Brevet FR2645674A1 — publié le 19901012

La présente invention concerne une installation de télé- contrôle et de télécommande d'une pluralité d'appareils à par- tir de contacts dont on détecte et commande la position ouverte ou fermée. L'invention peut s'appliquer, notamment mais non limitati- vement, à des appareils du domaine ferroviaire tels que les aiguilles d'un poste d'aiguillage, des compteurs d'essieux, des passages à niveau, ou tous autres dispositifs devant être contrôlés et/ou commandés. On connait déjà, par exemple, dans le domaine de la com- mande des aiguilles ferroviaires, un certain nombre de tech- niques dont la plus ancienne, encore mise en oeuvre actuelle- ment, est la commande sur le site, par levier, avec contrôle visuel du collage des aiguilles. On utilise aussi un autre type de commande mécanique, qui consiste à effectuer ladite commande des aiguilles à partir d'un poste d'aiguillage, par l'intermédiaire de câbles ou de tringles. Dans cette formule, le contrôle de position ne se fait plus par inspection directe du collage des aiguilles comme précédemment, mais à partir du poste d'aiguillage o l'on constate visuellement la position de la commande. Celle-ci, étant encore mécanique, traduit en sécurité par sa position celle des aiguilles. Si l'on quitte le domaine mécanique pour le domaine élec- trique, il existe une autre famille d'installations dans laquelle on effectue un contrôle électrique de la position des aiguilles à partir d'un poste généralement associé à une télé- commande quand les aiguilles à manoeuvrer sont sous la commande de moteurs. Ce contrôle associe une acquisition et une transmission d'informations. L'acquisition se fait généralement par la fer- meture de contacts électriques par des interrupteurs liés méca- niquement, en translation ou après conversion en rotation, aux lames des aiguilles. La transmission se fait généralement en utilisant ces contacts électriques pour établir ou rompre le passage de courant dans autant de boucles distinctes qu'il y a de contacts à contrôler. La source de courant est généralement localisée au poste d'aiguillage, ainsi que la constatation de 2645674- l'état ouvert ou fermé des boucles. Pour des raisons de simpli- cité la transmission n'est pas multiplexée, de sorte qu'il faut au minimum quatre contacts et cinq fils si l'on veut avoir des boucles qui puissent constater individuellement le collage et le décollage de chacune des lames constituant l'aiguille. De même, le non multiplexage interdit le partage des moyens de transmission pour le télécontrôle de plusieurs aiguilles. Dans la pratique, les méthodes ci-dessus énumérées présen- tent de nombreux inconvénients. Notamment, en ce qui concerne le domaine mécanique, la manoeuvre et le contrôle à pied d'oeuvre exigent la présence d'un agent humain, et donc son déplacement vers chacune des aiguilles, d'o un manque de souplesse et un coût non négli- geable. De même, en ce qui concerne la télécommande et le télé- contrôle mécanique des aiguilles, une contrainte apparait immé- diatement, qui résulte de la limitation nécessaire de la dis- tance du poste d'aiguillage aux différentes aiguilles sous contrôle. Un tel système, malgré un gain en souplesse et une économie par rapport au système précédant, se prête mal à-la fusion de plusieurs petits postes en un poste plus important. En ce qui concerne le domaine électrique, le télécontrôle par boucles de courant, est très sûr, mais coûteux en transmis- sion et exclut certaines techniques d'acquisition. Ainsi, le coût de transmission provient de ce qu'il faut au minimum cinq fils pour gérer quatre contacts liés aux lames d'une aiguille et qu'il n'est pas possible de partager l'utilisation de ces fils pour gérer plusieurs aiguilles voisines ou situées le long de la même voie. Cette exigence de fils individuels interdit également en pratique l'utilisation d'une liaison radio entre l'aiguille et soit le poste d'aiguillage, soit éventuellement un train qui s'en approche. Une transmission par boucles de courant interdit le recours à des techniques d'acquisition qui mettent en oeuvre des niveaux de courant ou de tension ou encore des fréquences de signal qui demandent en pratique une mise en forme locale. La présente invention a donc pour but la réalisation d'un système de télécontrôle et de télécommande d'aiguilles qui per- met, pour un faible coût de l'équipement lié à une aiguille, un multiplexage de la transmission des diverses informations rela- tives à un aiguillage, et, si on le souhaite, à plusieurs aiguillages, dans des conditions qui assurent la sécurité fer- roviaire. L'objet de la présente invention est un système global de télécontrôle et/ou de télécommande de contacts mettant en oeuvre une liaison multiplexée entre un centre sécuritaire de contrôle et/ou de commande et une ou plusieurs logiques satel- lites permettant chacune de contrôler un ou plusieurs contacts se trouvant à une distance peu importante desdites logiques. Par multiplexage, on désigne ici toute technique permettant le partage d'un support de transmission entre plusieurs flux d'information. Il peut s'agir d'un multiplexage en fréquence, temporel ou logique. Le raccordement peut être point à point, multipoint (ou en bus) ou en anneau. Ce système est caractérisé en ce que la sécurité globale est assurée par le recours à un système sécuritaire de traite- ment de l'information dans un centre de contrôle, en ce que la transmission entre le système central sécuritaire de contrôle et le ou les moyens individuels de contrôle (ou logiques satel- lites) peut mettre en oeuvre une procédure permettant de détec- ter les erreurs de transmission et en ce que les moyens indivi- duels de contrôle n'ont pas besoin d'être réellement en sécu- rité intrinsèque mais coopèrent, en réponse à un signal de contrôle adressé par le système central de contrôle, par