FR 2653948 A1 19910503 FR 8914478 A 19891031 Le domaine de l'invention est celui des moyens de verrouillage automatique de systèmes à plusieurs états, dans une position de sécurité. Plus précisément, Invention concerne un circuit électronique basculant comprenant au moins deux états stables, dont un état de sécurité, ainsi que des moyens de verrouillage en position de sécurité automatiquement déclenchés dans certaines circonstances, essentiellement lors d'une défaillance ou d'une insuffisance de la source principale d'alimentation électrique du circuit. Un tel système basculant peut commander un certain nombre de dispositifs à plusieurs états, incluant de façon nécessaire un état de sécurité. Il trouve application par exemple dans tous les domaines où le critère de sécurité est important (systèmes de freinage, commande de coupure de moteurs, etc...). Une application particulière mais non limitative de ce circuit consiste à commander l'ouverture et la fermeture d'une électrovanne automatique de commande d'admission d'eau dans une installation domestique, en habitat collectif, en installation industrielle, etc... De façon connue, les installations d'alimentation en eau comprennent des moyens d'affichage de la quantité d'eau consommée et des moyens de fermeture et d'ouverture du circuit manuels (robinets) pour les absences prolongées. Toutefois, dans certaines installations, il est avantageux de prévoir des moyens de commande automatique d'admission d'eau coopérant avec des moyens d'autorisation de consommation, par exemple des monnayeurs. 11 en est ainsi par exemple dans des installations à utilisation provisoire ou à fort taux de rotation des utilisateurs, tels que les emplacements ou les douches de terrains de camping ou encore sur les pontons d'accostage de bateaux de plaisance. De même, en habitat rural ou isolé, par exemple, où le coût du relevé du compteur d'eau par un agent s'avère souvent coûteux ou contraignant, il est avantageux de remplacer les compteurs d'eau par des dispositifs fonctionnant avec des pièces de monnaie ou des jetons. Dans ces deux cas donnés à simple titre illustratif, il suffit de mettre des pièces dans le dispositif qui actionne une électrovanne pour permettre l'admission de l'eau. L'inconvénient de ce type de compteurs à pièces est qu'il impose à l'utilisateur de disposer de monnaie en nombre suffisant et compatible avec l'appareil. I1 est en outre vulnérable à des actes de vandalisme dans les lieux publics tels que les campings. Ce genre de problème a été en partie résolu dans le domaine du paiement des communications téléphoniques avec l'adoption d'un système de prépaiement par cartes. On a ainsi imaginé d'appliquer ce moyen de paiement à une électrovanne de façon à en commander l'ouverture à l'aide d'une carte prépayée rechargeable ou jetable, du type des télécartes. De cette façon, le paiement des unités d'eau utilisées ne nécessite plus de déplacements et de contraintes et les causes de vandalisme sont diminuées. I1 suffit d'acheter une carte comportant un certain nombre d'unités (mètres cubes par exemple), de l'introduire dans un lecteur qui commande l'ouverture de l'électrovanne et de remplacer cette carte lorsqu'elle ne comporte plus d'unités. L'adoption de tels dispositifs automatiques pose cependant un certain nombre de problèmes. En effet, la commande de l'électrovanne étant assurée par des moyens électriques, une coupure d'alimentation de ces moyens peut provoquer une inondation en cas de fuite d'eau, si l'électrovanne reste ouverte. De plus, il se peut que le dispositif ne soit plus en mesure de compter les unités d'eau utilisées. n peut s'agir dans ce cas d'une tentative de fraude, ou encore d'une panne de I'alimentation du dispositif. Ces problèmes se posent d'une façon générale dans tout système à plusieurs états où il est impératif que celui-ci retourne à un état de sécurité verrouillé déterminé en cas de panne ou de tentative de fraude, notamment au niveau de la tension d'alimentation électrique du système. L'invention a notamment pour but de pallier ces inconvénients. Plus précisément, un premier objectif de l'invention est de mettre automatiquement en état de sécurité verrouillé un système à plusieurs états, en cas de détection d'un signal d'alerte interne. Un objectif