ITMI992051A1 - Procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata - Google Patents

Description

DESCRIZIONE del brevetto per invenzione industriale

La presente invenzione si riferisce ad un procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata.

In particolare, si fa riferimento ad un impianto del tipo a fune traente con veicoli provvisti ognuno di una o più morse per agganciare la fune.

L'impianto comprende una serie di stazioni variamente distanziate, tra le quali i veicoli traslano trainati dalla fune.

All'interno di ogni stazione i veicoli si sganciano dalla fune e vengono trascinati da trasportatori, che provvedono a rallentarli, eventualmente a fermarli per consentire la salita e/o la discesa dei passeggeri, e ad accelerarli nuovamente, per portarli ad una velocità di sincronismo con la velocità della fune, in modo che i veicoli possano agganciarla senza subire strappi o accelerazioni eccessive, che risulterebbero dannose tanto per il veicolo quanto per i passeggeri.

Tutte le operazione di aggancio o sgancio della morsa alla fune, di apertura o chiusura porte, di accelerazione o decelerazione e di partenza o arrivo dei veicoli nelle stazioni, sono gestite da un dispositivo elettronico di controllo, che lavora sotto la sorveglianza di un dispositivo elettronico di sicurezza. Si prevede un numero di veicoli circolanti sostanzialmente elevato rispetto alla lunghezza totale dell'impianto, mentre la loro distribuzione lungo l'intero percorso dovrebbe essere progettata in modo tale che, in ogni stazione, i veicoli entrino ed escano secondo logiche ben determinate che consentano di non accumulare ritardi e, nel caso si verificassero, di mantenere sempre una distanza reciproca tra i veicoli che impedisca nel modo più assoluto ogni tipo di incidente dovuto a collisioni reciproche.

Tuttavia, tale problematica dovrebbe essere ricondotta alle modalità di sosta dei veicoli in ciascuna stazione non presidiata; infatti, dato che i veicoli in linea sono legati alla fune traente, il pericolo di collisione tra essi esiste solamente in corrispondenza delle stazioni intermedie e terminali.

Inoltre, è essenziale ripristinare la corretta spaziatura dei veicoli ogniqualvolta esista una discontinuità provocata dall'arresto prolungato di un veicolo in una stazione, dovuto per esempio all'imbarco di un disabile o al funzionamento difettoso di una porta, mentre la massima portata in persone/ora si otterrebbe nel caso in cui i veicoli siano spaziati regolarmente senza eccessivi scostamenti rispetto ad un valore medio.

Un dispositivo elettronico di supervisione, che governi il funzionamento generale dell'impianto, sebbene utilizzato per altri scopi, non può risultare sufficiente a garantire una completa sicurezza anche dal punto di vista della distanza fra i veicoli; per esempio, il dispositivo di supervisione non è in grado di verificare con esattezza l'avvenuta chiusura delle porte, in quanto la chiusura delle porte è preceduta da un segnale acustico che invita i passeggeri a non insistere nel salire, ma se un passeggero tenta comunque di entrare in vettura la porta si deve riaprire per ordine di un dispositivo di sicurezza, cui il dispositivo di supervisione è subordinato.

Dunque, normalmente, il dispositivo elettronico di supervisione stabilisce un intervallo di tempo prestabilito (dell'ordine di 20 secondi), al termine del quale invia un segnale di chiusura delle porte; tale intervallo può essere costante o variare da una stazione all'altra, ed anche per la stessa stazione da un'ora all'altra della giornata, tuttavia la fase di chiusura delle porte dura sempre circa 3-4 secondi, e l'avvenuta chiusura viene rilevata da un microinterruttore che invia al dispositivo di supervisione il segnale di "pronta partenza".

Una centralina elettronica di gestione, a questo punto, consente di scegliere un istante opportuno per fare partire effettivamente il veicolo, in modo che, se tutte le operazioni precedenti si sono svolte regolarmente, il veicolo potrà partire immediatamente dopo la chiusura delle porte, altrimenti, se il primo tentativo di chiusura non va a buon fine per l'intromissione di un passeggero fra le ante di una porta, la centralina comanda un nuovo tentativo, e così nuovamente fino alla effettiva chiusura.

Si noti come, in tal caso, la vettura può accumulare un ritardo, che può essere stimato in circa 7 secondi per ogni tentativo non andato a buon fine.

Di norma, dopo 2 tentativi non riusciti, viene messa automaticamente in allarme una telecamera che inquadra la banchina, in modo che dal centro di controllo ci si possa rendere conto di quanto sta succedendo, tuttavia, in alcuni casi, per esempio in caso di vandalismo o di guasto di una porta, tale ritardo può essere sensibilmente notevole e, a causa di tali ritardi, le spaziature previste tra due veicoli successivi possono risultare diverse dai valori teorici previsti, con conseguenze molto gravi sull'intero sistema di trasporto e deleterie per quel che riguarda l'incolumità dei passeggeri.

Scopo della presente invenzione è, quindi, quello di eliminare gli inconvenienti tecnici lamentati, e in particolare quello di indicare un procedimento per il comando di veicoli di un impianto dì trasporto urbano a guida vincolata, che consenta di mantenere due veicoli successivi dell'impianto ad una distanza prefissata e costante, in modo che non sia assolutamente possibile che si verifichino incidenti tra veicoli nelle stazioni intermedie e terminali.

Ulteriore scopo dell'invenzione è quello di realizzare un procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata che sia sostanzialmente semplice, sicuro ed affidabile. Questi ed altri scopi, secondo la presente invenzione, vengono raggiunti realizzando un procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata secondo la rivendicazione 1. Altre caratteristiche della presente invenzione sono definite, inoltre, nelle rivendicazioni successive. Vantaggiosamente, il procedimento secondo la presente invenzione è in grado di attuare numerose strategie per adattarsi alle differenti situazioni che si possono venire a creare nel normale funzionamento dell'impianto.

In particolare tali strategie possono variare a seconda della posizione di ogni veicolo in linea, della velocità dei veicoli sull'impianto, dell'affollamento di stazioni e veicoli e dei tempi di imbarco in ogni stazione e per diversi periodi di tempo all'interno di una medesima giornata.

