FR 3080823 A1 20191108 FR 1800423 A 20180503 I Système de localisation intègre et autonome d'un train dans un référentiel de réseau ferroviaire La présente invention porte sur un système de localisation intègre et autonome d'un train dans un référentiel de réseau ferroviaire. Il est connu des systèmes de localisation d'un train sur un réseau ferré par des infrastructures au sol dédiées, qui garantissent l'intégrité de la localisation, i.e. que le risque que le train ne soit pas sur le tronçon indiqué est plus petit qu'une limite acceptable. Cette limite est liée au risque d'événement grave, comme une collision ou un déraillement, et à la capacité du système de régulation du trafic ferroviaire. Ces dispositifs ont un coût très élevé. Les solutions non autonomes nécessitent des infrastructures sol qui ont un coût de maintenance élevé. Le coût de la signalisation par la voie de type ETCS L2 est d'environ 200 KE par km de voie, son déploiement est donc limité aux lignes à fort trafic. La présente solution a un coût très inférieur selon le niveau d'intégrité envisagé, ce qui permet de réhabiliter des lignes du réseau secondaire à moindre frais. Il existe également des dispositifs de localisation géographique, intègres et autonomes. On entend par localisation géographique, la localisation d'un mobile dans un référentiel lié à la Terre, tel les longitude, latitude, et altitude ; par intègre l'association à la localisation d'un ellipsoïde d'erreur et d'un signal d'alarme (le risque que la position indiquée soit en dehors de l'ellipsoïde, sans qu'une alarme ne soit levée, est plus petit qu'une limite acceptable) ; et par autonome la non utilisation d'infrastructures dédiées. Un dispositif à base de récepteur GNSS et d'unité de mesure inertielle UMI est un exemple de ce type de dispositif de localisation géographique, intègre et autonome. Par exemple, le brevet européen EP 35 3018447B1. 2 Pour ce type de dispositif, le service fourni ne localise pas le train avec une garantie d'intégrité : dès que l'ellipsoïde d'erreur est plus grand que la demie-distance entre les voies ferrées, on ne plus localiser le train sur le 5 réseau ferré de manière sûre. Un but de l'invention est de pallier les problèmes précédemment cités. 10 Il est proposé, selon un aspect de l'invention, un système de localisation intègre et autonome d'un train dans un référentiel de réseau ferroviaire comprenant : - un dispositif de localisation géographique intègre dans un référentiel géographique global configuré pour fournir la position, la vitesse, et le 15 cap du train ainsi que leurs protections d'intégrité respectives vis-à-vis d'événements redoutés pouvant affecter le dispositif de localisation géographique intègre ; - une base de données cartographiques intègre du réseau ferroviaire configurée pour fournir des données représentant géographiquement 20 le réseau ferroviaire sous forme de segments ; et - un dispositif de pistage du train configuré pour déterminer de manière autonome un identifiant de segment de réseau ferroviaire sur lequel se trouve le train, une position intègre du train sur ce segment dans le référentiel de réseau ferroviaire, et l'intervalle de protection associé à 25 la position du train sur le segment à partir de données fournies par la base de données cartographiques intègre et des positions, vitesses, caps et protections d'intégrité fournies par le dispositif de localisation géographique intègre, par résolution d'ambiguïtés de segments de la base de données. 30 Un tel système fournit le service de localisation intègre dans le référentiel d'intérêt, et non dans le référentiel géographique initial. Il permet ainsi de valoriser des dispositifs à coût réduit à base d'UMI et de GNSS, qui fournissent un service d'intégrité dans un référentiel géographique. 3 Dans un mode de réalisation, le dispositif de pistage est configuré pour fournir rétroactivement, au dispositif de localisation géographique intègre, des mesures intègres d'écart latéral et d'écart de cap du train par rapport à la voie ferrée du réseau ferroviaire. 5 Ainsi, le dispositif de localisation géographique peut bénéficier de mesures supplémentaires, qui sont susceptibles d'améliorer sa performance, sans compromettre son intégrité. 10 Selon un mode de réalisation, le dispositif de pistage est configuré pour fournir rétroactivement, au dispositif de localisation géographique intègre, des informations représentatives de l'environnement de la voie ferrée. 15 Ainsi, si le dispositif de localisation géographique utilise un ou plusieurs capteurs dont les mesures sont susceptibles d'être corrompues par l'environnement de la voie ferrée, la rétroaction permet de réduire ce risque. Par exemple pour un capteur de type GNSS, les mesures, issues de satellites pour lesquels la configuration géométrique des objets à proximité 20 de la voie présente un risque d'altération, peuvent être ignorées a priori, de manière à ne pas compromettre l'intégrité du dispositif de localisation géographique. Dans un mode de réalisation, le dispositif de pistage est configuré 25 pour : - éliminer les segments non contenus au moins en partie dans l'ellipse d'incertitude fournie par le dispositif de localisation géographique intègre, - comparer l'angle de cap fourni par le dispositif de localisation géographique intègre et l'angle de cap des segments de la base de données compatibles 30 avec le chainage du réseau ferroviaire, et - sélectionner les segments compatibles avec l'incertitude de cap fournie par le dispositif de localisation géographique intègre, et dont le segment suivant ou le segment précédent selon la direction d'avancement a déjà été un segment candidat aux cycles de calculs précédents. 35 4 Ainsi, le dispositif est capable de réduire, de manière sûre, le nombre de segments candidats, jusqu'à discriminer le seul vrai segment sur lequel se trouve le train. 5 On appelle segment candidat, un segment qui a déjà été sélectionné par le dispositif de pistage par une des méthodes citées précédemment. L'ensemble des segments candidats est mémorisé d'un cycle de calcul à l'autre pour déterminer les segments candidats du prochain cycle de calcul qui dépendent des segments candidats du cycle de calcul 10 précédent et des nouvelles données fournies par le dispositif de localisation géographique intègre comme détaillé ultérieurement. Selon un mode de réalisation, le dispositif de pistage est configuré pour effectuer une corrélation le long de l'abscisse curviligne entre les angles 15 de cap successifs fournis par le dispositif de localisation géographique intègre et les caps successifs pris par chacun des segments candidats, de manière à sélectionner un segment unique. Ainsi, le dispositif de pistage est capable de discriminer le vrai 20 segment des autres segments candidats lorsque ceux-ci suivent des trajectoires différentes en cap. Dans un mode de réalisation, le dispositif de pistage est configuré pour déterminer une vitesse et un sens de déplacement intègres du train, par 25 projection sur la direction du segment courant de la vitesse et son ellipse d'erreur fournies par le dispositif de localisation intègre. Ainsi, le dispositif de pistage fournit des informations supplémentaires, en plus de l' information de positionnement. La fiabilité des 30 informations de vitesse et de sens de déplacement est essentielle pour le contrôle du train et la gestion du trafic. Selon un mode de réalisation, lesdites données représentant le réseau ferroviaire sous forme de segments comprennent pour chaque 35 segment les coordonnées du point initial du segment dans le référentiel 5 géographique global, la longueur du segment, la valeur d'un paramètre représentatif de la courbure et de sa variation, et la valeur de paramètres de chaînage du segment avec d'autres segments. 