Dispositif de commande à redondance destiné à équiper une serrure

Abstract

 La présente invention concerne un dispositif (20) de commande à redondance destiné à équiper une serrure comprenant un mécanisme (21) pour verrouiller et déverrouiller une porte, le dispositif (20) pouvant gérer un changement d'état de cette serrure suivant des conditions prédéterminées, et garantir le maintien de l'état en cours jusqu'au prochain changement d'état. Ce dispositif (20) comprend un système (23) de commande comprenant des moyens (30) pour commander le mécanisme (21), et deux unités (31; 32) destinées à fournir des consignes semblables aux moyens (30). Ce dispositif (20) est caractérisé en ce que les moyens (30) se comportent fonctionnellement en tant que porte ET aux entrées de laquelle les consignes des unités (31; 32) sont fournies respectivement, quand le dispositif (20) fonctionne en situation normale. De préférence, la première unité (31) a une structure différente de celle de la seconde unité (32), tout en réalisant des fonctions communes.

Description

[0001] La présente invention concerne le domaine de la serrurerie et, plus particulièrement, un dispositif de commande à redondance destiné à équiper une serrure d'une porte d'accès à un site protégé, ce dispositif étant propre à gérer un changement d'état de la serrure, et à maintenir son état en cours.

[0002] De façon générale, il existe trois types de serrures pour équiper une porte d'accès à un site protégé par une enceinte telle qu'un coffre-fort et une chambre forte : des serrures électroniques ou horaires, des serrures à combinaison et des serrures à retardement ou à temporisation. A titre illustratif, la figure 1 représente une serrure horaire classique comprenant un mécanisme 1 pour verrouiller et déverrouiller une porte d'accès du type susmentionné, par l'intermédiaire d'un pêne 3 de cette serrure. Le mécanisme 1 est commandé par un dispositif de commande 2 électronique, et est relié mécaniquement au pêne 3. Le mécanisme 1 est conçu pour bloquer le pêne 3 dans une certaine position (typiquement en position de verrouillage), pendant une durée prédéterminée définie par le dispositif de commande 2. Le dispositif de commande 2 comprend des moyens de déclenchement 4 destinés à demander un changement d'état de serrure, et des moyens de commande 5 destinés à commander ce changement d'état. A cet effet, les moyens de déclenchement 4 sont reliés électriquement aux moyens de commande 5 qui sont mécaniquement reliés au mécanisme 1, de telle sorte que les moyens de déclenchement 4 peuvent fournir aux moyens de commande 5 une demande d'un changement d'état de la serrure, et que les moyens de commande 5 peuvent commander au mécanisme 1 ce changement, c'est-à-dire le verrouillage ou le déverrouillage de la porte d'accès. Le dispositif de commande 2 comprend en outre un mécanisme d'horlogerie formé essentiellement par une horloge interne 6 pour définir l'écoulement du temps réel, et par une mémoire de stockage 7 pour stocker des informations horaires fournies par un utilisateur externe, par l'intermédiaire d'une interface d'utilisateur 8. En outre, l'interface d'utilisateur 8 comprend des moyens d'affichage (non représentés en figure 1) pour fournir, à un utilisateur externe, des informations relatives au fonctionnement du dispositif de commande 2.

[0003] Bon nombre de dispositifs de commande électroniques ont été proposés pour garantir une sécurité optimale des sites à protéger. Les dispositifs de commande les plus couramment utilisés reposent sur le principe de redondance appliqué aux composants électroniques qu'ils emploient, de sorte que, en cas de défaillance de l'un des composants électroniques, l'autre composant électronique peut assurer le déverrouillage de la porte d'accès pour éviter une intervention extérieure destructive sur cette porte ou sur sa serrure. On a également appliqué ce principe de redondance à des composants mécaniques, par exemple dans des serrures à temporisation. A titre d'exemple, la demande de brevet français publiée sous le No 2 661 938 au nom de CIPOSA MICROTECHNIQUES décrit une serrure munie d'un dispositif de commande comprenant deux mouvements temporisés mécaniques semblables. Typiquement, le soir, on fournit à ces deux mouvements la même durée de verrouillage de la porte d'accès, de telle sorte qu'au moins un des mouvements commande le déverrouillage de la porte d'accès le lendemain matin.

[0004] Or, la demanderesse de la présente invention a constaté qu'une telle duplication du matériel n'apporte pas une solution satisfaisante pour garantir le déverrouillage de la porte d'accès aux conditions prédéterminées. En effet, si un dispositif de commande à redondance comprenant deux composants semblables est soumis à une perturbation quelconque, les mêmes effets de cette perturbation apparaissent sur ces deux. Composants, du fait qu'ils sont semblables. De même, s'il existe, par exemple, un dysfonctionnement du logiciel régissant divers composants électroniques de deux systèmes semblables d'un dispositif de commande à redondance, ces composants présentent alors la même probabilité d'apparition de perturbations par rapport audit dysfonctionnement, de nouveau, du fait qu'ils sont semblables.

