WO1990012411A1

WO1990012411A1 - Installation de telecontrole et de telecommande de l'etat d'ouverture ou de fermeture d'un contact parmi une pluralite de contacts

Info

Publication number: WO1990012411A1
Application number: PCT/FR1990/000245
Authority: WO
Inventors: Jean-Pierre Duthoit; Patrice Bernard
Original assignee: Societe Nationale Des Chemins De Fer Francais
Priority date: 1989-04-07
Filing date: 1990-04-06
Publication date: 1990-10-18
Also published as: AU633914B2; FR2645674B1; ATE107797T1; DK0422190T3; EP0422190A1; DE69010132T2; EP0422190B1; DE69010132D1; JP3023801B2; ES2058913T3; AU5537890A; FR2645674A1; US5233341A; JPH03506013A

Abstract

L'invention concerne une installation de contrôle à distance de l'état d'ouverture ou de fermeture d'au moins un contact. L'installation est constituée d'une logique non sécuritaire de contrôle composée de couples de codeurs tels que CM1, CV1, CM2, CV2 et CM3, CV3 et d'un microcontrôleur (1), relié par un modem (2) et une liaison de transmission de données (3) à une logique centrale sécuritaire de télécontrôle LST. L'installation est applicable, notamment au domaine ferroviaire, pour le télécontrôle d'aiguillages.

Description

Installation de télécontrôle et de télécommande de l'état d'ouverture ou de fermeture d'un contact parmi

une pluralité de contacts

La présente invention concerne une installation de télécontrôle et de télécommande d'une pluralité d'appareils à partir de contacts dont on détecte et commande la position ouverte ou fermée.

L'invention peut s'appliquer, notamment mais non limitativement, à des appareils du domaine ferroviaire tels que les aiguilles d'un poste d'aiguillage, des compteurs d'essieux, des passages à niveau, ou tous autres dispositifs devant être contrôlés et ou commandés.

On connaît déjà, par exemple, dans le domaine de la commande des aiguilles ferroviaires, un certain nombre de techniques dont la plus ancienne, encore mise en oeuvre actuellement, est la commande sur le site, par levier, avec contrôle visuel du collage des aiguilles.

On utilise aussi un autre type de commande mécanique, qui consiste à effectuer ladite commande des aiguilles à partir d'un poste d'aiguillage, par l'intermédiaire de câbles ou de tringles. Dans cette formule, le contrôle de position ne se fait plus par inspection directe du collage des aiguilles comme précédemment, mais à partir du poste d'aiguillage où l'on constate visuellement la position de la commande. Celle-ci, étant encore mécanique, traduit en sécurité par sa position celle des aiguilles.

Si l'on quitte le domaine mécanique pour le domaine électrique, il existe une autre famille d'installations dans laquelle on effectue un contrôle électrique de la position des aiguilles à partir d'un poste généralement associé à une télécommande quand les aiguilles à manoeuvrer sont sous la commande de moteurs.

Ce contrôle associe une acquisition et une transmission d'informations. L'acquisition se fait généralement par la fermeture de contacts électriques par des interrupteurs liés mécaniquement, en translation ou après conversion en rotation, aux lames des aiguilles. La transmission se fait généralement en utilisant ces contacts électriques pour établir ou rompre le passage de courant dans autant de boucles distinctes qu'il y a de contacts à contrôler. La source de courant est généralement localisée au poste d'aiguillage, ainsi que la constatation de l'état ouvert ou fermé des boucles. Pour des raisons de simplicité la transmission n'est pas multiplexée, de sorte qu'il faut au minimum quatre contacts et cinq fils si l'on veut avoir des boucles "qui puissent constater individuellement le collage et le décollage de chacune des lames constituant l'aiguille. De même, le non multiplexage interdit le partage des moyens de transmission four le télécontrôle de plusieurs aiguilles .

Dans la pratique, les méthodes ci-dessus énumérées présentent de nombreux inconvénients.

Notamment, en ce qui concerne le domaine mécanique, la manoeuvre et le contrôle à pied d'oeuvre exigent la présence d'un agent humain, et donc son déplacement vers chacune des aiguilles, d'où un manque de souplesse et un coût non négligeable. De même, en ce qui concerne la télécommande et le télécontrôle mécanique des aiguilles, une contrainte apparaît immédiatement, qui résulte de la limitation nécessaire de la distance du poste d'aiguillage aux différentes aiguilles sous contrôle. Un tel système, malgré un gain en souplesse et une économie par rapport au système précédant, se prête mal à la fusion de plusieurs petits postes en un poste plus important.

En ce qui concerne le domaine électrique, le télécontrôle par boucles de courant, est très sûr, mais coûteux en transmission et exclut certaines techniques d'acquisition. Ainsi, le coût de transmission provient de ce qu'il faut au minimum cinq fils pour gérer quatre contacts liés aux lames d'une aiguille et qu'il n'est pas possible de partager l'utilisation de ces fils pour gérer plusieurs aiguilles voisines ou situées le long de la même voie. Cette exigence de fils individuels interdit également en pratique l'utilisation d'une liaison radio entre l'aiguille et soit le poste d'aiguillage, soit éventuellement un train qui s'en approche. Une transmission par boucles de courant interdit le recours à des techniques d'acquisition qui mettent en oeuvre des niveaux de courant ou de tension ou encore des fréquences de signal qui demandent en pratique une mise en forme locale. La présente invention a donc pour but la réalisation d'un système de télécontrôle et de télécommande d'aiguilles qui permet, pour un faible coût de l'équipement lié à une aiguille, un multiplexage de la transmission des diverses informations relatives à un aiguillage, et, si on le souhaite, à plusieurs aiguillages, dans des conditions qui assurent la sécurité ferroviaire.

L'objet de la présente invention est un système global de télécontrôle et/ou de télécommande de contacts mettant en oeuvre une liaison multiplexée entre un centre sécuritaire de contrôle et/ou de commande et une ou plusieurs logiques satellites permettant chacune de contrôler un ou plusieurs contacts se trouvant à une distance peu importante desdites logiques.

