervisore (701, 801) secondo una qualsiasi delle precedenti rivendicazioni, sviluppato in accordo a livelli SIL≥3 relativamente alle normative EN50128 ed EN50129.
24. 24. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni da 12 a 23, in cui gli ulteriori valori di velocità sono generati dai dispositivi generatori secondo le norme EN50128, EN50129, in accordo al livello uguale o maggiore al livello di sicurezza utilizzato per lo sviluppo del dispositivo supervisore (701, 801).
25. 25. Dispositivo supervisore (701, 801) secondo una qualsiasi delle rivendicazioni precedenti, realizzato mediante circuiti a microprocessore ridondati, o mediante circuiti logici programmabili ridondati, o mediante almeno un circuito a microprocessore ed almeno un circuito logico programmabile.
26. 26. Dispositivo supervisore (701) secondo una qualsiasi delle rivendicazioni precedenti, in cui i dispositivi temporizzatori (726, 727) e funzioni logiche annesse (722, 723, 734, 735) sono realizzati all’interno del dispositivo supervisore.
27. 27. Dispositivo supervisore (701) secondo la rivendicazione 26, in cui funzioni equivalenti ai dispositivi temporizzatori (726, 727) e le funzioni logiche annesse (722, 723, 734, 735) sono realizzate mediante codice software o all’intendo dei circuiti logici programmabili.