[0005] Un objet de la présente invention est de prévoir un dispositif de commande à redondance destiné à équiper une serrure, ce dispositif de commande palliant les problèmes susmentionnés.

[0006] Un autre objet de la présente invention est de prévoir un tel dispositif de commande susceptible de s'adapter à différents types de serrures.

[0007] Un autre objet de la présente invention est de prévoir un tel dispositif de commande qui présente une immunité optimale contre les perturbations.

[0008] Un autre objet de la présente invention est de prévoir un tel dispositif de commande répondant aux exigences de coût, de simplicité et d'encombrement.

[0009] Ces objets, ainsi que d'autres, sont atteints par le dispositif de commande à redondance selon la revendication 1.

[0010] Un avantage des moyens de commande du dispositif de commande à redondance selon la présente invention est de réaliser un changement d'état de serrure seulement quand les deux unités fournissent simultanément la même consigne de demande de changement d'état, ce qui réalise une redondance améliorée par rapport aux dispositifs de commande à redondance selon l'art antérieur.

[0011] Grâce à d'autres caractéristiques du dispositif de commande à redondance selon la présente invention, un avantage des deux unités électroniques de ce dispositif de commande réside dans le fait que chaque unité électronique peut détecter un dysfonctionnement de l'autre unité, et peut déclencher une procédure destinée à rétablir un fonctionnement en situation normale du dispositif de commande perturbé, ou une procédure destinée à activer le système de secours, en cas d'ultime recours, ce qui assure à ce dispositif de commande une immunité optimale contre les perturbations.

[0012] Grâce à d'autres caractéristiques du dispositif de commande à redondance selon la présente invention, un avantage de l'unité intermédiaire de ce dispositif de commande est de réaliser une intercession lors d'un transfert de données entre lesdites unités électroniques, chaque unité électronique pouvant accéder sélectivement à l'unité intermédiaire, ce qui assure à ce dispositif de commande une excellente immunité contre les perturbations.

[0013] Grâce à d'autres caractéristiques du dispositif de commande à redondance selon la présente invention, un avantage des signaux statiques de contrôle de ce dispositif de commande est de pouvoir contrôler avec précision le niveau de chaque signal statique, ce qui permet de contrôler l'activité en cours, et donc d'assurer à ce dispositif de commande une grande immunité au bruit par rapport à un fonctionnement basé sur des signaux dynamiques.

[0014] Grâce à d'autres caractéristiques du dispositif de commande à redondance selon la présente invention, un avantage du système de commande à redondance de ce dispositif de commande est d'éviter un déclenchement inutile du système de secours, quand le système de commande est capable de rétablir lui-même le fonctionnement en situation normale du dispositif de commande.

[0015] Les objets, caractéristiques et avantages, ainsi que d'autres, de la présente invention apparaîtront plus clairement à la lecture de la description détaillée d'un mode de réalisation préféré de l'invention, donné à titre d'exemple uniquement, en relation avec les figures jointes, parmi lesquelles :

• la figure 1 déjà citée représente une serrure horaire équipée d'un dispositif de commande électronique, selon l'art antérieur;
• la figure 2 représente un schéma sous forme de blocs d'un mode de réalisation préféré d'un dispositif de commande à redondance selon la présente invention;
• la figure 3 représente de façon détaillée le dispositif de commande de la figure 2;
• la figure 4 représente des chronogrammes de fonctionnement du dispositif de commande à redondance selon la présente invention, dans le cas d'une situation normale; et
• la figure 5 représente des chronogrammes de fonctionnement du dispositif de commande à redondance selon la présente invention, dans le cas d'une situation d'exception.

[0016] La figure 2 représente un schéma sous forme de blocs d'un mode de réalisation préféré d'un dispositif de commande 20 à redondance selon la présente invention. Le dispositif de commande 20 est destiné à équiper une serrure d'une porte d'accès à un site protégé, cette serrure comprenant un mécanisme 21 pour verrouiller et déverrouiller la porte d'accès. Le mécanisme 21 est relié mécaniquement à un pêne 22 de ladite serrure, par un moteur (non représenté) susceptible de changer la position du pêne 22, pour réaliser le verrouillage ou le déverrouillage de la porte d'accès. Le dispositif de commande 20 comprend un système de commande 23 à redondance destiné à commander le mécanisme 21. Le dispositif de commande 20 comprend également un système de chien de garde 24 propre à déclencher un système de secours 25 pouvant commander un déverrouillage de la porte d'accès, quand aucune présence d'activité n'est détectée dans le système de commande 23.

