Brevet FR3012100A1 — publié le 20150424

DOMAINE TECHNIQUE DE L'INVENTION La présente invention vise un dispositif et un circuit pour sécuriser un système utilisant des commandes électriques. Elle s'applique notamment à la sécurisation de commandes de circuits électriques dans le milieu de la signalisation ferroviaire, en utilisant des propriétés de sécurité intrinsèque de cette signalisation. ETAT DE LA TECHNIQUE Dans le cas de la détection, dans un système utilisant des commandes électriques, d'une anomalie jugée comme dangereuse pour la sécurité des usagers d'un réseau ferroviaire, les normes de sécurité imposent de rendre passif au plus tôt le circuit électrique de sortie du système. Lorsqu'un circuit de sortie est rendu passif, une intervention humaine est nécessaire pour rétablir le fonctionnement de ce circuit après un diagnostic de l'origine de l'anomalie. Actuellement, lors de la détection d'une anomalie sur le système, la passivité du système est assurée par un dispositif irréversible, à l'image de la fusion d'un fusible entraînant une ouverture dans le réseau électrique. Le problème de ces systèmes est que la passivation du système est enclenchée même dans le cas d'une anomalie de très courte durée sans conséquence pour la sécurité des usagers. Ces systèmes entraînent une indisponibilité des installations longue et lourde de conséquence bien que l'anomalie ait été momentanée et ne révèle plus de danger. L'intervention de maintenance pour réactiver le circuit électrique est complexe et onéreuse, même dans le cas où il s'agit d'une anomalie momentanée. Pour ces raisons, les coûts engendrés par ces systèmes actuels sont élevés. D'autres systèmes permettent le ré-enclenchement après disparition de l'anomalie. Cependant, en cas de défaillance du système de détection, un ré- enclenchement intempestif peut survenir alors que l'anomalie a été confirmée et le système de protection activer. Ce ré-enclenchement intempestif est, dans le domaine de la signalisation ferroviaire, intolérable car il peut avoir, pour une simple défaillance technique, des conséquences catastrophiques. Par ailleurs, la possibilité d'avoir une indisponibilité de la protection au moment où elle est nécessaire n'est pas tolérable. Les systèmes actuels n'ont pas d'élément de diagnostic donnant des informations sur le bon fonctionnement de leur protection avant d'être activée. Ces systèmes se limitent à donner des informations sur l'état actif ou inactif de la protection. Certaines défaillances peuvent empêcher l'activation efficace de la protection sans que l'on puisse, auparavant, s'en rendre compte. Ceci impose de rajouter d'autres dispositions palliatives onéreuses, dispositions qui s'activent également au moment où le système à besoin d'activer sa protection. OBJET DE L'INVENTION La présente invention vise à remédier à tout ou partie de ces inconvénients. A cet effet, la présente invention vise, selon un premier aspect, un dispositif pour sécuriser un système utilisant des commandes électriques, qui comporte : - au moins une entrée de signal électrique, - au moins une sortie configurée pour piloter un circuit électrique à sécuriser, - un commutateur pour, dans une position nominale, transmettre à au moins une sortie un signal représentatif d'au moins un signal électrique entré, - un moyen de réception d'une commande de mise en position de repli, - un moyen de commande du commutateur configuré pour mettre en position de repli temporairement réversible au moins une sortie lorsqu'une commande de mise en position de repli est reçue, - un moyen de réception d'une commande d'infirmation de la mise en position de repli, et - un moyen de verrouillage du commutateur en position de repli, ledit moyen de commande étant configuré : - pour retourner le commutateur en position nominale en cas de réception d'une commande d'infirmation pendant une durée prédéterminée et - pour commander le verrouillage du commutateur en position de repli en cas d'absence de réception d'une commande d'infirmation pendant la durée prédéterminée. Grâce à ces dispositions, une sécurisation du circuit électrique de sortie est réalisée au plus vite, dés la détection d'une anomalie. La sécurisation définitive et irréversible est obtenue immédiatement ou suite à la détection d'une anomalie persistante lors de deux détections séparées dans le temps. L'indépendance entre le dispositif de détection d'anomalie et le dispositif responsable du passage en position de repli permet une plus grande sécurisation du système qu'ils constituent. Dans des modes de réalisation, la position nominale est la transmission du signal représentatif d'au moins un signal électrique entré et la position de repli est une interruption d'au moins un signal électrique entré. Ces modes de réalisation ont l'avantage de permettre la protection du système, piloté par le dispositif, et utilisant des signaux électriques qui pourraient mettre en danger la sécurité de ce système. Dans des modes de réalisation, le commutateur est un relais à doubles contacts guidés. L'avantage de ces modes de réalisation est qu'ils permettent d'obtenir des Io fonctionnalités dépendant de l'état des contacts indépendamment du signal présent entre l'entrée et la sortie de signal. Dans des modes de réalisation, le dispositif objet de la présente invention comporte un condensateur se déchargeant périodiquement à travers les contacts du relais à double contacts guidés, le relais à double contacts guidés étant configuré 15 pour garder ses contacts fermés tant que la charge du condensateur est inférieure à une valeur prédéterminée et pour ouvrir ses contacts au delà de la valeur prédéterminée. Ces modes de réalisation ont l'avantage de permettre une sécurisation améliorée. 20 Dans des modes de réalisation, le moyen de commande comporte un moyen d'émission périodique d'une commande de décharge du condensateur. Le moyen de commande cessant d'émettre cette commande de décharge pour provoquer, à la fin de la durée prédéterminée, la mise en position de repli d'au moins une sortie et le verrouillage du commutateur. 