FR 3075742 A1 20190628 FR 1762959 A 20171222 Procédé de réinitialisation d'un contrôleur de zone et système associé de contrôle automatique des trains La présente invention concerne un procédé de réinitialisation d'un contrôleur de zone dans un système de contrôle automatique des trains. Un tel système est connu sous le nom d'ATC pour « Automatic Train Control ». De manière connue en soi, un ATC comporte différents systèmes coopérant entre eux pour permettre la circulation, en sécurité, des trains sur un réseau ferroviaire. Différents ATC existent. Cependant, la présente invention est plus spécifiquement relative à un ATC du type « à gestion des trains basée sur la communication », connue sous le nom d'architecture CBTC, pour « Communication Based Train Control ». Un exemple d'architecture CBTC est représenté schématiquement à la figure 1. L'architecture CBTC est fondée sur la présence de calculateurs de sécurité 26 embarqués à bord des trains 16. Ils constituent la composante bord de l'ATC. Le calculateur embarqué d'un train détermine un certain nombre de paramètres de fonctionnement du train et communique avec différents systèmes au sol pour permettre au train de réaliser, en sécurité, la mission qui lui a été attribuée. Ce calculateur embarqué assure, d'une part, la couverture des besoins fonctionnels du train, c'est-à-dire la desserte de stations d'échange de passagers prédéterminées, et, d'autre part, le contrôle de points de sécurité, c'est-à-dire par exemple la vérification que le train n'a pas une vitesse excessive. Le calculateur embarqué 26 d'un train 16 est connecté à une unité de communication radio 27 embarquée, qui est propre à établir une liaison radio avec des stations 37 de base d'une infrastructure de communication, elle-même connectée à un réseau 30 de communication de l'architecture CBTC. La composante sol de l'architecture CBTC comporte plusieurs contrôleurs de zone, ou ZC, pour « Zone Controller » en anglais. Le réseau étant subdivisé en une pluralité de zones, un ZC est associé à chacune de ces zones. Sur la figure 1, trois zones successives sont représentées : Sn-1, Sn et Sn+1. Un contrôleur de zone est associé à chacune d'entre elles : ZCn-1, ZCn et ZCn+1. Un ZC est notamment en charge, d'une part, de suivre la présence des trains sur la zone associée et, d'autre part, de fournir des autorisations de mouvement aux trains, qui soient de nature à garantir leur sécurité de déplacement, c'est-à-dire par exemple ne pas fournir à un train une autorisation de mouvement qui le conduirait à aller au-delà du train qui le précède. L'ATC fait partie d'un système global, appelé système de signalisation 50 sur la figure 1, qui est également propre à commander une pluralité d'équipements à la voie. 2 Le système de signalisation 50 comporte un système de supervision automatique des trains, aussi dénommé AIS, pour « Automatic Train Supervision ». L'ATS est mis en oeuvre dans un central opérationnel et comporte des interfaces homme / machine, permettant à des opérateurs d'intervenir sur les différents systèmes du système de 5 signalisation et, en particulier, les équipements à la voie. Par exemple, l'opérateur peut commander à distance depuis l'ATS la fermeture d'un signal (passage d'un feu au rouge). Le système de signalisation comporte également une pluralité de systèmes d'enclenchement, ou « Interlocking » en anglais. Un système d'enclenchement est par exemple associé à chacune des zones du réseau. Un système d'enclenchement est 10 propre à gérer les équipements à la voie, tels que des feux de signalisation, des actionneurs d'aiguillage, etc., ces équipements à la voie permettant le mouvement en sécurité des trains en évitant des mouvements conflictuels entre ceux-ci. Autrefois à base de relais électromécaniques, le système d'enclenchement est aujourd'hui réalisé informatiquement par des calculateurs adaptés propre à commander les équipements à la 15 voie. Un tel calculateur d'enclenchement est dénommé OBI pour « Computer Based Interlocking ». Sur la figure 1, un calculateur d'enclenchement est associé à chacune des zones : CBIn-1, CBIn et CBIn+1. Chaque zone est subdivisée en une pluralité de cantons. Sur la figure 1, trois cantons successifs, 14A, 14B et 140, sont représentés. 20 L'occupation d'un canton d'une zone est une donnée fondamentale de la sécurité ferroviaire. La détermination de cette information va maintenant être décrite. Un ZC reçoit des informations d'une part d'un système primaire de détection et, d'autre part, d'un système secondaire de détection. Le système primaire de détection permet la détermination du ou des cantons 25 occupés par un train en fonction de la position instantanée du train déterminée par le train lui-même. Plus précisément, le ZCn reçoit la position instantanée du train 16 circulant sur la zone Sn. Cette position est déterminée par le calculateur embarqué 26 d'un train à partir de la détection de balises 24 A-C placées le long de la voie et dont les positions géographiques sont connues, et à partir de moyens odométriques équipant le train et 30 permettant au calculateur embarqué 26 de déterminer la distance parcourue par le train 16 depuis la dernière balise croisée. Dans un autre mode de réalisation, le train utilise d'autres moyens pour déterminer sa position instantanée : par exemple un accéléromètre (à la place de l'odomètre) ou encore un GPS (à la place des balises). A partir de la position instantanée d'un train 16, le ZCn calcule une enveloppe de 35 sécurité autour du train. Cette enveloppe recouvre non seulement le train, mais également la portion de la voie correspondant à la distance maximale que le train pourrait 3 parcourir entre le moment où il calcule sa position et le moment où le ZCn reçoit cette information de position. De plus, tant qu'aucune autre information de position n'est reçue par le ZCn, celui- ci continue d'extrapoler la position du train pour couvrir ses mouvements potentiels. 