Ulteriori caratteristiche e vantaggi di un procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata, secondo la presente invenzione, risulteranno maggiormente evidenti dalla descrizione seguente di un esempio di implementazione, preferito ma non limitativo, e riferito ai disegni schematici allegati, in cui:

- la figura 1 mostra una vista schematica di un sistema di trasporto che implementa un procedimento secondo la presente invenzione;

- la figura 2 mostra uno schema a blocchi relativo ad un procedimento per il comando di veicoli di un impianto di trasporto urbano a guida vincolata, secondo la presente invenzione;

- la figura 3 rappresenta schematicamente un esempio realizzativo di un protocollo di sicurezza utilizzato nel procedimento di controllo, secondo l'invenzione. Con riferimento alle figure menzionate, viene mostrato un impianto di trasporto urbano a guida vincolata, indicato genericamente con 11, ove viene implementato un procedimento di comando e controllo secondo l'invenzione .

In una forma realizzativa esemplificativa e preferita, ma non limitativa, l'impianto 11 comprende una guida 12 ad anello chiuso, che collega tra loro sette stazioni 13.

Lungo, la guida 12 scorre una fune 14 alla quale si possono connettere veicoli 15, adibiti al trasporto urbano, per mezzo di morse atte ad agganciare la fune 14, in modo tale che i veicoli 15 traslino sulla guida 12 trainati dalla 'fune 14, mentre la fune 14 stessa viene rilasciata in corrispondenza delle fermate dei veicoli 15 nelle varie stazioni 13.

La fune 14 trasla nel verso indicato dalle frecce F e, quindi, anche il moto dei veicoli 15 avviene secondo tale verso.

Ciascuna delle due stazioni di estremità 13A, 13B presenta una piattaforma girevole 16 che può accogliere i veicoli 15 per portarli da un primo ramo 18 ad un secondo ramo 19 della guida 12.

Lungo la guida 12 sono previsti una serie di mezzi trasportatori 17, che provvedono a smistare e condurre i veicoli 15 in prossimità delle stazioni 13.

In particolare, a monte di ogni stazione 13 un primo trasportatore 17 provvede a frenare i veicoli 15 da una velocità di sincronismo con la velocità della fune 14 ad una velocità nulla, per fermarli in corrispondenza delle stazioni 13, o eventualmente ad una velocità estremamente ridotta per consentire, comunque, la salita e la discesa dei passeggeri.

D'altronde, a valle di ogni stazione 13, un altro mezzo trasportatore 17 provvede ad accelerare i veicoli 15 per riportarli ad una velocità di sincronismo con la velocità della fune 14.

I veicoli 15, quindi, si muovono in corrispondenza delle stazioni 13 trascinati dai mezzi trasportatori 17 e non agganciati alla fune 14, mentre i veicoli 15 in linea, nei tratti compresi tra due stazioni 13 successive, si muovono agganciati alla fune 14.

II procedimento di controllo secondo l'invenzione permette di gestire un impianto di trasporto urbano dimensionabile per un intervallo medio fra due veicoli 15 successivi pari a 60 secondi.

Dato che i veicoli 15 in linea sono legati alla fune 14, il pericolo di collisione fra due o più veicoli 15 esiste solo in corrispondenza delle stazioni 13.

Ε' tuttavia essenziale ripristinare la corretta spaziatura dei veicoli 15 in presenza di ogni discontinuità provocata dall'arresto prolungato di un veicolo 15 in una stazione 13, dovuto, per esempio all'imbarco di un disabile o al funzionamento difettoso di una porta.

Infatti, data la lunghezza della linea o guida 12, la massima efficienza di trasporto si ottiene quando i veicoli 15 sono spaziati regolarmente senza eccessivi scostamenti rispetto ad un valore medio.

La reciproca distanza tra i veicoli 15 viene controllata, secondo l'invenzione, da un dispositivo spaziatore che implementa il procedimento di controllo dei veicoli e costituisce un sottosistema funzionale di un sistema più ampio di gestione e supervisione, che governa il funzionamento generale dell'impianto 11. Il dispositivo spaziatore è subordinato ad un dispositivo di sicurezza, che garantisce il funzionaménto in sicurezza dell'intero impianto 11.

Gli strumenti a disposizione per ripristinare la spaziatura tra i veicoli 15 (se persa per una qualche causa) sono, in linea di massima, i seguenti:

a) prolungamento artificiale della sosta dei veicoli 15 che seguono, con ampia libertà sulla scelta della stazione 13 in cui attuare la sosta prolungata;

b) partenza anticipata, se possibile, rispetto al tempo normalmente programmato;

c) rallentamento dell'impianto 11 ed adozione della modalità operativa di accelerazione forzata;

d) fermo del veicolo 15 sulla piattaforma rotante terminale 16.

L'arresto forzato del veicolo 15 sul trasportatore 17 di decelerazione di una stazione 13 viene attivato automaticamente dal dispositivo di sicurezza, in caso di arrivo di un veicolo 15 quando un altro veicolo 15 si trova nella stazione 13; il dispositivo di supervisione deve, però, attraverso il dispositivo spaziatore, attivarsi per contrastare con congruo anticipo il verificarsi di una tale situazione.

Il dispositivo spaziatore deve scegliere di volta in volta ed in tempo reale i provvedimenti più opportuni, sulla base delle informazioni a disposizione: a) posizione di ogni veicolo 15 in linea o guida 12, che viene mantenuta aggiornata istante per istante con il calcolo, sulla base dell'istante di uscita del veicolo 15 da ogni stazione 13;

b) velocità dell'impianto 11 ovvero della fune 14; c) grado di affollamento delle stazioni 13, che viene acquisito automaticamente ovvero per iniziativa degli addetti al controllo o in base a serie storiche conosciute;

d) serie storiche dei tempi di imbarco e sbarco nelle varie stazioni 13 e nei vari periodi del giorno. Il procedimento di controllo per la spaziatura tra ì veicoli 15 consente di acquisire, in tempo reale, le decisioni più opportune per mantenere e ripristinare la corretta spaziatura tra i veicoli 15, in modo da assorbire perturbazioni di varia entità, al fine di: a) mantenere un distanziamento regolare tra i veicoli 15 per ottimizzare il livello di servizio dell'impianto 11 di trasporto urbano;

b) contrastare con congruo anticipo l'eventualità che due veicoli 15 si avvicinino in modo tale da richiedere l'arresto- dell'impianto 11, per evitare collisioni in corrispondenza delle stazioni 13. La funzione principale del dispositivo spaziatore che utilizza il procedimento secondo l'invenzione è quella di stabilire l'istante più opportuno per inviare il segnale di chiusura delle porte a ciascun veicolo 15, fermo in corrispondenza di una pedana di stazione 13, e, successivamente, il segnale di partenza.