25 L'avantage de ces modes de réalisation est qu'ils permettent la mise en position de repli par la mise en oeuvre de mécanismes simples et peu onéreux. Dans des modes de réalisation, le moyen de commande émet une commande de blocage de la charge du condensateur qui annule immédiatement le courant d'alimentation du relais. 30 L'avantage de ces modes de réalisation est qu'ils permettent la mise en position de repli temporairement réversible par la mise en oeuvre de mécanismes simples et peu onéreux. Dans des modes de réalisation, le moyen de verrouillage comporte une entrée configurée pour recevoir un dispositif de déverrouillage du moyen de verrouillage et dans lequel le moyen de verrouillage est configuré pour se déverrouiller sous la commande du dispositif de déverrouillage. Ces modes de réalisation permettent un déverrouillage contrôlé et sans danger du moyen de verrouillage. Dans des modes de réalisation, le dispositif objet de la présente invention comporte un moyen d'autodiagnostic et une sortie de signal représentatif de l'état de fonctionnement du dispositif. L'avantage de ces modes de réalisation est qu'ils permettent de palier à une défaillance du dispositif avant d'avoir besoin de sécuriser le système. Dans des modes de réalisation, le dispositif objet de la présente invention comporte un détecteur d'anomalie configuré pour transmettre, lors de la détection d'une anomalie, une commande de mise en position de repli au moyen de réception d'une commande de mise en position de repli. Grâce à ces dispositions, une sécurisation du circuit électrique de sortie est réalisée au plus vite, dés la détection d'une anomalie, avec la possibilité de verrouiller directement la position de repli ou de vérifier la persistance de l'anomalie ayant provoquée la commande de mise en position de repli. La sécurisation définitive zo et irréversible est obtenue suite à la détection d'une anomalie persistante lors de deux détections séparées dans le temps. L'indépendance entre les dispositifs de détection d'anomalie et le dispositif responsable du passage en position de repli permet une plus grande sécurisation de ces différents dispositifs. Dans des modes de réalisation, après la détection d'une anomalie, le 25 détecteur réalise une deuxième recherche d'anomalie et transmet, en cas d'absence de deuxième détection d'anomalie, une commande d'infirmation de la mise en position de repli. Ces modes de réalisation permettent de réduire les coûts de fabrication en utilisant le même détecteur pour réaliser une pluralité de détections. 30 Dans des modes de réalisation, le dispositif objet de la présente invention comporte un moyen de réinitialisation du détecteur, ledit détecteur réalisant, en cas d'une première détection d'anomalie, une deuxième recherche d'anomalie après réinitialisation. L'avantage de ces modes de réalisation est qu'ils réduisent le coût de production du dispositif objet de la présente invention. De plus, l'utilisation d'un même détecteur permet d'éviter des biais de détection liés aux performances matérielles d'une pluralité de détecteurs. Enfin, la réinitialisation du détecteur permet de limiter le risque d'une défaillance du détecteur dans la détection d'une anomalie. Dans des modes de réalisation, le détecteur est déporté du commutateur et/ou du moyen de mise en position de repli. Ces modes de réalisation permettent de renforcer la sécurisation du commutateur et du détecteur. Selon un troisième aspect, la présente invention vise un système pour sécuriser un circuit utilisant des commandes électriques qui comporte au moins deux dispositifs objets de la présente invention, et dont le circuit électrique à sécuriser ne fonctionne qu'en présence simultanément d'au moins un signal de sortie d'au moins deux dispositifs et dans lequel la détection des anomalies est mise en oeuvre indépendamment par chacun des dispositifs et dans lequel le commutateur d'un dispositif est configuré pour commuter au moins une sortie du dispositif auquel ledit commutateur appartient en position de repli quand un détecteur associé audit dispositif détecte une anomalie, indépendamment d'un détecteur d'un autre dispositif. Grâce à ces dispositions, la certitude d'activer une protection au plus tôt après la détection d'une anomalie est augmentée. Par ailleurs, pour chaque dispositif, le maintien permanent de la protection réalisée à chaque sortie du circuit électrique peut résulter de la détection d'une anomalie persistante lors de deux détections séparées dans le temps. De plus, chacune des confirmations est réalisée indépendamment par des détecteurs indépendants qui peuvent se surveiller mutuellement, ce qui assure l'efficacité de la protection même en cas de défaillance d'un des deux dispositifs ou d'un des détecteurs. De surcroit, par son coté irréversible, la sureté de la protection est obtenue simplement par ces dispositions peu onéreuses. BREVE DESCRIPTION DES FIGURES D'autres avantages, buts et caractéristiques particulières de l'invention ressortiront de la description non limitative qui suit d'au moins un mode de réalisation 3012 100 6 particulier du dispositif et du circuit pour sécuriser un système utilisant des commandes électriques objets de la présente invention, en regard des dessins annexés, dans lesquels : - la figure 1 représente, schématiquement, un premier mode de réalisation 5 particulier du dispositif objet de la présente invention, - la figure 2 représente, un diagramme d'état du premier mode de réalisation particulier du dispositif objet de la présente invention, - la figure 3 représente, schématiquement, un deuxième mode de réalisation particulier du dispositif objet de la présente invention, 10 - la figure 4 représente, schématiquement, un premier mode de réalisation particulier du système objet de la présente invention, et - la figure 5 représente, un schéma électrique du dispositif objet de la présente invention. 