5 La discrimination d'un train est alors la capacité d'un ZC à calculer une telle enveloppe pour un train circulant sur la zone associée. La notion de discrimination des trains est par exemple exposée dans la demande de brevet FR 3 019 676. A partir de cette enveloppe de sécurité et d'un plan géographique du réseau, sur 10 lequel chaque canton est identifié de manière unique, le ZCn place dans un premier état El prenant la valeur « occupé » les cantons ayant une intersection avec l'enveloppe de sécurité. Le premier état El des cantons dans lesquels aucun train ne se trouve à l'instant courant, c'est-à-dire des cantons qui n'ont pas d'intersection avec une enveloppe de sécurité, prend la valeur « libre ». Un premier état El des différents cantons est ainsi 15 défini. De cette manière, une première information d'occupation de chaque canton de la section Sn est déterminée par le ZCn. Le système secondaire de détection est propre à redonder le système primaire de détection, par exemple dans le cas où, l'unité de communication radio 27 d'un train 16 ne 20 fonctionnant plus, le ZCn ne puisse plus obtenir la position instantanée du train. Par des équipements à la voie adaptés, déposés le long de la voie, le système secondaire de détection est apte à détecter la présence d'un train dans telle ou telle canton de la section considérée. Dans un mode de réalisation actuellement préféré, pour détecter la présence d'un 25 train sur un canton, le système secondaire de détection effectue un comptage du nombre d'essieux 17 entrant et sortant d'un canton. Par exemple sur la figure 1, le système secondaire comporte un capteur d'entrée 28A situé à l'entrée du canton 14B considéré et un capteur de sortie 28B situé à la sortie du canton 14B. Les capteurs d'entrée et de sortie sont connectés par des câbles au CBIn. 30 Le CBIn est propre à tenir à jour une variable dénommée compteur d'essieux du canton 14B. Lorsque le train 16 passe devant le capteur d'entrée du canton 14B, à chaque détection du passage d'un essieu 17 A-D par le capteur d'entrée, le CBIn incrémente d'une unité le compteur d'essieux du canton 14B. 4 Lorsque le train 16 passe devant le capteur de sortie du canton 14B, à chaque détection du passage d'un essieu 17 A-D par le capteur de sortie, le CBIn décrémente d'une unité le compteur d'essieux du canton 14B. Ainsi, selon le système secondaire de détection, le canton est dans un second état 5 E2 prenant la valeur « libre » lorsque le compteur d'essieux de ce canton est égal à zéro. A défaut, le second état du canton prend la valeur « occupé ». Le second état E2 d'un canton constitue une seconde information d'occupation, qui est périodiquement transmise du CBIn au ZCn. Le ZCn réconcilie les première et seconde informations d'occupation des cantons 10 de la zone Sn et, en cas de cohérence, peut autoriser un train à se déplacer en lui assignant une autorisation de mouvement. Le point d'extrémité d'une autorisation de mouvement pour un train correspond à la frontière d'entrée du premier canton en avant du train considéré qui est occupé par un autre train. Avec une telle architecture, on comprend que toute défaillance d'un ZC entraine 15 l'arrêt de l'exploitation, au moins sur la zone contrôlée par le ZC défaillant. Cependant, un certain nombre de défaillances affectant le bon fonctionnement d'un contrôleur de zone ne sont pas graves et ne requièrent qu'un redémarrage du contrôleur de zone, éventuellement après une opération de maintenance. S'il s'agit par exemple d'une défaillance affectant l'alimentation du ZC ou sa carte de communication 20 réseau, alors, une fois le composant défaillant remplacé, le redémarrage (« reboot en anglais ») du calculateur de sécurité que constitue le ZC est nécessaire. Mais, au redémarrage, le ZC doit rétablir la discrimination des différents trains circulant sur la zone qu'il contrôle afin de permettre une reprise de la supervision en sécurité de la circulation des trains. 25 Cependant, le rétablissement de cette discrimination impose des vérifications lourdes pour garantir le respect du niveau de sécurité requis. Ainsi, des agents doivent être envoyés sur les voies pour un redémarrage manuel et une conduite à vue des trains. Ceci afin d'éviter toute collision avec un autre train qui, sur son élan au moment de la défaillance du ZC, serait entré sur un autre canton que celui qu'il occupait avant la 30 défaillance du ZC. Une telle procédure au redémarrage d'un ZC est lourde. Elle peut prendre plusieurs heures. Elle perturbe l'exploitation du réseau qui n'est plus disponible. Elle affecte l'image de l'exploitant, les voyageurs devant descendre des trains et poursuivre leur trajet par des moyens alternatifs. 