Brevet FR3052732A1 — publié le 20171222

Procédé de gestion d'un système de sécurité ferroviaire et système de sécurité ferroviaire mettant en oeuvre un tel procédé L'invention concerne un procédé de gestion d'un système de sécurité ferroviaire, ainsi qu'un système de sécurité ferroviaire mettant en oeuvre un tel procédé. Les voies de chemin de fer et les réseaux de transport en commun sont équipés de systèmes de sécurité permettant par exemple de détecter des intrusions ou bien de permettre l'interruption du trafic pour la maintenance des voies ou des équipements environnants. Les systèmes de sécurité ferroviaires comprennent à cet effet un ordinateur central et des dispositifs de mise en sécurité de zones prédéfinies des voies, ces dispositifs permettant, par exemple, de détecter une intrusion et de transmettre un signal à l'ordinateur central pour interrompre le trafic, ou bien, lorsqu'ils sont actionnés par des agents de maintenance, par exemple par un bouton ou une clé, de signaler la présence de personnels sur les voies et interrompre le trafic. Lorsque le travail sur une voie est terminé, la désactivation du dispositif de mise en sécurité associé par un opérateur effectuant le travail permet d'autoriser à nouveau le trafic sur la zone. Toutefois, cette désactivation du dispositif de mise en sécurité ne signifie pas nécessairement que le trafic peut être immédiatement ré-autorisé dans cette zone. En effet certaines procédures de contrôle en salle technique ou en poste de contrôle peuvent être nécessaires avant de permettre aux trains de circuler à nouveau. En outre, dans le cas où un dispositif de mise en sécurité est défaillant et déclenche de façon non voulue l'interruption du trafic sur une zone, la zone ne peut être rendue au trafic qu'après intervention sur le dispositif défaillant, ce qui provoque un problème de disponibilité du système de sécurité et de la zone de voie concernée. C'est à ces inconvénients qu'entend plus particulièrement remédier l'invention en proposant un nouveau procédé de gestion d'un système de sécurité ferroviaire et un nouveau système de sécurité ferroviaire, permettant de gérer de façon plus efficace les activations des dispositifs de mise en sécurité et la disponibilité du système. A cet effet, l'invention concerne un procédé de gestion d'un système de sécurité ferroviaire comprenant un ordinateur central et un ou plusieurs dispositifs de mise en sécurité de zones prédéfinies d'une voie, ce procédé comprenant des étapes consistant à : a) détecter, avec le ou les dispositifs de mise en sécurité, un événement sur une zone prédéfinie d'une voie ; b) en cas de survenance d'un événement sur la zone prédéfinie, déclencher, au moyen du dispositif de mise en sécurité ayant détecté l'évènement, la 3052732 2 transmission d'un signal à l'ordinateur central et le passage de ce dispositif dans une configuration activée; c) mettre en sécurité la zone prédéfinie sur laquelle survient l'événement, au moyen de l'ordinateur central ; 5 d) lorsque l'événement prend fin, passer le dispositif de mise en sécurité dans une configuration désactivée et remettre la zone prédéfinie dans une configuration normale. Ce procédé est caractérisé en ce qu'il comprend au moins une des étapes supplémentaires suivantes consistant à : 10 e) pour au moins un dispositif de mise en sécurité, activer ou désactiver la prise en compte par l'ordinateur central de la détection d'évènements par ce dispositif de mise en sécurité ; f) pour au moins un dispositif de mise en sécurité, lorsque ce dispositif est remis en configuration désactivée, préalablement à la remise en configuration normale de 15 la zone prédéfinie concernée par l'événement détecté par ce dispositif, autoriser la remise en configuration normale de cette zone. Grâce à l'invention, lorsqu'une intervention est effectuée sur une zone, à la fin de celle-ci l'autorisation de la désactivation de la mise en sécurité de la zone permet de 20 s'assurer que le rétablissement du trafic est effectué sans risque humain ou matériel. De même, la possibilité de désactivation de la prise en compte d'un dispositif de mise en sécurité permet d'éviter les dysfonctionnements liés à la défaillance d'un dispositif de mise en sécurité. Selon des aspects avantageux mais non