5 Ainsi, un faible nombre de paramètres permet de représenter une longueur significative du réseau ferroviaire. La représentation choisie permet notamment de calculer avec précision les coordonnées de position géographique et l'angle de cap de n'importe quel point appartenant au segment, à partir de son abscisse curviligne. 10 Dans un mode de réalisation, le dispositif de localisation géographique intègre comprend un récepteur GNSS, une centrale inertielle, et un module d'hybridation des données inertielles et GNSS fournies par le récepteur GNSS et la centrale inertielle. 15 Ainsi, il est possible d'avoir une excellente disponibilité du système indépendamment des conditions climatiques. Selon un mode de réalisation, le dispositif de pistage comprend, 20 pour effectuer la résolution d'ambiguïtés des segments candidats : un module configuré pour réaliser une fonction de résolution instantanée basée sur la distance ; et/ou - un module configuré pour réaliser une fonction de résolution instantanée basée sur le cap ; et/ou 25 - un module configuré pour réaliser une fonction de résolution d'aiguillage. Ainsi, on profite de toutes les caractéristiques géométriques de la voie ferrée pour se repérer. 30 Dans un mode de réalisation, le système comprend, en outre : un dispositif additionnel de localisation géographique intègre dans un référentiel géographique global, différent du dispositif de localisation géographique intègre, configuré pour fournir la position, la vitesse, et le 35 cap du train ainsi que leurs protections d'intégrité respectives ; 6 une base additionnelle de données cartographiques intègre du réseau ferroviaire, identique ou similaire à la base de données cartographiques intègre du réseau ferroviaire, configurée pour fournir des données représentant le réseau ferroviaire sous forme de 5 segments ; un dispositif additionnel de pistage du train, identique ou similaire au dispositif de pistage du train, configuré pour déterminer une position intègre et autonome du train dans le référentiel de réseau ferroviaire et un identifiant de segment de réseau ferroviaire correspondant, à partir lo de données fournies par ladite base de données additionnelle cartographiques intègre et des positions, vitesses, caps et protections d'intégrité respectives fournies par le dispositif additionnel de localisation géographique intègre, par résolution d'ambiguïtés de segments candidats ; et 15 un module de consolidation des protections d'intégrités fournies par le dispositif de pistage du train et le dispositif additionnel de pistage du train fournissant un identifiant de segment consolidé et une position consolidée sur le segment, ainsi que l'intervalle de protection consolidée, de sorte que le risque de non intégrité des sorties 20 consolidées soit bien plus petit que le risque de non intégrité des sorties des deux dispositifs pris séparément, la position consolidée étant calculée par barycentre pondéré de la position du dispositif principal et du dispositif additionnel, et l'intervalle de protection étant calculé par la réunion des intervalles de protection du dispositif 25 principal et du dispositif secondaire. On entend par identique ou similaire, un élément supposé être identique mais réalisé par deux entités différentes, comme la base de données qui est supposée identique mais peut être réalisée par deux entités 30 différentes et contenir quelques malencontreuses différences. L'invention sera mieux comprise à l'étude de quelques modes de réalisation décrits à titre d'exemples nullement limitatifs et illustrés par les dessins annexés sur lesquels : 7 la figure 1 illustre schématiquement un mode de réalisation d'un système de localisation intègre et autonome d'un train dans un référentiel de réseau ferroviaire, selon un aspect de l'invention ; les figures 2 à 4 illustrent schématiquement comment l'ellipse 5 d'incertitude géographique entraine l'existence de plusieurs segments candidats, selon un aspect de l'invention ; les figures 5 à 10 illustrent schématiquement les règles prise en compte par le dispositif de pistage, selon un aspect de l'invention ; la figure 11 illustre schématiquement un mode de réalisation d'un 10 dispositif de pistage, selon un aspect de l'invention ; les figures 12 à 20 illustrent schématiquement fonctionnement du dispositif de pistage, selon un aspect de l'invention ; la figure 21 illustre schématiquement un mode de réalisation d'un système de localisation intègre et autonome d'un train dans un 15 référentiel de réseau ferroviaire, selon un aspect de l'invention. Sur l'ensemble des figures, les éléments ayant des références identiques sont similaires. 20 Dans la présente description, les modes de réalisation décrits sont nullement limitatifs, et les caractéristiques et fonctions bien connues de l'homme du métier ne sont pas décrites en détails. La figure 1 représente un système de localisation intègre et 25 autonome d'un train dans un référentiel de réseau ferroviaire comprenant: un dispositif 1 de localisation géographique intègre dans un référentiel géographique global configuré pour fournir la position, la vitesse, et le cap du train ainsi que leurs protections d'intégrité respectives vis-à-vis d'événements redoutés pouvant affecter le dispositif de localisation 30 géographique intègre ; une base de données 2 cartographiques intègre du réseau ferroviaire configurée pour fournir des données représentant géographiquement le réseau ferroviaire sous forme de segments ; et - un dispositif 3 de pistage du train configuré pour déterminer de 35 manière autonome un identifiant de segment de réseau ferroviaire sur 8 lequel se trouve le train, une position intègre du train sur ce segment dans le référentiel de réseau ferroviaire, et l'intervalle de protection associé à la position du train sur le segment à partir de données fournies par la base de données 2 cartographiques intègre et des 5 positions, vitesses, caps et protections d'intégrité fournies par le dispositif 1 de localisation géographique intègre, par résolution d'ambiguïtés de segments du réseau ferroviaire. A partir d'une localisation géographique intègre 1 (position 10 géographique, vitesse géographique, cap géographique), le système réalise un pistage 3 qui utilise une base de données 2 (décrivant le réseau ferré) et qui a pour finalité de fournir à l'utilisateur l'identifiant du segment courant avec une intégrité garantie. 