35 L'invention a donc pour but de palier à ce problème, en proposant notamment un procédé de réinitialisation d'un contrôleur de zone permettant de rétablir plus rapidement 5 les conditions d'un redémarrage de la supervision de la circulation des trains et par conséquent de l'exploitation du trafic sur le réseau. Pour cela l'invention a pour objet un procédé de réinitialisation d'un contrôleur de zone dans un système de supervision des trains du type « à gestion des trains basée sur 5 la communication », comportant les étapes suivantes, réalisées par le contrôleur de zone : en période de fonctionnement nominal du contrôleur de zone, sauvegarder périodiquement une image d'une situation opérationnelle courante sur une mémoire externe ; et, suite à une période d'indisponibilité du contrôleur de zone et après que le contrôleur de zone a été redémarré, pendant une période de réinitialisation : établir une 10 image de la situation opérationnelle après redémarrage du contrôleur de zone ; récupérer, depuis la mémoire externe, la dernière image de la situation opérationnelle sauvegardée en tant qu'image de la situation opérationnelle avant la défaillance du contrôleur de zone ; collecter des informations de franchissement de frontières de la zone associée au contrôleur de zone durant la période d'indisponibilité du contrôleur de zone ; et vérifier la 15 cohérence de l'image de la situation opérationnelle après redémarrage du contrôleur de zone à partir de l'image de la situation opérationnelle avant la défaillance du contrôleur de zone et des informations de franchissement. Suivant des modes particuliers de réalisation, le procédé comporte une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les 20 combinaisons techniquement possibles : - sauvegarder périodiquement une image de la situation opérationnelle courante consiste, à l'aide d'une communication entre le contrôleur de zone et les trains présents sur la zone associée au contrôleur de zone, à générer et mémoriser une première liste comportant : un indicateur général, indiquant si oui ou non tous les trains 25 circulant à l'instant courant sur la zone associée au contrôleur de zone sont identifiés par ce dernier et répondent à ce dernier ; un identifiant de chacun des trains présents sur la zone associée au contrôleur de zone à l'instant courant ; pour chacun des trains présents sur la zone associée au contrôleur de zone, un indicateur de discrimination, qui est de préférence une variable booléenne prenant la valeur unité lorsque le train est discriminé 30 par le contrôleur de zone à l'instant courant et la valeur zéro lorsqu'il ne l'est pas. - établir une image de la situation opérationnelle après redémarrage du contrôleur de zone consiste à établir une seconde liste comportant, pour chaque train parmi les trains qui parviennent à rétablir une communication fonctionnelle avec le contrôleur de zone durant la période de réinitialisation, un identifiant du train et un indicateur de 35 discrimination prenant avantageusement la valeur unité lorsque le contrôleur de zone parvient à discriminer le train et la valeur nulle sinon. 6 - collecter des informations de franchissement consiste à établir : une troisième liste, qui comporte, pour chaque train parmi les trains qui quittent une zone adjacente pour entrer sur la zone associée au contrôleur de zone, un identifiant du train et un indicateur de discrimination prenant avantageusement la valeur unité si le train était 5 discriminé par un contrôleur de zone adjacent associé à la zone adjacente avant de rentrer sur la zone associée au contrôleur de zone ou la valeur nul si le train n'était pas discriminé ; et une quatrième liste, qui comporte, pour chaque train parmi les trains qui entrent sur une zone adjacente en quittant la zone associée au contrôleur de zone, un identifiant de ce train et un indicateur de discrimination du train, prenant avantageusement 10 la valeur unité si le train est discriminé par un contrôleur de zone adjacent associée à la zone adjacente maintenant qu'il est sur la zone adjacente, ou la valeur nul si le train n'est pas discriminé. - les informations de franchissement sont fournies par chacun des contrôleurs de zone adjacents au contrôleur de zone. 15 - les informations de franchissement sont collectées par chacun des contrôleurs de zone adjacents à partir d'un instant correspondant à l'instant de la détection de la défaillance du contrôleur de zone, éventuellement diminué d'une durée prédéterminée correspondant à un temps de détection de défaillance. - de vérification consiste à : si la première liste comporte un indicateur général 20 (Ind) nul, indiquant la présence d'un train non communiquant sur la zone associée au contrôleur de zone avant la période d'indisponibilité de ce dernier, stopper le procédé ; sinon, si la troisième liste indique qu'un train non communiquant est entré sur la zone associée au contrôleur de zone pendant la période d'indisponibilité, stopper le procédé ; sinon, vérifier