Solo in talune circostanze eccezionali il dispositivo spaziatore può ricorrere a rallentare l'intero impianto 11 (e, quindi, la fune 14) per facilitare il ripristino della spaziatura; in questo caso il dispositivo spaziatore deve valutare anche la convenienza di attivare per certi veicoli 15 una procedura di accelerazione forzata.

In ogni caso, la procedura non prevede mai l'arresto dell'impianto 11, che risulta sempre comandato dal dispositivo di sicurezza tutte le volte che il dispositivo di supervisione non è riuscito a garantire la spaziatura corretta.

Il procedimento per il controllo dei veicoli 15 in fase di marcia sull'impianto 11 obbedisce, in linea di massima, ai seguenti criteri:

a) se la partenza ritardata di un veicolo 15 appare come un evento occasionale, il ritardo viene recuperato con l'invio anticipato (ad esempio di 5 secondi) del segnale di chiusura delle porte ad una stazione 13 successiva a quella nella quale si verifica il ritardo, scegliendo preferibilmente quella meno frequentata;

b) se la partenza ritardata appare frequente, ma non generalizzata, viene posticipata la partenza dei veicoli 15 seguenti il veicolo 15 in ritardo;

c) se la partenza ritardata appare generalizzata viene aumentato sistematicamente il tempo di sosta in stazione 13: infatti, per esempio un aumento di 3 secondi del tempo di sosta in stazione 13 può evitare una perdita di tempo di circa 7 secondi per un tentativo di chiusura non andato a buon fine; d) se il ritardo di un veicolo 15 assume valori considerevoli, con il rischio di dover giungere all'arresto dell'impianto 11, il procedimento di controllo attiva il dispositivo spaziatore in modo più complesso, comandando la partenza anticipata di alcuni veicoli 15 e la partenza ritardata di altri, rallentando eventualmente l'impianto 11. Un diagramma di flusso relativo al procedimento di controllo sopra descritto, secondo la presente invenzione, è schematicamente mostrato in figura 2.

Le informazioni in ingresso comprendono la posizione attuale PV dei veicoli 15, la velocità attuale VF della fune 14, l'affollamento attuale ASV delle stazioni 13 e dei veicoli 15 e, infine, i dati storici DS relativi a tali informazioni.

In una prima fase 20, tali informazioni vengono elaborate per ricavare le relazioni funzionali 21, 22, relative, rispettivamente, alla posizione del veicolo 15 rispetto al tempo trascorso nella stazione 13 ed alla posizione del veicolo 15 rispetto al tempo trascorso fuori dalla stazione 13.

Tali informazioni vengono confrontate, in una seconda fase 23, con tabelle di marcia ideale dei singoli veicoli 15 per verificare se qualcuno di questi sia in ritardo; se quest'eventualità non viene riscontrata, i segnali di comando 24 della chiusura delle porte dei veicoli 15, di partenza, di accelerazione e decelerazione di ogni veicolo 15 si svolgono come programmato dalle tabelle di marcia ideali.

Se, al contrario, viene riscontrato un ritardo di qualche veicolo 15, le informazioni 25 ad esso relative vengono elaborate in una terza fase 26, al fine di verificare se si tratti di un evento occasionale. Se si verifica che si tratta di un evento occasionale, in una quarta fase 27, i segnali di comando 24 comandano la chiusura anticipata delle porte e, quindi la partenza anticipata del veicolo 15 in ritardo, nella stazione 13 successiva a quella in cui viene riscontrato il ritardo con minore affollamento.

Se l'evento non viene riconosciuto come occasionale si verifica, in una quinta fase 28, se si tratta di un evento generalizzato e, in tal caso, in una sesta fase 29 del procedimento, i segnali di comando 24 comandano un ritardo in partenza dei veicoli 15 che seguono il veicolo 15 in ritardo.

Se l'evento non viene riconosciuto come generalizzato si verifica, in una settima fase 30 del procedimento, se si tratta di un evento generalizzato e con ritardi considerevoli e, nel caso in questione, in una settima fase 31, i segnali di comando 24 comandano un aumento sistematico del tempo di sosta in stazione dei veicoli 15.

Infine, se l'evento non viene riconosciuto come generalizzato con ritardi considerevoli, si verifica, in una nona fase 32, se si tratta di un evento eccezionale cori ritardi considerevoli e generalizzati di tutti i veicoli 15 e, se questo è il caso, in una decima fase 33, viene comandata la partenza anticipata di alcuni veicoli 15 e, invece, la partenza ritardata di altri, in modo che comunque sia garantita almeno la distanza minima tra ogni coppia di veicoli 15 che si susseguono.

Prima di essere inviati ai veicoli 15, in una undicesima fase 34, i segnali di comando vengono elaborati per verificare se sia necessario un rallentamento dell'intero impianto 11.

Qualora questa necessità non venga riscontrata, i segnali di comando 24 relativi all'anticipo o al ritardo della partenza di ogni veicolo 15 vengono comunicati al rispettivo veicolo 15.

Altrimenti, in una dodicesima fase 35, insieme ai segnali di comando 24 relativi all'anticipo o al ritardo della partenza di ogni veicolo 15, viene comandato il rallentamento dell'impianto 11 e della fune 14. Per valutare la bontà del procedimento secondo la presente invenzione è stato eseguito uno studio, mediante simulazione su un modello matematico, con diverse tarature dei parametri operativi, in modo da verificare la risposta del dispositivo spaziatore a seguito di diverse perturbazioni, con varie condizioni operative di affluenza e disturbo.

Secondo la simulazione effettuata, si è imposto-un ritardo iniziale unico e relativamente grande in una stazione 13.

Questo ritardo viene applicato al primo veicolo 15 che transita in tale stazione 13.

Come riferimento per valutare se un veicolo 15 in partenza da una stazione 13 debba essere considerato in ritardo rispetto alla media (e quindi debba compiere un'accelerazione rapida) oppure in anticipo rispetto alla media (e quindi debba prolungare la sosta), è stato utilizzato il baricentro di tutti gli altri veicoli 15; in altre parole, la media di riferimento coincide con la media dei ritardi di tutti gli altri veicoli 15.