Par multiplexage, on désigne ici toute technique permettant le partage d'un support de transmission entre plusieurs flux d'information. Il peut s'agir d'un multiplexage en fréquence, temporel ou logique. Le raccordement peut être point à point, multipoint (ou en bus) ou en anneau.

Ce système est caractérisé en ce que la sécurité globale est assurée par le recours à un système sécuritaire de traitement de l'information dans un centre de contrôle, en ce que la transmission entre le système central sécuritaire de contrôle et le ou les moyens individuels de contrôle (ou logiques satellites) peut mettre en oeuvre une procédure permettant de détecter les erreurs de transmission et en ce que les moyens individuels de contrôle n'ont pas besoin d'être réellement en sécurité intrinsèque mais coopèrent, en réponse à un signal de contrôle adressé par le système central de contrôle, par un signal codé local (qui peut s'ajouter à un codage émanant du système central sécuritaire de contrôle), à la transmission d'informations possédant une redondance telle que, lors de leur réception, le système central de contrôle peut s'assurer, avec le degré de sécurité voulu, de l'identité du contact contrôlé, de son état et éventuellement dater les informations fournies quant à cette identité et cet état.

Dans le système selon la présente invention, la transmission doit, certes, être assortie de la transmission d'une information redondate qui permettrait à la procédure appropriée de vérifier qu'il ne s'est pas introduit d'erreur, mais on peut considérer qu'il n'est pas nécessaire de mettre en oeuvre une telle procédure parce que, en fait, c'est au retour de l'information, convenablement modifiée, vers le centre sécuritaire de contrôle qu'on mettra en oeuvre cette vérification.

Les caractéristiques ci-dessus, ainsi que d'autres caractéristiques et avantages secondaires apparaîtront de façon plus détaillée dans la description ci-après d'une forme de réalisation faite en référence aux planches en annexe, sur lesquelles :

- la figure 1 représente le contrôle de trois contacts au moyen d'une logique non sécuritaire de contrôle ;

- la figure 2 représente le schéma de principe d'un des codeurs de la figure 1 ;

- la figure 3 représente une forme de réalisation d'un des codeurs précités ;

- la figure 4 représente une variante du codeur de la figure 3 ;

- la figure 5 représente un schéma général d'une logique sécuritaire de télécontrôle associée à une pluralité de logiques satellites de télécontrôle ;

- la figure 6 représente un schéma de principe du montage de contrôle de position ;

- la figure 7 représente un schéma d'une logique satellite de contrôle et son interface avec la logique sécuritaire de télécontrôle.

L'invention sera mieux comprise à la lecture de la description d'une réalisation préférentielle d'un contrôleur de contact.

On a représenté sur la figure 1, l'installation de contrôle selon la présente invention, appliquée au contrôle de trois contacts C₁, C₂, et C₃ au moyen d'une seule logique non sécuritaire de contrôle ou logique satellite LSC, dont la réalisation ne fait pas appel à une technologie de sécurité intrinsèque.

Cette logique non sécuritaire de contrôle est constituée de trois couples de codeurs CM₁, CV₁ , CM₂, CV₂, et CM₃, CV₃ et d'un microcontrôleur 1, relié par un modem 2 et une liaison de transmission de données 3 à une logique centrale sécuritaire de télécontrôle LST.

Chacun des couples de codeurs CM_i, CV_i est constitué de deux codeurs identiques 4, CM_i étant le codeur "amont" et CV_i le codeur "aval", dont le schéma de principe est donné sur la figure 2 où l'on voit le codeur 4 qui reçoit sur son entrée série DI les données à coder et fournit sur sa sortie série DO les données codées. Il reçoit en outre une alimentation, figurée par les entrées 0 et V et une horloge sur son entrée CK. Tous les codeurs partagent la même alimentation et reçoivent leur horloge d'une source commune, l'ensemble alimentation et horloge étant repésenté par A + H sur la figure 1.

Le fonctionnement d'un couple de codeurs CM_i, CV_i est le suivant : Le codeur "amont" tel que CMx reçoit ses données à coder du microcontrôleur 1, leur applique un premier codage, et envoie ces données codées au contact à contrôler tel que C₁. Si le contact est établi, ces données parviennent à l'entrée du codeur "aval" tel que CV₁, qui leur applique un deuxième codage et délivre les données ainsi transcodées deux fois au microcontrôleur 1.

Les codeurs CM_i, CV_i ne partagent entre eux aucun composant, de façon à éviter des défauts de mode commun. Dans toute la mesure du possible, le câblage reliant un contact à ses codeurs "amont" et "aval" est réalisé de façon à rendre impossible un court-circuit qui permettrait aux données codées par le codeur "amont" d'entrer dans le codeur "aval" sans être passées à travers le contact à contrôler. Pour cela, une précaution peut consister à déporter les codeurs "amont" et "aval" aussi près que possible du contact à contrôler.

Il est nécessaire que les lois de codage des différents couples CM_i, CV_i soient différentes d'un couple à l'autre (car ce sont elles qui permettent d'identifier le contrat C_i). En revanche, il est indifférent que les lois de codage de CM_i et CV_i soient identiques, d'ailleurs CM_i ou CV_i pourrait ne pas exister.

Sur la figure 3, on a représenté plus en détail la structure d'un codeur 4, qui comporte un registre à décalage 5 à entrée série et sortie parallèle et une mémoire morte de transcodage 6. Le registre série-parallèle 5 fait entrer les données présentées sur son entrée DI au rythme d'une horloge présentée sur son entrée CK. Une résistance de rappel R, en amont de DI assure que les données présentées aient une valeur logique constante lorque l'entrée DI est "en l'air", ce qui correspond au cas d'un codeur aval dont le contact à contrôler est ouvert.