obligatoires de l'invention, un tel procédé 25 peut incorporer une ou plusieurs des caractéristiques suivantes, prises selon toute combinaison techniquement admissible : - L'ordinateur central reçoit d'au moins un dispositif de mise en sécurité des informations sur l'état physique de ce dispositif. - Lorsqu'un dispositif de mise en sécurité est défaillant, à l'étape e), la prise en 30 compte par l'ordinateur central de la détection d'évènements par ce dispositif de mise en sécurité est désactivée. - Le procédé de gestion comprend une étape consistant à réparer le dispositif défaillant puis à activer à nouveau la prise en compte par l'ordinateur central de la détection d'évènements par ce dispositif. 3052732 3 - A l'étape f), si l'autorisation de remise en configuration normale de la zone n'est pas obtenue, l'ordinateur central ne prend pas en compte une désactivation du dispositif de mise en sécurité. L'invention concerne également un système de sécurité ferroviaire qui 5 comprend un ordinateur central et un ou plusieurs dispositifs de mise en sécurité de zones prédéfinies d'une voie, le ou les dispositifs de mise en sécurité étant adaptés pour : - détecter un événement sur une zone prédéfinie d'une voie; - en cas de survenance d'un événement sur la zone prédéfinie, transmettre un signal à l'ordinateur central et passer dans une configuration activée; 10 l'ordinateur central étant adapté pour mettre en sécurité la zone prédéfinie sur laquelle survient l'événement et, lorsque l'événement prend fin et que le dispositif de mise en sécurité qui a détecté l'évènement passe à nouveau en configuration désactivée, remettre la zone prédéfinie dans une configuration normale. Ce système est caractérisé en ce qu'il comprend, pour au moins un dispositif de 15 mise en sécurité, des premiers moyens adaptés pour activer et désactiver la prise en compte par l'ordinateur central de la détection d'évènements par ce dispositif de mise en sécurité, et/ou des seconds moyens adaptés pour, suite au passage en configuration désactivée de ce dispositif, autoriser préalablement la remise en configuration normale de la zone concernée par l'événement détecté par ce dispositif. 20 Selon un aspect avantageux, les premiers et seconds moyens sont prévus sous la forme de commandes de l'ordinateur central actionnables par un opérateur à partir d'une interface de supervision. L'invention sera mieux comprise et d'autres avantages de celle-ci apparaîtront plus clairement à la lumière de la description qui va suivre d'un procédé de gestion d'un 25 système de sécurité ferroviaire et d'un système de sécurité ferroviaire conformes à son principe, faite à titre d'exemple non limitatif en référence à la figure 1 annexée représentant un système de sécurité ferroviaire et un procédé de gestion conformes à l'invention. La figure 1 représente un système de sécurité ferroviaire 1, comprenant un 30 ordinateur central 2 et un ou plusieurs dispositifs de mise en sécurité de zones prédéfinies d'une voie. Un seul de ces dispositifs est représenté avec la référence 3. Le dispositif 3 est installé dans une zone 5 dans laquelle passe une voie ferrée 7. Le dispositif 3 comprend un détecteur 30 permettant de détecter un évènement survenant sur la zone 5 et nécessitant la mise en sécurité de la zone. Cet évènement peut 35 être, par exemple, l'intrusion d'une personne extérieure sur la voie 7, ou l'arrivée de personnels d'intervention venant effectuer des opérations d'entretien sur la voie 7. Le 3052732 4 détecteur 30 peut notamment comprendre des systèmes de détection de mouvements ou d'ouvertures de portes, ou bien être équipé d'un dispositif d'activation tel qu'une clé ou un bouton actionnable par un agent sur terrain, qui déclenche la détection d'un évènement. Dans le cas de la détection d'un évènement, le dispositif 3 envoie un signal vers 5 l'ordinateur 2 et passe dans une configuration activée, qui signifie qu'un évènement est en cours sur la zone 5 et que la zone 5 devrait être mise en sécurité tant que l'évènement ne prend pas fin, c'est-à-dire tant que le dispositif 3 n'est pas remis en configuration désactivée, par exemple par un agent sur terrain, ou se remet en configuration désactivée par nature même du dispositif. Par exemple, un détecteur de porte