complémentaire de l'invention est de générer un tel signal d'alerte interne lors d'une défaillance d'origine accidentelle ou frauduleuse de l'alimentation du dispositif. Un autre objectif spécifique mais non limitatif est d'appliquer l'invention notamment à des systèmes de commande d'électrovannes d'admission d'eau commandés par carte de prépaiement. Un autre objectif consiste à fournir un tel dispositif sous contrainte d'une faible consommation d'énergie, de façon à le rendre opérationnel dans des conditions difficiles telle que la coupure brutale de la source d'énergie principale, avec une faible réserve d'énergie de secours. Ces objectifs, ainsi que d'autres qui apparaîtront par la suite, sont atteints à I'aide d'un circuit électronique de verrouillage en position de sécurité d'un système basculant alimenté par une source d'énergie principale, et comportant au moins deux états stables, un desdits états stables correspondant à un état de verrouillage sécurisé, caractérisé en ce qu'il comprend des moyens de détection de défaillance de ladité source d'énergie principale, des moyens d'alimentation de secours constitués d'une réserve d'énergie, utilisables en cas de défaillance de la source d'alimentation principale, et des moyens de forçage en état de sécurité du dispositif pilotés par les moyens de détection de défaillance de la source d'alimentation principale. Avantageusement, lesdits moyens de forçage en état de sécurité du dispositif coopèrent avec des moyens permettant de s'assurer que ladite réserve d'énergie est opérationnelle. Dans un mode de réalisation préférentiel, ladite réserve d'énergie comprend un éIément d'accumulation d'énergie rechargeable connecté à la source d'énergie principale et les moyens permettant de s'assurer que ladite réserve d'énergie est opérationnelle comprennent une temporisation maintenant le système en état de sécurité pendant une durée supérieure ou égale à la durée de rechargement dudit élément à accumulation d'énergie, à chaque rétablissement de ladite source d'énergie principale. Dans un autre mode de réalisation, lesdits moyens permettant de s'assurer que ladite réserve d'énergie est opérationnelle sont par exemple constitués de moyens de mesure de la charge dudit éIément d'accumulation d'énergie, dont la sortie est connectée soit à un détecteur de seuil de charge, soit à un microprocesseur de contrôle et de commande, de façon à interdire au système de sortir de I'état de sécurité verrouillé tant que la réserve d'énergie n'est pas opérationnelle. Préférentiellement, les moyens de détection de défaillance de ladite source d'énergie principale sont constitués par des moyens de détection d'une chute brutale de la tension d'alimentation principale et/ou des moyens de détection de passage de ladite tension d'alimentation principale en dessous d'un seuil préréglé. Avantageusement, lesdits moyens de forçage en état de sécurité du système sont constitués d'un ensemble de portes logiques commandant un système basculant. Selon un mode de réalisation préférentiel de l'invention, ledit système basculant est constitué d'une cellule de production d'au moins deux états électriques distincts, par activation sélective de moyens de commutation, chaque configuration d'activation sélective des moyens de commutation fermant au moins un circuit électronique distinct. Avantageusement, au moins certains desdits moyens de commutation sont constitués par des composants électroniques, tels que des transistors. Préférentiellement, ladite réserve d'énergie est constituée par un condensateur alimentant ladite logique de commande des organes de commutation et de mise en état de sécurité du système, ledit condensateur se substftuant à la source d'énergie principale en cas de défaillance de ladite source d'énergie principale, lors de la mise en état de sécurité du système. Avantageusement, ledit système basculant commande un élément bistable. Ceci permet de réaliser une importante économie d'énergie car les niveaux de commande n'ont pas besoin d'être maintenus. Selon un mode de mise en oeuvre avantageux de l'invention, ledit système bistable est constitué par une électrovanne. Préférentiellement, lesdits moyens de forçage sont également commandabIes par un microprocesseur de gestion du dispositif. Avantageusement, le dispositif coopère avec un appareil d'autorisation de consommation acceptant des pièces de monnaie ou des cartes à mémoire. