Brevet FR2878217A1 — publié le 20060526

La présente invention concerne un système de sécurité embarqué sur un véhicule ferroviaire, ledit système comportant un calculateur de gestion de la sécurité connecté, par des moyens de communication conformes à la norme UNISIG, sous-ensemble 035, FFFIS STM, à au moins un module de transmission spécifique. Afin d'assurer l'interopérabilité des réseaux ferroviaires européens, la Commission Européenne a édicté la directive 96/48/CE, adoptée le 23 juillet 1996, définissant le cadre d'un système de gestion du trafic ferroviaire européen (ERTMS European Rail Traffic Management System). On se référera utilement au site internet de la Commission Européenne (http://europa.eu. int/comm/transportlrail/interoperability/high speed fr. htm) pour le détail et les objectifs de ce système. Pour des informations techniques et de normalisation complémentaires, la Commission Européenne a édicté des décisions, dites STI (Spécifications Techniques d'Interopérabilité, ou TSI en anglais), détaillant l'ensemble des contraintes d'interopérabilité. Par exemple, la décision 2002/731/CE du 30 mai 2002 concerne les systèmes de contrôle-commande du système ferroviaire transeuropéen à grande vitesse. Ces informations techniques et de normalisation complémentaires, dites STI, et en particulier le document TSI 03Q375, contiennent la norme UNISIG Subset 035 FFFIS STM qui nous concerne ici. Ces nouvelles normes européennes en matière de gestion de la sécurité des matériels ferroviaires, et, en particulier, en matière de système de sécurité automatique embarqué à bord des véhicules ferroviaires, précisent que ces systèmes de sécurité embarqués doivent comporter des calculateurs de gestion de la sécurité (selon la norme en anglais: EVC European Vital Computer) capables d'interpréter les signaux provenant des balises du système de gestion du trafic ferroviaire européen ERTMS. Ces calculateurs de gestion de la sécurité sont connectés à des modules spécifiques de transmission (STM Specific Transmission Module) qui doivent exécuter ou faire exécuter des tâches par des équipements de protection automatique du train (ATP Automatic Train Protection) sous l'autorité du calculateur de gestion de la sécurité. La connexion entre le calculateur de gestion de la sécurité et le ou les modules spécifiques de transmission est une liaison sécurisée selon la norme FFFIS STM (Form Fit Interface Specification) du sous-groupe 35 du groupe de travail UNISIG. Actuellement, il existe deux modes de réalisation de ces systèmes de sécurité. Dans le premier mode, le calculateur EVC et les modules STM sont intégrés dans un seul et unique équipement, parfois appelé EVC bi- mode ou EVC bi-standard. Dans le second mode de réalisation, un calculateur est dédié à la fonction de module de transmission, parfois en partant, comme base technologique, d'un équipement de protection automatique ATP établi pour une utilisation sur un réseau ferré national. Cela pose des problèmes de coût et de délai liés à l'homologation de ces équipements. En effet, comme tout équipement de sécurité ferroviaire, ces systèmes doivent être homologués par une agence agréée. Celle-ci doit certifier que ces équipements se comportent comme les équipements de sécurité aux normes nationales qu'ils sont destinés à remplacer, et que ces équipements répondent aux normes européennes précitées. Le but de l'invention est de minimiser les coûts et les délais des homologations de ces équipements et en particulier des modules spécifiques de transmission. L'objet de l'invention est donc un système de sécurité embarqué sur un véhicule ferroviaire, ledit système comportant un calculateur de gestion de la sécurité connecté, par des moyens de communication conformes à la norme UNISIG, sous-ensemble 035, FFFIS STM, à au moins un module de transmission spécifique, caractérisé en ce que le module de transmission spécifique comporte: - des moyens de pilotage conformes à la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, et - au moins un équipement de gestion automatique du véhicule ferroviaire conforme à une norme nationale différente de la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, piloté par les moyens de pilotage par l'intermédiaire de moyens de connexion; lesdits moyens de pilotage comportant: - des moyens de communication à la norme UNISIG, sous-ensemble 035, FFFIS STM aptes à recevoir des commandes de pilotage d'un calculateur de gestion de la sécurité et à échanger des informations avec celui-ci, et - des moyens de calcul aptes à transformer les commandes reçues par les moyens de communication en commandes adaptées pour piloter le ou chaque équipement de gestion automatique du véhicule ferroviaire. Un autre objet de l'invention est un module de transmission spécifique utilisé dans un système de sécurité embarqué d'un véhicule ferroviaire, caractérisé en ce qu'il comporte: - des moyens de pilotage conformes à