15 DESCRIPTION D'EXEMPLES DE REALISATION DE L'INVENTION La présente description est donnée à titre non limitatif. On note, dès à présent, que les figures ne sont pas à l'échelle. On observe, sur la figure 1, un premier mode de réalisation du dispositif 10 pour sécuriser un système utilisant des commandes électriques objet de la présente 20 invention. Ce dispositif 10 comporte : - une entrée 110 de signal électrique, - une sortie 115 configurée pour piloter un circuit électrique à sécuriser, - un commutateur 120 pour, dans une position nominale, transmettre à la sortie 115 un signal représentatif du signal électrique entré, 25 - un moyen de réception d'une commande de mise en position de repli 125, - un moyen de commande 130 du commutateur configuré pour mettre en position de repli temporairement réversible la sortie lorsqu'une commande de mise en position de repli est reçue, - un moyen de réception d'une commande d'infirmation de la mise en position 30 de repli 135, - un moyen de verrouillage 140 du commutateur 120 en position de repli comportant une entrée 145 configurée pour recevoir un dispositif de déverrouillage du moyen de verrouillage, un moyen d'autodiagnostic 150 et une sortie de signal représentatif de l'état de fonctionnement du dispositif 155, ledit moyen de commande 130 étant configuré : pour retourner le commutateur 120 en position nominale en cas de réception d'une commande d'infirmation lorsque le commutateur 120 n'est pas verrouillé en position de repli et pour commander le verrouillage du commutateur 120 en position de repli en cas d'absence de réception d'une commande d'infirmation pendant une durée prédéterminée. L'entrée 110 de signal électrique est, par exemple, une prise configurée pour recevoir un câble électrique transportant un courant électrique responsable de l'alimentation d'au moins une partie des équipements d'un réseau ferroviaire. Cette entrée 110 électrique est montée sur un support 105. La sortie 115 configurée pour piloter un circuit électrique à sécuriser est, par exemple, un câble électrique transportant un courant électrique responsable de l'alimentation d'au moins une partie des équipements d'un réseau ferroviaire. Le commutateur 120 de la sortie 115 d'un signal représentatif du signal électrique entré est, par exemple, un des contacts du relais à double contacts guidés. Ce relais sert à interrompre la transmission de signal électrique entre l'entrée 110 et la sortie 115 lors de la réception d'un signal représentatif de la détection d'une anomalie sur un équipement émis par un détecteur externe non représenté. Ce détecteur recherche, par exemple, une anomalie sur un signal électrique en amont, en aval ou interne au système à sécuriser. Le signal sur lequel a lieu la détection n'est pas limité à un signal électrique mais peut être tout type de signal, comme un signal mécanique par exemple. Le relais à doubles contacts guidés est maintenu en position fermée par le courant de charge permanent d'un condensateur 132, cette charge étant entretenue par une décharge ponctuelle et périodique de ce condensateur 132. La décharge du condensateur 132 est commandée ponctuellement et périodiquement par le biais d'un moyen d'émission d'une commande de maintien. Lorsque le condensateur n'est pas périodiquement déchargé, le condensateur atteint son niveau maximum de charge et le courant alimentant une bobine responsable du contact entre les contacts du relais devient nul. De même, lorsque la charge du condensateur est interrompue 3012 100 8 le courant alimentant une bobine responsable du contact entre les contacts du relais devient nul. Le moyen de réception d'une commande de mise en position de repli 125 est, par exemple, une carte réseau connectée de manière filaire à un réseau 5 électronique. Dans des variantes, le moyen de réception d'une commande de mise en position de repli 125 est configuré pour recevoir un signal sans fil. Lorsque le moyen de réception d'une commande de mise en position de repli 125 reçoit une commande de mise en position de repli, le moyen de commande 130 du commutateur commande le blocage de la charge du condensateur 132. Le 10 condensateur ne se charge alors plus, et les contacts du relais s'ouvrent interrompant ainsi la transmission de signal entre l'entrée 110 et la sortie 115. Dans des variantes, lorsque le moyen de réception d'une commande de mise en position 125 de repli reçoit une commande de mise en position de repli, le moyen de commande 130 du commutateur bloque la décharge du condensateur 132. 15 Le moyen de commande 130 du commutateur est, par exemple, un circuit électronique configuré pour transmettre une commande de blocage de la charge du condensateur 132 au moyen d'émission d'une commande de blocage de la charge du condensateur. De plus, ce moyen de commande 130 initie une temporisation (en anglais « timer ») qui définit la durée prédéterminée de réversibilité de la position de 20 repli temporaire. Le moyen de réception d'une commande d'infirmation 135 de la mise en position de repli est, par exemple, un port de la carte réseau utilisée comme moyen de réception d'une commande de mise en position de repli 125. Lorsque le relais est en position de repli, c'est à dire que les contacts du relais 25 sont ouverts et que le signal électrique est interrompu entre l'entrée 110 et la sortie 115 et si le timer du moyen de commande 130 dépasse une valeur limite prédéterminée, le relais se verrouille dans cette position de façon irréversible, c'est à dire ne pouvant être inversée par une commande provenant du moyen de commande 130. 