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description suivante d'un mode de réalisation préférentiel de l'invention, donné à titre illustratif et non limitatif, et des dessins annexés, dans lesquels: - la figure 1 est un schéma-blocs présentant les principales fonctions d'un dispositif de verrouillage sécurisé selon l'invention; - la figure 2 représente un mode de réalisation préférentiel de l'invention dans le cas d'un circuit électronique de commande d'une électrovanne; - la figure 3 représente un dispositif de détection de baisse de tension de la source d'énergie principale compatible avec le circuit de la figure 2. La figure 1 représente le schéma synoptique des principales fonctions d'un dispositif de verrouillage selon l'invention. Une source d'énergie principale 10 constituée par exemple par une pile ou batterie alimente le dispositif. Cette source d'énergie principale charge également la réserve d'énergie 11 qui alimente les circuits de la logique de commande 14. La source d'énergie principale 10 alimente également le circuit de temporisation 18 ainsi que les organes de commutation et de mise en état de sécurité 12 commandant la charge 13 qui est par exemple une électrovanne dans une application particulière. La réserve d'énergie 11 alimente elle aussi les organes de commutation et de mise en état de sécurité 12.La logique de commande 14 validée par le dispositif de forçage de mise en état de sécurité 15, pilote les organes de commutation et de mise en état de sécurité 12. Le dispositif de temporisation 18 ainsi que les moyens d'alerte 16,17, activent les moyens de forçage en état de sécurité 15 qui pilotent la logique de commande 14. Les circuits de la logique de commande 14 étant alimentés par la réserve d'énergie 11, continuent à fonctionner pendant un certain temps pour commuter l'électrovanne 13 en position de sécurité lorsqu'un signal d'alerte 16,17 se présente. Une application particulière d'un tel circuit consiste à commander l'ouverture et la fermeture d'une électrovanne qui se comporte de la même manière qu'un système bistable c'est à dire qu'une impulsion l'ouvre et qu'une autre la ferme. Dans ce mode de réalisation particulier, les courants de commande d'ouverture et de fermeture de l'électrovanne sont opposés. La description suivante ainsi que la figure 2 permettront de mieux comprendre les fonctions des divers éléments composant le circuit. Le circuit est alimenté par une source d'énergie principale qui peut être une pile 10 qui charge la réserve d'énergie 11 à travers la diode 30 et Ia résistance 31. Cette réserve d'énergie 11 est un condensateur. Le système basculant est par exemple formé de.deux transistors bipolaires PNP 37,38 et de deux transistors à effet de champ à canal N 39,40. L'électrovanne 13 est branchée entre les points 53 et 54. Lorsque les transistors 37 et 40 sont saturés pendant 250 ms, les transistors 38 et 39 sont bloqués et l'électrovanne 13 s'ouvre. Lorsque les transistors 38 et 39 sont saturés pendant 50 ms, les transistors 37 et 40 sont bloqués et l'électrovanne 13 se ferme. Le dispositif de commande des transistors est constitué de quatre portes NON-ET 43,44,45,46 dont deux sont utilisées comme des inverseurs 44,46. Les portes 43 et 45 sont connectées aux moyens de temporisation du système 47,48, aux moyens de commande de mise en état de sécurité 49,50 et aux moyens de commande du dispositif 51,52. Les commandes d'ouverture 55 et de fermeture 56 de l'électrovanne 13 proviennent d'une unité à microprocesseur programmée de telle sorte que l'on ne puisse avoir d'ordre d'ouverture et de fermeture en même temps. La commande s'effectue sur deux fils. Les possibilités de commande sont les suivantes: ouvrir l'électrovanne, fermer l'électrovanne, ne rien faire. Cesdits ordres d'ouverture et de fermeture sont inversés à l'aide de transistors à effet de champ à canal N 51,52. La commande d'ouverture 55 provenant de l'unité à microprocesseur est active à l'état bas et la commande de fermeture 56 est active à l'état haut. Lorsqu'aucune commande n'est effectuée, le courant consommé par le système est négligeable (alimentation des portes