[0017] Le dispositif de commande 20 peut aussi comprendre avantageusement un système de détection de changement de position de pêne 26, une interface d'utilisateur 27, un indicateur extérieur 28 et des alarmes 29.

[0018] Comme le représente la figure 2, le pêne 22 comprend des premiers et deuxièmes moyens de liaison reliés mécaniquement au mécanisme 21 et au système de secours 25, respectivement, comme cela va être décrit de façon détaillée. Ainsi, le pêne 22 peut être actionné par le mécanisme 21 ou par le système de secours 25. Le pêne 22 comprend également des troisièmes moyens de liaison reliés mécaniquement au système de détection de changement de position de pêne 26, comme cela va également être décrit de façon détaillée. De préférence, le pêne 22 est réalisé classiquement, comme cela est connu de l'homme de l'art.

[0019] Le système de détection de changement de position de pêne 26 comprend des premiers et seconds moyens de liaison. Ces premiers moyens de liaison sont reliés mécaniquement aux troisièmes moyens de liaison du pêne 22. Les seconds moyens de liaison du système de changement de position de pêne 26 sont reliés électriquement au système de commande 23, comme cela va être décrit de façon plus détaillée. Le système de détection de changement de position de pêne 26 comprend des moyens de fourniture de signaux agencés de sorte qu'ils fournissent des signaux au système de commande 23, quand un changement de position du pêne 22 a lieu. A cet effet, le système de détection de changement de position de pêne 26 est formé, de préférence, par un interrupteur mécanique connu en soi.

[0020] Le mécanisme 21 comprend des premiers, deuxièmes et troisièmes moyens de liaison. Ces premiers moyens de liaison sont reliés mécaniquement aux premiers moyens de liaison du pêne 22. Les deuxièmes et troisièmes moyens de liaison du mécanisme 21 sont reliés électriquement au système de commande 23, comme cela va être décrit de façon plus détaillée. De préférence, le mécanisme 21 est réalisé classiquement, comme cela est connu de l'homme de l'art.

[0021] Le système de commande 23 comprend des moyens de commande 30 susceptibles de commander le mécanisme 21, des première et seconde unités désignées 31 et 32, respectivement, pour fournir des première et seconde consignes aux moyens de commande 30, respectivement, et une unité intermédiaire 33 reliée électriquement aux unités 31 et 32.

[0022] Les moyens de commande 30 comprennent des premiers et seconds moyens de liaison. Ces premiers moyens de liaison sont reliés électriquement aux deuxièmes moyens de liaison du mécanisme 21, de sorte que les moyens de commande 30 peuvent commander au mécanisme 21 d'actionner le pêne 22. Les seconds moyens de liaison des moyens de commande 30 sont reliés électriquement aux unités 31 et 32, comme cela va être décrit de façon plus détaillée. De préférence, les moyens de commande 30 sont formés par un composant commercialisé par National sous le nom 74251.

[0023] Pour l'essentiel, l'unité 31 a une première structure et un premier fonctionnement, et l'unité 32 a une seconde structure et un second fonctionnement. Ces deux unités sont agencées de telle sorte que les première et seconde structures sont sensiblement différentes, et que les premier et second fonctionnements sont également sensiblement différents, tout en réalisant des fonctions communes. Typiquement, ces fonctions communes sont la garantie du maintien de l'écoulement du temps, le verrouillage et le déverrouillage de la porte d'accès selon des conditions horaires prédéterminées, le contrôle de la présence d'activité de l'autre unité, et/ou le contrôle de la validité de codes d'accès.

[0024] Ainsi, chaque unité 31, 32 comprend un résonateur à quartz et des moyens pour garantir le maintien de l'écoulement du temps. Chaque unité 31, 32 comprend également des moyens de fourniture de signaux de contrôle pour fournir à l'autre unité 32, 31 des signaux de contrôle représentant l'activité en cours de ladite unité 31, 32, cette unité 31, 32 étant susceptible de réaliser une pluralité d'activités.

[0025] Chaque unité 31, 32 comprend également des premiers, deuxièmes, troisièmes et quatrièmes moyens de liaison, comme cela va être décrit de façon plus détaillée. Pour l'essentiel, les premiers moyens de liaison des unités 31 et 32 sont reliés électriquement entre eux, ainsi qu'aux seconds moyens de liaison des moyens de commande 30, et qu'aux troisièmes moyens de liaison du mécanisme 21. Les deuxièmes moyens de liaison des unités 31 et 32 sont reliés électriquement entre eux, et les troisièmes moyens de liaison des unités 31 et 32 sont également reliés électriquement entre eux, ainsi qu'à l'unité intermédiaire 33, comme cela va être décrit de façon plus détaillée. Les quatrièmes moyens de liaison des unités 31 et 32 sont reliés électriquement au système de chien de garde 24, comme cela va également être décrit de façon plus détaillée.