La sortie parallèle PD du registre à décalage 5, ou au moins certains fils de cette sortie, est connectée à l'entrée d'adressage A de la mémoire morte de transcodage 6. On supposera que cette mémoire de transcodage est organisée en m x 1, c'est-à-dire qu'elle n'a qu'une seule sortie de données DO. Si l'on suppose que les n derniers bits entrés dans le registre série-parallèle 5 servent à adresser la mémoire de transcodage 6, on voit que chaque bit présenté sur la sortie DO résulte du transcodage par le contenu de la mémoire morte de transcodage 6 des n derniers bits reçus par le registre série-parallèle 5.

On a représenté sur la figure 4 une variante du codeur 4 de la figure 3, caractérisée par le fait que la mémoire morte de transcodage 6v a une organisation par octets. Les huit sorties de données D de la mémoire morte de transcodage 6 sont connectées à l'entrée de données I d'un multiplexeur de données 7, dont les trois entrées de sélection S sont connectées à trois sorties PD _0-2 du registre à décalage 5,p par exemple celles qui correspondent aux trois derniers bits présentés sur l'entrée DI du registre 5.

L'entrée d'adressage A de la mémoire morte de transcodage 6 est connectée à des sorties du registre à décalage 5 qui correspondent à des bits plus anciens, par exemple PD _3-13 dans le cas où la mémoire morte de transcodage 6 est constituée d'une EPROM de 8 K octets.

Le contenu de la mémoire morte de transcodage 6 est quelconque, mais différent de la mémoire de transcodage MTi à la mémoire de transcodage Mt_j respectivement associées aux contacts C_i et C_j, si les deux contacts i et j sont reliés à la même logique non sécuritaire de contrôle (ou logique satellite), ou à des logiques non sécuritaires de contrôle distinctes mais reliées par une même liaison de transmission de données 3 à une même logique sécuritaire de télécontrôle (ou logique centrale). Le nombre de bits envoyés par le microcontrôleur 1 de la figure 1 à un codeur amont tel que CM_i peut être quelconque et, en particulier, inférieur à la capacité de la mémoire morte de transcodage MT. Par exemple, la capacité de celle-ci peut être de 64 k bits, alors que le message à coder peut avoir une longueur de 256 bits.

Il peut être intéressant de faire commencer le message à coder (ou de le faire précéder) par une séquence stable, par exemple constituée de n zéros suivis d'un 1. Dans le cas d'une mémoire 6 de 64 k bits, les 16 premiers bits transcodés sont imprévisibles, mais les (n-16) suivants sont identiques au premier bit de la mémoire et le (n + 1)ème bit sera identique au contenu du deuxième bit de la mémoire. Ceci permettrait, si nécessaire, de reconnaître le début du message transcodé, de lui faire jouer en quelque sorte le rôle d'une séquence de synchronisation. Si les deux premiers bits de la mémoire sont respectivement 0 et 1, la séquence sortant de la mémoire de transcodage 6 du codeur amont peut servir à jouer le même rôle vis-à-vis du codeur aval.

On peut envisager que la suite de bits envoyés par le microcontrôleur 1 comporte, après cette séquence de synchronisation, une autre séquence, toujours la même qui fournit donc toujours la même réponse après transcodage successivement par les codeurs amont et aval CM_i et CV_i associés. Cette réponse constituera donc en quelque sorte la "signature" ou "l'empreinte" du contact C_i, s'il est fermé.

Si la suite de la séquence envoyée après la séquence de synchronisation est aléatoire, la réponse après transcodage constituera encore une signature, mais en quelque sorte codée et non en clair. L'intérêt d'avoir une partie de la séquence d'interrogation qui soit différente d'une fois à l'autre est de permettre de "dater" la réponse du contact. Le risque contre lequel on cherche ainsi à se prémunir est que l'état contrôlé soit exact, corresponde bien à l'organe voulu, mais qu'il soit ancien. Ce risque est réel dans des équipements comportant une mémoire, qui peuvent transmettre une réponse ancienne au lieu d'une réponse fraîche. Pour s'en prémunir, on peut dater explicitement le train de bits émis, en ce sens qu'on lui fait contenir notamment une heure ou un numéro d'ordre.

On peut également avoir une date implicite, en ce sens qu'on lui fait contenir une séquence pseudo-aléatoire, faisant que tout train de bits est différent du précédent. Il est facile de déterminer s'il s'agit du train de bits le plus récent ou non, ce qui est tout ce que l'on demande en général.

Les données envoyées par le micro-contrôleur 1 (figure 1) aux codeurs amont CM₁, CM₂ et CM₃ peuvent être toutes différentes, mais elles peuvent être également identiques, l'envoi se faisant en parallèle . On peut en effet envisager que la logique sécuritaire de télécontrôle (logique centrale) soit reliée aux diverses logiques non sécuritaires de contrôle LSC logiques satellites par une liaison de transmission de données 3 dont le débit est relativement rapide, et que la logique centrale demande à une logique non sécuritaire de contrôle LSC (logique satellite) d'envoyer la même séquence d'interrogation à tous les codeurs amont et de lui renvoyer toutes les réponses qui ne sont pas constituées de bits identiques, ce qui est le cas de la réponse correspondant à un contact ouvert.

On notera que le microcontrôleur peut distribuer aux divers codeurs une horloge à rythme relativement lent, de façon à permettre de contrôler des contacts relativement éloignés sans exiger de soins trop particuliers pour le câblage.

On décrira maintenant l'application de la présente invention au contrôle et à la commande d'un certain nombre d'appareils satellites à partir d'un poste central dans le domaine ferroviaire.

Le poste central est équipé d'une logique sécuritaire de télécontrôle associant une électronique en sécurité intrinsèque et des interfaces à base de relais de sécurité. A chaque appareil est associée une logique satellite de contrôle dont la particularité est d'être constituée à partir de composants non sécuritaires du commerce.

Les appareils considérés peuvent être, notamment mais non limitativement, une aiguille, un compteur d'essieux, un passage à niveau. Le poste central peut être servi par un agent ou en liaison filaire ou radio avec un centre suiveur, ou un engin moteur (une locomotive par exemple).