logiques et courants de fuite). A la mise sous tension, la temporisation n'autorise l'ouverture de l'électrovanne que si le programme du micro-contrôleur est actif c'est à dire qu'il ne commandera l'ouverture de l'électrovanne que si la source d'énergie de réserve est chargée. Ceci permet d'avoir la certitude que dans tous les cas de figure l'électrovanne pourra être mise en état de sécurité si un signal d'alerte se produit. Dans le cas où le circuit est alimenté depuis déjà un certain temps, la logique de commande est validée pour que le système de commande soit à l'état de repos et la capacité de réserve d'énergie 11 est chargée. Une commande d'ouverture 55 (active au niveau bas) bloque le transistor à effet de champ 52 et on observe un niveau logique 1 à l'entrée B de la porte NON-ET 45. La pile étant opérationnelle, l'autre entrée de cette porte (point A) est également à un niveau logique 1 et sa sortie est à 0. Les deux transistors 37 et 40 sont alors saturés et le courant passe dans l'électrovanne 13 du point 53 vers le point 54, les transistors 38 et 39 étant bloqués. Ceci provoque l'ouverture de l'électrovanne 13. Celle-ci se comportant comme un bistable, une impulsion d'environ 8 volts pendant 250 ms est nécessaire pour ouvrir l'électrovanne. Pour fermer l'électrovanne, à partir de I'état de repos un niveau logique haut généré par l'unité de commande à microprocesseur sature le transistor 51 et un niveau logique bas est présent sur l'entrée C de la porte NON-ET 43. Ceci provoque la saturation des transistors 38 et 39 et le courant passe du point 54 vers le point 53, fermant ainsi l'électrovanne, les deux autres transistors 37 et 40 étant bloqués puisque on ne peut pas avoir d'ordre de fermeture et d'ouverture en même temps. Une tension d'environ 6 volts pendant 50 ms aux bornes de l'électrovanne est nécessaire pour la fermeture, d'où la présence des trois diodes 34, 35 et 36 destinées à abaisser la tension aux bornes de l'électrovanne à environ 6 volts. L'utilisation d'une charge se comportant comme un système bistable présente l'avantage de pouvoir maintenir les sorties de l'unité à microprocesseur dans un état de repos.Ceci permet de réaliser une économie d'énergie non négligeable, les ordres de commande d'ouverture et de fermeture n'ayant besoin d'être maintenus que pendant une durée de 250 ms et 50 ms respectivement. Dans le cas où une anomalie est détectée, le système se met en position de sécurité c'est à dire qu'il ferme l'électrovanne 13. Deux sortes d'anomalies sont notamment détectables: - la pile source d'énergie principale du dispositif se décharge et sa tension tombe en dessous d'un certain seuil I1 faut alors fermer l'électrovanne car il est possible que l'unité à microprocesseur ne sera plus capable de commander cette fermeture, cette unité étant égaIement alimentée par la pile 10. - la tension d'alimentation chute brutalement, par exemple par suite d'un court-circuit de la pile ou d'une coupure du réseau d'alimentation. Ce cas de figure peut notamment correspondre à une tentative de fraude dans le cas où l'utilisateur indélicat essaie par exemple "d'affoler" le système pour bloquer l'électrovanne en position ouverte. Afin d'empêcher que l'électrovanne ne reste ouverte dans ces deux cas, le système se met automatiquement en position de sécurité, c'est à dire que l'électrovanne se ferme. L'énergie nécessaire à la mise en état de sécurité du système provient de la capacité 11 servant de réserve d'énergie. Les fonctions de détection sont remplies par les moyens suivants: - la résistance 47 et la capacité 48 forment un intégrateur. Lors du branchement de la pile 10, ladite capacité 48 est chargée au bout d'un certain temps. Les valeurs de ces composants sont choisies de telle sorte que les portes logiques 43 et 45 ne détectent pas un niveau logique haut sur leurs entrées reliées au point A, lors de la mise sous tension du dispositif, tant que le programme du micro-contrôleur n'est pas actif c'est à dire qu'il n'est pas capabIe de contrôler l'électrovanne. Aucun des moyens de commande de l'électrovanne n'est actionné par le micro-contrôleur aussi longtemps que le dispositif n'est pas prêt à pouvoir réagir à une tentative de fraude. Ceci permet d'empêcher les fraudes, par mise en court-circuit