un signal codé local (qui peut s'ajouter à un codage émanant du système central sécuritaire de contrôle), à la transmission d'informations possédant une redondance telle que, lors de leur réception, le système central de contrôle peut s'assurer, avec le degré de sécurité voulu, de l'identité du contact contrôlé, de son état et éventuellement dater les informations fournies quant à cette identité et cet état. Dans le système selon la présente invention, la transmis- sion doit, certes, être assortie de la transmission d'une information redondante qui permettrait à la procédure appro- priée de vérifier qu'il ne s'est pas introduit d'erreur, mais on peut considérer qu'il n'est pas nécessaire de mettre en oeuvre une telle procédure parce que, en fait, c'est au retour de l'information, convenablement modifiée, vers le centre sécu- ritaire de contrôle qu'on mettra en oeuvre cette vérification. Les caractéristiques ci-dessus, ainsi que d'autres carac- téristiques et avantages secondaires apparaîtront de façon plus détaillée dans la description ci-après d'une forme de réalisa- -ion faite en référence aux planches en annexe, sur les- quelles: - la figure 1 représente le contrôle de trois contacts au moyen d'une logique non sécuritaire de contrôle; - la figure 2 représente le schéma de principe d'un des codeurs de la figure 1; - la figure 3 représente une forme de réalisation d'un des codeurs précités; - la figure 4 représente une variante du codeur de la figure 3; - la figure 5 représente un schéma général d'une logique sécuritaire de télécontrôle associée à une pluralité de logiques satellites de télécontrôle; - la figure 6 représente un schéma de principe du montage de contrôle de position; - la figure 7 représente un schéma d'une logique satellite de contrôle et son interface avec la logique sécuritaire de télécontrôle. L'invention sera mieux comprise à la lecture de la des- cription d'une réalisation préférentielle d'un contrôleur de contact. On a représenté sur la figure 1, l'installation de contrôle selon la présente invention, appliquée au contrôle de trois contacts C, C2, et C3 au moyen d'une seule logique non sécuritaire de contrôle ou logique satellite LSC, dont la réa- lisation ne fait pas appel à une technologie de sécurité intrinsèque. Cette logique non sécuritaire de contrôle est constituée de trois couples de codeurs CML, CV1, CM2, CV2,' et CM3, CV3 et d'un microcontrôleur 1, relié par un modem 2 et une liaison de transmission de données 3 à une logique centrale sécuritaire de télécontrôle LST. Chacun des couples de codeurs CM les données codées. Il reçoit en outre une alimentation, figu- rée par les entrées 0 et V et une horloge sur son entrée CK. Tous les codeurs partagent la même alimentation et reçoivent leur horloge d'une source commune, l'ensemble alimentation et horloge étant repésenté par A + H sur la figure 1. Le fonctionnement d'un couple de codeurs CM-, CV& est le suivant: Le codeur "amont" tel que CML reçoit ses données à coder du microcontrôleur 1, leur applique un premier codage et envoie ces données codées au contact à contrôler tel que Cm. Si le contact est établi, ces données parviennent à l'entrée du codeur "aval" tel que CVI, qui leur applique un deuxième codage et délivre les données ainsi transcodées deux fois au microcon- trôleur 1. Les codeurs CM sant, de façon à éviter des défauts de mode commun. Dans toute la mesure du possible, le câblage reliant un contact à ses codeurs "amont" et "aval" est réalisé de façcon à rendre impos- sible un court-circuit qui permettrait aux données codées par le codeur "amont" d'entrer dans le codeur "aval" sans être pas- sées à travers le contact à contrôler. Pour cela, une précau- tion peut consister à déporter les codeurs "'amont" et "aval" aussi près que possible du contact à contrôler. Il est nécessaire que les lois de codage des différents couples CM , CV1 soient différentes d'un couple à l'autre (car ce sont elles qui permettent d'identifier le contact CA). En revanche, il est indifférent que les lois de codage de CM et CV1 soient identiques, d'ailleurs CM. ou CV pourrait ne pas exister. Sur la figure 3, on a représenté plus en détail la struc- ture d'un codeur 4, qui comporte un registre à décalage 5 à entrée série et sortie parallèle et une mémoire morte de trans- codage 6. Le registre série-parallèle 5 fait entrer les données présentées sur son entrée DI au rythme d'une horloge présentée sur son entrée CK. Une résistance de rappel R, en amont de DI assure que les données présentées aient une valeur logique constante lorque l'entrée DI est "en l'air", ce qui correspond au cas d'un codeur aval dont le contact à contrôler est ouvert. La sortie parallèle PD du registre à décalage 5, ou au moins certains fils de cette sortie, est connectée à l'entrée d'adressage A de la mémoire morte de transcodage 6. On suppo- sera que cette mémoire de transcodage est organisée en m x 1, c'est-àdire qu'elle n'a qu'une seule sortie de données DO. Si l'on suppose que les n derniers bits entrés dans le registre série-parallèle 5 servent à adresser la mémoire de transcodage 6, on voit que chaque bit présenté sur la sortie DO résulte du transcodage par le contenu de la mémoire morte de transcodage 6 des n derniers bits reçus par le registre série-parallèle 5. On a représenté sur la figure 4 une variante du codeur 4 de la figure 3, caractérisée par le fait que la mémoire morte de transcodage 6 a une organisation par octets. Les huit sorties de données D de la mémoire morte de transcodage 6 sont connec- tées à l'entrée de données I d'un multiplexeur de données 7, dont les trois entrées de sélection S sont connectées à trois sorties PD -2 du registre à décalage 5, par exemple celles qui correspondent aux trois derniers bits présentés sur l'entrée DI du registre 5. L'entrée d'adressage A de la mémoire morte de transcodage 6 