In un primo esempio, la tolleranza sul valore della differenza fra media e ritardo è fissata a 5 secondi (quindi piuttosto elevata), mentre il massimo del ritardo applicabile come prolungamento di una sosta risulta pari a 100 secondi ovvero non sono stati posti praticamente limiti a tale valore.

I risultati principali, in questo caso, sono i seguenti: nei primi 15 minuti circa la media dei ritardi sale e la varianza degli stessi scende ed il procedimento di controllo e regolazione comanda accelerazioni rapide e soste prolungate, mentre dopo i primi 7 minuti circa non si hanno più blocchi o decelerazioni rapide (ovvero, si raggiunge un equilibrio, anche se con spaziatura diversa da quella ottimale). In questa fase, si sta propagando il ritardo iniziale di un solo veicolo 15 a tutti i veicoli 15, per riavvicinarsi alla spaziatura ottimale.

Nei successivi minuti, fino ad un tempo totale di simulazione di circa 24 minuti, si hanno solo accelerazioni rapide, che provocano una diminuzione della media dei ritardi, mentre la varianza continua a scendere, ovvero non si sta più propagando il ritardo, ma si cerca di diminuirlo.

In seguito non si hanno più interventi di regolazione, in quanto si è raggiunta la sensibilità impostata.

Con i valori impostati si hanno ritardi su tutti i veicoli, da un massimo di 28 secondi ad un minimo di 23 secondi, mentre la media dei ritardi è di circa 25 secondi con una varianza di 1,47 secondi.

In un secondo esempio, simile al precedente, si è imposta una tolleranza sulla differenza fra là media di riferimento ed il ritardo pari a 3 secondi, ossia più piccola rispetto all'esempio precedente, mentre si vorrebbe avere una maggiore omogeneità dei ritardi che nel primo esempio.

Effettivamente, nei primi 20 minuti di simulazione si perviene a una varianza di 0,8 secondi circa, con ritardi su tutti i veicoli 15 compresi fra 39 e 42 secondi (con una media di 40 secondi) e, rispetto al primo esempio, si ha una maggiore uniformità dei ritardi, ovvero una spaziatura più vicina all'ottimale, ottenuta però aumentando tutti i ritardi, ovvero privilegiando le soste prolungate dei veicoli 15 in anticipo rispetto alle accelerazioni rapide di quelli in ritardo.

È interessante notare che, dopo 20 minuti iniziali la situazione non resta stazionaria, ma tende a degenerare, in quanto la media dei ritardi continua ad aumentare e la varianza inizia ad aumentare anch'essa, quindi si ha una possibile instabilità del sistema, generata dalla precisione dei dati rispetto alla tolleranza scelta.

Nel caso del modello matematico, essa può essere risolta con la diminuzione dell'intervallo di calcolo, mentre per l'impianto reale si deve considerare la precisione delle misure che arrivano al sistema di controllo.

In un terzo esempio, simile ai precedenti, la tolleranza è stata posta pari a 5 secondi, mentre la media di riferimento è stata calcolata sui soli due veicoli 15 contigui (antecedente e successivo) a quello che si sta considerando.

Nei primi 4 minuti la media dei ritardi sale e la varianza scende, con accelerazioni rapide e soste prolungate.

Si hanno però interventi di blocco e decelerazioni rapide fino a 8 minuti circa, ovvero non si è ancora raggiunta una configurazione di equilibrio.

In seguito, fino ad un tempo totale di circa 32 minuti, si hanno solo accelerazioni rapide.

La media dei ritardi scende e la varianza contìnua a scendere ed in seguito non si hanno più interventi di regolazione.

La media finale dei ritardi è 4,5 secondi con varianza di 7,31 secondi ed i ritardi si hanno solo sul veicolo che ha subito il ritardo iniziale, sui tre antecedenti e sui tre successivi, e variano da 5 a 20 secondi.

In un quarto esempio, simile al terzo esempio ma con tolleranza ridotta a 3 secondi, nei primi 7 minuti la media dei ritardi sale e la varianza scende, con accelerazioni rapide e soste prolungate.

In seguito, fino ad un tempo totale di circa 30 minuti, si hanno solo accelerazioni rapide, la media dei ritardi scende e la varianza continua a scendere. Successivamente non si hanno più interventi di regolazione e la media finale dei ritardi è pari a 6,7 secondi con una varianza di 9,5 secondi.

I ritardi si hanno solo sul veicolo 15 che ha subito il ritardo iniziale, sui quattro antecedenti e sui quattro successivi, e variano da 4 a 25 secondi.

In questo caso, rispetto al terzo esempio non si ha una migliore uniformità dei ritardi, ma solo una propagazione del ritardo ad un numero maggiore di veicoli; tuttavia, non si ha neppure l'instabilità del secondo esempio.

In un quinto esempio di simulazione, si è impostata la tolleranza ad un valore più piccolo e pari a 1 secondo, mantenendo gli altri dati uguali a quelli del quarto esempio.

II procedimento di controllo agisce fino ad un tempo di circa 24 minuti e si raggiunge un valore medio dei ritardi di 10,16 secondi con una varianza di 11,28 secondi.

I ritardi si propagano sul veicolo 15 che ha subito il ritardo iniziale, sui sette antecedenti e sui sette seguenti, e variano da 1 a 30 secondi.

In un sesto esempio, simile al quinto esempio, si pone una tolleranza molto ridotta e pari a 0, 15 secondi.

In tempi brevi (9 minuti) si raggiunge una media di 9,8 secondi ed una varianza di 15,4 secondi.

In seguito, molto lentamente e con qualche oscillazione non divergente, la media continua a salire e la varianza continua a scendere, finché dopo 2 ore e 14 minuti di simulazione, si ha una media di 25,8 secondi ed una varianza di 6,86 secondi con ritardi distribuiti su tutti i veicoli 15 con valori compresi tra 17 e 35 secondi.

Successivamente, si manifesta un'instabilità poiché la media e la varianza continuano a salire.

Per l'implementazione del procedimento di controllo di veicoli, secondo la presente invenzione, si utilizza preferibilmente un sistema elettronico di gestione, in cui il protocollo di comunicazione e sicurezza interno consente di ottenere una alta protezione dagli errori di trasmissione, e comprende un sottosistema di protezione ed un sottosistema automatico di comando e regolazione.