15 Le dispositif de pistage 3 peut en outre fournir des mesures d'écart latéral et d'écart de cap du train par rapport à la voie ferrée au dispositif de localisation géographique 1, pour améliorer sa performance. Ces mesures d'écart sont intègres, ce qui est essentiel, car sinon ces mesures pourraient corrompre le dispositif de localisation géographique 1. 20 Le dispositif de pistage 3 peut également fournir des informations permettant au dispositif de localisation géographique 1 de maintenir l'intégrité de ses mesures, en tenant compte de l'environnement de la voie ferrée. Dans ce mode de fonctionnement, la base de données cartographique 2 25 comprend des éléments descriptifs de l'environnement de la voie ferrée lorsque celui-ci est susceptible de corrompre les mesures du système de localisation intègre. Le système fournit aussi l'abscisse sur le segment, la vitesse du 30 train sur le segment, et le sens du déplacement, de manière intègre et indépendante du système tachymétrique basé sur l'observation du mouvement des roues. 9 Ainsi, on part d'une localisation intègre, comme illustré sur la figure 2, et grâce à la base de données 2 on passe à une incertitude de protection représentée par les traits interrompus courts de la figure 3. 5 Grâce au dispositif de pistage 3, on passe à une incertitude de position représentée par les traits interrompus courts de la figure 4. La présente invention s'applique au domaine ferroviaire, et d'une manière générale à toutes les positions et vitesses de véhicules sur rails, tels 10 les trains, tramways, et autres véhicules de chantier sur rails. Le dispositif 1 de localisation géographique intègre peut comprendre un récepteur GNSS couplé à une unité de mesure inertielle UMI par une hybridation intègre par exemple décrite dans le brevet Thales EP 15 3018447. La base de données 2 du réseau ferroviaire décrit le réseau sous forme de segments, et définit les caractéristiques de chaque segment par des caractéristiques géométriques (comme les coordonnées du début de 20 segment, la longueur du segment et la valeur des paramètres de clothoïde ou de spline) et les caractéristiques de chaînage dans le réseau (par exemple : identifiant des segments successeurs et prédécesseurs). Dans un mode d'utilisation, la base de données 2 peut aussi contenir des éléments descriptifs de l'environnement au voisinage de la position considérée. 25 Le dispositif de pistage 3 reçoit en entrée les informations de localisation fournies par le dispositif de localisation géographique intègre (position géographique, vitesse géographique, cap géographique, rayons de protection à 10/h et alarmes associés) et utilise la base de données pour 30 identifier le segment courant de sorte que la probabilité que le train ne se trouve pas sur le segment indiqué, sans qu'une alarme ne soit levée, est inférieur à 10/h. Le dispositif 1 de localisation géographique intègre produit les 35 informations suivantes : 10 - la position géographique (longitude, latitude, altitude) ; les paramètres de l'ellipsoïde de protection de la position à 10-x/h (composantes Nord, Est, Vertical, Nord/Est, Nord/Vertical, Est/Vertical); 5 - l'angle de cap géographique ; - Intervalle protégeant le cap à 10-x/h; - la vitesse géographique (vitesse Nord, vitesse Est, vitesse Verticale) ; les paramètres de l'ellipsoïde protégeant la vitesse à 10-x/h ; et le signal d'alarme (indiquant que l'intégrité n'est plus assurée). 10 Le dispositif 1 de localisation géographique est intègre dans le sens où la probabilité (en prenant en compte les événements normaux, rares et anormaux pouvant affecter cette source de données) que les mesures produites par la localisation soient hors du domaine de protection annoncée 15 par le dispositif 1 de localisation géographique, sans qu'une alarme ne soit levée, est inférieure au risque spécifié (par exemple 10-6/h). Le brevet Thales EP3018447 décrit un exemple d'hybridation IMU/GNSS fournissant toutes ces informations. 20 Généralement une hybridation IMU/GNSS produit usuellement la position, la vitesse et l'angle de cap, mais aussi les angles de roulis et de tangage. Dans la présente invention le cap joue un rôle important pour la résolution d'aiguillage, mais pas les angles de roulis et tangage. 25 A noter que, le train évoluant sur un terrain localement plan, le volume de protection se ramène localement à l'intersection de l'ellipsoïde avec ce plan (ce qui est une ellipse). 30 La base de données cartographiques 2 satisfait les conditions d'intégrité suivantes : - pour chaque segment du réseau ferroviaire décrit dans la base de données, les informations de chaînage ne sont pas erronées (identifiant du segment et des segments contigus) ; et 11 pour chaque segment décrit dans la base de données, les informations de positionnement permettent au dispositif de pistage 3 de calculer la position géographique et le cap géographique de n'importe quel point du segment avec une erreur plus petite que les limites d'erreurs 5 indiquées dans le descriptif du segment. Plus rigoureusement, ces conditions sont tenues avec un risque donné: par exemple si le risque de non-intégrité de la base de données est 10-8/h, et que le nombre moyen de segments visités par le train est 100 10 segment/heure, alors on tolère un taux d'erreur de 10-8/segment. Sur la figure 5, les segments correspondent aux portions entre les croix. 15 Les branches correspondent aux différents choix possibles dans le parcours du réseau, ici trois branches (de différents tracés) sont représentées, mettant en oeuvre deux jonctions (croix encadrée). Une jonction est un segment de longueur nulle qui a une entrée et 20 deux sorties possibles. La jonction n'existe que dans un sens: si le train roule dans l'autre sens, la jonction ne crée pas d'alternative. Dans un mode de réalisation, la base de données 2 contient en outre des éléments descriptifs de l'environnement, lorsque celui-ci est 25 susceptible de corrompre l'intégrité du dispositif 1 de localisation géographique intègre. Par exemple, si l'un des capteurs utilisés par le dispositif 1 géographique intègre est un récepteur GNSS, il peut être corrompu par la contribution de l'environnement proche de la position occupée par le train, notamment dans une zone présentant un risque de 30 trajets GNSS réfléchis sur des bâtiments environnants ou une zone présentant un risque d'interférences radiofréquences (pollution radiofréquence à proximité d'un réémetteur de télécommunication, ou d'un site industriel spécifique). Les éléments descriptifs d'une zone à risque de trajets réfléchis peuvent, par exemple, fournir la distance et la hauteur des 35 bâtiments par rapport au point considéré de la voie ferrée, ce qui permet au 12 dispositif 1 de localisation géographique intègre de sélectionner seulement les satellites GNSS dont l'orientation des axes à vue ne présente pas de risque, ou de modifier la pondération donnée aux différents axes dans le calcul de la position intègre, de manière à garantir que l'ellipsoïde de 5 protection n'est pas sous-estimé lorsque le train est au voisinage de la zone à risque. Les éléments descriptifs d'une zone à risque d'interférence peuvent être limités à la seule indication "ne pas utiliser", de manière à ce que la source de localisation géographique intègre n'utilise pas les mesures GNSS au voisinage de cette zone. 10 Le dispositif de pistage 3 met en oeuvre des règles qui traduisent la contrainte des rails, et des méthodes de résolution d'ambiguïté qui permettent de réduire le nombre de segments possibles parmi tous les segments du réseau ferroviaire. 