ouverte s'active 10 lorsque la porte s'ouvre mais se remet tout seul en configuration désactivée lorsque la porte se ferme Lorsque l'ordinateur central 2 reçoit un signal de détection d'évènement du dispositif 3 ou d'un autre dispositif, la zone 5 sur laquelle survient l'évènement est mise en sécurité par l'ordinateur central 2. Cela consiste à interrompre le trafic ferroviaire sur cette 15 zone 5, par exemple en dirigeant un train vers une autre voie, ou en stoppant un train à une station précédente dans le cas, par exemple, d'un métro, ou, si cela n'est pas possible, en interdisant l'accès à la zone en fermant un signal d'accès à la zone ou en coupant l'alimentation électrique. Lorsque l'évènement prend fin, le dispositif de mise en sécurité 3 est placé dans une configuration désactivée et la zone 5 est remise dans une 20 configuration normale dans laquelle le trafic ferroviaire sur cette zone est permis. Le système 1 comprend également une interface de contrôle et de supervision permettant de surveiller les paramètres de fonctionnement de l'ordinateur central 2. Cette interface est communément appelée « Automatic Train Supervision » (ATS) et est désignée par la référence ATS sur la figure 1. L'interface ATS permet à un opérateur de 25 superviser la circulation des trains sur un réseau et le fonctionnement du système de sécurité 1. Conformément à l'invention, le système 1 comprend des moyens d'activation ou de désactivation de la prise en compte, par l'ordinateur central 2, de la détection d'évènement par le dispositif de mise en sécurité 3. Ces moyens sont de préférence 30 formés par une commande de l'ordinateur central actionnable par un opérateur. Cette commande est représentée sur la figure 1 par le bloc « inhibition » actionnable à partir de l'interface ATS. Ainsi, cette commande permet, le cas échéant, de forcer l'ordinateur central 2 à ne pas prendre en compte des signaux venant du dispositif 3, par exemple dans le cas où il s'avère que le dispositif 3, ou bien le détecteur 30, est défectueux et que 35 son éventuel déclenchement d'envoi de signaux ou de mise en configuration activée sont le résultat d'une erreur de détection ou d'un problème de fonctionnement. 3052732 5 L'ordinateur central 2 reçoit à cet effet du dispositif de mise en sécurité 3 des informations sur l'état physique de ce dispositif. Il peut s'agir, par exemple, d'informations de maintenance (dépassement de température, défaut d'une carte d'acquisition) envoyées par le dispositif 3 vers l'ordinateur central 2, ou bien de contrôles visuels 5 effectués sur place. Lorsqu'un dispositif de mise en sécurité 3 est défaillant, un opérateur supervisant le système 1 via l'interface ATS a la possibilité de déterminer si la défaillance nécessite la désactivation de la prise en compte par l'ordinateur central 2 des signaux de ce dispositif. Dans ce cas, il actionne la commande inhibition, par exemple par l'intermédiaire d'un 10 bouton sur un pupitre de commande, non représenté, incorporant les fonctions de l'interface ATS. Les signaux du dispositif 3 ne sont alors plus pris en compte par l'ordinateur central 2. Le dispositif de mise en sécurité 3 défaillant est ensuite réparé. Une fois cette réparation effectuée et que les informations sur le fonctionnement du dispositif 3 réparé 15 sont satisfaisantes, l'opérateur peut réactiver la prise en compte des signaux de ce dispositif 3 par l'ordinateur central 2. Cette possibilité d'inhibition du fonctionnement d'un dispositif de mise en sécurité 3 permet d'éviter les fausses alarmes et de rendre inaccessible la zone 5 alors que rien n'indique que cette zone devrait être mise en sécurité. 