In particolare, in ciascuna stazione dell'impianto si prevede di installare un sottosistema di protezione sviluppato in ottemperanza a rigorosi criteri di sicurezza nonché a tutela della regolarità dell'esercizio, mediante una configurazione in grado di offrire una reazione ai guasti che è di tipo "fault-tolerant" ad un primo livello di guasto e "fail-safe" ad un secondo livello. Per le apparecchiature del sistema di sorveglianza installato nell'impianto è, infatti, prevista un'architettura pluriridondante, in cui alcune ridondanze sono adottate al fine di raggiungere un elevato livello di sicurezza ed altre sono aggiunte in modo da ottenere un incremento di disponibilità e quindi la possibilità di mantenere inalterato il livello di sicurezza anche in seguito ad un guasto e senza dover ricorrere a degradazioni delle condizioni di esercizio.

In seguito ad un primo guasto, quindi, il sistema mantiene pienamente le funzioni di sicurezza consentendo la prosecuzione dell'esercizio senza soluzione di continuità (comportamento "fault-tolerant"), mentre, in seguito ad un secondo guasto alla stessa funzione, indipendente dal primo, il sistema pone l'impianto comunque in stato di sicurezza, arrestandolo {comportamento "fail-safe").

Per il sistema di sorveglianza si prevede l'impiego di un equipaggiamento facente uso di apparecchiature, per esempio della ditta HIMA GmbH & Co. KG, in configurazione tale da garantire non solo il rispetto di un altissimo livello di sicurezza (pari al SIL 3 della Norma IEC 1508, adatto alla RC 6 della Norma DIN 19250), ma anche un comportamento di tipo "faulttolerant" in caso di guasto, a salvaguardia della continuità di esercizio; in altri termini, la loro potenza autodiagnostica e la loro architettura consentono di escludere la comparsa di guasti pericolosi latenti.

Poiché la continuità di esercizio risulta assolutamente fondamentale, è necessario ricorrere ad un sistema automatico di tipo "faul-tolerant", ossia una architettura tale da accettare la comparsa di un proprio guasto non solo senza mai far venire meno il livello di sicurezza, ma anche senza mai costringere a transitare attraverso l'arresto dell'impianto, seppur di durata brevissima. Le migliori architetture di questo genere non sono più semplicemente basate sulla compresenza di più canali "fail-safe" tout court, ma su una ridondanza "eccessiva", rispetto alla sicurezza minima, accompagnata da sistemi che consentono di rilevare automaticamente in tempo reale se i guasti eventualmente presenti siano tali da garantire comunque i requisiti di sicurezza minimi oppure no.

Le strutture tipicamente utilizzate sono dunque costituite da un certo numero di canali, superiore a quello richiesto per mantenere il livello di sicurezza, e da un sistema tale da generare i consensi agli attuatori d'arresto solo a condizione che un sufficiente numero di canali sia concorde nel fornirli. Un esempio è dato dai sistemi di votazione del tipo 2003, in cui sono presenti tre canali, ma ne bastano due soli per conseguire il livello di sicurezza minimo (si noti che, invece, in un sistema certificato per operare con schema 2003 un solo canale non sarebbe considerato sufficiente). In un siffatto sistema, la ridondanza è al 50%: è predisposto solo un terzo canale in più, vale a dire la metà di quanto necessario alla sicurezza (ossia due canali concordi).

Il sistema previsto per l'impianto secondo la presente invenzione è maggiormente sofisticato, ma costruttivamente più semplice; si tratta infatti di un'architettura totalmente ridondata di tipo "faulttolerant" in configurazione 2004 relativamente alle CPU e 1002 relativamente ai bus di collegamento e agli interfacciamenti dì ingresso/uscita.

Il sistema va dunque visto anzitutto come costituito da due canali completi, ciascuno dei quali totalmente sufficiente nei confronti del livello di sicurezza: doppi controllori programmabili, doppi bus di comunicazione, doppi moduli di ingresso/uscita, in modo tale che di ognuno un esemplare sia sufficiente.

La presenza di ridondanze a tutti i livelli permette di affermare la piena sicurezza del sistema; il singolo canale è di per sé dichiarato idoneo al livello di sicurezza RC 6 (SIL 3) in virtù dell'architettura interna (a sua volta contenente ridondanze) e della potenza autodiagnostica; in particolare, in questa configurazione ridondata (denominata "HRS"), ogni PLC di stazione comprende due canali ed ogni canale possiede una unità centrale comprendente di fatto due microprocessori in controllo reciproco nello stesso canale. Questo è il motivo per cui, a livello di microprocessore, si può affermare che il sistema nel suo complesso è di tipo 2004; in ciascun canale esistono quindi due processori che svolgono gli stessi compiti con un controllo incrociato in tempo reale (in totale, quattro microprocessori sui due canali). La copertura diagnostica si estende ai bus e ai moduli di ingresso/uscita; inoltre, laddove opportuno, in considerazione del tipo di sensori e della criticità nei confronti della sicurezza, tanto i circuiti a monte degli ingressi quanto quelli a valle delle uscite possono essere monitorati nei confronti dei corto circuiti, delle interruzioni e dei mancati comandi degli attuatori.

La configurazione offerta prevede l'impiego di tali circuiti diagnostici in tutti i casi di significativa utilità; per esempio, le certificazioni di cui dispone il sistema lo abilitano al servizio con singolo canale in applicazioni che richiedono la RC 6 (SIL 3) senza alcuna limitazione temporale.

Inoltre, i criteri realizzativi di ciascun elemento ridondato (tanto i microprocessori quanto le periferiche) sono tali per cui il comportamento "fail-safe" del singolo canale è ottenuto in modo intrinseco, nel senso che ogni elemento, in base alle proprie funzioni autodiagnostiche, rileva il proprio stato guasto garantisce un comportamento sicuro ed autoescludente. In altre parole, è garantito che, in occasione di guasti interni, l'elemento guasto autodiagnostica il suo stato e provvede autonomamente a disimpegnarsi dal sistema, entrando in uno stato che potrebbe definirsi "ad alta impedenza", come se non fosse più allacciato al proprio bus e quindi al resto del sistema. Questo tipo di concezione di ogni elemento ridondante rende assolutamente superflua la presenza di un sistema di votazione esterno, a sua volta indipendente e sicuro, ed elimina l'ambiguità di un sistema 1002 con votazione (i sistemi a votazione sono infatti più giustificati dove vince una maggioranza, ossia dove il numero totale di vie di elaborazione è dispari, come nel 2003).