la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, et -au moins un équipement de gestion automatique du véhicule ferroviaire conforme à une norme nationale différente de la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, piloté par les moyens de pilotage par l'intermédiaire de moyens de connexion; lesdits moyens de pilotage comportant: - des moyens de communication à la norme UNISIG, sous-ensemble 035, FFFIS STM aptes à recevoir des commandes de pilotage d'un calculateur de gestion de la sécurité et à échanger des informations avec celui-ci, et - des moyens de calcul aptes à transformer les commandes reçues par les moyens de communication en commandes adaptées pour piloter le ou chaque équipement de gestion automatique du véhicule ferroviaire. Une autre caractéristique de l'invention est que les moyens de connexion entre les moyens de pilotage et le ou chaque équipement de gestion automatique du véhicule ferroviaire correspondent à des liaisons à deux états ou à des bus de données spécifiques. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et faite en se référant aux dessins en annexe dans lesquels: - la figure 1 est un schéma synoptique de l'architecture générale d'un système de sécurité embarqué selon les normes européennes; et - la figure 2 est un schéma synoptique de l'architecture d'un système de sécurité embarqué selon l'invention. En référence à la figure 1, un système de sécurité embarqué sur un véhicule ferroviaire apte à circuler sur les réseaux ferrés européens comporte, selon les normes européennes, un calculateur de gestion de la sécurité 1 dit calculateur EVC connectés à des modules spécifiques de transmission 2, 3, 4, dit modules STM par un bus de connexion 5. Le bus de connexion 5 et le langage de communication entre le calculateur EVC 1 et les modules STM 2, 3, 4 sont conformes à la norme européenne UNISIG, sous-ensemble 035, FFFIS STM. Cette norme sera appelée norme FFFIS dans la suite de ce document. Dans le mode de réalisation préféré de l'invention, figure 2, le module STM comporte des moyens de pilotage 10 connectés au bus de connexion 5 et des équipements 11, 12 de gestion automatique du train, ou équipements ATP. Les moyens de pilotage 10 sont conformes à la norme européenne FFFIS décrivant la partie pertinente de la normalisation ERTMS. Des liaisons 13, 14 entre les moyens de pilotage 10 et les équipements ATP 11, 12 sont effectuées par des connexions fonctionnelles simples à deux états de type Actif/Repos, ou par des bus de données spécifiques. Les moyens de pilotage 10 comportent des moyens de communication bidirectionnels 15 à la norme FFFIS pour communiquer via le bus 5 au calculateur EVC 1. Ils comportent également des moyens de calcul 16 aptes à analyser les commandes reçues pour les transformer en ordres compréhensibles par les équipements ATP 11, 12, ordres transmis par les liaisons 13, 14. Dans le mode préféré de réalisation, les moyens de pilotage 10 sont capables de gérer ainsi jusqu'à huit équipements ATP. Les équipements 11, 12 sont conformes aux normes nationales et ont déjà été homologués par les organismes de certification compétents. En revanche, ils ne satisfont pas à la normalisation ERTMS. Le mode de fonctionnement du système de sécurité est le suivant. Le calculateur EVC 1 reçoit des signaux de balises du système de gestion du trafic ferroviaire européen. Les balises sont disposées le long des voies et servent à la signalisation automatique. Elles informent le conducteur en cabine, par l'intermédiaire du système de sécurité, de l'état de la signalisation, comme le font les signaux latéraux sur une voie équipée de signalisation conventionnelle. En fonction des signaux reçus de ces balises, le calculateur EVC 1 envoie une commande d'activation ou de mise en repos d'un équipement 11, 12 de gestion automatique du train aux moyens de pilotage 10. Cette commande correspond à une fonction spécifique du protocole de sécurité FFFIS. Les moyens 10 de pilotage interprètent alors la commande reçue et génèrent un ordre, sous forme d'un signal, correspondant à une commande de l'équipement 11, 12 concerné. En parallèle, les moyens 10 de pilotage envoient régulièrement au calculateur EVC 1 le statut (actif/repos) de chaque équipement 11, 12 par l'intermédiaire du bus FFFIS 5. A titre d'exemple, nous allons maintenant décrire la transition à bord d'un train lors du passage d'une ligne européenne équipée selon la normalisation ERTMS vers une ligne nationale équipée d'ATB EG (équipement national hollandais). Dans les conditions initiales, le train roule sur la ligne ERTMS Level 2. Le calculateur EVC 1 est l'équipement de sécurité actif. Il est en niveau 2 et mode Full Supervision . L'équipement ATB EG 11, 12, correspondant dans cet exemple à un équipement ATP de gestion automatique du train à la norme hollandaise, est en mode BDGM (mode veille forcée). Le mode BDGM est activé par les entrées BDGM de l'équipement ATB EG 11, 12 câblées