que la seconde liste est égale à la première liste de laquelle ont été ajoutés 25 les trains de la troisième liste et retirés les trains de la quatrième liste, une vérification positive indiquant une cohérence entre les situations opérationnelles avant et après la période d'indisponibilité du contrôleur de zone, une vérification négative indiquant une incohérence. - en cas de cohérence entre les situations opérationnelles avant et après la 30 période d'indisponibilité du contrôleur de zone détectée lors de l'étape de vérification, le contrôleur de zone indique à un système de supervision des trains que les différents trains sur la zone associée au contrôleur de zone sont discriminés et que la supervision automatique des trains peut reprendre ; en cas contraire, le procédé est stoppé. 7 - les informations de franchissement sont, en tout ou partie, fournies par un système d'enclenchement de la zone associée au contrôleur de zone à l'aide d'un dispositif externe de sécurité de détection de trains. L'invention a également pour objet un système de contrôle automatique des trains 5 du type « à gestion des trains basée sur la communication », caractérisé en ce que le système de signalisation comporte au moins une mémoire externe et au moins un contrôleur de zone mettant en oeuvre le procédé précédent, le contrôleur de zone sauvegardant périodiquement une image de la situation opérationnelle sur la mémoire externe, la mémoire externe étant une mémoire ne partageant pas de mode de 10 défaillance commun avec le contrôleur de zone. L'invention et ses avantages seront mieux compris à la lecture de la description détaillée qui va suivre d'un mode de réalisation particulier, donné uniquement à titre d'exemple illustratif et non limitatif, cette description étant faite en se référant aux dessins annexés sur lesquels : 15 - la figure 1 est une représentation schématique d'un système de signalisation comportant un système de supervision des trains du type CBTC ; - la figure 2 est une représentation, sous forme de blocs, du procédé selon l'invention ; et, - les figures 3, 4 et 5 représentent schématiquement différentes situations 20 opérationnelles d'une section Sn contrôlée par un contrôleur de zone ZCn mettant en oeuvre le procédé de la figure 2. Le principe général de l'invention consiste, suite au redémarrage du ZC, à comparer la situation opérationnelle après redémarrage du ZC, reconstruite à partir des informations primaire et secondaire délivrées par les trains et les équipements à la voie, 25 avec la situation opérationnelle avant la défaillance du ZC, tout en tenant compte d'informations de franchissement des frontières d'extrémité de la zone associée au ZC défaillant pendant la période d'indisponibilité de ce dernier. Pour disposer de la situation opérationnelle avant la défaillance, le procédé prévoir que la situation opérationnelle courante soit périodiquement sauvegardée. 30 Selon le procédé, les informations de franchissement sont déterminées par les contrôleurs de zone adjacents au ZC défaillant, sur une période de temps s'étendant entre quelques secondes avant la détection de la défaillance du ZC par les ZC adjacents et la fin d'une période de réinitialisation du ZC. Le ZC défaillant est alors propre à vérifier la cohérence de la situation 35 opérationnelle après redémarrage et, dans l'affirmative, à autoriser l'ATS à reprendre une exploitation en supervision complète de la circulation des trains. 8 En référence à la figure 2, le mode de réalisation préféré du procédé de redémarrage selon l'invention est présenté. Il est mis en oeuvre par le ZCn de la figure 1. Il s'appuie sur l'établissement de quatre listes : - la première liste L1 est constituée par l'ensemble des trains circulant sur la zone 5 contrôlée par le ZCn avant qu'il ne connaisse une défaillance ; - la seconde liste L2 est constituée par les trains circulant sur la zone après le redémarrage du ZCn et qui ont rétabli une communication fonctionnelle avec le ZCn ; - la troisième liste L3 est constituée des trains qui sont entrés sur la zone Sn contrôlée par le ZCn pendant la période d'indisponibilité de ce dernier ; et, 10 - la quatrième liste L4 est constituée par l'ensemble des trains ayant quitté la zone Sn contrôlée par le ZCn durant la période d'indisponibilité de ce dernier. En fonctionnement normal du ZCn, période F1 sur la figure 2, le procédé 100 prévoit la sauvegarde de la situation opérationnelle à l'instant courant t. Cette sauvegarde consiste à élaborer, lors d'une étape 110, la première liste L1 et 15 à l'estampillée avec une date de sauvegarde qui correspond à l'instant courant t: Li (t). La première liste L1 comporte de préférence les informations suivantes : - un indicateur général Ind, indiquant si oui ou non tous les trains circulant à l'instant courant t sur la zone Sn contrôlée par le ZCn sont identifiés par ce dernier et répondent au ZCn. Par « un train qui répond à un ZC », on entend un train dont le 20 calculateur embarqué est en communication fonctionnelle avec ce ZC. Un train qui ne répond pas au ZC est soit un train dont le calculateur embarqué et/ou les moyens de communication bord/sol connaissent une défaillance, ou un train qui circulerait