brusque ou répétitif de la pile 10, destinées à "affoler "le système pour bloquer l'électrovanne en position ouverte. - une diode 49 est mise en parallèle avec la résistance 47 et sa cathode est reliée à la borne d'alimentation positive de la pile 10. L'anode de la diode 49 est reliée à deux entrées des portes logiques 43 et 45 qui commandent les transistors formant le système basculant. Cette anode (point A) est également reliée au condensateur non polarisé 48 dont l'autre borne va à la masse. Si une chute brutale de la tension d'alimentation se produit, la capacité 48 se décharge instantanément à travers la diode 49 et les deux entrées des portes NON-ET 43 et 45 passent au niveau bas. Les sorties de ces portes passent donc à l'état haut. - une autre diode 50 dont l'anode est également reliée à la capacité 48 ainsi qu'aux entrées des portes NON-ET 43 et 45 permet de décharger ladite capacité 48 lorsque sa cathode se voit imposer un niveau bas. Ce niveau bas est généré par un circuit annexe lorsque la tension d'alimentation devient inférieure un seuil de tension prédéfini, ce qui signifie que la tension d'alimentation est presque trop faible pour alimenter l'unité à microprocesseur ou que l'on approche de la tension minimum nécessaire pour commander la fermeture de l'électrovanne. La figure 3 représente un moyen de détection de passage de la tension de la source d'alimentation principale en dessous d'un seuil préréglé. Le circuit détectant cette faiblesse de la tension d'alimentation est un circuit spécialisé, par exemple un MAX 666 (nom déposé) 60. I1 est alimenté par la source d'alimentation principale 10 et joue le rôle d'un régulateur et comparateur de tension. Lorsque la tension de pile tombe en dessous d'un seuil prédéfini par les résistances 62 et 63, la sortie 57 passe au niveau bas, ce qui entraîne la décharge du condensateur 48. Cette décharge entraîne une mise à l'état haut des sorties des deux portes NON-ET 43 et 45. La technologie interne du MAX 666 permet une décharge rapide de la capacité 48, cette décharge se faisant à travers un transistor à effet de champ intégré au circuit MAX 666 60. La mise à l'état haut des sorties des deux portes NON-ET 43 et 45 provoque la conduction des moyens de commutation commandant la mise en état de sécurité du dispositif, c'est à dire la fermeture de l'électrovanne. Le courant nécessaire à la mise en état de sécurité est fourni par la capacité il servant de réserve d'énergie. Celle-ci se décharge à travers les trois diodes 34, 35 et 36 qui abaissent la tension, la résistance 33, le transistor bipolaire PNP 38,1'électrovanne 13 et le transistor à effet de champ à canal N 39. Lors de la fermeture de l'électrovanne, la tension impulsionnelle aux bornes de l'électrovanne est d'environ 6 volts, tension dont a besoin l'électrovanne pour se fermer, du fait de sa technologie.Lors d'une commande de fermeture, le courant traverse l'électrovanne 13 du point 54 vers le point 53 et celle-ci se ferme. Lors de la fermeture de l'électrovanne, due à un ordre de fermeture ou d'une détection de chute de tension (pile qui devient faible ou bien chute brutale de la tension d'alimentation), la capacité 11 se décharge. Avant de pouvoir ouvrir l'électrovanne à nouveau, il faut attendre que la capacité 11 soit à nouveau suffisamment chargée pour pouvoir réassurer sa fonction. On notera qu'une ouverture de l'électrovanne ne décharge pas la capacité 11, le courant nécessaire étant fourni par la pile 10, traversant la résistance 32, le transistor 37, l'électrovanne 13 et le transistor 40. Les deux diodes 49 et 50 ont donc toutes deux la même fonction de permettre la mise en état de sécurité du dispositif mais elles interviennent pour des causes différentes et complémentaires.. La présence de ces deux moyens d'alerte se justifie dans les cas où le moyen détectant le passage de la tension d'alimentation principale en dessous d'un certain seuil n'est pas suffisamment rapide pour prévenir un court-circuit de ladite alimentation principale en forçant le système à 1' état de sécurité. La diode 49 permet donc de réagir plus rapidement lors d'un court-circuit de l'alimentation principale, le MAX 666 mettant un certain temps pour détecter ce court-circuit. Le moyen de détection de baisse de tension est