30 Dans d'autres variantes, le moyen de commande 130 verrouille le relais en position de repli lors de la réception d'une commande de confirmation reçue par un moyen de réception d'une commande de confirmation du maintien de la position de repli. Si le moyen de réception d'une commande d'infirmation 135 reçoit, avant la limite de temps prédéterminée du moyen de commande 130, une commande d'infirmation de la mise en position de repli, le relais retourne en position nominale par la fermeture des contacts. Lorsque les contacts du relais sont fermés, le signal électrique passe entre l'entrée 110 et la sortie 115. Lorsque le moyen de réception d'une commande de mise en position de repli 125 reçoit une commande de mise en position de repli, le moyen de commande 130 du commutateur 120 interrompt la décharge ponctuelle et périodique du condensateur 132 en désactivant le moyen d'émission d'une commande de maintien. Lorsque le condensateur 132 n'est pas périodiquement déchargé, le condensateur 132 atteint son maximum de niveau de charge et le courant alimentant une bobine responsable du contact entre les contacts du relais devient nul. Le commutateur 120 adopte alors une position de repli et se verrouille dans cette position. Dans d'autres variantes, le moyen 140 de verrouillage du commutateur est, par exemple, un verrou mécanique configuré pour empêcher la mise en oeuvre d'une nouvelle commutation à la sortie 115. Ce verrou mécanique empêche, par exemple, les contacts du relais d'entrer en contact tant que le verrou est en place. Ce moyen 140 de verrouillage comporte une entrée 145 configurée pour recevoir un dispositif de déverrouillage du moyen 140 de verrouillage. Cette entrée 145 est configurée, par zo exemple, pour recevoir une clé capable de déplacer le verrou bloquant les contacts du relais. Le moyen d'autodiagnostic 150 est, par exemple, un circuit électronique. Ce circuit électronique est configuré pour mesurer le signal de sortie du moyen de commande 130 et du commutateur 120 en fonction d'un ou plusieurs signaux 25 d'entrée type comme, par exemple, une absence de réception d'une commande d'infirmation. Si le signal de sortie correspond au signal attendu par le moyen 150 d'autodiagnostic, ce moyen 150 d'autodiagnostic transmet par le biais de la sortie de signal représentatif de l'état de fonctionnement du dispositif 155 un signal représentatif du bon fonctionnement du moyen de commande 130 et du 30 commutateur 120. Si au moins l'un : - du moyen de commande 130 et - du commutateur 120 ne transmet pas en sortie un signal attendu par le moyen 150 d'autodiagnostic, le moyen 150 d'autodiagnostic transmet un signal représentatif du dysfonctionnement de chaque moyen n'ayant pas transmis le signal de sortie attendu. Dans des variantes, dans le cas où le signal transmis par le moyen de commande 130 de mise en position de repli et/ou par le commutateur 120 ne correspond pas au signal attendu, le moyen 150 d'autodiagnostic ne transmet aucun signal. On observe, sur la figure 2, un diagramme d'état du premier mode de réalisation particulier du dispositif objet de la présente invention. Lors de la mise sous tension du dispositif 10 décrit dans la figure 1, les contacts du relais sont initialement ouverts : le dispositif 10 est en position de repli temporairement réversible, non verrouillée 1. Puis, le moyen de réception d'une commande d'infirmation de la mise en position de repli émet une commande au moyen de commande 130 autorisant la charge du condensateur 132 et, par extension, de la fermeture des contacts du relais. Le dispositif 10 est alors en position nominale 2. Parallèlement, le moyen d'émission d'une commande de maintien transmet ponctuellement et périodiquement une commande de décharge du condensateur 132. Tant que la commande de maintien est reçue par le moyen de commande 130, le dispositif se maintient dans cette position 2. Si le moyen de commande reçoit une commande de mise en position de repli temporairement réversible, le dispositif 10 entre à nouveau en position de repli temporairement réversible non verrouillé 1. Si, alors qu'il est en état de repli, le relais ne reçoit pas de nouveau de commande d'infirmation de la mise en position de repli dans un laps de temps prédéterminé, les contacts du relais se verrouillent en position ouverte et le dispositif 10 entre en position de repli verrouillé 3. Dans cette position, seule une intervention humaine extérieure entraînant la mise hors tension du dispositif 10 permet de faire quitter au dispositif 10 sa position verrouillée. Lorsqu'il est en position nominale 2, si le dispositif 10 ne reçoit pas de commande de maintien périodique, émise, par exemple, par un moyen de contrôle du dispositif 10 déporté, en un laps de temps prédéterminé, le dispositif 10 passe directement en position de repli verrouillée 3. Cette dernière disposition permet à un utilisateur de contrôler à distance l'état du dispositif 10 indépendamment des 3012 100 11 problèmes de détection d'anomalies et d'adopter immédiatement une position de repli verrouillée lorsqu'une anomalie détectée n'a pas besoin d'être confirmée. On observe, sur la figure 3, un deuxième mode de réalisation du dispositif 20 objet de la présente invention. Ce dispositif 20 comporte : 5 - une entrée 210 de signal électrique, - une sortie 215 configurée pour piloter un circuit électrique à sécuriser, - un commutateur 220 pour, dans une position nominale, transmettre à la sortie 215 un signal représentatif du signal électrique entré, - un moyen d'émission 270 d'un signal représentatif de l'état de fonctionnement 10 du système à sécuriser, - un détecteur 260 d'une anomalie dans le fonctionnement du système à sécuriser, - un moyen de réinitialisation 265 du détecteur 260, - un moyen de réception d'une commande de mise en position de repli 225, 15 - un moyen de commande 230 du commutateur configuré pour mettre en position de repli temporairement réversible la sortie lorsqu'une commande de mise en position de repli est reçue, - un moyen de réception d'une commande d'infirmation de la mise en position de repli 235, 20 - un moyen de verrouillage 240 du commutateur 220 en position de repli comportant une entrée 245 configurée pour recevoir un dispositif de déverrouillage du moyen de verrouillage, - un moyen d'autodiagnostic 250 et - une sortie de signal représentatif de l'état de fonctionnement du dispositif 255, 25 ledit moyen de commande 230 étant configuré : - pour retourner le commutateur 220 en position nominale en cas de réception d'une commande d'infirmation et - pour commander le verrouillage du commutateur 220 en position de repli en cas d'absence de réception d'une commande d'infirmation pendant une durée 30 prédéterminée. L'entrée 210 de signal électrique est, par exemple, une prise configurée pour recevoir un câble électrique