sur le réseau mais qui ne serait pas équipé d'un calculateur embarqué et par conséquent dont la circulation ne serait pas supervisée par l'ATS. 25 - un identifiant Id Ti de chacun des trains Ti présents sur la zone Sn (i étant un entier). - pour chaque train Ti présent sur la zone Sn, un indicateur de discrimination Disc Ti, qui est une variable booléenne prenant la valeur unité lorsque le train Ti est discriminé par le ZCn à l'instant courant et la valeur zéro lorsqu'il ne l'est pas. 30 La première liste L1 est ensuite transmise vers une mémoire externe au ZCn pour y être enregistrée (étape 130 sur la figure 2). Par mémoire externe au ZCn, on entend une mémoire qui ne partage pas les modes de défaillance du ZCn. Il peut par exemple s'agir, comme dans le présent mode de réalisation, de la mémoire d'un contrôleur de zone adjacent, c'est-à-dire du contrôleur de 35 zone ZCn-1 ou du contrôleur de zone ZCn+1. Il peut en variante s'agir de la mémoire des 9 calculateurs embarqués à bord des trains qui circulent sur la zone contrôlée par le ZCn à l'instant courant t. En tout cas, cette mémoire externe doit respecter le niveau de sécurité requis par le système de supervision, par exemple le niveau SIL4. 5 Toujours en fonctionnement normal, le procédé prévoit avantageusement une étape 120 au cours de laquelle le ZCn transmet, à chaque train Ti, l'indicateur de discrimination Disc Ti calculé à l'instant courant t. La sauvegarde de la situation opérationnelle est effectuée périodiquement, par exemple avec une période At égale à 10 secondes. 10 Parallèlement et indépendamment, à l'étape 150, chaque ZC adjacent, ZCn-1 et ZCn+1, surveille le bon fonctionnement du ZCn. Par exemple, un bit de vie est échangé régulièrement entre deux ZC adjacents. Lorsqu'un ZC adjacent, ZCn-1 ou ZCn+1, ne reçoit plus le bit de vie du ZCn, il considère que le ZCn et défaillant. 15 Durant la période d'indisponibilité du ZCn, période F2 sur la figure 2, le procédé 100 prévoit, dans une étape 200, que chaque ZC adjacent, ZCn-1 et ZCn+1, élabore des informations de franchissement qui vont permettre de construire les troisième et quatrième listes L3 et L4. Le contrôleur de zone ZCn-1, respectivement ZCn+1, élabore une troisième liste 20 amont L3n-1, respectivement aval L3n+1, en mémorisant l'identifiant Id Tk de chacun des trains Tk qui quittent la zone Sn-1, respectivement la zone Sn+1, pour entrer sur la zone Sn. Le contrôleur de zone ZCn-1, respectivement ZCn+1, élabore une quatrième liste aval L4n-1, respectivement amont L4n+1, en mémorisant l'identifiant Id Tk de chacun des 25 trains Tk qui entrent sur la zone Sn-1, respectivement la zone Sn+1, en provenance de la zone Sn. De plus, à chacun des identifiants mémorisés, les contrôleurs de zone adjacents ZCn et ZCn+1 associent un indicateur de discrimination Disc Tk du train Tk, prenant la valeur unité si le train Tk était discriminé sur la zone Sn-1 ou la zone Sn+1 avant de 30 quitter cette zone pour rentrer sur la zone Sn, ou est discriminé sur la zone Sn-1 ou la zone Sn+1 maintenant qu'il est entré sur cette zone ; ou la valeur nul si le train Tk n'était ou n'est pas discriminé. Ces informations sont mémorisées à l'étape 230 sur les contrôleurs de zone adjacents. 35 La période de temps sur laquelle les contrôleurs de zone adjacents mémorisent ces informations de franchissement s'étend à partir de l'instant de détection de la 10 défaillance du ZCn, avantageusement compensé d'un temps prédéterminé correspondant à un temps de détection de défaillance et jusqu'à l'instant de fin de réinitialisation du ZCn. Selon le procédé 100, le ZCn défaillant est redémarré à l'étape 300, soit à distance, soit localement par une équipe de maintenance intervenue sur son lieu 5 d'implantation. Il rentre alors dans une période de réinitialisation, F3 sur la figure 2. Le ZC entre d'abord dans une étape 310 de redémarrage matériel et logiciel classique, puis dans une étape 320 de réinitialisation de la situation opérationnelle. Durant l'étape de réinitialisation 320, le ZCn construit la seconde liste L2. Celle-ci comporte : 10 - les identifiants Id Tj de chacun des trains Tj qui parviennent à rétablir une communication fonctionnelle avec le ZCn durant la période de réinitialisation et à donner leur position instantanée ; - pour chacun de ces trains Tj, un indicateur de discrimination Disc Tj prenant la valeur unité pour un train Tj que le ZCn parvient à discriminer, et la valeur nulle sinon. 15 A l'étape 340, le ZCn interroge la mémoire externe et les contrôleurs de zone adjacents, qui ne font qu'un dans le présent mode de réalisation. Après lecture de leur mémoire (étape 33), les ZCn-1 et ZCn+1 transmettent, lors d'une étape 330, au ZCn la dernière liste L1 sauvegardée avant la défaillance du ZCn. Les ZCn-1 et ZCn+1 transmettent également, lors de l'étape 330, au ZCn les 20 troisième et quatrième listes amont et aval comportant les informations de franchissement dans un sens ou dans l'autre les frontières délimitant la zone Sn. La troisième liste L3, respectivement la quatrième liste L4, est obtenue par la concaténation des troisièmes listes amont et aval, respectivement des quatrièmes listes amont et aval, établies par chacun des contrôleurs de zone adjacents. 