Sur la figure 5, les logiques satellites de contrôle LSC₁, LSC₂, LSC₃, des divers appareils dépendant du poste central LST sont reliées à la logique centrale sécuritaire de contrôle par une liaison multipoint qui comprend en fait une ligne de puissance A et une ligne de transmission de données L. La ligne de puissance A se subdivise en une alimentation triphasée destinée à la manoeuvre de chaque appareil et une alimentation auxiliaire destinée à l'alimentation de la logique satellite de contrôle.

Les logiques satellites de contrôle LSC_i et la liaison LST - LSC_i ne sont pas de sécurité intrinsèque, toutefois la sécurité de l'ensemble est assurée sous la seule responsabilité de la logique centrale LST qui est réputée de sécurité.

Chaque logique satellite de contrôle LSC_i est constituée de deux microcontrôleurs, répondant à deux adresses différentes sur la ligne multipoint dont la logique centrale sécuritaire de télécontrôle LST joue le rôle de maître.

Le principe d'un télécontrôle sera décrit en référence à la figure 6. Pour effectuer un contrôle de position d'un appareil, la logique sécuritaire de télécontrôle LST adresse à la logique satellite de contrôle LSC associée à l'appareil à contrôler, un train de n bits pseudo aléatoire. Ce train est donc daté, puisque différent de celui envoyé lors du contrôle précédent.

La logique sécuritaire de télécontrôle LST reçoit en retour de la logique satellite de contrôle LSC adressée, un autre train de n bits à partir duquel elle est capable de vérifier de manière non ambiguë : la corrélation avec le train de bits émis, le numéro de la logique satellite adressée et la position de l'appareil contrôlé.

La sécurité du contrôle repose donc sur la comparaison effectuée par la logique sécuritaire de télécontrôle LST, en sécurité, entre le train de bits émis et le train de bits reçus. Le niveau de sécurité requis est obtenu en jouant sur la longueur n du train de bits et la complexité de la fonction de codage. Plus exactement, on cherche à vérifier l'identité, ou la quasi-identité, entre le train de bits reçus et une certaine transformée locale du train de bits émis. Plus précisément, la logique sécuritaire de télécontrôle LST envoie un double train de bits E₁ + E₂. Le train de bits E₁ est reçu par le microcontrôleur MC₁ et le train de bits E₂ est reçu par le microcontrôleur MC₂.

Chaque microcontrôleur réexpédie son train de bits respectif E₁ ou E₂ vers l'autre microcontrôleur de la même logique satellite de contrôle en passant par des contacts r

ou

du contrôleur d'appareil.

Le contrôleur d'appareil ne pouvant être que dans une seule des deux positions stables possibles , un seul microcontrôleur peut transmettre son train de bits. Pendant le temps qui normalement correspond à l'entrebâillement de l'aiguille, aucun des deux micrôcontrôleurs ne peut parvenir à transmettre son train de bits.

Au cas où les deux trains de bits viendraient à être transmis simultanément, on se trouverait dans une situation anormale exceptionnelle correspondant par exemple à un état dans lequel les deux lames de l'aiguille seraient collées, dénonçant une rupture mécanique.

Dans la situation normale, la plus courante, celui des deux microcontrôleurs MC₁ ou MC₂ de la logique satellite LSC qui a reçu le train de bits en provenance de l'autre, transmet en retour à la logique sécuritaire de télécontrôle LST un train de bits S₁ ou S₂ qui est une fonction du train de bits reçu de l'autre microcontrôleur S₁ = fχ(E2) ou S₂ = f₂ (E₁). Chacune des fonctions f₁ et f₂ est caractéristique du microcontrôleur traversé.

La logique sécuritaire de télécontrôle LST reçoit donc en retour du double train de bits E₁ + E₂ un train de bits S₁ et/ou S₂, qui est caractéristique à la fois du train de bits émis et du trajet parcouru entre les deux microcontrôleurs de cette logique satellite de contrôle LSC au travers des contacts à contrôler.

Si l'on se reporte à l'exemple de la figure 6, on voit que c'est le train E₁ qui ne peut être transmis du microcontrôleur MC₁ vers le microcontrôleur MC₂, par suite de la position des contacts

et

à contrôler.

On détermine mathématiquement les fonctions f₁ et f₂ suivant le taux d'erreur que l'on juge acceptable. A titre d'exemple, la fonction peut être un OU exclusif effectué bit à bit (ou octet par octet) entre le train de n bits E₁ ou E₂ et un train de n bits de référence R₁ ou R₂, de la forme S₁ = Σ (E₂(i) + R₁(i)) et S₂ = Σ (E₁(i) + R₂(i)).

On définit généralement la "distance" entre deux trains de n bits comme étant le nombre de bits de même rang différents dans les deux messages.

Les trains de bits sont choisis de manière que la "distance" entre eux soit la plus grande possible. Chaque train de bits de référence sera donc caractéristique du microcontrôleur où est effectuée la fonction f. Il est fixé dans la mémoire morte programmable PROM de la carte.

La LST connaît la loi de transcodage associée au contact qu'elle désire contrôler. Connaissant le contenu du train de bits pseudo-aléatoires qu'elle a émis, elle sait absolument ce que devrait être le train de bits qu'elle reçoit.

Si elle compare ce train reçu au train attendu, elle peut déterminer la distance entre eux.

En l'absence de toute erreur, cette distance devrait être nulle.

La sécurité sera maximale si on ne considère comme fermé qu'un contact tel que la distance mesurée soit nulle.

Toutefois, si la longueur du train de bits est grande et si le nombre de contacts différents à contrôler à travers la même liaison de transmission de données n'est pas trop important, la sécurité est encore importante si l'on admet une distance inférieure à un certain seuil qui n'est pas nul.

Après remise à zéro, chaque microcontrôleur initialise ses registres tampons , de manière à renvoyer à la logique sécuritaire de télécontrôle un train de bits significatif de sa bonne réinitialisation et de son identité. Ce peut être le même train de bits R.