Un'ulteriore caratteristica interessante è data dal fatto che l'autodiagnostica è già concepita a livello dell'intero sistema 2004: non solo tra i due microprocessori dello stesso canale esiste un controllo di congruenza tipo "hardware" in tempo reale, ma esiste anche un controllo reciproco continuo fra i due canali effettuato mediante memorie "RAM" di tipo bidirezionale veloce ("DPR", "Dual Port RAM").

Un'ulteriore caratteristica del sistema è data dalla grande modularità e dalla naturale espandibilità, per cui l'eventuale necessità di aggiungere un certo numero di ingressi e/o uscite impreviste non fa correre il rischio di oltrepassare i limiti di taglia o la capienza totale del sistema e,.quindi, di trovarsi ad affrontare, per incrementi modesti di prestazioni, salti notevoli di costo.

Va infine osservato come un sistema di questo tipo presenti, anche nella sua forma più completa, costi di poco superiori a quelli presentati da architetture pluricanali di tipo "fail-safe" con votazione 1002 e addirittura costi sensibilmente inferiori a quelli opposti da architetture a canale triplo con votazione 2003, le quali soffrono dell'inconveniente oggettivo di avere un numero estremamente elevato di componenti "hardware".

Il sistema è strutturato in modo tale che i segnali dal campo siano consegnati ad un sistema elettronico di tipo programmabile, per mezzo di opportuni condizionatori di segnale, quando le uscite del sistema programmabile comandano gli attuatori finali, oppure tramite catene di relè.

Nel sistema a canale unico, i componenti sono singoli e sono allacciati ad un bus di ingresso/uscita singolo, il cui funzionamento è intrinsecamente sicuro; si hanno pertanto una unità centrale e moduli di ingresso e di uscita non duplicati.

Occorre fissare subito l'attenzione sul fatto che questa presenza di elementi non duplicati inerisce solo la possibilità pura e non la sicurezza; ogni componente, come anche il sistema nel suo complesso, è certificato per operare in ambito RC 6 / SIL 3 delle norme già citate; l'unità centrale riceve i dati dai sensori di campo tramite moduli d'ingresso sicuri e questi, siano digitali od analogici, sono automaticamente testati nella loro funzionalità.

L'unità centrale, oltre a comprendere due microprocessori in controllo reciproco in tempo reale e alle funzioni autodiagnostiche a cui si è già accennato, possiede doppie memorie utilizzate col criterio dell'antivalenza, ossia il programma è memorizzato in duplice copia ma i bit sono registrati in ordine opposto (un tipo di ridondanza diversitaria), in modo da proteggersi nei confronti dei difetti di lotto dei dispositivi statici di memorizzazione.

Nella forma più completa, i moduli di ingresso digitali sono testati verificando continuativamente la capacità di commutazione, l'assenza di interferenza tra ingressi adiacenti, la funzionalità dei filtri d'ingresso, la correttezza del funzionamento vero e proprio del modulo (ossia la capacità di trasferire al bus lo stato del sensore) nonché l'assenza di guasti di corto circuito e di interruzione nei cablaggi verso il sensore.

I moduli di ingresso analogici sono anch'essi testati verificando continuativamente la linearità del convertitore analogico/digitale, l'assenza di interferenza tra ingressi adiacenti, la funzionalità dei filtri d'ingresso e la corretta alimentazione dei trasmettitori di segnale.

I moduli di uscita digitali sono testati verificando continuativamente mediante "read back" la correttezza dei segnali d'uscita, la capacità di commutazione su un segnale di test e l'assenza di interferenza tra uscite adiacenti; tali moduli sono caratterizzati dal fatto che in caso di malfunzionamento si disimpegnano autonomamente.

E' poi possibile far lavorare due unità centrali in controllo reciproco di disponibilità, con configurazione risultante 2004, allacciandole ad un unico bus di ingresso/uscita, con moduli di ingresso ed uscita non ridondati.

Nel caso di sistema a configurazione totalmente ridondata, invece, i segnali dal campo sono consegnati ad un sistema elettronico programmabile, per mezzo di opportuni condizionatori di segnale, e le uscite del sistema programmabile comandano gli attuatori finali, oppure tramite catene di relè. Nel sistema a canale doppio, i componenti sono doppi e gli omologhi sono allacciati rispettivamente a bus di ingresso/uscita distinti, ciascuno dei quali fa capo ad una propria unità centrale; le due unità lavorano anche in controllo reciproco di disponibilità tramite una porta "RAM" di tipo "duale".

Le grandezze digitali statiche sono, nella normale tecnica del trasporto di tipo urbano, legate all'impiego di sensori di cui non è prevista la duplicazione, in quanto il problema della loro efficienza e della loro sicurezza è agevolmente superabile, da un lato curando l'affidabilità e, d'altra parte, mediante accurate prove periodiche, che possono anche essere effettuate con cadenza molto frequente; qualora si intenda raddoppiarli a scopo di disponibilità, è sufficiente portare ogni sensore ad un proprio ingresso.

Nell'impianto secondo l'invenzione, le grandezze digitali a variazione periodica sono numericamente ridotte (per esempio, un segnale di rilevazione dell'arrivo in stazione di un veicolo), ma sono le più subdole, in quanto trattasi di segnali di stato provenienti da sensori di prossimità che non si possono considerare testabili dinamicamente. Esiste inoltre un problema più delicato: neppure il raddoppio a scopo di sicurezza sarebbe una soluzione adeguata, perché in caso di disparità non resterebbe che arrestare l'impianto; in altri termini, la ridondanza dovuta a ragioni di sicurezza non può avere il minimo valore per l'incremento della disponibilità; in questo caso, pertanto, la via più consigliabile appare la triplicazione del sensore e l'uso dei tre segnali con votazione 2003.