15 Les principales règles prise en compte par le dispositif de pistage sont les suivantes : R1 : le train ne peut pas sortir de la zone d'incertitude fourni par la localisation intègre en entrée. Sur la figure 6, seuls les traits 20 interrompus courts sont possibles pour la position vraie avec le risque d'erreur donnée. R2 : le train ne peut pas sauter d'un segment courant à un segment non adjacent sans passer par une jonction. Ceci permet de tirer 25 bénéfice de la situation passée: par exemple, comme illustré sur la figure 7, le train était précédemment sur le segment 2, alors il ne peut pas être maintenant sur le segment 1 même si l'incertitude de la position géographique en entrée permet d'y être. 30 R3 : Le train ne peut pas revenir sur un segment précédent si son sens de déplacement n'a pas changé. Par exemple, sur la figure 8, si l'incertitude de position grandit suite à une perte de signal GNSS, comme illustré sur la figure 9, le fait que le train soit passé sur la voie du dessus devient maintenant plausible sauf si l'on sait que la direction 35 de déplacement n'a pas changé. Le changement de direction est 13 surveillé à partir de la vitesse fournie par la source de localisation avec un risque donné. R4: Le train ne peut pas changer de branche (ensemble de segments 5 successifs) sans subir une variation de cap. Si la nouvelle branche est parallèle à la précédente, la variation de cap est momentanée (elle correspond au passage sur l'aiguillage). Si la nouvelle branche n'est pas parallèle, le changement de cap perdure. Ces événements sont surveillés grâce à l'angle de cap fourni par la source de localisation 10 avec un risque donné. Les principales méthodes de résolution d'ambiguïté implantées dans le dispositif de pistage 3 sont les suivantes : - résolution instantanée basée sur la distance : les segments (décrits 15 dans la base de données 2) dont les positions sont à l'extérieur de l'ellipse d'intégrité fournie par le dispositif 1 de localisation géographique intègre sont écartés. L'incertitude de la base de données cartographiques intègre 2 est également prise en compte dans cette décision. 20 résolution instantanée basée sur le cap : les segments candidats dont l'intervalle de cap n'a pas d'intersection avec l'intervalle de cap fourni par le dispositif 1 de localisation géographique intègre sont écartés. L'incertitude de la base de données cartographiques intègre 2 est 25 également prise en compte dans cette décision. résolution d'aiguillage : lorsque la position courante et son incertitude indique la proximité d'un aiguillage, la fonction de résolution d'aiguillage est activée. Elle analyse les mesures de cap successives 30 fournies par le dispositif 1 de localisation géographique intègre et évalue la corrélation de ces mesures avec les valeurs de cap géométrique, le long des deux trajectoires candidates, extraites de la base de données cartographiques intègre 2. La longueur du déplacement, sur laquelle est effectuée cette analyse, et les seuils de 35 décision sont calculées en tenant compte des incertitudes de position 14 et de cap produites par le dispositif 1 de localisation géographique intègre ainsi que des incertitudes de la base de données cartographiques intègre 2, de sorte que la probabilité de mauvaise décision est bornée. Lorsque l'aiguillage est divergent (i.e. voies non 5 parallèle en sortie d'aiguillage), la fonction de résolution analyse également l'écart de position par rapport aux deux trajectoires candidates. Le dispositif de pistage 3 comporte plusieurs fonctions : 10 pistage de premier niveau : les entrées de cette fonction sont la position, le cap et les protections associées (ellipsoïde protégeant la position, intervalle de protection du cap, alarme), fournis par le dispositif 1 de localisation géographique intègre, ainsi que la 15 description des segments de la base de données intègre 2. Le pistage de premier niveau identifie l'enchainement temporel des segments, et met en oeuvre la résolution d'aiguillage (voir ci-avant) chaque fois que nécessaire. Le pistage de premier niveau est activé à une fréquence suffisamment élevée (typiquement 10 Hz) pour pouvoir suivre 20 l'enchainement des segments. La sortie du pistage de premier niveau est la liste des segments candidats, et la position sur chaque segment candidat. En mode "normal", cette liste comporte un seul segment. Suivant le niveau d'incertitude des entrées, le pistage de premier niveau n'est pas toujours en mesure d'identifier le segment courant : 25 dans ce cas la liste comporte plusieurs candidats. pistage de deuxième niveau : les entrées de cette fonction sont la liste de candidats fournies par le pistage de premier niveau, la position, la vitesse, le cap et les protections associées, fournis par le dispositif de localisation géographique intègre 1, ainsi que la description des 30 segments de la base de données intègre 2. Cette fonction est activée à plus basse cadence (typiquement 1 Hz) car le volume de calcul peut être important. Cette fonction analyse la liste de candidats identifiés par le pistage de premier niveau et la confronte à celle construite à partir des sorties (position et protection associée) produites par le 15 dispositif de localisation géographique intègre 1, afin de détecter les cas complexes (voir la figure illustrant l'aiguillage sortant suivi d'un aiguillage entrant). L'élimination des faux candidats met en oeuvre les résolutions instantanées basées sur la distance et basées sur le cap, 5 ainsi que la mesure de vitesse qui permet de détecter les changements de direction. Les traitements mis en oeuvre utilisent les informations de protection (sur la position, sur le cap, sur la vitesse, sur le contenu de la base de données) pour que la probabilité de mauvaise décision soit bornée. En cas de démarrage à froid, l'ensemble des io segments de la base de données intègre 2 sont candidats. - production des sorties et indicateurs associés : cette fonction calcule les sorties opérationnelles (identifiant du segment, abscisse sur le segment, intervalle de protection de l'abscisse, sens du mouvement, 15 vitesse sur le segment, intervalle de protection de la vitesse, alarme, mode de