25 La période de réinitialisation est choisie suffisamment longue pour que les différents trains puissent communiquer leur position instantanée au ZCn, et que celui-ci puisse les discriminer. Elle est également choisie suffisamment longue pour que les contrôleurs de zone adjacents communiquent les informations de franchissement au ZCn et que la mémoire externe communique au ZCn la situation opérationnelle avant la panne. 30 La réinitialisation se termine par une étape 350 de vérification de la cohérence entre les situations opérationnelles avant et après la période d'indisponibilité du ZCn. L'étape 350 consiste à comparer les première et seconde listes L1 et L2 entre elles en tenant compte des informations de franchissement des troisième et quatrième listes L3 et L4. 35 Plus précisément, si la première liste L1 comporte un indicateur général Ind nul, indiquant la présence d'un train non communiquant sur la zone Sn avant la défaillance du 11 ZCn, le procédé de redémarrage est stoppé (étape 360). En effet, il n'est possible de retourner vers une situation opérationnelle qui permettrait la circulation des trains en sécurité, puisqu'il n'est pas possible de déterminer la position qu'occupe ce train non communiquant sur la zone Sn ou les zones adjacentes Sn+1 ou Sn-1 au moment du 5 redémarrage. Puis, si la troisième liste L3 indique qu'un train non communiquant est entré sur la zone Sn, le procédé de redémarrage est stoppé (étape 360). Une fois encore, dans ce cas, il n'est pas possible de rétablir une situation opérationnelle sans avoir plus d'informations sur la localisation de ce train non communiquant sur la zone Sn. 10 Le ZCn considère ensuite les quatre listes dont il dispose et vérifie que la second liste L2 est égale à la première liste L1 de laquelle ont été ajoutés les trains de la troisième liste L3 (trains entrés sur la zone Sn pendant la période d'indisponibilité du ZCn) et retirés les trains de la quatrième liste L4 (trains sortis de la zone Sn pendant la période d'indisponibilité du ZCn). 15 En cas de vérification positive, indiquant une cohérence entre la situation opérationnelle après la défaillance et la situation opérationnelle avant la défaillance, le ZCn indique, à l'étape 370, à l'ATS que les différents trains sur la zone Sn sont discriminés et que la supervision automatique des trains peut reprendre. On revient alors dans le mode d'exploitation nominal du réseau, correspondant au mode de 20 fonctionnement de la période F1. En cas de vérification négative, le procédé est stoppé (étape 360), car la réconciliation entre les listes n'a pas permis de s'assurer de la cohérence entre les situations opérationnelles avant et après la défaillance du ZCn. Les figures 3, 4 et 5 représentent différentes situations sur une zone Sn d'un 25 réseau comportant une voie aller et une voie retour. La figure 3 représente la situation opérationnelle avant la défaillance du ZC contrôlant la zone Sn. Il y a sept trains, 13 à 19, gérés par le ZCn, deux trains, T1 et 12, géré par le ZCn-1, et deux trains, 110 et T11, gérés par le ZCn+1. Dans cet exemple, tous les trains gérés par le ZCn sont discriminés et occupent, 30 chacun, soit un canton, soit deux cantons (lorsque le train considéré est sur la frontière entre ces deux cantons). Un canton de la zone Sn occupé par un train est surligné sur les figures. Le ZCn connaît alors une défaillance. Au moment de la défaillance du ZCn, les calculateurs embarqués des trains 13 à 35 19 constatant que la communication avec le ZCn est perdue, déclenchent un freinage d'urgence. 12 Constatant la défaillance du ZCn, le ZCn-1 modifie l'autorisation de mouvement du train 12 pour que son point d'extrémité corresponde à la frontière entre les zones Sn-1 et Sn. Lorsque le train 12 est trop proche de la frontière cela peut conduire au déclenchement d'un freinage d'urgence. Il se peut alors que, sur son élan, le train 12 5 entre sur la zone Sn. Une description similaire pourrait être faite pour le ZCn+1 et le train 111. Les trains parcourent ainsi une certaine distance avant de s'arrêter complétement. Leurs positions changent donc par rapport à la situation opérationnelle avant la défaillance du ZCn : certains trains peuvent encore être présents sur la zone Sn, d'autres 10 avoir quitté la zone Sn, d'autres encore peuvent y être entrés. Le ZCn est ensuite redémarré. A travers les informations primaires et secondaires, le ZCn constate, comme cela est représenté à la figure 4, que dix cantons sont maintenant occupés. Grâce à la mise en oeuvre du procédé 100, le ZCn est propre à retrouver le 15 nombre de trains présents sur la zone Sn et à vérifier qu'aucun autre train non- communiquant n'est présent sur la zone Sn après redémarrage. Ceci est représenté sur la figure 5. En particulier, le ZCn est informé par les ZC adjacents des franchissements : sortie des trains 19 et 16 et entrée des trains 111 et 12. 