20 Le système 1 comprend également des moyens adaptés pour, suite au passage en configuration désactivée d'un dispositif de mise en sécurité 3, autoriser préalablement la remise de la zone 5 concernée par ce dispositif 3 en configuration normale. Cela signifie que si un évènement a lieu dans la zone 5, et que le dispositif 3 est passé en configuration activée, lorsque l'évènement prend fin et que le dispositif 3 est passé en 25 configuration désactivée, avant que la désactivation du dispositif 3 soit réellement prise en compte par l'ordinateur central 2 et la zone 5 remise en fonctionnement normal, l'autorisation de remise en situation normale de la zone 5 est sollicitée. L'opérateur supervisant le fonctionnement du système 1 via l'interface ATS a seul le pouvoir, par une commande disponible au niveau de l'interface ATS, de délivrer cette autorisation et de 30 faire en sorte que le dispositif 3 soit réellement mis en configuration désactivée et la zone 5 remise en circulation. Cette commande, désignée par « autorisation » sur la figure 1, peut être prévue sous la forme d'un bouton accessible au niveau de l'interface ATS. La commande « autorisation » implique que l'ordinateur central 2 ne prend pas en compte une mise en configuration désactivée du dispositif 3 si l'autorisation de 35 désactivation de la mise en sécurité de la zone 5 n'a pas été obtenue. Dans le cas d'un dispositif 3 tel qu'un détecteur de porte ouverte qui se désactive automatiquement lorsque 3052732 6 la porte est fermée, il se peut qu'une personne soit encore présente sur une voie à laquelle la porte donne accès. Une action extérieure d'autorisation est donc nécessaire dans ce cas. Dans l'exemple, chacune des commandes « inhibition » et « autorisation » est 5 mises en oeuvre pour le dispositif 3. Toutefois, seulement une de ces deux commandes peut être mise en oeuvre. Les commandes « inhibition » et/ou « autorisation » sont mises en oeuvre pour au moins un des dispositifs de mise en sécurité reliés à l'ordinateur central 2. Il peut être envisagé que l'ensemble des dispositifs de mise en sécurité soient gérés par les deux commandes, ou bien que seuls certains soient gérés par l'une des deux, ou 10 bien que certains soient gérés d'aucune des deux, en fonction des caractéristiques de ces dispositifs de mise en sécurité. Les commandes « inhibition » et « autorisation » sont avantageusement des commandes sécuritaires programmées de façon sécuritaire dans le logiciel de l'interface ATS. En effet, ces commandes ne doivent pas être déclenchées intempestivement par le 15 système de sécurité 1. En d'autres termes, ces commandes ne peuvent de préférence être déclenchées que sur action d'une personne physique après des vérifications de sécurité. La figure 1 représente, dans l'ordinateur central 2, un exemple de fonctionnement d'un procédé de gestion du système de sécurité 1. En fonctionnement normal du système 20 1, celui-ci est dans un état 0, dans lequel la zone 5 est en situation normale, c'est-à-dire non mise en sécurité, les trains pouvant y circuler. Aucun évènement n'est détecté et aucun dispositif de mise en sécurité 3 n'est donc en configuration activée. Si un évènement survient, le dispositif 3 passe en configuration activée. Si la commande « inhibition » correspondant à ce dispositif 3 n'est pas enclenchée, l'activation du dispositif 25 3 est prise en compte par l'ordinateur central 2 et le système passe à l'état 1, dans lequel la zone 5 est sécurisée. Le trafic y est interrompu et des agents de terrain peuvent se rendre sur les lieux pour effectuer une intervention. Si, à ce moment-là, un opérateur active la commande « inhibition » au niveau de l'interface ATS, la configuration activée du dispositif 3 n'est plus prise en compte par l'ordinateur central 2 et le système 1 revient à 30 son état 0. La zone 5 est donc plus sécurisée et revient à sa situation normale. Lorsque le système 1 est dans son état 1, si le dispositif de mise en sécurité 3 est remis en configuration désactivée et que la commande « inhibition » n'est pas enclenchée, le système 1 passe dans un état 2, dans lequel le dispositif 3 est en configuration désactivée mais l'ordinateur central 2 attend l'autorisation de l'opérateur 35 pour prendre en compte cette désactivation. La zone 5 reste donc sécurisée tant que l'autorisation n'est pas obtenue. Si la commande « autorisation » est enclenchée, la mise 3052732 7 en configuration désactivée du dispositif 3 est prise en compte par l'ordinateur central 2 et le système 1 revient à son état O. La zone 5 est rendue à la circulation. Il en est de même, à partir de l'état 2, si l'opérateur enclenche la commande « inhibition ». Dans ce cas, la mise en configuration désactivée du dispositif 3 n'est pas prise en compte par l'ordinateur 5 central 2, et le système 1 repasse à l'état 0, car la non-prise en compte de la configuration du dispositif 3 implique la remise de la zone 5 en situation normale. 