fonctionnement). - production des mesures d'écart: lorsque le mode de fonctionnement indique "nominal", un seul segment est candidat, la position sur le 20 segment est connue avec l'intervalle de protection associé, et le cap géographique est connu avec l'intervalle de protection associé. On peut alors calculer l'écart latéral entre la position produite par le dispositif géographique intègre 1 et la voie, ainsi que l'écart entre le cap produit par le dispositif géographique intègre 1 et celui de la voie, 25 ainsi que les intervalles d'incertitude associés. production d'éléments descriptifs de l'environnement de la voie ferrée : si la base de données intègre 2 contient aussi une description des éléments d'environnement susceptibles de corrompre l'intégrité du 30 dispositif géographique intègre 1, le dispositif de pistage 3 peut fournir cette information au dispositif géographique intègre 1 lorsque le dispositif de pistage 3 est en mode de fonctionnement "nominal". En effet, dans ce cas, la connaissance du segment et de la position sur le segment, ainsi que son intervalle de protection associé, permet 35 d'identifier dans la base de données intègre 2 les éléments descriptifs 16 associés à la zone centrée sur la position estimée et de longueur égale à deux fois l'intervalle de protection. Lorsque le fonctionnement n'est pas "nominal" (plusieurs segments sont possibles), on fournit également ces éléments descriptifs, mais en considérant la pire 5 contribution offerte par les segments candidats dans la base de données. La figure 10 illustre un exemple de situation complexe, dans lequel 10 la possible inversion du sens de déplacement du train doit être prise en compte dans le dispositif de pistage. La figure 11 représente le dispositif de pistage 3. 15 Le pistage 3 est découpé en deux parties: une partie pistage de premier niveau 3a et une partie pistage de deuxième niveau 3b. Le choix de réaliser ce pistage 3 en deux parties tient surtout au fait que le pistage de deuxième niveau 3b nécessite beaucoup de calculs et qu'il faut le réaliser à une fréquence plus basse. 20 Le but du pistage de premier niveau 3a est de : déterminer l'abscisse curviligne associée à tous les segments candidats en fonction de la position courante issue de la localisation géographique intègre et des abscisses curvilignes précédentes, 25 - de mettre à jour l'ensemble des segments candidats à chaque fois qu'une jonction est rencontrée grâce à la base de données et de mettre à jour le mode de pistage (voir plus bas), de résoudre les aiguillages sous certaines conditions (voir plus bas), - d'élaborer les écarts entre la position et le cap, produits par le module 30 de localisation géographique, et la position et le cap calculés à partir la base de données, et les fournir à la localisation géographique intègre lorsqu'un seul segment est candidat, et de fournir un ensemble de segments candidats et des abscisses curvilignes associées au pistage de deuxième niveau 3b. 35 17 Le but du pistage de deuxième niveau 3b est de : déterminer l'ensemble des segments possibles en utilisant : o l'incertitude associée à la position de localisation géographique intègre, et 5 o l'ensemble des segments possibles fournis par le pistage en ligne, utiliser les différents paramètres de localisation géographique et leurs incertitudes associées pour réduire l'ensemble des candidats potentiels afin de résoudre les jonctions potentielles, 10 - fournir à la localisation géographique intègre une mesure de position géographique calculée à partir la base de données, si la position produite par le dispositif de pistage s'avère avoir une meilleure incertitude que celle produite par le module de localisation intègre. Il s'agit là d'une fonctionnalité supplémentaire, qui offre une possibilité 15 de recalage ponctuel du dispositif de localisation géographique, ce qui permet d'améliorer sa performance, et par conséquent d'améliorer la disponibilité à venir du dispositif de pistage, fournir à l'utilisateur final : o l'ensemble des segments possibles et les abscisses curvilignes 20 minimales et maximales associées, o la position estimée, o la ou les abscisses curvilignes estimées en fonction du mode de pistage. 25 On distingue trois modes dans le pistage : un mode nominal dans lequel toutes les jonctions ont été résolues et le pistage est capable de fournir : o un seul segment estimé et une abscisse curviligne associée, o une incertitude traduite par les abscisses curvilignes minimales 30 et maximales sur ce segment, ou par un ensemble de plusieurs segments avec leurs abscisses curvilignes minimales et maximales si l'incertitude s'étend sur plusieurs segments contigus. 18 un mode "dégradé" et un mode "mit" dans lesquels le pistage est capable de fournir : o plusieurs segments estimés et plusieurs abscisses curvilignes associées, 5 o une incertitude traduite par un ensemble de segments avec leurs abscisses curvilignes minimales et maximales. Le mode "mit" est activé lorsqu'on a aucune information sur les segments candidats possibles avant la recherche des segments candidats 10 du pistage de deuxième niveau 3b. Le mode "mit" est également activé si le dispositif de localisation géographique interne active son signal d'alarme d'intégrité. 15 Le pistage de premier niveau 3a part du mode "mit" et est initialisé soit : - à partir d'une aide externe, fournissant un segment, d'une abscisse curviligne associée et de l'incertitude associée à cette abscisse (mit), - à partir de la fourniture d'un segment, d'une abscisse et d'une incertitude 20 associée issue de la fonction recherche des segments candidats. Il y a différents types de résolutions de segments comme explicité ci-après: la résolution employée ici est la résolution en mode "mit". En sortie de mode "mit" on dispose d'un segment, d'une abscisse curviligne 25 et d'une incertitude associée. On entre alors en mode nominal. Les entrées sont alors la position courante P fournie par la solution de localisation géographique (position, cap, vitesse, incertitudes) et le segment précédent (ou les segments précédents), qui est fourni soit par le 30 mode "mit" soit par la liste de segments candidats issus du pistage de premier niveau du cycle précédent (ces segments étant fournis avec leurs abscisses curvilignes), à laquelle on a ajouté ou enlevé les segments identifiés par le pistage de deuxième niveau 3b. A partir de ces entrées on 19 recalcule l'ensemble des segments possibles et les abscisses curvilignes associées au temps courant comme suit. Soit P la position courante et soit un segment candidat issu de 5 l'itération précédente que l'on nomme id. Soit s l'abscisse curviligne associée au point estimé P1 du segment candidat. En P1 on calcule le vecteur directeur de la tangente au segment. On projette le vecteur P1P sur le vecteur directeur calculé plus haut. La valeur du produit scalaire donne une approximation de l'écart d'abscisse curviligne (As) entre le point P1 et le 10 point P projeté sur la voie. On actualise la valeur de s avec s = s + As pour recalculer un nouveau point P1. On itère jusqu'à ce que le produit scalaire soit devenu faible pour obtenir une nouvelle position estimée sur la voie P2. Sur la figure 12, on représente le rail en traits interrompus courts, P1 la position estimée sur le segment à l'instant précédent, P la position courante 15 envoyée par la localisation géographique intègre et P2 la position après itération. Si la position P2 a une abscisse curviligne supérieure à la longueur déclarée du segment id, on recherche dans la base de données 20 intègre 2 quel est le segment suivant. Si le segment suivant n'est pas une jonction, on passe sur le nouveau segment avec une nouvelle abscisse curviligne. Si le segment suivant est une jonction, on crée un nouveau candidat possible et en sortie on a deux segments possibles avec deux abscisses curvilignes. 