est connectée à des sorties du registre à décalage 5 qui cor- respondent à des bits plus anciens, par exemple PD 3'13 dans le cas o la mémoire morte de transcodage 6 est constituée d'une EPROM de 8 K octets. Le contenu de la mémoire morte de transcodage 6 est quel- conque, mais différent de la mémoire de transcodage MT. à la mémoire de transcodage Mtj respectivement associées aux contacts CA et Cd, si les deux contacts i et j sont reliés à la même logique non sécuritaire de contrôle (ou logique satel- lite), ou à des logiques non sécuritaires de contrôle dis- tinctes mais reliées par une même liaison de transmission de données 3 à une même logique sécuritaire de télécontrôle (ou logique centrale). Le nombre de bits envoyés par le microcontrôleur 1 de la figure 1 à un codeur amont tel que CMm peut être quelconque et, en particulier, inférieur à la capacité de la mémoire morte de transcodage MT.. Par exemple, la capacité de celle-ci peut être de 64 k bits, alors que le message à coder peut avoir une lon- gueur de 256 bits. Il peut être intéressant de faire commencer le message à coder (ou de le faire précéder) par une séquence stable, par exemple constituée de n zéros suivis d'un 1. Dans le cas d'une mémoire 6 de 64 k bits, les 16 premiers bits transcodés sont imprévisibles, mais les (n-16) suivants sont identiques au pre- mier bit de la mémoire et le (n + l)ème bit sera identique au contenu du deuxième bit de la mémoire. Ceci permettrait, si nécessaire, de reconnaître le début du message transcodé, de lui faire jouer en quelque sorte le rôle d'une séquence de synchronisation. Si les deux premiers bits de la mémoire sont respectivement O et 1, la séquence sortant de la mémoire de transcodage 6 du codeur amont peut servir à jouer le même rôle vis à vis du codeur aval. On peut envisager que la suite de bits envoyés par le microcontrôleur 1 comporte, après cette séquence de synchroni- sation, une autre séquence, toujours la même qui fournit donc toujours la même réponse après transcodage successivement par les codeurs amont et aval CM1 et CVi associés. Cette réponse constituera donc en quelque sorte la "signature" ou "l'empreinte" du contact C-, s'il est fermé. Si la suite de la séquence envoyée après la séquence de synchronisation est aléatoire, la réponse après transcodage constituera encore une signature, mais en quelque sorte codée et non en clair. L'intérêt d'avoir une partie de la séquence d'interrogation qui soit différente d'une fois à l'autre est de permettre de "dater" la réponse du contact. Le risque contre lequel on cherche ainsi se prémunir est que l'état contrôlé soit exact, corresponde bien à l'organe voulu, mais qu'il soit ancien. Ce risque est réel dans des équipements comportant une mémoire, qui peuvent transmettre une réponse ancienne au lieu d'une réponse fraîche. Pour s'en prémunir, on peut dater explicitement le train de bits émis, en ce sens qu'on lui fait contenir notamment une heure ou un numéro d'ordre. On peut également avoir une date implicite, en ce sens qu'on lui fait contenir une séquence pseudo-aléatoire, faisant que tout train de bits est différent du précédent. Il est facile de déterminer s'il s'agit du train de bits le plus récent ou non, ce qui est tout ce que l'on demande en général. Les données envoyées par le micro-contrôleur 1 (figure 1) aux codeurs amont CM1, CM2 et CM3 peuvent être toutes diffé- rentes, mais elles peuvent être également identiques, l'envoi se faisant en parallèle. On peut en effet envisager que la logique sécuritaire de télécontrôle (logique centrale) soit reliée aux diverses logiques non sécuritaire de contrôle LSC logiques satellites par une liaison de transmission de données 3 dont le débit est relativement rapide, et que la logique cen- trale demande à une logique non sécuritaire de contrôle LSC (logique satellite) d'envoyer-la même séquence d'interrogation à tous les codeurs amont et de lui renvoyer toutes les réponses qui ne sont pas constituées de bits identiques, ce qui est le cas de la réponse correspondant à un contact ouverte On notera que le microcontrôleur peut distribuer aux divers codeurs une horloge à rythme relativement lent, de façon à permettre de contrôler des contacts relativement éloignés sans exiger de soins trop particuliers pour le câblage. On décrira maintenant l'application de la présente inven- tion au contrôle et à la commande d'un certain nombre d'appareils satellites à partir d'un poste central dans le domaine ferroviaire. Le poste central est équipé d'une logique sécuritaire de télécontrôle associant une électronique en sécurité intrinsèque et des interfaces à base de relais de sécurité. A chaque appa- reil est associée une logique satellite de contrôle dont la particularité est d'être constituée à partir de composants non sécuritaires du commerce. Les appareils considérés peuvent être, notamment mais non limitativement, une aiguille, un compteur d'essieux, un passage à niveau. Le poste central peut être servi par un agent ou en liaison filaire ou radio avec un centre suiveur, ou un engin moteur (une locomotive par exemple). Sur la figure 5, les logiques satellites de contrôle LSC1, LSC2, LSC3, des divers appareils dépendant du poste central LST sont reliées à la logique centrale sécuritaire de contrôle par une liaison multipoint qui comprend en fait une ligne de puis- sance A et une ligne de transmission de données L. La ligne de puissance A se subdivise en-une alimentation triphasée destinée à la manoeuvre de chaque appareil et une alimentation auxi- liaire destinée à l'alimentation de la logique satellite de contrôle. Les logiques satellites de contrôle LSC et la liaison LST - LSC ne sont pas de sécurité intrinsèque, toutefois la sécu- rité de l'ensemble est assurée sous la seule responsabilité de la logique centrale LST qui est réputée de sécurité. Chaque logique satellite de