20 Après redémarrage, le ZCn parvient donc automatiquement et de manière autonome à rétablir une identification exacte de la situation opérationnelle courante. Il en informe l'ATS pour une reprise du trafic. De nombreuses variantes de ce procédé sont envisageables. Notamment, le CBIn peut être adapté pour collecter les l'information de 25 franchissement pendant la période d'indisponibilité du ZCn et pour les communiquer au ZCn au redémarrage de ce dernier en lieu et place des contrôleurs de zone grâce à l'installation d'un équipement de sécurité externe détectant l'entrée d'un véhicule dans la zone Sn. Cette variante est particulièrement adaptée au cas où la section Sn contrôlée par le ZCn défaillant est une section d'extrémité de l'infrastructure de supervision, les 30 trains n'étant pas supervisés sur la zone Sn+1 par exemple, qui n'est pas équipée d'un contrôleur de zone. On soulignera que tout train Tk qui rentre sur la section Sn associée au contrôleur de zone depuis la section adjacente Sn+1 non équipée est non discriminé. L'indicateur Disc Tk est donc dans un état restrictif. Cet état entraine l'arrêt du processus de 35 réinitialisation automatique du contrôleur de zone. En effet, il n'est pas possible de savoir 13 si le train Tk rentre seul, tiré par un autre véhicule, avec un autre véhicule derrière lui ou encore si plusieurs trains rentrent successivement sur la section Sn. Dans le mode de réalisation des figures 3, 4 et 5, la subdivision d'une section en cantons est fixe. Le système de supervision n'autorise la circulation que d'un unique train 5 au plus sur chaque canton. Cependant, le procédé venant d'être décrit s'applique également au cas d'une subdivision dynamique d'un canton, selon laquelle plusieurs trains peuvent s'engager simultanément sur un même canton, ce dernier étant alors virtuellement subdivisé en une pluralité de sous-cantons aux frontières mobiles. La frontière d'un sous-canton est déterminée à partir de la position courante de l'arrière d'un 10 train précédent et d'une distance de sécurité. L'autorisation de mouvement d'un train suivant s'étend alors jusqu'à un point d'extrémité correspondant à la frontière avec le premier sous-canton, dans le sens de circulation du train suivant, occupé par le train précédent. L'homme du métier constatera que le présent procédé de redémarrage présente 15 de nombreux avantages. Il réduit le temps nécessaire pour revenir en mode nominal. Ce procédé est réalisé automatiquement par le contrôleur de zone. Par conséquent, l'impact d'un dysfonctionnement ou d'une défaillance d'un contrôleur de zone sur l'exploitation du réseau est fortement minimisé. Puisqu'il s'agit de retourner vers une situation opérationnelle permettant de 20 respecter le niveau de sécurité requis par la supervision, par exemple le niveau SIL4, ce procédé ne permet pas en l'état de traiter les cas où un train non communiquant circule sur la zone au moment de la défaillance du contrôleur de zone ou entre sur la zone contrôlée par un contrôleur de zone pendant que ce dernier est indisponible. On notera que l'indicateur général Ind permet de déterminer si le procédé de 25 réinitialisation automatique a le droit d'aboutir. Pour que l'indicateur général Ind soit permissif, il faut que tous les trains soient discriminés et qu'aucun train non communicant soit présent. L'étape 120 de transmission du paramètre Disc Ti du contrôleur de zone vers chaque train discriminé, permet à chaque train de savoir s'il a été discriminé par le 30 contrôleur de zone associée à la zone sur laquelle il circule. En cas d'échec du procédé de réinitialisation, cela permet de disposer d'un indicateur fin pour déterminer d'où vient le problème, REVENDICATIONS1.- Procédé (100) de réinitialisation d'un contrôleur de zone (ZCn) dans un système de supervision des trains du type « à gestion des trains basée sur la communication », comportant les étapes suivantes, réalisées par le contrôleur de zone (ZCn) : - en période de fonctionnement nominal (F1) du contrôleur de zone, sauvegarder (110, 130) périodiquement une image d'une situation opérationnelle courante sur une mémoire externe ; et - suite à une période d'indisponibilité (F2) du contrôleur de zone et après que le contrôleur de zone a été redémarré (300), pendant une période de réinitialisation (F3): - établir (320) une image de la situation opérationnelle après redémarrage du contrôleur de zone ; - récupérer (340), depuis la mémoire externe, une dernière image de la situation opérationnelle sauvegardée en tant qu'image de la situation opérationnelle avant la période d'indisponibilité du contrôleur de zone ; - collecter (340) des informations de franchissement de frontières d'une zone (Sn) associée au contrôleur de zone (ZCn) durant la période d'indisponibilité du contrôleur de zone ; et, - vérifier (350) la cohérence de l'image de la situation opérationnelle après redémarrage du contrôleur de zone à partir de l'image de la situation opérationnelle avant la période d'indisponibilité du contrôleur de zone et des informations de franchissement. 2.