25 La résolution d'aiguillage dans le pistage en ligne 3a n'est réalisée que si : on est en mode dégradé (en mode nominal, il n'y a rien à résoudre et en mode "mit" c'est le pistage de deuxième niveau 3b qui réalise le 30 travail), et si la position et son incertitude sont entièrement contenues dans les segments candidats. En effet dans le cas contraire, on pourrait aboutir à des conclusions erronées: comme dans l'exemple qui suit illustré par les figures 13 et 14. 20 Sur l'exemple des figures 13 et 14, les segments S20 et S50 sont les segments candidats. Dans la première configuration de la figure 13, la résolution d'aiguillage est activée. Dans la seconde configuration de la figure 5 14 la résolution d'aiguillage est désactivée car l'incertitude déborde sur le segment S51. Dans la seconde configuration, on risque de choisir le segment 20 car le cap de position vraie est cohérent avec le segment 20 et que les deux segments candidats sont les segments 20 et 50. 10 La résolution d'aiguillage peut se faire de trois manières : par comparaison instantanée du cap entre le cap de la solution de localisation géographique et le cap des segments candidats à l'abscisse curviligne estimée, - en regardant si un seul segment est contenu dans l'ellipse de 15 confiance, et - par corrélation entre les caps successifs issus du module de localisation géographique intègre et les caps successifs pris par chacun des segments candidats sur une longueur donnée, ceci permet de supprimer l'erreur de cap liée à l'incertitude de position. 20 A l'issue de la résolution d'aiguillage, on a à disposition un ensemble de segments candidats et leurs abscisses curvilignes associées qu'il est possible de transmettre au pistage de deuxième niveau. 25 En mode nominal lorsque la position estimée et l'incertitude sont contenues dans le segment candidat, on peut calculer les mesures de pistage. Il s'agit de l'écart latéral par rapport à la voie et du cap estimé à l'abscisse curviligne estimée. Ces informations sont envoyées au dispositif de localisation géographique intègre avec leurs incertitudes associées. 30 L'incertitude dépend de la précision de la base de données et de l'incertitude sur l'abscisse curviligne. L'écart latéral par rapport à la voie est calculé comme le produit scalaire entre le vecteur directeur perpendiculaire à la voie à l'abscisse 35 curviligne estimée et le vecteur P2P où P2 est la position estimée sur la voie 21 et P est la position estimée envoyée par le dispositif de localisation géographique. Ci-suit le détail de la résolution des segments candidats. 5 La résolution en mode "mit" ne fait pas d'hypothèse sur les segments pouvant être candidats. On part d'une estimation de position et de son ellipse de confiance 10 issue de la localisation intègre : croix et ellipse en traits pleins sur la figure 15 dans le schéma ci-dessous. Pour tous les segments de la base de données intègre 2 (tous les segments sont de potentiels candidats), on recherche ceux qui sont inclus dans l'ellipse. 15 Pour regarder si un segment appartient à une ellipse, on commence par échantillonner le segment. La distance d'échantillonnage doit être une fraction de la longueur minimale entre l'incertitude de position et la longueur de segment. Ensuite pour chaque point, on regarde si celui-ci est contenu dans l'ellipse : les points contenus dans une ellipse de grand axe a 20 et de petit axe b satisfont à l'équation : u2 D /a2+v2p-2 L (autrement dit si la partie du segment partant de l'abscisse s et arrivant à la fin du segment id appartient à l'ellipse de confiance), 5 alors l'ensemble des segments qui succèdent directement à id sont recherchés dans la base de données. La valeur de R est alors mise à jour pour les prochains segments R = R-(L-s), Pour chaque successeur immédiat de id noté id1 de longueur notée L1, la même procédure est appliquée. Si R-Ll >0, alors les 10 successeurs immédiats de id1 sont recherchés dans la base de données et la valeur de R est encore réduite R = R - L1, L'opération précédente recommence jusqu'à ce que R vaille zéro. A la fin de la procédure, une liste de segments successeurs est 15 disponible et pour chaque segment successeur, une abscisse minimale et une abscisse maximale est associée. La même opération est réalisée dans l'autre sens pour les segments prédécesseurs. Dans les faits un segment de longueur supérieure à R peut être 20 contenu dans l'ellipse de confiance puisque les segments ne sont pas des droites. Les segments et les abscisses trouvés dans la méthode précédente sont complétés en faisant une recherche des segments dont au moins un point est contenu dans l'ellipse à l'aide de la méthode présentée dans le mode "mit". Seulement les segments suivants et précédents de chaque 25 segment fourni par le pistage de premier niveau ont retenus. Les segments suivants et précédents sont obtenus en parcourant la base de données en partant de chaque segment fourni par le pistage en ligne. La mise en place des deux méthodes décrites précédemment est plus rigoureuse vis-à-vis des données d'intégrité fournies par le dispositif de 30 localisation géographique intègre 1 que l'utilisation simplement basée sur la recherche des segments dans l'ellipsoïde, puisque l'incertitude est prise en compte suivant le sens de la voie. 24 Cette recherche des segments successeurs et prédécesseurs permet de gérer le fait que l'on ne puisse pas sauter d'un segment à un autre sans passer par une jonction: règle R2. En effet un segment inclus dans l'ellipse, qui n'est ni le successeur ni le prédécesseur d'un segment candidat 5 issu de la recherche détaillée plus haut, n'est pas candidat. On détermine ensuite la direction d'avancement. La vitesse est obtenue par projection du vecteur vitesse géographique, produit par le dispositif de localisation géographique, sur la direction de la tangente au segment. L'intervalle de protection de la vitesse est l'intervalle délimité par 10 l'intersection de l'ellipse de protection de vitesse, produit par le dispositif de localisation géographique, avec le segment. Le sens du déplacement est identifié de manière sure