transportant un courant électrique responsable de l'alimentation d'au moins une partie des équipements d'un réseau ferroviaire. Cette entrée 210 électrique est montée sur un support 205. La sortie 215 configurée pour piloter un circuit électrique à sécuriser est, par exemple, un câble électrique transportant un courant électrique responsable de l'alimentation d'au moins une partie des équipements d'un réseau ferroviaire. Le commutateur 220 de la sortie 215 d'un signal représentatif du signal électrique entré est, par exemple, un des contacts du relais à double contacts guidés. Ce relais sert à interrompre la transmission de signal électrique entre l'entrée 210 et la sortie 215 lors de la réception d'un signal représentatif de la détection d'une anomalie sur un équipement émis par le détecteur d'anomalie 260, ou par d'autres détecteurs externes non représentés. Ce relais à doubles contacts guidés est maintenu en position fermée par le courant de charge permanent d'un condensateur 232, charge entretenue par une décharge ponctuelle et périodique de ce condensateur 232. La décharge du condensateur 232 est commandée ponctuellement et périodiquement par le biais d'un moyen d'émission d'une commande de maintien. Lorsque le condensateur 232 n'est pas périodiquement déchargé, le condensateur 232 atteint son niveau maximum de charge et le courant alimentant une bobine responsable du contact entre les contacts du relais devient nul. De même, lorsque la charge du condensateur 232 est interrompue le courant alimentant une bobine responsable du contact entre les contacts du relais devient nul. Le moyen d'émission 270 d'un signal représentatif de l'état de fonctionnement du système à sécuriser est, par exemple, un câble configuré pour transmettre le signal représentatif du signal électrique entré au détecteur 260. Le détecteur 260 d'une anomalie dans le fonctionnement du système à sécuriser, est, par exemple, un comparateur à seuil de la tension du signal entrant qui détecte une anomalie dans le signal électrique lorsque la tension du signal électrique dépasse une valeur limite inférieure ou supérieure prédéterminée. Dans des variantes, au moins une de ces valeurs limites est adaptative, c'est à dire variant lentement par rapport aux variations du courant électrique mesuré. Dans des variantes, le détecteur recherche une anomalie dans en aval ou en amont du système à sécuriser, comme par exemple dans un signal électrique arrivant en entrée du système. Le détecteur 260 détermine si l'anomalie détectée doit être confirmée ou non et décide d'adopter une position de repli temporairement réversible ou non. Le dispositif 20 comporte également un moyen de réinitialisation 265 du détecteur 260, ledit détecteur 260 réalisant une deuxième détection d'anomalie après réinitialisation sur les signaux émis en cas d'une première détection d'anomalie devant être confirmée. Ce moyen de réinitialisation 265 est, par exemple, un signal électronique qui, lorsque ce signal électronique est reçu par le détecteur 260, contraint le détecteur 260 à se réinitialiser. Ce signal est interne au détecteur 260 ou envoyé par un dispositif extérieur lorsque le détecteur 260 vient de détecter une 113 anomalie. La nature de la réinitialisation dépend de la nature du détecteur 260. Si le détecteur 260 est informatique et installé sur une unité centrale parmi d'autres programmes, la réinitialisation peut être un redémarrage du programme. Si le détecteur 260 est embarqué dans un circuit électronique dédié, la réinitialisation peut 15 être une mise hors tension temporaire du circuit électronique de manière à décharger des condensateurs présents sur le circuit électronique, puis une remise sous tension. De plus, le moyen 265 de réinitialisation contraint le détecteur 260 de tenter une deuxième détection afin de confirmer la première détection d'anomalie avant la fin de la durée prédéterminée de réversibilité temporaire de la position de repli. Le moyen 20 265 de réinitialisation est, avec le détecteur 260, déporté du support 205. Le moyen de réception d'une commande de mise en position de repli 225 est, par exemple, une carte réseau connectée de manière filaire à un réseau électronique. Dans des variantes, le moyen de réception d'une commande de mise en position de repli 225 est configuré pour recevoir un signal sans fil. Lorsque le 25 moyen de réception d'une commande de mise en position de repli 225 reçoit une commande de mise en position de repli, le moyen de commande 230 du commutateur commande au moyen d'émission d'une commande le blocage de la charge du condensateur 232. Le condensateur ne se charge alors plus, et les contacts du relais s'ouvrent interrompant ainsi la transmission de signal entre l'entrée 30 210 et la sortie 215. Dans des variantes, le moyen de commande 230 du commutateur bloque l'émission de commandes de décharge périodique du condensateur 232. Le condensateur ne se décharge alors plus, et les contacts du relais s'ouvrent interrompant ainsi la transmission de signal entre l'entrée 210 et la sortie 215. Le moyen de commande 230 du commutateur est, par exemple, un circuit électronique configuré pour bloquer la charge du condensateur 232 au moyen d'émission d'une commande de blocage de la charge du condensateur. De plus, ce moyen 230 de mise en position de repli initie une temporisation (en anglais « timer ») qui définit la durée prédéterminée de réversibilité de la position de repli temporaire. Le moyen de réception d'une commande d'infirmation 235 de la mise en position de repli est, par exemple, un port de la carte réseau utilisée comme moyen 10 de réception d'une commande de mise en position de repli 225. Lorsque le relais est en position de repli, c'est à dire que les contacts du relais sont ouverts et que le signal électrique est interrompu entre l'entrée 210 et la sortie 215 et si le timer du moyen de commande 230 dépasse une valeur limite prédéterminée, le relais se verrouille de façon irréversible dans cette position. 