Le principe d'une télécommande sera décrit en référence à la figure 7. Le moteur Mo de manoeuvre de l'appareil est téléalimenté depuis la logique sécuritaire de télécommande LST par l'alimentation triphasée décrite ci-après.

La ligne de puissance est constituée d'un câble à cinq conducteurs (F₁ à F₅) regroupant deux alimentations distinctes, d'une part une alimentation en triphasé des appareils utilisant les fils F₁ à F₃ (dont la section est déterminée par la consommation d'un seul appareil à la fois), d'autre part une alimentation auxiliaire utilisant les fils F₄ et F₅ pour la téléalimentation des logiques satellites de contrôle LSC et le verrouillage des relais d'aiguille RA.

Sous la dépendance du logiciel de sécurité de la logique centrale de télécontrôle LST, cette alimentation auxiliaire peut prendre trois états différents suivant les états des relais Rx et Ry : continu si le relais Ry est au travail, alternatif si Ry est au repos et Rx au travail, nul si Rx et Ry sont au repos.

L'électronique des logiques satellites de contrôle peut être alimentée aussi bien en continu qu'en alternatif, en utilisant un bloc convertisseur alimentation à "découpage direct secteur" BC. Son inertie est suffisante pour recouvrir les temps de commutation alternatif-continu et vice-versa au niveau de la logique sécuritaire de télécontrôle LST.

Les relais d'appareil RA, qui sont prépositionnés dans les logiques satellites de contrôle dans la première étape d'une commande d'appareil, ainsi qu'on l'a vu plus haut, sont sous le contrôle d'un relais de collage RC et d'un relais de décollage RD qui ne répondent qu'à la seule alimentation en courant alternatif.

L'absence momentanée de toute alimentation sur les fils F₄ et F₅ de l'alimentation auxiliaire entraîne la chute des relais RA et provoque une remise à zéro de tous les micro-contrôleurs des logiques satellites de contrôle LSC.

La solution de la ligne de transmission de données séparée de la ligne de puissance a été retenue pour diverses raisons, dont principalement la liberté d'évolution technologique de la transmission de données (fibres optiques, etc..) et une sécurité pour les équipes d'entretien qui n'ont pas à travailler sous tension dangereuse.

Une télécommande d'un seul moteur M₀ se décompose en trois étapes :

1°) le prépositionnement du relais d'appareil RA concerné, qui met sucessivement en oeuvre les opérations suivantes : . On autorise le collage des relais RA de toutes les logiques satellites de contrôle LSC reliées à la ligne multipoint grâce à l'alimentation auxiliaire en alternatif ;

. On donne par la ligne de transmission de données 3 l'ordre de collage au seul relais RA de l'appareil concerné, qui s'auto-maintient ;

. On interdit par la ligne de puissance toute nouvelle modification d'état des relais RA (par alimentation auxiliaire en continu).

. On vérifie que seul le relais RA concerné est collé, en utilisant le principe des télécontrôles précédemment décrits.

2°) l'exécution de la commande s'effectue, les relais RA étant positionnés et verrouillés par l'alimentation auxiliaire en continu, en envoyant sur la ligne de puissance l'alimentation triphasée (par F₁, F₂ et F₃) destinée au mouvement de l'appareil. Le sens du mouvement est obtenu par inversion de deux phases au niveau de la logique sécuritaire de télécontrôle LST, qui est seule à travailler en sécurité intrinsèque. La manoeuvre de l'appareil est assimilée à une "commande perdue". En conséquence, l'appareil doit être protégé par des contacts de fin de course ou un dispositif à friction renforcée. Toutefois, si le contrôle d'aiguille détecte correctement la fin de course, la commande perdue peut être interrompue prématurément par le logiciel de la logique sécuritaire de télécontrôle LST.

3°) La remise au repos des relais RA est effectuée au moyen de la même succession d'opérations que lors du prépositionnement et l'on commande le décollage des relais RA pendant que l'alimentation auxiliaire est en alternatif.

Le relais d'appareil RA est monté en autocollage. Son collage est assuré par un relais de collage RC, commandé par le microcontrôleur MC₂ de la logique satellite de contrôle LSC tandis que son décollage est assuré par un relais de décollage RD, commandé par le microcontrôleur MC₁.

Les deux relais RC et RD sont alimentés à partir de l'alimentation auxiliaire délivrée par F₄ et F₅, par l'intermédiaire d'un transformateur TR qui constitue un dispositif de sécurité intrinsèque pour la transmission d'une énergie alternative. Même en cas de défaillance des microcontrô leurs de la logique satellite de contrôle LSC, les relais de collage et de décollage ne peuvent être actionnés que pendant que l'alimentation auxiliaire est en alternatif.

On a ainsi la certitude, en sécurité intrinsèque, qu'un relais RA ne peut coller pendant que l'alimentation auxiliaire est en continu, condition imposée par la logique sécuritaire de télécontrôle LST avant de délivrer l'alimentation triphasée au seul relais RA qui aura été collé pendant la phase de prépositionnement autorisé.

Pour éviter qu'une panne d'une logique satellite de contrôle LSC, dont le microcontrôleur MC₂ présenterait une commande permanente du relais de collage RC, ne bloque les autres logiques satellites de contrôle de la ligne multipoint, la commande de RC est rendue impulsionnelle par un montage capacitif qui n'a pas à être de sécurité.

Aucune autre précaution n'est à prendre au niveau de la commande des relais RC et RD.

En effet, le relais de collage RC ne peut intervenir que lorsque l'alimentation auxiliaire est alternative, et, ce qui importe le plus au niveau du relais d'appareil RA, ce n'est pas sa commande, non sécuritaire, mais le contrôle de sa position, sécuritaire, effectué avant envoi du triphasé. La sécurité de la commande repose, en quelque sorte, sur la sécurité du contrôle de la pré-commande.