contrôle LSCL est constituée de deux microcontrôleurs, répondant à deux adresses différentes sur la ligne multipoint dont la logique centrale sécuritaire de télécontrôle LST joue le rôle de'maitre. Le principe d'un télécontrôle sera décrit en référence à la figure 6. Pour effectuer un contrôle de position d'un appareil, la logique sécuritaire de télécontrôle LST adresse à la logique satellite de contrôle LSC associée à l'appareil à contrôler, un train de n bits pseudo aléatoire. Ce train est donc daté, puisque différent de celui envoyé lors du contrôle précédent. La logique sécuritaire de télécontrôle LST reçoit en retour de la logique satellite de contrôle LSC adressée, un autre train de n bits à partir duquel elle est capable de vérifier de manière non ambigie: la corrélation avec le train de bits émis, le numéro de la logique satellite adressée et la position de l'appareil contrôlé. La sécurité du contrôle repose donc sur la comparaison effectuée par la logique sécuritaire de télécontrôle LST, en sécurité, entre le train de bits émis et le train de bits reçus. Le niveau de sécurité requis est obtenu en jouant sur la longueur n du train de bits et la complexité de la fonction de codage. Plus exactement, on cherche à vérifier l'identité, ou la quasi-identité, entre le train de bits reçus et une certaine transformée locale du train de bits émis. Plus précisément, la logique sécuritaire de télécontrôle LST envoie un double train de bits E1 + E2. Le train de bits E1 est reçu par le microcontrôleur MC1 et le train de bits E2 est reçu par le microcontrôleur MC2. Chaque microcontrôleur réexpédie son train de bits respec- tif E1 ou E2 vers l'autre microcontrôleur de la même logique satellite de contrôle en passant par des contacts r1 ou F2 du contrôleur d'appareil. Le contrôleur d'appareil ne pouvant être que dans une seule des deux positions stables possibles, un seul microcontrôleur peut transmettre son train de bits. Pendant le temps qui normalement correspond à l'entrebaillement de l'aiguille, aucun des deux microcontrôleurs ne peut parvenir à transmettre son train de bits. Au cas o les deux trains de bits viendraient à être transmis simultanément, on se trouverait dans une situation anormale exceptionnelle correspondant par exemple à un état dans lequel les deux lames de l'aiguille seraient collées, dénonçant une rupture mécanique. Dans la situation normale, la plus courante, celui des deux microcontrôleurs MCm ou MC2 de la logique satellite LSC qui a reçu le train de bits en provenance de l'autre, transmet en retour à la logique sécuritaire de télécontrôle LST un train de bits S1 ou S2 qui est une fonction du train de bits reçu de l'autre microcontrôleur SI = f (E2) ou S2 = f2 (El). Chacune des fonctions fm et f2 est caractéristique du microcontrôleur traversé. La logique sécuritaire de télécontrôle LST reçoit donc en retour du double train de bits El + E2 un train de bits Sm et/ou S2, qui est caractéristique à la fois du train de bits émis et du trajet parcouru entre les deux microcontrôleurs de cette logique satellite de contrôle LSC au travers des contacts à contrôler. Si l'on se reporte à l'exemple de la figure 6, on voit que c'est le train El qui ne peut être transmis du microcontrôleur MC1 vers le microcontrôleur MC2, par suite de la position des contacts rF et r2 à contrôler. On détermine mathématiquement les fonctions f1 et f2 sui- vant le taux d'erreur que l'on juge acceptable. A titre d'exemple, la fonction peut être un OU exclusif effectué bit à bit (ou octet par octet) entre le train de n bits El ou E2 et un train de n bits de référence R1 ou R2, de la forme SI = E (E2(i) + R.(i)) et S2 = E (El(i) + R2(i)). On définit généralement la "distance, entre deux trains de n bits comme étant le nombre de bits de même rang différents dans les deux messages. il Les trains de bits sont choisis de manière que la "dis- tance" entre eux soit la plus grande possible. Chaque train de bits de référence'sera donc caractéristique du microcontrôleur o est effectuée la fonction f. Il est fixé dans la mémoire morte programmable PROM de la carte. La LST connaît la loi de transcodage associée au contact qu'elle désire contrôler. Connaissant le contenu du train de bits pseudo-aléatoires qu'elle a émis, elle sait absolument ce que devrait être le train de bits qu'elle reçoit. Si elle compare ce train reçu au train attendu, elle peut déterminer la distance entre eux. En l'absence de toute erreur, cette distance devrait être nulle. La sécurité sera maximale si on ne considère comme fermé qu'un contact tel que la distance mesurée soit nulle. Toutefois, si la longueur du train de bits est grande et si le nombre de contacts différents à contrôler à travers la même liaison de transmission de données n'est pas trop important, la sécurité est encore importante si l'on admet une distance inférieure à un certain seuil qui n'est pas nul. Après remise à zéro, chaque microcontrôleur initialise ses registres tampons, de manière à renvoyer à la logique sécuri- taire de télécontrôle un train de bits significatif de sa bonne réinitialisation et de son identité. Ce peut être le même train de bits R. Le principe d'une télécommande sera décrit en référence à la figure 7. Le moteur Mo de manoeuvre de l'appareil est téléa- limenté depuis la logique sécuritaire de télécommande LST par l'alimentation triphasée décrite ci-après. La ligne de puissance est constituée d'un câble à cinq conducteurs (F1 à Fs) regroupant deux alimentations distinctes, d'une part une alimentation en triphasé des appareils utilisant les fils F1 à F3 (dont la section est déterminée par la consom- mation d'un seul appareil à la fois), d'autre part une alimen- tation auxiliaire utilisant les fils F4 et F5 pour la téléali- mentation des logiques satellites de contrôle LSC et le ver- rouillage des relais d'aiguille RA. Sous la