lorsque le module de la vitesse est supérieur au demi-intervalle de protection de vitesse. Si la direction d'avancement ne change pas, les segments qui 15 sont des segments prédécesseurs d'un segment successeur, ou les segments qui sont des segments successeurs d'un segment prédécesseur, ne pourront pas être candidats. Sinon cela signifierait que le train a changé de sens (voir exemple ci-dessous) : il s'agit ici de la règle R3. C'est pour cette raison que ces segments ne sont pas recherchés dans la méthode 20 décrite précédemment. Si la direction d'avancement change ou si la direction d'avancement est inconnue (la règle R3 ne s'applique plus), pour chaque segment successeur obtenu à la partie précédente, on regarde, pour chaque segment successeur obtenu par le traitement décrit précédemment, si son 25 segment précédent est déclarée comme une jonction dans la base de données intègre 2. Si c'est le cas, tous les segments précédant cette jonction doivent être ajoutés à la liste des candidats du pistage de premier niveau (transition [B]). Pour chaque segment prédécesseur obtenu par le traitement 30 décrit précédemment, on regarde de la même façon si son segment suivant est une jonction. Si c'est le cas tous les segments suivant ce segment doivent être ajoutés à la liste des candidats du pistage de premier niveau (transition [B]). 25 S'il y a trop de jonctions à résoudre on repasse en mode "mit" car les segments envoyés par le pistage de premier niveau (segments représentant une information passée) ne présentent plus d'intérêt. Sur l'exemple de la figure 17 on se déplace de la gauche vers la 5 droite (direction d'avancement connue), le mode est "nominal" et le pistage de premier niveau donne le segment S18. En traits interrompus courts on représente les segments candidats. Les segments S60 et S61 ne peuvent pas être candidats car il faudrait un changement de direction (règle 3). Les segments S80 et S81 ne peuvent pas être candidats car il faut passer par 10 une jonction (règle 2). L'application de la méthode citée précédemment permet bien de déterminer l'ensemble des segments candidats en respectant les règles R1, R2 et R3. Sur la figure 18, la direction d'avancement devient impossible à déterminer, le mode est "nominal", et le pistage en ligne donne en entrée le 15 segment S18. Dans ce cas les segments S60 et S61 deviennent candidats et le segment S61 est ajouté à la liste des candidats de la liste de pistage de premier niveau. En effet imaginons que la position réelle soit représentée par l'étoile jaune et que le train reparte dans l'autre sens en passant par S61. Si 20 S61 n'est pas candidat, l'aiguillage n'est pas résolu et le train n'est pas indiqué sur le bon segment. Pour trier les segments candidats on identifie les segments compatibles avec le cap produit par le dispositif de localisation géographique intègre. Celui-ci doit être compris entre le cap minimum et le cap maximum 25 de la portion de segment candidat. Ces bornes minimum et » maximum doivent prendre en compte l'incertitude du cap du dispositif de localisation géographique intègre ainsi que l'incertitude de la base de données cartographiques intègre. S'il n'y a pas eu de changement de direction et si la direction est 30 connue, alors un segment ne peut être candidat que si son segment précédent a déjà été candidat. Cet algorithme permet de gérer la règle R4 sur la variation de cap. Cet algorithme peut être complété par une 26 surveillance de la variation temporelle du cap du dispositif de localisation géographique intègre. Sur l'exemple des figures 19 et 20, la jonction d'aiguillage S19 n'a pas encore été résolu. Le pistage de premier niveau a identifié les segments 5 candidats S20 et S50. Les candidats du pistage de deuxième niveau, après application des méthodes de sélection précédentes, sont S18, S20, 850 et S21. S51 n'est pas candidat car son cap n'est pas compatible avec le cap du dispositif de localisation géographique intègre. Lorsque le train se déplace (on imagine qu'il prend la branche du bas), puisque les segments S51 et S52 10 ne sont pas candidats (à cause du critère sur le cap), alors S53 ne peut pas être candidat, bien que son cap soit compatible. Ainsi l'aiguillage S19 est résolu correctement en sélectionnant la branche S20 et S21. La recherche de segments candidats contribue ainsi à résoudre les aiguillages. Elle permet de repasser en mode "nominal" en supprimant les 15 segments qui ne sont plus candidats. Elle actualise alors la liste des segments en ligne (transition [C]). Pour la construction des mesures, le pistage permet de réduire l'incertitude de position en supprimant des segments candidats non compatibles des données de localisation géographique via les règles citées 20 plus haut (notamment en utilisant le cap de la base de données). Si l'incertitude de position à l'issue du pistage est inférieure à l'incertitude de la position de localisation géographique et que le mode est nominal, on peut recaler le filtre du dispositif de localisation géographique à l'aide d'une mesure de position fournie par le pistage. Cette mesure de 25 position permet de réduire l'incertitude de position. Concernant la fourniture, à l'utilisateur, du ou des segments et l'incertitude associée, elle comprend les éléments suivants : trois coordonnées de la position estimée issue de la localisation 30 géographique intègre ; trois coordonnées de la vitesse estimée issue de la localisation géographique intègre ; 27 un segment estimé et une abscisse curviligne associée, en mode "nominal" ; - une vitesse estimée et une incertitude associée, en mode "nominal" ; 5 - une direction de déplacement, si le module de la vitesse est plus grande que son incertitude, en mode "nominal" ; - une incertitude de position traduite par un ensemble de segments avec leurs abscisses minimales et maximales dans tous les modes ; et 10 un indicateur du mode de pistage ("nominal", "dégradé", "mit"). Le système peut être utilisé seul, pour des applications à criticité de l'ordre de 10-5/h à 10-71h. Pour fournir un service de criticité "catastrophique" (10-91h à 10-19/h), on peut utiliser deux dispositifs de 15 localisation géographique intègres 1, ibis chacun utilisant un dispositif intègre dissemblable de l'autre, comme illustré sur la figure 21. Un module de consolidation 4 de type "com/mon" assure alors la consolidation des sorties des deux dispositifs de pistage, à l'instar de ce qui 20 est fait dans les systèmes aéronautiques critiques. Par exemple la position consolidée est un barycentre pondéré entre la position du dispositif principal et celle du dispositif additionnel et dont l'intervalle de protection consiste en la réunion des intervalles de protection du dispositif principal et du dispositif secondaire. 