15 Dans d'autres variantes, le moyen de commande 230 verrouille le relais en position de repli lors de la réception d'une commande de confirmation reçue par un moyen de réception d'une commande de confirmation du maintien de la position de repli. Si le moyen de réception d'une commande d'infirmation 235 reçoit, avant la 20 limite de temps prédéterminée du moyen de commande 230, une commande d'infirmation de la mise en position de repli, le relais retourne en position nominale par la fermeture des contacts. Lorsque les contacts du relais sont fermés, le signal électrique passe entre l'entrée 210 et la sortie 215. Lorsque le moyen de réception d'une commande de mise en position de repli 25 225 reçoit une commande de mise en position de repli, le moyen de commande 230 du commutateur 220 interrompt la décharge ponctuelle et périodique du condensateur 232 en désactivant le moyen d'émission d'une commande de maintien. Lorsque le condensateur 232 n'est pas périodiquement déchargé, le condensateur 232 atteint son maximum de niveau de charge et le courant alimentant une bobine 30 responsable du contact entre les contacts du relais devient nul. Le commutateur 220 adopte alors une position de repli et se verrouille dans cette position. Dans d'autres variantes, le moyen 240 de verrouillage du commutateur est, par exemple, un verrou mécanique configuré pour empêcher la mise en oeuvre d'une nouvelle commutation à la sortie 215. Ce verrou mécanique empêche, par exemple, les contacts du relais d'entrer en contact tant que le verrou est en place. Ce moyen 240 de verrouillage comporte une entrée 245 configurée pour recevoir un dispositif de déverrouillage du moyen 240 de verrouillage. Cette entrée 245 est configurée, par exemple, pour recevoir une clé capable de déplacer le verrou bloquant les contacts du relais. Le moyen d'autodiagnostic 250 est, par exemple, un circuit électronique. Ce circuit électronique est configuré pour mesurer le signal de sortie du moyen de commande 230 et du commutateur 220 en fonction d'un ou plusieurs signaux d'entrée type comme, par exemple, une absence de réception d'une commande d'infirmation. Si le signal de sortie correspond au signal attendu par le moyen 250 d'autodiagnostic, ce moyen 250 d'autodiagnostic transmet par le biais de la sortie de signal représentatif de l'état de fonctionnement du dispositif 255 un signal représentatif du bon fonctionnement du moyen de commande 230 et du commutateur 220. Si au moins l'un : - du moyen de commande 230 et - du commutateur 220 ne transmet pas en sortie un signal attendu par le moyen 250 d'autodiagnostic, le moyen 250 d'autodiagnostic transmet un signal représentatif du dysfonctionnement zo de chaque moyen n'ayant pas transmis le signal de sortie attendu. Dans des variantes, dans le cas où le signal transmis par le moyen de commande 230 de mise en position de repli et/ou par le commutateur 220 ne correspond pas au signal attendu, le moyen 250 d'autodiagnostic ne transmet aucun signal. On observe, sur la figure 4, un mode de réalisation particulier du système 30 25 objet de la présente invention. Ce système 30 comporte deux dispositifs 305 pour sécuriser un système utilisant des commandes électriques tels que décrits dans la figure 2. Dans ce mode de réalisation, le circuit électrique à sécuriser du système 385 ne fonctionne qu'en présence simultanément de chaque signal de sortie 315 de chaque dispositif 305. Dans ce mode de réalisation, la détection d'une anomalie 30 dans au moins un des deux signaux représentatifs du signal entré de chaque dispositif 305 entraîne la mise en position de repli d'au moins un dispositif 305 provoquant à son tour la sécurisation du circuit électrique. Dans ce système, chaque dispositif 305 comporte un détecteur 360. Dans ces configurations, chaque détecteur 360 transmet, dans le cas d'une détection d'anomalie, un signal représentatif d'une détection d'anomalie à un moyen d'agrégation de résultats de la détection 390 commun à chaque dispositif 305 du système 30. Lorsqu'au moins un détecteur 360 transmet un signal représentatif de la détection d'une anomalie aux autres détecteurs 360 des autres dispositifs 305 par le biais du moyen d'agrégation 390, ces autres détecteurs 360 ordonnent la mise en position de repli temporairement réversible de leur commutateur 320 respectif, et utilisent leur moyen de réinitialisation pour réinitialiser leur détecteur 360 respectif et réaliser une deuxième recherche d'anomalie. Si une anomalie est à nouveau détectée par un des détecteurs 360, ce détecteur 360 n'émet pas de signal d'infirmation de la mise en position de repli. Dans ce cas, son commutateur 320 se verrouille dans la position de repli par le biais du moyen de verrouillage 340. Dans des variantes, les dispositifs 305 sont placés en parallèle et possèdent les mêmes entrées 310 et sorties 315. Dans ces variantes, les détections sont réalisées indépendamment pour chaque dispositif 305 et entraînent, par le biais du moyen d'agrégation 390, la mise en position de repli de chaque dispositif 305 lors de la détection d'une anomalie par un détecteur 360. Dans des variantes, au moins deux dispositifs 305 comportent un détecteur zo 360 en commun. Dans ces variantes, un signal représentatif de la tension du signal électrique entrant est envoyé par chaque dispositif 305 au détecteur 360. Lorsqu'une anomalie est détectée par le détecteur 360 sur au moins un des signaux représentatifs transmis par chaque dispositif 305, le détecteur 360 ordonne la mise en position de repli des commutateurs 320 de chaque dispositifs 305. Les moyens de 25 commande 330 des commutateurs 320 commandent l'écartement des contacts du relais à chaque sortie 315. Puis, le moyen 365 de réinitialisation provoque la réinitialisation du détecteur 360. Le détecteur 360 utilise un nouveau signal représentatif du bon fonctionnement du système fourni par chaque dispositif 305 afin de détecter une anomalie. Si une 30 anomalie est détectée par le détecteur, le détecteur 360 n'émet pas de signal d'infirmation de la mise en position de repli. Dans ce cas, les commutateurs 320 se verrouillent dans la position de repli par le biais d'un moyen 340 de verrouillage On observe, sur la