dépendance du logiciel de sécurité de la logique centrale de télécontrôle LST, cette alimentation auxiliaire peut prendre trois états différents suivant les états des relais Rx et Ry: continu si le relais Ry est au travail, alternatif si Ry est au repos et Rx au travail, nul si Rx et Ry sont au repos. L'électronique des logiques satellites de contrôle peut être alimentée aussi bien en continu qu'en alternatif, en uti- lisant un bloc convertisseur alimentation à "découpage direct secteur" BC. Son inertie esat suffisante pour recouvrir les temps de commutation alternatifcontinu et vice-versa au niveau de la logique sécuritaire de télécontrôle LST. Les relais d'appareil RA, qui sont prépositionnés dans les logiques satellites de contrôle dans la première étape d'une commande d'appareil, ainsi qu'on l'a vu plus haut, sont sous le contrôle d'un relais de collage RC et d'un relais de décollage RD qui ne répondent qu'à la seule alimentation en courant alternatif. L'absence momentanée de toute alimentation sur les fils F4 et F5 de l'alimentation auxiliaire entraîne la chute des relais RA et provoque une remise à zéro de tous les micro-contrôl61eurs des logiques satellites de contrôle LSC. La solution de la ligne de transmission de données séparée de la ligne de puissance a été retenue pour diverses raisons, dont principalement la liberté d'évolution technologique de la transmission de données (fibres optiques, etc..) et une sécu- rité pour les équipes d'entretien qui n'ont pas à travailler sous tension dangereuse. Une télécommande d'un seul moteur Mo se décompose en trois étapes: 1 ) le prépositionnement du relais d'appareil RA concerné, qui met sucessivement en oeuvre les opérations suivantes: 30. On autorise le collage des relais RA de toutes les logiques satellites de contrôle LSC reliées à la ligne multi- point grâce à l'alimentation auxiliaire en alternatif; On donne par la ligne de transmission de données 3 l'ordre de collage au seul relais RA de l'appareil concerné, qui s'auto-maintient; On interdit par la ligne de puissance toute nouvelle modification d'état des relais RA (par alimentation auxiliaire en continu). On vérifie que seul le relais RA concerné est collé, en utilisant le principe des télécontrôles précédemment décrits. 2 ) l'exécution de la commande s'effectue, les relais RA étant positionnés et verrouillés par l'alimentation auxiliaire en continu, en envoyant sur la ligne de puissance l'alimentation triphasée (par F1, F2 et F3) destinée au mouve- ment de l'appareil. Le sens du mouvement est obtenu par inver- sion de deux phases au niveau de la logique sécuritaire de télécontrôle LST, qui est seule à travailler en sécurité intrinsèque. La manoeuvre de l'appareil est assimilée à une commande perdue". En conséquence, l'appareil doit être protégé par des contacts de fin de course ou un dispositif à friction renforcée. Toutefois, si le contrôle d'aiguille détecte correctement la fin de course, la commande perdue peut être interrompue prématurément par le logiciel de la logique sécuri- taire de télécontrôle LST. 3 ) La remise au repos des relais RA est effectuée au moyen de la même succession d'opérations que lors du préposi- tionnement et l'on commande le décollage des relais RA pendant que l'alimentation auxiliaire est en alternatif. Le relais d'appareil RA est monté en autocollage. Son col- lage est assuré par un relais de collage RC, commandé par le microcontrôleur MC2 de la logique satellite de contrôle LSC tandis que son décollage est assuré par un relais de décollage RD, commandé par la microcontrôleur MC:. Les deux relais RC et RD sont alimentés à partir de l'alimentation auxiliaire délivrée par F4 et F., par l'intermédiaire d'un transformateur TR qui constitue un dispo- sitif de sécurité intrinsèque pour la transmission d'une éner- gie alternative. Même en cas de défaillance des microcontrô- leurs de la logique satellite de contrôle LSC, les relais de collage et de décollage ne peuvent être actionnés que pendant que l'alimentation auxiliaire est en alternatif. On a ainsi la certitude, en sécurité intrinsèque, qu'un relais RA ne peut coller pendant que l'alimentation auxiliaire est en continu, condition imposée par la logique sécuritaire de télécontrôle LST avant de délivrer l'alimentation triphasée au seul relais RA qui aura été collé pendant la phase de préposi- tionnement autorisé. Pour éviter qu'une panne d'une logique satellite de * contrôle LSC, dont le microcontrôleur MC2 présenterait une com- mande permanente du relais de collage RC, ne bloque les autres logiques satellites de contrôle de la ligne multipoint, la com- mande de RC est rendue impulsionnelle par un montage capacitif qui n'a pas à être de sécurité. Aucune autre précaution n'est à prendre au niveau de la commande des relais RC et RD. En effet, le relais de collage RC ne peut intervenir que lorsque l'alimentation auxiliaire est alternative, et ce qui importe le plus au niveau du relais d'appareil RA, ce n'est pas sa commande, non sécuritaire, mais le contrôle de sa position, sécuritaire, effectué avant envoi du triphasé. La sécurité de la commande repose, en quelque sorte, sur la sécurité du contrôle de la pré-commande. La solution décrite ci-dessus pour la logique satellite de contrôle appliquée à une aiguille présente un avantage écono- mique important sur le plan du câblage. En effet, il est fait usage d'une seule ligne de puissance à cinq conducteurs et d'une ligne de transmission de données, toutes deux en multi- point, entre le poste o est située la logique sécuritaire de télécontr1ôle et l'ensemble des aiguilles. Au contraire, dans les réalisations actuellement utilisées, la liaison point à point entre le poste et chaque aiguille comprend au moins quatre conducteurs de forte section (montage dit "4 fils") Puisqu'un seul appareil est commandé à la fois, la puis- sance consommée au