Il sistema "hardware" del tipo della società "HIMA", descritto in precedenza, viene programmato mediante un potente strumento di sviluppo, l'"ELOP II-NT", basato sulla Norma IEC 61131-3. Esso si basa fondamentalmente sull'idea che la programmazione avviene in forma strutturata, per oggetti, ed in modo svincolato dallo specifico tipo di "hardware" e consta di due parti separate: un primo pacchetto applicativo, che consente una programmazione per oggetti assolutamente indipendente dall' "hardware" utilizzato, ed un secondo pacchetto applicativo, in cui lo schema di programmazione preparato in modo avulso dall' "hardware" viene tradotto in un risultato adatto allo specifico "hardware" della MIMA utilizzato. Il sistema di programmazione è congegnato in modo da agevolare notevolmente la leggibilità del programma mediante etichette, commenti e così via, diminuendo nel contempo la probabilità di incorrere in errori.

Un sistema automatico di comando e regolazione previsto nell'impianto secondo l'invenzione comprende anzitutto i circuiti di comando e controllo richiesti per regolare la velocità di marcia del circuito ad anello e la velocità di ciascun organo meccanico ausiliario motorizzato (travi di accelerazione, decelerazione ed ausiliarie, sistemi di rotazione, piattaforme e quant'altro). Esso gestisce inoltre le funzioni accessorie richieste (movimentazione porte e cancelli, sequenze varie, ecc.) e si occupa, quindi, di conseguire il programma di movimento dei veicoli nel rispetto delle previste condizioni di posizione di fermata dei medesimi e dei limiti di velocità e di accelerazione, in modo da ottenere il più efficiente e confortevole flusso dei passeggeri.

Il sistema di controllo nel suo complesso è costituito da un sistema di controllo locale del moto dei veicoli in ciascuna stazione e da un sistema di gestione del traffico, quest'ultimo centralizzato presso la stazione motrice. Tali sistemi vengono proposti con architettura completamente ridondata, ivi compreso il collegamento fisico in fibra ottica esteso su tutto l'impianto necessario per ottenere la connessione in rete di tutte le stazioni. La ridondanza strutturale di tali sistemi, realizzata con opportuni accorgimenti (tipo switch ottici), è in grado di offrire elevata disponibilità, in quanto le prestazioni sono mantenute integre anche in caso di avaria di una qualsiasi parte, fintantoché almeno un canale per ogni punto di connessione rimanga intatto.

I circuiti di regolazione e controllo degli azionamenti principali e di quelli ausiliari delle travi elettriche attengono a tale sottosistema automatico di comando e regolazione, il quale gestisce anche la corretta relazione tra i riferimenti di velocità dei diversi azionamenti; per quanto concerne, in particolare, le travi elettriche, il sistema pilota i rispettivi riferimenti di velocità, in modo da produrre la corretta movimentazione dei veicoli, nei limiti previsti di accelerazione, curando di arrestarli esattamente in corrispondenza delle pedane di imbarco e sbarco.

Tale sistema comanda opportunamente le sequenze di lancio e di rallentamento dei veicoli in modo da rispettare, entro le tolleranze ammesse, le spaziature tra veicoli successivi e quindi le portate previste. Allo scopo, il sistema deve conoscere la posizione dei diversi veicoli e ne esegue un "tracking", in modo da ottenere un flusso di traffico efficiente anche in seguito a perturbazioni (ritardi nella chiusura delle porte} che abbiano portato a diminuzioni di separazione tra i veicoli rispetto ai valori nominali. Qualora gli errori di posizione dei veicoli da correggere, rispetto ai valori nominali di separazione, siano cospicui, sarà gioco forza ricorrere, quanto meno, ad una variazione opportuna dei tempi di apertura delle porte, anticipando eventualmente il primo tentativo di chiusura. Parallelamente, il sistema gestisce l'apertura e la chiusura delle porte e dei cancelli d'accesso ai veicoli.

Il sistema di comando e regolazione, tramite il tracking dei veicoli ed il coordinamento del traffico, percepisce le condizioni di perturbazione, tra le quali si considera di particolare importanza quella costituita dal ritardo di chiusura delle porte a causa del comportamento del pubblico.

Scopo prioritario di tale sistema è quello di arrivare il più raramente possibile a dover comandare l'arresto dell'impianto; naturalmente, tale considerazione prescinde dalla sicurezza, che invece è sempre assicurata, ad un livello gerarchico superiore, dal sistema automatico di sorveglianza descritto in precedenza; in altri termini, ammesso che il sistema di sorveglianza consenta la prosecuzione della marcia, il sistema di comando gestirà le perturbazioni in modo da dover ricorrere il più raramente possibile all'arresto dell'impianto.

Allo scopo, è previsto che le porte dei veicoli, a bordo sensibile, siano costruite in modo tale da evitare qualsiasi possibilità di lesione al pubblico; esse, tuttavia, a tempo calcolato, vengono comandate in chiusura e di fatto si chiudono a meno che non vi venga opposta forza sufficiente. I dimensionamenti globali si ritengono tali che, in queste condizioni, l'impianto avrà un flusso di traffico soddisfacente. Qualora, tuttavia, il pubblico ostacolasse la chiusura della porta al punto di provocarne la riapertura automatica, il sistema di comando e regolazione reagirà attendendo un lasso di tempo e quindi eseguendo un secondo tentativo di richiusura. Qualora si verificasse il permanere dell'impedimento alla chiusura della porta, sì da riprovocarne la riapertura automatica, il sistema di comando si troverà allora in condizione di dover dapprima accettare un ritardo al lancio, quindi decelerare il veicolo successivo in modo che non arrivi ad impegnare la trave di accelerazione, e alla fine comandare un rallentamento automatico dell'intero impianto, in modo tale da non rischiare di giungere all'intervento del sistema di sorveglianza, a causa della funzione di sicurezza di anticollisione col successivo veicolo che sta per sopraggiungere. Qualora, infine, ad un ulteriore tentativo, permanesse l'impedimento alla chiusura, il sistema di comando e regolazione si troverebbe costretto a comandare l'arresto dell'impianto, prima che lo faccia il sistema di sorveglianza.

Cause di perturbazione più gravi, quali ad esempio casi di veicoli che si fermano in posizioni non corrette, anziché di fronte ai cancelli di imbarco e sbarco, sono da considerare eventi rischiosi ed anomali ed in quanto tali dovranno comportare l'arresto dell'impianto tramite l'intervento del sistema automatico di sorveglianza.