cependant nécessaire pour forcer le système en état de sécurité lorsque la tension d'alimentation principale devient faible par suite d'un long usage, ce que la diode 49 seule ne peut pas détecter. Bien entendu, les circuits des figures 2 et 3 ne représentent qu'un mode de réalisation préférentiel de l'invention dans le cas d'une application à la commande d'une électrovanne, et l'homme du métier imaginera de nombreuses autres variantes rentrant dans le cadre de la-présente invention. REVENDICATIONS 1. Circuit électronique de verrouillage en position de sécurité d'un système basculant alimenté par une source d'alimentation principale, et comportant au moins deux états stables, un desdits états correspondant en outre à un état de verrouillage sécurisé, caractérisé en ce qu'il comprend: - des moyens de détection de défaillance (16,17) de ladite source d'énergie principale (10); - des moyens d'alimentation de secours constitués d'une réserve d'énergie (1 I), utilisables en cas de défaillance de la source d'alimentation principale (10); - des moyens de forçage en état de sécurité du dispositif (15) pilotés par les moyens de détection de défaillance de la source d'alimentation principale (16,17). 2. Circuit selon la revendication 1, caractérisé en ce que les moyens de forçage en état de sécurité du dispositif (15) coopèrent avec des moyens permettant de s'assurer que ladite réserve d'énergie (11) est opérationnelle (18). 3. Circuit selon la revendication 2 caractérisé en ce que ladite réserve d'énergie (11) comprend un élément d'accumulation d'énergie rechargeable connecté à la source d'énergie principale, et en ce que les moyens permettant de s'assurer de ce que ladite réserve d'énergie est opérationnelle comprennent une temporisation (18) maintenant le système en état de sécurité pendant une durée supérieure ou égaIe à la durée de rechargement dudit élément à accumulation d'énergie (11), à chaque rétablissement de ladite source d'énergie principale (10). 4. Circuit selon l'une quelconque des revendications 1 à 3 caractérisé en ce que les moyens de détection de défaillance de la source d'énergie principale (16,17) sont constitués par des moyens de détection d'une chute brutale de la tension d'alimentation principale (49) et/ou par des moyens de détection de passage de la tension fournie par ladite source d'alimentation principale en dessous d'un seuil préréglé (50). 5. Circuit selon l'une quelconque des revendications 1 à 4 caractérisé en ce que les moyens de forçage en état de sécurité du système (15) sont constitués par des portes logiques (43,44,45,46) commandant un système basculant. 6. Circuit selon l'une quelconque des revendications 1 à 5 caractérisé en ce que ledit système basculant est constitué par une cellule de production d'au moins deux états électriques distincts, par activation sélective de moyens de commutation (12), chaque configuration d'activation sélective des moyens de commutation fermant au moins un circuit électronique distinct. 7. Circuit selon la revendication 6 caractérisé en ce qu'au moins certains desdits moyens de commutation sont constitués par des composants électroniques, tels que des transistors (37,38,39,40). 8. Circuit selon l'une quelconque des revendications 1 à 7 caractérisé en ce que ladite réserve d'énergie (11) est constituée par un condensateur alimentant la logique de commande des organes de commutation et de mise en état de sécurité du système (43,44,45,46), ledit condensateur se substituant à la source d'énergie principale en cas de défaillance de ladite source d'énergie principale, lors de la mise en état de sécurité du système. 9. Circuit selon l'une quelconque des revendications 1 à 8 caractérisé en ce que ledit système basculant commande un élément bistable (13) 10. Circuit selon la revendication 9 caractérisé en ce que ledit élément bistable (13) est constitué par une électrovanne. 11. Circuit selon l'une quelconque des revendications 1 à 10 caractérisé en ce que lesdits moyens de forçage sont également commandables par un microprocesseur de gestion du dispositif. 12. Circuit selon l'une quelconque des revendications 1 à 11 caractérisé en ce que le dispositif coopère avec un appareil d'autorisation de consommation acceptant des pièces de monnaie ou des cartes à mémoire.