figure 5, un schéma électrique du dispositif 40 pour sécuriser un système utilisant des commandes électriques objet de la présente invention. Ce dispositif 40 comporte quatre entrées dont : une entrée 450 de signal électrique, une entrée 410 d'alimentation du dispositif 40, une entrée 445 d'un signal représentatif d'une commande de passage en mode nominal du dispositif 305 transmis par un détecteur distant d'anomalie, ladite commande, lorsqu'une anomalie est détectée, changeant d'état et activant la protection de chaque sortie et une entrée 465 d'un signal représentatif d'une commande ponctuelle et périodique de maintien de la position de repli du dispositif 40 transmis par un moyen distant lorsqu'il n'y a pas de détection d'anomalie. De plus, ce dispositif 40 comporte deux sorties dont : - une sortie 455 d'alimentation des circuits électriques à sécuriser et - une sortie 460 d'un signal électrique, pouvant servir de dispositif de diagnostic, représentatif de l'état de fonctionnement du dispositif 30. Le dispositif 40 est architecturé autour d'un relais 470 à double contact dont une bobine 415 ne s'alimente qu'avec le courant de charge d'un condensateur 420 lorsqu'un transistor 425 est passant. Une fois ce condensateur 420 chargé, le courant de la bobine 415 du relais devient nul, le relais se désexcite et les contacts du relais 470 s'ouvrent. Lorsque les contacts du relais 470 s'ouvrent, la capacité 420 ne peut plus être déchargée, la bobine du relais du dispositif 40 ne peut plus être alimentée, le dispositif 40 est verrouillé dans cet état. Suite à une mise sous tension, le dispositif 40 est naturellement en position de repli, contacts du relais ouverts, avec le condensateur 420 déchargé. Pour maîtriser l'armement du dispositif 40, une commande 445 d'armement, reliée à la base d'un transistor 425 placé en série avec le condensateur 420, active le transistor, autorisant la charge du condensateur 420 à travers la bobine 415 du relais 470. Lorsque le condensateur 420 est en dessous d'un certain niveau de charge, cette alimentation ponctuelle est suffisante pour exciter le relais 470 et établir ses contacts. Une fois armée, le dispositif 40 est opérationnel en mode nominal. A la mise sous tension du dispositif 40, le délai pendant lequel le dispositif 40 peut être armé, est fixé par une résistance 435 placée en parallèle avec le transistor 425 Cette résistance charge lentement le condensateur 420. Lorsque le condensateur 420 atteint un certain niveau de charge, le courant de charge piloté par le transistor 425 n'est plus suffisant pour exciter le relais 470. Ce dernier ne peut plus être alimenté, quel que soit l'état du transistor 425 et de sa commande d'armement. Un délai prédéterminé permet à un détecteur, à un moyen de confirmation de la détection et à un moyen de contrôle du fonctionnement du dispositif 40 tels que décrits dans la figure 2 de se configurer et de vérifier leur état de fonctionnement, celui du dispositif 40 et des éléments dont il peut détecter des anomalies. Si le délai prédéterminé est dépassé et que le dispositif 40 n'est pas en état de fonctionnement, le relais 470 se verrouille définitivement avec les contacts ouverts. Une fois armée et en mode nominal, pour que le relais 470 ne se désexcite pas, il faut ponctuellement et régulièrement décharger le condensateur 420. Cette opération est réalisée par une commande périodique de maintien, appliquée sur l'entrée 465 de commande de maintien du dispositif 40. La décharge ponctuelle et non permanente est obtenue en utilisant une commande à liaison capacitive en amont du transistor 440. La commande de maintien provoque la saturation d'un transistor 440 qui décharge rapidement le condensateur 420 à travers un des contacts du relais 470 placé en série. Cette commande est dynamique, ponctuelle et périodique et ne peut être efficace que si le relais est excité. Cette décharge doit avoir lieu avant que le condensateur 420 n'atteigne un certain niveau de charge à travers la bobine du relais 470. La capacité du condensateur 420 et l'impédance de la bobine du relais 470 définissent la temporisation qui définit à son tour un délai à ne pas dépasser entre 25 deux commandes de maintien. Si ce délai est dépassé, les contacts du relais 470 s'ouvrent et se verrouillent définitivement dans cette position. Une diode 430 est placée pour permettre la décharge du condensateur 420 à chaque impulsion de la commande de maintien. Dans d'autre mode de réalisation, le transistor 425 peut se substituer à cette diode et la rendre inutile. 30 Pour que le dispositif 40 soit opérationnel en mode nominal, le transistor d'armement 425 doit être passant, cet état étant commandé par la commande d'armement 445. Inversement, lorsque la commande d'armement disparait, elle devient une commande de repli. Cette commande de repli pilote l'ouverture du transistor 425, interrompant immédiatement la charge du condensateur 420 à travers la bobine du relais 470. Cette commande est donc utilisée pour provoquer la chute du dispositif 40 et obtenir, à tout moment, une position de repli immédiate mais non verrouillée et donc réversible. La commande d'armement/repli est appliquée directement sur la base du transistor 425 sans être temporisée. Suite à une commande de repli, le dispositif 40 chute mais reste ré-armable pendant un délai prédéterminé, par exemple trente secondes. Ce délai dépend du niveau de charge du condensateur 420. Si la commande de repli intervient juste après une impulsion d'une commande de maintien, ce délai est maximum car le condensateur 420 est complètement déchargé, comme lors d'une mise sous tension. Le délai pendant lequel le réarmement est possible est fixé par le temps de charge du condensateur 420 à travers la résistance 435. La résistance 435 est calibrée pour qu'en cas de mise en position de repli du dispositif 40, le détecteur et le moyen de confirmation aient le temps de se réinitialiser et de tenter une nouvelle détection d'anomalie et confirmation de la détection d'anomalie, avant que les contacts du relais 470 du dispositif 40 se verrouillent définitivement