comme sorties des moyens de pilotage 10 et pilotées par ceux-ci. Les moyens de pilotage 10 contiennent les états du STM 2, 3, 4. L'état actif est Cold Standby . Au droit de la transition, le calculateur EVC 1 reçoit un ordre de transition de niveau 2 ERTMS vers le niveau STM ATB. II demande au STM ATB 2, 3, 4 (composé des moyens de pilotage 10 et de L'ATB EG 11, 12) de changer d'état. L'ordre de changement d'état (packet STM-14 State order to STM) est envoyé du calculateur EVC 1 sur le bus de connexion FFFIS 5. Ce message leur étant destiné, les moyens de pilotage 10 exécutent les actions suivantes: 1. lire le message, 2. passer à l'état Data-Available, 3. changer l'état des sorties BDGM 13, 14 (entrée de l'ATB EG), 4. allumer un voyant/bouton demandant une action au conducteur. Le conducteur doit alors appuyer sur le bouton dans les 5 secondes. E Si l'opération du conducteur est bien enregistrée par les moyens de pilotage 10, ceux-ci envoient un message rapport de changement d'état à l'EVC 1 (Packet STM-15 State report from STM). L'EVC 1 enregistre le changement d'état du STM ATB 2, 3, 4 (Moyens de pilotage 10 et ATB 11, 12) . Si l'opération du conducteur n'est pas enregistrée par les moyens de pilotage 10, ceux-ci n'envoient aucun message de rapport de changement d'état à le calculateur EVC 1 (Packet STM-15 State report from STM). Le calculateur EVC 1 décrète un raté de transition après 10 secondes sans réception du rapport de changement d'état par celui-ci. En tant que moyens de sécurité, les moyens de pilotage 10 doivent être certifiés au niveau SIL4 de la norme de sécurité CENELEC 50129 ainsi que par un organisme agréé pour la conformité de l'implémentation du protocole FFFIS. Cet organisme agréé est connu dans la documentation européenne comme le Notified Body . Cependant, ils n'ont pas besoin d'être certifiés par les autorités nationales puisque celles-ci ont déjà homologué les équipements 11, 12 de gestion automatique du train, que ceux-ci ne sont pas modifiés et que les moyens de pilotage 10 qui remplissent des fonctions définies au niveau européen sont indépendants des autorités nationales. Ainsi, par une répartition avantageuse des fonctions d'un module spécifique de transmission, 2, 3, 4 les frais et délais d'homologation du système de sécurité sont considérablement réduits. REVENDICATIONS 1. Système de sécurité embarqué sur un véhicule ferroviaire, ledit système comportant un calculateur de gestion de la sécurité (1) connecté, par des moyens de communication (5) conformes à la norme UNISIG, sous- ensemble 035, FFFIS STM, à au moins un module de transmission spécifique (2, 3, 4), caractérisé en ce que le module de transmission spécifique (2, 3, 4) comporte: - des moyens de pilotage (10) conformes à la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, et - au moins un équipement (11, 12) de gestion automatique du véhicule ferroviaire conforme à une norme nationale différente de la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, piloté par les moyens de pilotage (10) par l'intermédiaire de moyens de connexion (13, 14) ; lesdits moyens de pilotage (10) comportant: - des moyens de communication (15) à la norme UNISIG, sous-ensemble 035, FFFIS STM aptes à recevoir des commandes de pilotage d'un calculateur de gestion de la sécurité (1) et à échanger des informations avec celui-ci, et - des moyens de calcul (16) aptes à transformer les commandes 20 reçues par les moyens de communication (15) en commandes adaptées pour piloter le ou chaque équipement (11, 12) de gestion automatique du véhicule ferroviaire. 2. Module de transmission spécifique (2, 3, 4) utilisé dans le système de sécurité embarqué d'un véhicule ferroviaire selon la revendication 1, caractérisé en ce qu'il comporte: - des moyens de pilotage (10) conformes à la norme européenne UNISIG, sous-ensemble 035, FFFIS STNI, et - au moins un équipement (11, 12) de gestion automatique du véhicule ferroviaire conforme à une norme nationale différente de la norme européenne UNISIG, sous-ensemble 035, FFFIS STM, piloté par les moyens de pilotage (10) par l'intermédiaire de moyens de connexion (13, 14) ; lesdits moyens de pilotage (10) comportant: - des moyens de communication (15) à la norme UNISIG, sous-ensemble 035, FFFIS STM aptes à recevoir des commandes de pilotage d'un calculateur de gestion de la sécurité (1) et à échanger des informations avec celui-ci, et - des moyens de calcul (16) aptes à transformer les commandes reçues par les moyens de communication (15) en commandes adaptées pour piloter le ou chaque équipement (11, 12) de gestion automatique du véhicule ferroviaire. 3. Module de transmission spécifique (2, 3, 4) selon la revendication 2, caractérisé en ce que les moyens de connexion (13, 14) entre les moyens de pilotage (10) et le ou chaque équipement (11, 12) de gestion automatique du véhicule ferroviaire correspondent à des liaisons à deux états ou à des bus de données spécifiques.