25 Si le risque de non-intégrité du dispositif 1, 2, 3 est 10-6/h et le risque de non-intégrité du dispositif bis ibis, 2bis, 3bis est 10-3/h, alors la probabilité d'avoir les deux sources défaillantes simultanément est 10-9/h. Cette amélioration est vraie si les deux dispositifs n'ont pas de mode 30 commun jusqu'à 10-9/h. Un exemple de la figure 21 est constitué d'un dispositif 1, 2, 3 (chaine "commande") dont la source est une hybridation GPS/UMI et un dispositif bis (chaine "monitoring") dont la source est une hybridation 28 Galileo/UMI, en considérant que les systèmes GPS et Galileo sont indépendants, moyennant certaines précautions pour traiter le mode commun qu'est la perturbation des signaux GPS et Galileo au voisinage du sol. 5 Dans cet exemple, la base de données peut constituer un mode commun. Pour réduire ce mode commun, on peut limiter l'utilisation de la base de données dans l'une des deux chaines. Ainsi sur la figure 21, la source du dispositif 1, 2, 3 utilise les mesures d'écart à la voie produite par le lo dispositif de pistage, alors que la source du dispositif bis Ibis, 2bis, 3bis n'utilise pas les mesures d'écart à la voie. La conséquence est que la précision du dispositif bis est moindre, mais c'est en partie compensé par le fait que les rayons de protection du dispositif bis sont calculés pour une moindre criticité (10-3/h au lieu de 10-6/h). REVENDICATIONS1. Système de localisation intègre et autonome d'un train dans un référentiel de réseau ferroviaire comprenant : un dispositif (1) de localisation géographique intègre dans un référentiel géographique global configuré pour fournir la position, la vitesse, et le cap du train ainsi que leurs protections d'intégrité respectives vis-à-vis d'événements redoutés pouvant affecter le dispositif de localisation géographique intègre ; une base de données (2) cartographiques intègre du réseau ferroviaire configurée pour fournir des données représentant géographiquement le réseau ferroviaire sous forme de segments ; et un dispositif (3) de pistage du train configuré pour déterminer de manière autonome un identifiant de segment de réseau ferroviaire sur lequel se trouve le train, une position intègre du train sur ce segment dans le référentiel de réseau ferroviaire, et l'intervalle de protection associé à la position du train sur le segment à partir de données fournies par la base de données cartographiques intègre et des positions, vitesses, caps et protections d'intégrité fournies par le dispositif de localisation géographique intègre, par résolution d'ambiguïtés de segments candidats. 2. Système selon la revendication 1, dans lequel le dispositif de pistage (3) est configuré pour fournir rétroactivement, au dispositif de localisation géographique intègre (1), des mesures intègres d'écart latéral et d'écart de cap du train par rapport à la voie ferrée du réseau ferroviaire. 3. Système selon la revendication 1 ou 2, dans lequel le dispositif de pistage (3) est configuré pour fournir rétroactivement, au dispositif de localisation géographique intègre (1), des informations représentatives de l'environnement de la voie ferrée. 4. Système selon l'une des revendications précédentes, dans lequel le dispositif de pistage est configuré pour : 30 - éliminer les segments candidats non contenus au moins en partie dans l'ellipse d'incertitude fournie par le dispositif de localisation géographique intègre, - comparer l'angle de cap fourni par le dispositif de localisation 5 géographique intègre et l'angle de cap des segments de la base de données compatibles avec le chainage du réseau ferroviaire, et - sélectionner les segments compatibles avec l'incertitude de cap fournie par le dispositif de localisation géographique intègre, et dont le segment suivant ou le segment précédent selon la direction 10 d'avancement a déjà été un segment candidat. 5. Système selon l'une des revendications précédentes, dans lequel le dispositif de pistage est configuré pour effectuer une corrélation le long de l'abscisse curviligne entre les angles de cap successifs fournis par le 15 dispositif de localisation géographique intègre et les caps successifs pris par chacun des segments candidats, de manière à sélectionner un segment unique. 6. Système selon l'une des revendications précédentes, dans lequel le 20 dispositif de pistage (3) est configuré pour déterminer une vitesse et un sens de déplacement intègres du train, par projection sur la direction du segment courant de la vitesse et son ellipse d'erreur fournies par le dispositif de localisation intègre. 25 7. Système selon l'une des revendications précédentes, dans lequel lesdites données représentant le réseau ferroviaire sous forme de segments comprennent pour chaque segment les coordonnées dans le référentiel géographique global, la longueur du segment, la valeur d'un paramètre représentatif de la courbure et de sa variation, et la valeur de 30 paramètres de chaînage du segment avec d'autres segments. 8. Système selon l'une des revendications précédentes, dans lequel le dispositif de localisation géographique intègre comprend un récepteur GNSS, une centrale inertielle, et un module d'hybridation des données 35 inertielles et GNSS fournies par le récepteur GNSS et la centrale inertielle. 31 9. Système selon l'une des revendications précédentes, comprenant : un dispositif additionnel (1 bis) de localisation géographique intègre dans un référentiel géographique global, différent du dispositif de 5 localisation géographique intègre, configuré pour fournir la position, la vitesse, et le cap du train ainsi que leurs protections d'intégrité respectives ; une base additionnelle (2bis) de données cartographiques intègre du réseau ferroviaire, identique ou similaire à la base de données 10 cartographiques intègre du réseau ferroviaire, configurée pour fournir des données représentant le réseau ferroviaire sous forme de segments ; un dispositif additionnel (3bis) de pistage du train, identique ou similaire au dispositif de pistage du train, configuré pour déterminer 15 une position intègre et autonome du train dans le référentiel de réseau ferroviaire et un identifiant de segment de réseau ferroviaire correspondant, à partir de données fournies par ladite base de données additionnelle cartographiques intègre et des positions, vitesses, caps et protections d'intégrité respectives fournies par le 20 dispositif additionnel de localisation géographique intègre, par résolution d'ambiguïtés de segments candidats ; et un module de consolidation (4) des protections d'intégrités fournies par le dispositif de pistage du train et le dispositif additionnel de pistage du train fournissant un identifiant de segment consolidé et une position 25 consolidée sur le segment, ainsi que l'intervalle de protection consolidée, de sorte que le risque de non intégrité des sorties consolidées soit bien plus petit que le risque de non intégrité des sorties des deux dispositifs pris séparément, la position consolidée étant calculée par barycentre pondéré de la position du dispositif 30 principal et du dispositif additionnel, et l'intervalle de protection étant calculé par la réunion des intervalles de protection du dispositif principal et du dispositif secondaire.