Per chiarezza di esposizione, il protocollo di comunicazione e sicurezza descritto in precedenza è illustrato schematicamente nella figura 3, ove sono indicate le stazioni di partenza e di arrivo 13A e 13B, le stazioni intermedie 13 di linea ed i tragitti (rispettivamente, in linea intera, linea a tratti e linea a tratto e punto) di tre veicoli A, B, C, presi come esempio di riferimento; dal grafico si nota, peraltro, il susseguirsi temporale dei veicoli A, B, C considerati nelle varie stazioni 13, 13A, 13B ed i ritardi reciproci (sulle linee di riferimento P) stabiliti dal protocollo di sicurezza utilizzato, ipotizzando che ogni stazione 13, 13A, 13B presenti la stessa distanza dalla stazione precedente e da quella successiva.

Dalla descrizione effettuata risultano chiare le caratteristiche del procedimento per il controllo di veicoli di un impianto di trasporto urbano a guida vincolata, che è oggetto della presente invenzione, così come chiari ne risultano i vantaggi.

E' chiaro, infine, che numerose altre varianti possono essere apportate a tale procedimento di controllo senza per questo uscire dai principi di novità insiti nell'idea inventiva, così come è chiaro che, nella pratica attuazione dell'invenzione, i materiali, le forme e le dimensioni dei dettagli illustrati potranno essere qualsiasi a seconda delle esigenze e gli stessi potranno essere sostituiti con altri tecnicamente equivalenti.

Claims (6)

1. RIVENDICAZIONI 1. Procedimento per il comando di veicoli (15) di un impianto (11) di trasporto urbano a guida (12) vincolata, caratterizzato dal fatto di comprendere, nell'ordine, almeno una delle seguenti fasi: - elaborazione (20, 21, 22) di informazioni in ingresso per ricavare relazioni funzionali tra almeno una posizione dei veicoli (15) ed un intervallo di tempo in cui un veicolo (15) è presente in una stazione (13, 13A, 13B) e tra almeno una posizione dei veicoli (15) ed un intervallo di tempo in cui un veicolo (15) non è presente in stazione (13, 13A, 13B); - confronto (23) di dette relazioni funzionali con tabelle di marcia ideali di ciascun veicolo (15), al fine di verificare se almeno uno di detti veicoli (15) sia in ritardo rispetto ad almeno un valore di dette tabelle di marcia; - invio di segnali di comando (24) per la chiusura di porte di detti veicoli (15), la partenza, l'accelerazione e la decelerazione di ciascuno di detti veicoli (15), come programmato all'interno di dette tabelle di marcia nel caso in cui nessun veicolo (15) sia in ritardo; - alternativamente, elaborazione (25) di informazioni (26) relative ad almeno uno di detti veicoli (15), nel caso in cui venga riscontrato un ritardo di detto veicolo (15), al fine di verificare se si tratti di un evento occasionale o meno; - invio (27) di segnali di comando (24) che gestiscono la chiusura anticipata di dette porte e la partenza anticipata di detto veicolo (15) in ritardo in una stazione (13, 13A, 13B) successiva a quella ove viene riscontrato detto ritardo e/o con minore affollamento rispetto alle altre, nel caso in cui venga verificato un evento occasionale; - ulteriore verifica (28) se si tratti di un evento generalizzato, nel caso in cui detto evento non sia riconosciuto come evento occasionale; - invio (29) di segnali di comando (24) ad impartire un ritardo in partenza dei veicoli (15) che seguono detto veicolo (15) in ritardo, se si verifica un evento generalizzato; - verifica, nel caso in cui detto evento non sia riconosciuto generalizzato, del fatto che si tratti di un evento generalizzato e con ritardi considerevoli; - invio (31), nel caso di evento generalizzato con ritardi considerevoli, di segnali di comando (24) atti ad impartire un aumento sistematico di un intervallo di tempo di sosta nelle stazioni (13, 13A, 13B) di detti veicoli (15); - verifica (32), nel caso in cui detto evento non sia riconosciuto come generalizzato con ritardi considerevoli, del fatto che si tratti di un evento eccezionale con ritardi considerevoli e generalizzati di tutti i veicoli (15); - invio (33) di un comando di partenza anticipata di alcuni veicoli (15) e partenza ritardata di altri veicoli (15), in modo che sia garantito almeno un valore prestabilito di distanza minima tra ciascuna coppia di veicoli (15) che si susseguono, nel caso in cui si verifichi un evento eccezionale.
2. 2. Procedimento secondo la rivendicazione 1, caratterizzato dal fatto che detti segnali di comando vengono elaborati (34) per verificare se sia necessario un rallentamento generale dell'intero impianto (11) e, qualora tale necessità non venga riscontrata, detti segnali di comando (24) relativi all'anticipo o al ritardo della partenza di ogni veicolo (15) essendo impartiti ad un rispettivo veicolo (15), ovvero, qualora venga riscontrata tale necessità, essendo impartito un rallentamento dell'intero impianto (11).
3. 3. Procedimento secondo la rivendicazione 1, caratterizzato dal fatto che dette informazioni in ingresso comprendono la posizione attuale (PV) di detti veicoli (15), la velocità attuale (VF) di una fune (14) di traino di detti veicoli (15), l'affollamento attuale (ASV) di dette stazioni (13, 13A, 13B), l'affollamento attuale (ASV) di detti veicoli (ASV) e dati storici (DS) relativi a tali informazioni.
4. 4. Procedimento secondo la rivendicazione 2, caratterizzato dal fatto di essere implementabile tramite almeno un sistema elettronico di gestione, in cui un protocollo di comunicazione interno consente di ottenere una alta protezione da errori di trasmissione.
5. 5. Impianto (11) di trasporto urbano a guida (12) vincolata implementante un procedimento per il controllo di veicoli (15) secondo la rivendicazione 1, caratterizzato dal fatto di comprendere almeno una guida (12) su cui traslano una serie di veicoli (15) tra stazioni successive, detti veicoli essendo agganciati ad una fune (14) che li traina tra due stazioni (13, 13A, 13B) successive ed essendo atti a rilasciare detta fune (14) per traslare in prossimità delle stazioni (13, 13A, 13B) mossi da trasportatori (17).
6. 6. Procedimento per il comando di veicoli (15) di impianto (11) di trasporto urbano a guida (12) vinco lata ed impianto (11) di trasporto urbano come de scritti ed illustrati e per gli scopi specificati.