en position ouverte. Une fois que les contacts du relais 470 du dispositif 40 sont verrouillés, les deux commandes d'armement et de maintien sont inopérantes. Un certain nombre de défaillances de composant peuvent amener un établissement ou un blocage non désiré des contacts du relais 470. Pour détecter au plus tôt une de ces défaillances, un signal électrique, présent sur la sortie 460, représentatif du fonctionnement du dispositif 40, image de la tension aux bornes du condensateur 420 et de l'état du relais, est transmis à un détecteur d'anomalie tel que décrit dans les figures 3 et 4. Plusieurs vérifications périodiques sont réalisables à l'aide de cette information dont l'aptitude à adopter à tout moment la position de repli. Dans le cas d'un système 30 comportant une pluralité de dispositifs 305 tel que décrit en figure 4, aucune disposition ne permet de se prémunir d'un choc électrique provoquant l'établissement simultanément et de façon permanente des contacts des relais des deux dispositifs 305. Pour éviter cette défaillance, au moins un fusible 405 rapide est placé en série avec les contacts du relais 470 des dispositifs 40. Ce fusible 405 est dimensionné pour garantir la qualité des contacts du relais 470 de chaque dispositif 40. Ce fusible permet, en outre, de garantir que les contacts du relais 470 de chaque dispositif 40 ne se détériorent pas.5 REVENDICATIONS1. Dispositif (10) pour sécuriser un système utilisant des commandes électriques, caractérisé en ce qu'il comporte : au moins une entrée (110) de signal électrique, au moins une sortie (115) configurée pour piloter un circuit électrique à sécuriser, un commutateur (120) pour, dans une position nominale, transmettre à au moins une sortie un signal représentatif d'au moins un signal électrique entré, un moyen de réception d'une commande de mise en position de repli (125), un moyen de commande (130) du commutateur configuré pour mettre en position de repli temporairement réversible au moins une sortie lorsqu'une commande de mise en position de repli est reçue, un moyen de réception d'une commande d'infirmation de la mise en position de repli (135), et - un moyen de verrouillage (140) du commutateur en position de repli, ledit moyen de commande étant configuré : pour retourner le commutateur en position nominale en cas de réception d'une commande d'infirmation pendant une durée prédéterminée et pour commander le verrouillage du commutateur en position de repli en cas d'absence de réception d'une commande d'infirmation pendant une durée prédéterminée. 2. Dispositif (10) selon la revendication 1, dans lequel la position nominale est la transmission du signal représentatif d'au moins un signal électrique entré et la position de repli est une interruption d'au moins un signal électrique entré. 3. Dispositif (10) selon l'une des revendications 1 ou 2, dans lequel le commutateur est un relais à double contacts guidés. 4. Dispositif (10) selon la revendication 3, qui comporte un condensateur se déchargeant périodiquement à travers les contacts du relais à double contacts guidés, le relais à double contacts guidés étant configuré pour garder ses contacts 3012 100 22 fermés tant que la charge du condensateur est inférieure à une valeur prédéterminée et pour ouvrir ses contacts au delà de la valeur prédéterminée. 5. Dispositif (10) selon la revendication 4, dans lequel le moyen de commande 5 comporte un moyen d'émission périodique d'une commande de décharge du condensateur (132), ledit moyen de commande cessant d'émettre cette commande de décharge pour provoquer, à la fin de la durée prédéterminée, la mise en position de repli d'au moins une sortie et le verrouillage du commutateur. 10 6. Dispositif (10) selon la revendication 4, dans lequel le moyen de commande émet une commande de blocage de la charge du condensateur (132) qui annule immédiatement le courant d'alimentation du relais. 7. Dispositif (10) selon l'une des revendication 1 à 6, dans lequel le moyen de 15 verrouillage comporte une entrée (145) configurée pour recevoir un dispositif de déverrouillage du moyen de verrouillage et dans lequel le moyen de verrouillage est configuré pour se déverrouiller sous la commande du dispositif de déverrouillage. 8. Dispositif (10) selon l'une des revendications 1 à 7, qui comporte un moyen 20 d'autodiagnostic (150) et une sortie de signal représentatif de l'état de fonctionnement du dispositif (155). 9. Dispositif (20) selon l'une des revendications 1 à 8, qui comporte un détecteur (260) d'une anomalie configuré pour transmettre, lors de la détection d'une anomalie, 25 une commande de mise en position de repli au moyen de réception d'une commande de mise en position de repli. 10. Dispositif (20) selon la revendication 9, dans lequel, après la détection d'une anomalie, le détecteur réalise une deuxième recherche d'anomalie et transmet, en 30 cas d'absence de deuxième détection d'anomalie, une commande d'infirmation de la mise en position de repli. 11. Dispositif (20) selon la revendication 10, qui comporte un moyen de réinitialisation (265) du détecteur, ledit détecteur réalisant, en cas d'une première détection d'anomalie, une deuxième recherche d'anomalie après réinitialisation. 12. Dispositif (20) selon l'une des revendications 9 à 11, dans lequel le détecteur est déporté du commutateur et/ou du moyen de mise en position de repli. 13. Circuit (30) pour sécuriser un système utilisant des commandes électriques caractérisé en ce qu'il comporte au moins deux dispositifs (305) selon l'une des revendications 1 à 12, et dont le circuit électrique à sécuriser ne fonctionne qu'en présence simultanément d'au moins un signal de sortie d'au moins deux dispositifs et dans lequel la détection des anomalies est mise en oeuvre indépendamment par chacun des dispositifs (305) et dans lequel le commutateur d'un dispositif (305) est configuré pour commuter au moins une sortie du dispositif auquel ledit commutateur appartient en position de repli quand un détecteur associé audit dispositif détecte une anomalie, indépendamment d'un détecteur d'un autre dispositif.