niveau de la ligne de puissance est très faible en comparaison de celle des postes classiques pour les- quels aucun dispositif logique n'interdit le fonctionnement simultané de plusieurs aiguilles. La solution proposée dans l'invention tire son bénéfice d'un suivi continu des circula- tions, évitant les points d'accumulation dans le-fonctionnement des aiguilles dont le taux d'utilisation moyen sur une longue période est en fait voisin de zéro. Un autre avantage financier provient du très faible coût des logiques satellites de contrôle réalisées à base de micro- contrôleurs du commerce. Seule la logique centrale de télécon- trôle est réalisée en sécurité et son interface avec la ligne de puissance par relais de sécurité est extrêmement simplifiée. On décrira successivement la ligne de transmission de don- nées et la logique satellite de contrôle en se référant à la figure 7. La ligne de transmission de données 3 retenue est une double paire torsadée et blindée, utilisée sous le protocole BITBUS d'INTEL, en mode différentiel (RS485) dont les princi- pales caractéristiques de l'option choisie sont les suivantes: - vitesse de transmission à 62,5 kbit/s - longueur maximum d'un segment entre répéteurs: 1200 m - nombre maximum de noeuds par segment: 28 - nombre maximum de répéteurs traversés: 10 - nombre maximum total de noeuds: 250, ce qui correspond à un maximum théorique de 125 aiguilles puisque les deux micro- contrôleurs d'une même logique satellite de contrôle consti- tuent chacun un noeud au sens de l'adressage du BITBUS. Deux limitations interviennent dans le nombre maximum pra- tique de noeuds connectables au BITBUS: 1) La consommation des alimentations des noeuds sur la ligne d'alimentation auxiliaire, surtout en continu, ce qui est son état le plus fréquent (le taux d'ondulation résiduel de l'alimentation auxiliaire en continu ne doit en aucun cas per- mettre une réalimentation des relais RC à travers les transfor- mateurs). 2) Le temps de réponse, limité en pratique à 5 ou 6 com- mandes d'aiguille par minute, une seule aiguille pouvant être commandée à la fois. Une même logique sécuritaire de télécontrôle LST peut gérer plusieurs BITBUS, les appareils étant répartis de manière à toujours disposer d'un nombre minimum d'"itinéraires", même en cas de panne d'un BITBUS. Des répéteurs à isolation galvanique sont disponibles en standard comme accessoires BITBUS. Ils nécessitent une double alimentation 12V continu pour l'amont et l'aval, qui peut être fournie localement par l'alimentation de la logique satellite de contrôle LSC ou par la transmission, dans le câble BITBUS, d'une télé-alimentation 12V supplémentaire, option qui fait partie de la norme BITBUS. La logique satellite de contrôle d'aiguille LSC est constituée de deux micro-contrôleurs MC1 et MC2 réalisés à par- tir de cartes du commerce DATEM DCB 220. Les cartes BITBUS utilisent le micro-contrôleur INTEL 8044, qui est un 8052 auquel est ajoutée une interface série HDLC (High level Data Link Control) à grande vitesse (jusqu'à 2,4 Mbit/s). Chaque micro-contrôleur est raccordé au BITBUS avec une adresse spécifique et constitue un noeud du BITBUS. La mémoire morte programmable (PROM) associée à chaque micro-contrôleur MCL, MC2, contient d'une part le noyau système et le programme local, commun à toutes les cartes, et d'autre part les tables servant au transcodage des trains de bits R spécifiques de la carte. Il ne doit donc pas y avoir deux PROM identiques. L'adresse physique du micro-contrôleur est "strappée" sur la carte. La logique sécuritaire de télécontrôle LST peut véri- fier en lisant sur la PROM un train de bits particulier (qui peut être le train de bits R utilisé précédemment) la corréla- tion entre le micro-contrôleur adressé sur le BITBUS (adresse physique) et le train de bits reçu de la PROM correspondante. La mémoire vive (RAM) associée à chaque micro-contrôleur MC, et MC2 constitue les registres tampons d'émission et de réception des trains de n bits, transmis à grande vitesse sur la ligne multi-point de transmission de données ou transmis à vitesse plus faible vers l'autre micro-contrôleur de la même logique satellite de contrôle LSC via le contrôleur d'aiguille F ou via le relais RA. Les liaisons série de contrôle d'aiguille ou de relais RA sont réalisées par un double UART (Universal Asynchronous Receiver Transmitter) ou Contrôleur de liaison (figure 6) dis- ponible sur chaque carte micro-contrôleur DATEM DCB 220. Le contrôle d'aiguille est fait en boucle de courant +12V sur un port et le contrôle de relais RA, qui est local dans la logique satellite de contrôle, est fait en RS 422 (+5V) sur un autre port. Les transmissions -vers le contrôleur d'aiguille F et vers le relais RA se font à vitesse moyenne (19200 bit/s au maxi- mum), alors que la vitesse de transmission sur le BITBUS est à 62,5 kbit. L'adaptation de vitesse se fait au niveau des registres tampons des microcontrôleurs MC1, MC2 de la logique satellite de contrôle LSC. Les autres ports d'entrée-sortie disponibles sur les cartes DATEM sont utilisés pour la commande des relais de collage et de décollage RC et RD du relais RA, ainsi que pour des entrées-sorties non sécuritaires, réchauf- feurs d'aiguilles par exemple. Le relais RA est un relais à six inverseurs dont trois (am, a2, a3) servent à la commande du moteur triphasé de l'aiguille, deux (a4 et as) au contrôle de position du relais RA lui-même et le dernier a6 à son auto-maintien. Les contacts du relais RA doivent être capables de suppor- ter l'intensité débitée dans le moteur Mo; par contre, ils ne doivent pas être calibrés pour couper couramment une telle intensité. En effet, le relais RA est prépositionné avant que le triphasé ne soit établi par le relais rupteur RU de la logique satellite de contrôle LSC. Le relais RA ne peut en aucun cas coller intempestivement, par contre, il peut exceptionnellement décoller à tort. au moment d'une défaillance de + 12V de l'alimentation de la logique satellite de contrôle LSC. Les relais RC et RD sont deux relais DIL (Dual In Line) ne répondant aux sollicitations des micro-contrôleurs MC1 et MC2 que si l'alimentation auxiliaire est en alternatif. Les relais RA, RC, RD n'ont pas à être de sécurité; toute- fois ils ne doivent en aucun cas pouvoir coller sous le seul effet des vibrations. L'alimentation d'une logique satellite de contrôle est en deux parties: 1 ) une alimentation régulée, constituée d'un bloc conver- tisseur à découpage direct secteur BC acceptant à l'entrée aussi bien une tension continue qu'alternative, et garantissant le maintien des sorties nominales pendant les basculements alternatif-continu et continualternatif de l'alimentation auxiliaire. 