La solution décrite ci-dessus pour la logique satellite de contrôle appliquée à une aiguille présente un avantage économique important sur le plan du câblage. En effet, il est fait usage d'une seule ligne de puissance à cinq conducteurs et d'une ligne de transmission de données, toutes deux en multi- point, entre le poste où est située la logique sécuritaire de télécontrôle et l'ensemble des aiguilles. Au contraire, dans les réalisations actuellement utilisées, la liaison point à point entre le poste et chaque aiguille comprend au moins quatre conducteurs de forte section (montage dit "4 fils")

Puisqu'un seul appareil est commandé à la fois, la puissance consommée au niveau de la ligne de puissance est très faible en comparaison de celle des postes classiques pour lesquels aucun dispositif logique n'interdit le fonctionnement simultané de plusieurs aiguilles. La solution proposée dans l'invention tire son bénéfice d'un suivi continu des circulations, évitant les points d'accumulation dans le fonctionnement des aiguilles dont le taux d'utilisation moyen sur une longue période est en fait voisin de zéro.

Un autre avantage financier provient du très faible coût des logiques satellites de contrôle réalisées à base de microcontrôleurs du commerce. Seule la logique centrale de télécontrôle est réalisée en sécurité et son interface avec la ligne de puissance par relais de sécurité est extrêmement simplifiée.

On décrira successivement la ligne de transmission de données et la logique satellite de contrôle en se référant à la figure 7.

La ligne de transmission de données 3 retenue est une double paire torsadée et blindée, utilisée sous le protocole BITBUS d' INTEL, en mode différentiel (RS485) dont les principales caractéristiques de l'option choisie sont les suivantes :

- vitesse de transmission à 62,5 kbit/s

- longueur maximum d'un segment entre répéteurs : 1200 m

- nombre maximum de noeuds par segment : 28

- nombre maximum de répéteurs traversés : 10

- nombre maximum total de noeuds : 250, ce qui correspond à un maximum théorique de 125 aiguilles puisque les deux microcontrôleurs d'une même logique satellite de contrôle constituent chacun un noeud au sens de l'adressage du BITBUS.

Deux limitations interviennent dans le nombre maximum pratique de noeuds connectables au BITBUS :

1) La consommation des alimentations des noeuds sur la ligne d'alimentation auxiliaire, surtout en continu, ce qui est son état le plus fréquent (le taux d'ondulation résiduel de l'alimentation auxiliaire en continu ne doit en aucun cas permettre une réalimentation des relais RC à travers les transformateurs).

2) Le temps de réponse, limité en pratique à 5 ou 6 commandes d'aiguille par minute, une seule aiguille pouvant être commandée à la fois.

Une même logique sécuritaire de télécontrôle LST peut gérer plusieurs BITBUS, les appareils étant répartis de manière à toujours disposer d'un nombre minimum d' "itinéraires", même en cas de panne d'un BITBUS. Des répéteurs à isolation galvanique sont disponibles en standard comme accessoires BITBUS. Ils nécessitent une double alimentation 12V continu pour l'amont et l'aval, qui peut être fournie localement par l'alimentation de la logique satellite de contrôle LSC ou par la transmission, dans le câble BITBUS, d'une télé-alimentation 12V supplémentaire, option qui fait partie de la norme BITBUS.

La logique satellite de contrôle d'aiguille LSC est constituée de deux micro-contrôleurs MC₁ et MC₂ réalisés à partir de cartes du commerce DATEM DCB 220.

Les cartes BITBUS utilisent le micro-contrôleur INTEL 8044, qui est un 8052 auquel est ajoutée une interface série HDLC (High level Data Link Control) à grande vitesse (jusqu'à 2,4 Mbit/s). Chaque micro-contrôleur est raccordé au BITBUS avec une adresse spécifique et constitue un noeud du BITBUS.

La mémoire morte programmable (PROM) associée à chaque micro-contrôleur MCx, MC₂, contient d'une part le noyau système et le programme local, commun à toutes les cartes, et d'autre part les tables servant au transcodage des trains de bits R spécifiques de la carte. Il ne doit donc pas y avoir deux PROM identiques.

L'adresse physique du micro-contrôleur est "strappée" sur la carte. La logique sécuritaire de télécontrôle LST peut vérifier en lisant sur la PROM un train de bits particulier (qui peut être le train de bits R utilisé précédemment) la corrélation entre le micro-contrôleur adressé sur le BITBUS (adresse physique) et le train de bits reçu de la PROM correspondante. La mémoire vive (RAM) associée à chaque micro-contrôleur MCx et MC₂ constitue les registres tampons d'émission et de réception des trains de n bits, transmis à grande vitesse sur la ligne multi-point de transmission de données ou transmis à vitesse plus faible vers l'autre micro-contrôleur de la même logique satellite de contrôle LSC via le contrôleur d'aiguille

ou via le relais RA.

Les liaisons série de contrôle d'aiguille ou de relais RA sont réalisées par un double UART (Universal Asynchronous Receiver Transmitter) ou Contrôleur de liaison (figure 6) disponible sur chaque carte micro-contrôleur DATEM DCB 220. Le contrôle d'aiguille est fait en boucle de courant +12V sur un port et le contrôle de relais RA, qui est local dans la logique satellite de contrôle, est fait en RS 422 (+5V) sur un autre port.

Les transmissions vers le contrôleur d'aiguille

et vers le relais RA se font à vitesse moyenne (19200 bit/s au maximum), alors que la vitesse de transmission sur le BITBUS est à 62,5 kbit. L'adaptation de vitesse se fait au niveau des registres tampons des micro-contrôleurs MC₁ , MC₂ de la logique satellite de contrôle LSC. Les autres ports d'entrée-sortie disponibles sur les cartes DATEM sont utilisés pour la commande des relais de collage et de décollage RC et RD du relais RA, ainsi que pour des entrées-sorties non sécuritaires, réchauffeurs d'aiguilles par exemple.

Le relais RA est un relais à six inverseurs dont trois (a₁, a₂, a₃) servent à la commande du moteur triphasé de l'aiguille, deux (a₄ et a₅) au contrôle de position du relais RA lui-même et le dernier a₆ à son auto-maintien.