- Procédé (100) selon la revendication 1, dans lequel sauvegarder périodiquement une image de la situation opérationnelle courante consiste, à l'aide d'une communication entre le contrôleur de zone et les trains présents sur la zone associée au contrôleur de zone, à générer (110) et mémoriser (130) une première liste (L1) comportant: - un indicateur général, indiquant si oui ou non tous les trains circulant à l'instant courant sur la zone (Sn) associée au contrôleur de zone sont identifiés par ce dernier et répondent à ce dernier ; - un identifiant de chacun des trains présents sur la zone associée au contrôleur de zone à l'instant courant ; - pour chacun des trains présents sur la zone associée au contrôleur de zone, un indicateur de discrimination, qui est de préférence une variable booléenne prenant la 15 valeur unité lorsque le train est discriminé par le contrôleur de zone à l'instant courant et la valeur zéro lorsqu'il ne l'est pas. 3.- Procédé (100) selon la revendication 1 ou la revendication 2, dans lequel 5 établir une image de la situation opérationnelle après redémarrage du contrôleur de zone (ZCn) consiste à établir une seconde liste (L2) comportant, pour chaque train parmi les trains qui parviennent à rétablir une communication fonctionnelle avec le contrôleur de zone durant la période de réinitialisation, un identifiant du train et un indicateur de discrimination prenant avantageusement la valeur unité lorsque le contrôleur de zone 10 (ZCn) parvient à discriminer le train et la valeur nulle sinon. 4.- Procédé (100) selon l'une quelconque des revendications 1 à 3, dans lequel collecter des informations de franchissement consiste à établir : - une troisième liste (L3), qui comporte, pour chaque train parmi les trains qui 15 quittent une zone adjacente (Sn-1, Sn+1) pour entrer sur la zone (Sn) associée au contrôleur de zone (ZCn), un identifiant du train et un indicateur de discrimination prenant avantageusement la valeur unité si le train était discriminé par un contrôleur de zone adjacent (ZCn-1, ZCn+1) associé à la zone adjacente (Sn-1, Sn+1) avant de rentrer sur la zone (Sn) associée au contrôleur de zone (ZCn) ou la valeur nul si le train n'était pas 20 discriminé ; et, - une quatrième liste (L4), qui comporte, pour chaque train parmi les trains qui entrent sur une zone adjacente (Sn-1, Sn+1) en quittant la zone (Sn) associée au contrôleur de zone (ZCn), un identifiant de ce train et un indicateur de discrimination du train, prenant avantageusement la valeur unité si le train est discriminé par un contrôleur 25 de zone adjacent (ZCn-1, ZCn+1) associée à la zone adjacente (Sn-1, Sn+1) maintenant qu'il est sur la zone adjacente, ou la valeur nul si le train n'est pas discriminé. 5.- Procédé (100) selon la revendication 4, dans lequel les informations de franchissement sont fournies par chacun des contrôleurs de zone adjacents (ZCn-1, 30 ZCn+1) au contrôleur de zone (ZCn). 6.- Procédé (100) selon la revendication 5, dans lequel les informations de franchissement sont collectées par chacun des contrôleurs de zone adjacents à partir d'un instant correspondant à un instant de détection d'une défaillance du contrôleur de 35 zone, éventuellement diminué d'une durée prédéterminée correspondant à un temps de détection de la défaillance. 16 7.- Procédé (100) selon les revendications 2, 3 et 4 en combinaison, dans lequel l'étape de vérification (350) consiste à: - si la première liste (L1) comporte un indicateur général (Ind) nul, indiquant la 5 présence d'un train non communiquant sur la zone (Sn) associée au contrôleur de zone (ZCn) avant la période d'indisponibilité de ce dernier, stopper le procédé ; - sinon, si la troisième liste (L3) indique qu'un train non communiquant est entré sur la zone (Sn) associée au contrôleur de zone (ZCn) pendant la période d'indisponibilité, stopper le procédé ; 10 - sinon, vérifier que la seconde liste (L2) est égale à la première liste (L1) de laquelle ont été ajoutés les trains de la troisième liste (L3) et retirés les trains de la quatrième liste (L4), une vérification positive indiquant une cohérence entre les situations opérationnelles avant et après la période d'indisponibilité du contrôleur de zone, une vérification négative indiquant une incohérence. 15 8.- Procédé (100) selon l'une quelconque des revendications 1 à 7, dans lequel, en cas de cohérence entre les situations opérationnelles avant et après la période d'indisponibilité du contrôleur de zone détectée lors de l'étape de vérification, le contrôleur de zone (ZCn) indique (370) à un système de supervision des trains (AIS) que les 20 différents trains sur la zone (Sn) associée au contrôleur de zone (ZCn) sont discriminés et que la supervision automatique des trains peut reprendre ; en cas contraire, le procédé est stoppé. 9.- Procédé selon la revendication 4, dans lequel les informations de 25 franchissement sont, en tout ou partie, fournies par un système d'enclenchement (CBIn) de la zone (Sn) associée au contrôleur de zone (ZCn) à l'aide d'un dispositif externe de sécurité de détection de trains. 10.- Système de contrôle automatique des trains du type « à gestion des trains 30 basée sur la communication », caractérisé en ce que le système de signalisation comporte au moins une mémoire externe et au moins un contrôleur de zone (ZCn) mettant en oeuvre le procédé selon l'une quelconque des revendications 1 à 9, le contrôleur de zone (ZCn) sauvegardant périodiquement une image de la situation opérationnelle sur la mémoire externe, la mémoire externe étant une mémoire ne 35 partageant pas de mode de défaillance commun avec le contrôleur de zone.