2 ) une alimentation redressée pour RC et RD, ne pouvant fournir de l'énergie que si l'alimentation auxiliaire, par F4, F5, de la ligne de puissance, est alternative. Un transforma- teur TR évite, en sécurité' le passage d'une alimentation continue. Un condensateurC est monté en série avec TR pour éviter de court-circuiter l'alimentation auxiliaire continue par le primaire du transformateur TR. Pour que le transforma- teur fonctionne aux conditions nominales, il faut que la fré- quence de résonance du filtre constitué par le condensateur C et le primaire du transformateur TR soit très faible par rap- port à la fréquence de fonctionnement de 50 Hz. On décrira les interfaces de la logique sécuritaire de contrôle LST en référence à la figure 7. On a déjà dit que la logique sécuritaire de télécontrôle était conçue en sécurité intrinsèque. L'interface entre ladite logique sécuritaire et la logique satellite doit également être de sécurité intrinsèque. Bien que très simplifiée, elle doit être réalisée avec des relais de sécurité, du type NS1 par exemple. Un relais de commande d'appareil CA classique assure, par les inverseurs Ca et C2 l'inversion de deux des phases Ph2 et Ph3 de l'alimentation triphasée, pour inverser le sens de rota- tion du moteur Mo de l'appareil. On vous a décrit un système dans lequel un seul moteur tourne, et dans un sens décidé par la logique sécuritaire de télécontrôle LST au moyen de la permutation des phases Ph2 et Ph3. Rien qu'avec ce système, on pourrait, si le diamètre des fils le permet, commander vers la droite toutes les aiguilles qui doivent l'être. Au coup suivant, on pourrait commander vers la gauche toutes celles qui doivent être commandées à gauche. On pourrait aussi envoyer depuis la logique sécuritaire de télécontrôle LST toujours la même commande de puissance. Dans ce cas, il faut reporter dans chacune des logiques satellites de contrôle, au prix d'un montage de relais un peu plus compli- qué, le choix du sens d'alimentation des moteurs. Un relais rupteur d'appareil Ru, classique, assure l'établissement et la coupure du triphasé sur la ligne de puis- sance, par l'intermédiaire des inverseurs u1, u2, u3 et u4. Un relais Ry assure la commutation alternatif-continu de l'alimentation auxiliaire. Par enclenchement des relais entre eux, on garantit que le relais CA ne peut basculer que si le relais Ru est au repos, que le relais Ru ne peut intervenir que si le relais Ry est en position haute (ce qui correspond à une alimentation auxiliaire continue) et que le relais Ry s'auto- maintient tant que le relais Ru reste haut, ce qui évite un retour intempestif de l'alimentation auxiliaire en alternatif, tant que le triphasé est en ligne. L'alimentation auxiliaire continue peut être obtenue par tout dispositif, en particulier par simple redressement et filtrage de l'alimentation alterna- tive. Le filtrage doit être de sécurité, car il faut avoir la certitude que le taux d'ondulation alternative résiduel ne puisse ramener au secondaire des transformateurs des logiques satellites de contrôle une tension capable de faire actionner un relais RC. Le verrouillage des relais RA pendant une alimen- tation auxiliaire continue ne serait alors plus garanti. Le relais Rx supplémentaire permet, lorsque Rx et Ry sont tous deux en position basse, de couper toute alimentation auxi- liaire et donc de provoquer une chute du relais RA resté collé par suite d'une défaillance de la logique satellite de contrôle LSC. La logique satellite de contrôle d'aiguille décrite ci- dessus ne constitue qu'une forme préférée de réalisation desti- née à faire comprendre l'invention. Bien évidemment, il pourra être utilisé d'autres moyens ou dispositifs équivalents notam- ment au niveau des cartes électroniques, sans sortir pour autant du cadre de l'invention. Par ailleurs, les principes de base du contrôle et de la com- mande, énoncés en liaison avec un contrôle d'aiguille, s'appliquent de manière identique pour une logique satellite de contrôle de passage à niveau. Avec des adaptations particu- lières nécessaires, ils peuvent également s'appliquer au contrôle et/ou à la commande sécuritaire de tout dispositif rencontré sur le terrain tel qu'annonces aux chantiers ou comp- tage d'essieux, ou dans un poste d'aiguillage. REVENDICATIONS 1. Installation de télécontrôle et de télécommande d'un ou de plusieurs appareils, à partir de contacts dont on détecte individuellement la position fermée, caractérisée en ce qu'elle comprend une logique sécuritaire de télécontrôle (LST) coopérant avec des logiques satellites de contrôle (LSC ) par des liaisons point à point ou une liaison multipoint de transmission de données, pour connaître à partir du signal reçu en réponse à un signal de contrôle adressé à la logique satellite de contrôle (LSC ) du contact considéré une information relative à l'identification dudit contact, ainsi qu'à son état, et éventuellement dater les informations fournies quant à cette identité et à cet état. 2. Installation de télécontrôle et de télécommande selon la revendication 1, caractérisée en ce que les logiques satellites (LSC ) et les liaisons (LST-LSC ) ne sont pas de sécurité intrinsèque, la sécurité de l'ensemble étant sous la dépendance de la seule logique sécuritaire de télécontrôle qui est de sécurité intrinsèque. 