Les contacts du relais RA doivent être capables de supporter l'intensité débitée dans le moteur Mo; par contre, ils ne doivent pas être calibrés pour couper couramment une telle intensité. En effet, le relais RA est prépositionné avant que le triphasé ne soit établi par le relais rupteur RU de la logique satellite de contrôle LSC.

Le relais RA ne peut en aucun cas coller intempestivement, par contre, il peut exceptionnellement décoller à tort au moment d'une défaillance de +12V de l'alimentation de la logique satellite de contrôle LSC.

Les relais RC et RD sont deux relais DIL (Dual In Line) ne répondant aux sollicitations des micro-contrôleurs MC₁ et MC₂ que si l'alimentation auxiliaire est en alternatif.

Les relais RA, RC, RD n'ont pas à être de sécurité; toutefois ils ne doivent en aucun cas pouvoir coller sous le seul effet des vibrations.

L'alimentation d'une logique satellite de contrôle est en deux parties :

1°) une alimentation régulée, constituée d'un bloc convertisseur à découpage direct secteur BC acceptant à l'entrée aussi bien une tension continue qu'alternative, et garantissant le maintien des sorties nominales pendant les basculements alternatif-continu et continu-alternatif de l'alimentation auxiliaire.

2°) une alimentation redressée pour RC et RD, ne pouvant fournir de l'énergie que si l'alimentation auxiliaire, par F₄, F₅, de la ligne de puissance, est alternative. Un transformateur TR évite, en sécurité, le passage d'une alimentation continue. Un condensateur C est monté en série avec TR pour éviter de court-circuiter l'alimentation auxiliaire continue par le primaire du transformateur TR. Pour que le transformateur fonctionne aux conditions nominales, il faut que la fréquence de résonance du filtre constitué par le condensateur C et le primaire du transformateur TR soit très faible par rapport à la fréquence de fonctionnement de 50 Hz.

On décrira les interfaces de la logique sécuritaire de contrôle LST en référence à la figure 7. On a déjà dit que la logique sécuritaire de télécontrôle était conçue en sécurité intrinsèque. L'interface entre ladite logique sécuritaire et la logique satellite doit également être de sécurité intrinsèque. Bien que très simplifiée, elle doit être réalisée avec des relais de sécurité, du type NSI par exemple.

Un relais de commande d'appareil CA classique assure, par les inverseurs C₁ et C₂ l'inversion de deux des phases Ph2 et Ph3 de l'alimentation triphasée, pour inverser le sens de rotation du moteur Mo de l'appareil.

On vous a décrit un système dans lequel un seul moteur tourne, et dans un sens décidé par la logique sécuritaire de télécontrôle LST au moyen de la permutation des phases PH₂ et PH₃.

Rien qu'avec ce système, on pourrait, si le diamètre des fils le permet, commander vers la droite toutes les aiguilles qui doivent l'être. Au coup suivant, on pourrait commander vers la gauche toutes celles qui doivent être commandées à gauche.

On pourrait aussi envoyer depuis la logique sécuritaire de télécontrôle LST toujours la même commande de puissance. Dans ce cas, il faut reporter dans chacune des logiques satellites de contrôle, au prix d'un montage de relais un peu plus compliqué, le choix du sens d'alimentation des moteurs. Un relais rupteur d'appareil Ru, classique, assure l'établissement et la coupure du triphasé sur la ligne de puissance, par l'intermédiaire des inverseurs u₁, u₂, u₃ et u₄.

Un relais Ry assure la commutation alternatif-continu de l'alimentation auxiliaire. Par enclenchement des relais entre eux, on garantit que le relais CA ne peut basculer que si le relais Ru est au repos, que le relais Ru ne peut intervenir que si le relais Ry est en position haute (ce qui correspond à une alimentation auxiliaire continue) et que le relais Ry s'auto- maintient tant que le relais Ru reste haut, ce qui évite un retour intempestif de l'alimentation auxiliaire en alternatif, tant que le triphasé est en ligne. L'alimentation auxiliaire continue peut être obtenue par tout dispositif, en particulier par simple redressement et filtrage de l'alimentation alternative. Le filtrage doit être de sécurité, car il faut avoir la certitude que le taux d'ondulation alternative résiduel ne puisse ramener au secondaire des transformateurs des logiques satellites de contrôle une tension capable de faire actionner un relais RC. Le verrouillage des relais RA pendant une alimentation auxiliaire continue ne serait alors plus garanti.

Le relais Rx supplémentaire permet, lorsque Rx et Ry sont tous deux en position basse, de couper toute alimentation auxiliaire et donc de provoquer une chute du relais RA resté collé par suite d'une défaillance de la logique satellite de contrôle LSC

La logique satellite de contrôle d'aiguille décrite cidessus ne constitue qu'une forme préférée de réalisation destinée à faire comprendre l'invention. Bien évidemment, il pourra être utilisé d'autres moyens ou dispositifs équivalents notamment au niveau des cartes électroniques, sans sortir pour autant du cadre de l'invention.

Par ailleurs, les principes de base du contrôle et de la commande, énoncés en liaison avec un contrôle d'aiguille, s'appliquent de manière identique pour une logique satellite de contrôle de passage à niveau. Avec des adaptations particulières nécessaires, ils peuvent également s'appliquer au contrôle et/ou à la commande sécuritaire de tout dispositif rencontré sur le terrain tel qu'annonces aux chantiers ou comptage d'essieux, ou dans un poste d'aiguillage.

Claims

REVENDICATIONS

1. Installation de télécontrôle et de télécommande d'un ou de plusieurs d'appareils, à partir de contacts dont on détecte individuellement la position fermée, caractérisée en ce qu'elle comprend une logique sécuritaire de télécontrôle (LST) coopérant avec des logiques satellites de contrôle (LSC_i) par des liaisons point à point ou une liaison multipoint de transmission de données, pour connaître à partir du signal reçu en réponse à un signal de contrôle adressé à la logique satellite de contrôle (LSC_i) du contact considéré une information relative à l'identification dudit contact, ainsi qu'à son état, et éventuellement dater les informations fournies quant à cette identité et à cet état.