10 REVENDICATIONS1. Procédé de gestion d'un système (1) de sécurité ferroviaire comprenant : - un ordinateur central (2) ; - un ou plusieurs dispositifs (3) de mise en sécurité de zones (5) prédéfinies d'une voie (7), ce procédé comprenant des étapes consistant à : a) détecter, avec le ou les dispositifs (3) de mise en sécurité, un événement sur une zone (5) prédéfinie d'une voie (7) ; b) en cas de survenance d'un événement sur la zone prédéfinie (5), déclencher, au moyen du dispositif (3) de mise en sécurité ayant détecté l'évènement, la transmission d'un signal à l'ordinateur central (2) et le passage de ce dispositif (3) dans une configuration activée; c) mettre en sécurité la zone prédéfinie (5) sur laquelle survient l'événement, au moyen de l'ordinateur central (2); d) lorsque l'événement prend fin, passer le dispositif (3) de mise en sécurité dans une configuration désactivée et remettre la zone prédéfinie (5) dans une configuration normale ; ce procédé étant caractérisé en ce qu'il comprend au moins une des étapes supplémentaires suivantes consistant à : e) pour au moins un dispositif (3) de mise en sécurité, activer ou désactiver la prise en compte par l'ordinateur central (2) de la détection d'évènements par ce dispositif (3) de mise en sécurité ; f) pour au moins un dispositif (3) de mise en sécurité, lorsque ce dispositif (3) est remis en configuration désactivée, préalablement à la remise en configuration normale de la zone prédéfinie (5) concernée par l'événement détecté par ce dispositif (3), autoriser la remise en configuration normale de cette zone (5). 2. Procédé de gestion selon la revendication 1, caractérisé en ce que l'ordinateur central (2) reçoit d'au moins un dispositif (3) de mise en sécurité des informations sur l'état physique de ce dispositif (3). 3. Procédé de gestion selon la revendication 2, caractérisé en ce que lorsqu'un dispositif (3) de mise en sécurité est défaillant, à l'étape e), la prise en compte par l'ordinateur central (2) de la détection d'évènements par ce dispositif (3) de mise en sécurité est désactivée. 3052732 9 4. Procédé de gestion selon la revendication 3, caractérisé en ce qu'il comprend une étape consistant à réparer le dispositif (3) défaillant puis à activer à nouveau la prise en compte par l'ordinateur central (2) de la détection d'évènements par ce dispositif (3). 5 5. Procédé de gestion selon l'une des revendications précédentes, caractérisé en ce qu'à l'étape f), si l'autorisation de remise en configuration normale de la zone (5) n'est pas obtenue, l'ordinateur central (2) ne prend pas en compte une désactivation du dispositif (3) de mise en sécurité. 10 6. Système de sécurité ferroviaire (1) comprenant un ordinateur central (2) et un ou plusieurs dispositifs (3) de mise en sécurité de zones (5) prédéfinies d'une voie (7), le ou les dispositifs (3) de mise en sécurité étant adaptés pour : - détecter un événement sur une zone prédéfinie (5) d'une voie (7); 15 - en cas de survenance d'un événement sur la zone prédéfinie (5), transmettre un signal à l'ordinateur central (2) et passer dans une configuration activée; l'ordinateur central (2) étant adapté pour mettre en sécurité la zone prédéfinie (5) sur laquelle survient l'événement et, lorsque l'événement prend fin et que le dispositif de mise en sécurité (3) qui a détecté l'évènement passe à nouveau en configuration 20 désactivée, remettre la zone prédéfinie (5) dans une configuration normale, caractérisé en ce que qu'il comprend, pour au moins un dispositif (3) de mise en sécurité, des premiers moyens adaptés pour activer et désactiver la prise en compte par l'ordinateur central (2) de la détection d'évènements par ce dispositif (3) de mise en sécurité, et/ou des seconds moyens adaptés pour, suite au passage en configuration 25 désactivée de ce dispositif (3), autoriser préalablement la remise en configuration normale de la zone (5) concernée par l'événement détecté par ce dispositif (3). 7. Système selon la revendication 6, caractérisé en ce que les premiers et seconds moyens sont prévus sous la forme de commandes (inhibition, autorisation) de 30 l'ordinateur central (2) actionnables par un opérateur à partir d'une interface de supervision (ATS).