3. Installation de télécontrôle et de télécommande selon la revendication 1, caractérisée en ce que la liaison, qu'elle soit multipoint ou point à point, comprend une ligne de puis-- sance (A) et une ligne de transmission de données (L). 4. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce qu'à chaque contact à contrôler (C*) est associé un organe de codage (CM ,CV ) physiquement indépendant des autres organes de codage, afin que le passage de l'information à travers le codeur ne soit possible que si cette information passe à travers le contact à contrôler (C 5. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que les signaux émis et reçus sont composés d'une suite de bits logiques. 6. Installation de télécontrôle et de télécommande selon la revendication 4, caractérisée en ce que le codeur met en oeuvre une mémoire ROM contenue dans un microcontrôleur (CM ) et que la certitude du passage à travers le contact (C 2645674' par lecture du train de bits transcodé par un deuxième microcontrôleur (CV") 7. Installation de télécontrôle et de télécommande selon les revendications 1 et 2, caractérisée en ce que chaque logique satellite (LSC,) est constituée de deux microcontrôleurs, (MC1, MC2), répondant à deux adresses différentes sur la ligne multipoint, qui sont sous la dépendance de la logique sécuritaire de télécontrôle (LST) et respectivement en relation avec des contacts (rF, r2) du contrôleur d'appareil. 8. Installation de télécontrôle et de télécommande selon les revendications 1 et 2, caractérisée en ce que le contrôle de position d'un appareil s'effectue à partir d'un train de n bits "daté", envoyé par la logique sécuritaire de télécontrôle (LST) vers la logique satellite associée à l'appareil à contrôler (LSC ) qui lui renvoie en retour après transcodage un autre train de n bits dont la logique sécuritaire de télécontrôle (LST) peut évaluer la distance avec le train de bits auquel elle s'attend, de par sa connaissance du train de bits émis et de la loi de transcodage mise en oeuvre dans la logique satellite de contrôle (LSC ) associée au contact de l'appareil qu'elle cherche à contrôler, et en ce que le caractère "fermé" est reconnu par la logique sécuritaire de télécontrôle (LST) au contact qu'elle cherche à contrôler si la distance mesurée est inférieure ou égale à un certain seuil, qui peut être nul. 9. Installation de télécontrôle et de télécommande selon la revendication 7, caractérisée en ce que la logique sécuritaire de télécontrôle (LST) envoie un double train de bits (Em, E2), chaque microcontrôleur (MCL, MC2) recevant un train de bits qu'il expédie vers l'autre microcontrôleur (MC2, MCL) via des contacts (Fr1, F2) de contrôleur d'appareil, la logique sécuritaire (LST) recevant en retour un train de bits (Sm ou S2), caractéristique de la position des contacts à contrôler et du microcontrôleur traversé. 10. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que la ligne de puissance (F1 à F5) se subdivise en une ligne d'alimentation triphasée (F1 à F3) destinée à la manoeuvre de l'appareil à télécommander et une ligne d'alimentation auxiliaire (F4, Fs) destinée à l'alimentation de la logique satellite de contrôle (LSC ). 11. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que la télécom- mande de l'appareil est effectuée par un moteur (Mo) sous la dépendance d'un relais (RA) de l'appareil concerné, qui commande l'alimentation triphasée dudit moteur, le sens du mouvement à effectuer étant déterminé par les phases, qu'il est possible d'intervertir soit au niveau de la logique sécuritaire de télécontrôle (LST), soit à celui de la logique satellite de contrôle (LSCú). 12. Installation de télécontrôle et de télécommande selon la revendication 11, caractérisée en ce que le relais (RA) de l'appareil est commandé par un relais de collage (RC) sous la dépendance d'un des microcontrôleurs(MC2) de la logique satellite (LSCL) et par un relais de décollage (RD) sous la dépendance de l'autre microcontrôleur (MCa) de la logique satellite (LSC ). 13. Installation de télécontrôle et de télécommande selon la revendication 12, caractérisée en ce que les relais de col- age (RC) et de décollage (RD) du relais d'appareil (RA) sont alimentés par l'alimentation auxiliaire (F4, Fs) par l'intermédiaire d'un dispositif de sécurité intrinsèque (TR). 14. Installation de télécontrôle et de télécommande selon les revendications 1 à 3, caractérisée en ce que l'interface entre la logique sêcuritaire de télécontrôle LST et la ligne de puissance (F1 à Fs) est de sécurité intrinsèque. 15. Installation de télécontrôle et de télécommande selon la revendication 14, caractérisée en ce que l'interface entre la logique sécuritaire de télécontrôle (LST) et la ligne de puissance (F1 à Fs) est réalisée avec des relais de sécurité (Ru, Rx, R., CA). 16. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1, 2 et 4 à 9, caractérisée en ce que la liaison de transmission de données fait appel à une transmission radio électrique. 17. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1 à 16 caractérisée en ce qu'elle est appliquée au contrôle et à la commande d'une plura- lité d'aiguillages. 18. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications i à 16, caractérisée en ce qu'elle est appliquée au contrôle et à la commande de passages à niveau. 19. Installation de télécontrôle et de télécommande selon l'une quelconque des revendications 1 à 16, caractérisée en ce qu'elle est appliquée au contrôle de contacts tels que contrôles d'itinéraires et à l'établissement de contacts tels que commandes d'itinéraires.