2. Installation de télécontrôle et de télécommande selon la revendication 1, caractérisée en ce que les logiques satellites (LSC_i) et les liaisons (LST-LSC_i) ne sont pas de sécurité intrinsèque, la sécurité de l'ensemble étant sous la dépendance de la seule logique sécuritaire de télécontrôle qui est de sécurité intrinsèque.

3. Installation de télécontrôle et de télécommande selon la revendication 1, caractérisée en ce que la liaison, qu'elle soit multipoint eu point à point, comprend une ligne de puissance (A) et une ligne de transmission de données (L).

4. Installation de télécontrôle et de télécommande selon les revendications l à 3, caractérisée en ce qu'à chaque contact à contrôler (C_i) est associé un organe de codage (CM_i, CV_i) physiquement indépendant des autres organes de codage, afin que le passage de l'information à travers le codeur ne soit possible que si cette information passe à travers le contact à contrôler (C_i).

5. Installation de télécontrôle et de télécommande selon les revendications l à 3, caractérisée en ce que les signaux émis et reçus sont composés d'une suite de bits logiques.

6. Installation de télécontrôle et de télécommande selon la revendication 4, caractérisée en ce que le codeur met en oeuvre une mémoire ROM contenue dans un microcontrôleur (CM_i) et que la certitude du passage à travers le contact (C_i) est obtenue par lecture du train de bits transcodé par un deuxième microcontrôleur (CV_i).

7. Installation de télécontrôle et de télécommande selon les revendications 1 et 2, caractérisée en ce que chaque logique satellite (LSC_i) est constituée de deux microcontrôleurs, (MC₁, MC₂), répondant à deux adresses différentes sur la ligne multipoint, qui sont sous la dépendance de la logique sécuritaire de télécontrôle (LST) et respectivement en relation avec des contacts r

du contrôleur d'appareil.

8. Installation de télécontrôle et de télécommande selon les revendications 1 et 2, caractérisée en ce que le contrôle de position d'un appareil s'effectue à partir d'un train de n bits "daté", envoyé par la logique sécuritaire de télécontrôle (LST) vers la logique satellite associée à l'appareil à contrôler (LSCi) qui lui renvoie en retour après transcodage un autre train de n bits dont la logique sécuritaire de télécontrôle (LST) peut évaleur la distance avec le train de bits auquel elle s'attend, de par sa connaissance du train de bits émis et de la loi de transcodage mise en oeuvre dans la logique satellite de contrôle (LSC_i) associée au contact de l'appareil qu'elle cherche à contrôler, et en ce que le caractère "fermé" est reconnu par la logique sécuritaire de télécontrôle (LST) au contact qu'elle cherche à contrôler si la distance mesurée est inférieure ou égale à un certain seuil, qui peut être nul.

9. Installation de télécontrôle et de télécommande selon la revendication 7, caractérisée en ce que la logique sécuritaire de télécontrôle (LST) envoie un double train de bits (E₁, E₂), chaque microcontrôleur (MC₁, MC₂) recevant un train de bits qu'il expédie vers l'autre microcontrôleur (MC₂, MC₁) via des contacts (

) de contrôleur d'appareil, la logique sécuritaire (LST) recevant en retour un train de bits (S₁ ou S₂), caractéristique de la position des contacts à contrôler et du microcontrôleur traversé.

10. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que la ligne de puissance (F₁ à F₅) se subdivise en une ligne d'alimentation triphasée (F₁ à F₃) destinée à la manoeuvre de l'appareil à télécommander et une ligne d'alimentation auxiliaire (F₄, F₅) destinée à l'alimentation de la logique satellite de contrôle (LSC_i).

11. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que la télécommande de l'appareil est effectuée par un moteur (M₀) sous la dépendance d'un relais (RA) de l'appareil concerné, qui commande l'alimentation triphasée dudit moteur, le sens du mouvement à effectuer étant déterminé par les phases, qu'il est possible d'intervertir soit au niveau de la logique sécuritaire de télécontrôle (LST), soit à celui de la logique satellite de contrôle (LSC_i).

12. Installation de télécontrôle et de télécommande selon la revendication 11, caractérisée en ce que le relais (RA) de l'appareil est commandé par un relais de collage (RC) sous la dépendance d'un des microcontrôleurs (MC₂) de la logique satellite (LSC_i) et par un relais de décollage (RD) sous la dépendance de l'autre microcontrôleur (MC₁) de la logique satellite (LSC_i).

13. Installation de télécontrôle et de télécommande selon la revendication 12, caractérisée en ce que les relais de collage (RC) et de décollage (RD) du relais d'appareil (RA) sont alimentés par l'alimentation auxiliaire (F₄, F₅) par l'intermédiaire d'un dispositif de sécurité intrinsèque (TR).

14. Installation de télécontrôle et de télécommande selon les revendications l à 3, caractérisée en ce que l'interface entre la logique sécuritaire de télécontrôle (LST) et la ligne de puissance (F₁ à F₅) est de sécurité intrinsèque.

15. Installation de télécontrôle et de télécommande selon la revendication 14, caractérisée en ce que l'interface entre la logique sécuritaire de télécontrôle (LST) et la ligne de puissance (F₁ à F₅) est réalisée avec des relais de sécurité (R_U, R_x, R_Y, CA).

16. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1, 2 et 4 à 9, caractérisée en ce que la liaison de transmission de données fait appel à une transmission radio électrique.

17. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1 à 16, caractérisée en ce qu'elle est appliquée au contrôle et à la commande d'une pluralité d'aiguillages.

18. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1 à 16, caractérisée en ce qu'elle est appliquée au contrôle et à la commande de passages à niveau.

19. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1 à 16, caractérisée en ce qu'elle est appliquée au contrôle de contacts tels que contrôles d'itinéraires et à l'établissement de contacts tels que commandes d'itinéraires.