[0026] L'unité 31 comprend également des moyens de mesure pour mesurer les niveaux d'alimentation électrique, des moyens de fourniture de signaux de commande d'alarme pour fournir des signaux de commande d'alarme quand une perturbation ou une situation anomale est détectée, et des moyens de commande pour commander un affichage à des moyens d'affichage, par exemple l'indicateur extérieur 28. A cet effet, l'unité 31 comprend des cinquièmes, sixièmes, septièmes et huitièmes moyens de liaison, comme cela va être décrit de façon plus détaillée.

[0027] L'unité 31 a ainsi une architecture plus complexe que l'unité 32. De préférence, l'unité 31 est formée par un composant commercialisé par Hitachi sous le nom H8/3834, et l'unité 32 est formée par un composant commercialisé par NEC sous le nom UPD75P0016.

[0028] Grâce à sa structure plus complexe, l'unité 31 réalise des fonctions plus complexes que l'unité 32. Ainsi, l'unité 31 gère l'interface d'utilisateur 27, et le port de communication avec des systèmes périphériques tel que l'indicateur extérieur 28 et les alarmes 29. L'unité 31 gère également le système de détection de position de pêne 26. A cet effet, les seconds moyens de liaison du système de détection de position de pêne 26 sont reliés électriquement aux cinquièmes moyens de liaison de l'unité 31.

[0029] L'unité intermédiaire 33 comprend des moyens de liaison reliés électriquement aux troisièmes moyens de liaison des unités 31 et 32. L'unité intermédiaire 33 est constituée de moyens de mémorisation à deux accès, dans lesquels chaque unité 31, 32 peut stocker des données destinées à être fournies ultérieurement à l'autre unité 32, 31. Ces moyens de mémorisation sont constitués, de préférence, d'une mémoire non volatile et, encore de préférence, d'une mémoire EEPROM.

[0030] La mémoire EEPROM comprend une zone partagée pour stocker des données provenant d'une des unités 31 et 32, et destinées à être fournies ultérieurement à l'autre unité. La mémoire EEPROM est agencée de sorte que les deux unités 31 et 32 peuvent accéder de façon alternée à la zone partagée, pour protéger la cohérence des données échangées avec la mémoire EEPROM, notamment dans le cas où l'une des unités 31 et 32 est le siège d'une perturbation ou d'une situation anomale. Autrement dit, la mémoire EEPROM fonctionne en tant qu'intercesseur lors d'un transfert de données entre les unités 31 et 32. En outre, la mémoire EEPROM assure le maintien du journal des événements liés aux transactions effectuées sur la serrure, aux changements d'état de la serrure, à la détection de perturbations et de situations anomales.

[0031] La mémoire EEPROM comprend en outre une zone protégée réservée dont l'accès en écriture est réservé à l'unité 31. Cette zone protégée réservée est destinée à stocker des paramètres programmés par l'utilisateur, et des variables de fonctionnement. A titre d'exemple, les paramètres programmés comprennent les données horaires relatives à un déverrouillage et/ou à un verrouillage de la porte d'accès, les codes d'accès, et des variables d'identité de la serrure, et les variables de fonctionnement comprennent les seuils de tension nominaux, la valeur d'erreur absolue de la fréquence de vibration du cristal de quartz, et des paramètres liés à des normes de qualité.

[0032] La mémoire EEPROM est formée, de préférence, par un composant commercialisé par XICOR sous le nom X24325S.

[0033] Le système de chien de garde 24 comprend des premiers, deuxièmes et troisièmes moyens de liaison. Ces premiers et deuxièmes moyens de liaison sont reliés électriquement aux quatrièmes moyens de liaison des unités 31 et 32, respectivement. Les troisièmes moyens de liaison du système de chien de garde 24 sont reliés électriquement au système de secours 25, comme cela va être décrit de façon plus détaillée. Le système de chien de garde 24 est décrit dans le brevet européen 0 256 430. Pour l'essentiel, le système de chien de garde 24 est constitué de moyens de détection pour détecter la présence d'activité des unités 31 et 32, et de moyens de déclenchement pour déclencher le système de secours 25, quand les deux unités 31 et 32 ne fonctionnent plus pendant une période supérieure à une durée prédéterminée, typiquement 5 s.

[0034] Le système de secours 25 comprend des premiers et seconds moyens de liaison. Ces premiers et seconds moyens de liaison sont reliés électriquement aux troisièmes moyens de liaison du système de chien de garde 24, et mécaniquement aux deuxièmes moyens de liaison du pêne 22. Le système de secours 25 comprend en outre un moteur supplémentaire et des moyens de commande agencés de sorte qu'ils peuvent commander ce moteur pour réaliser un changement de position du pêne 22, quand aucune présence d'activité n'est détectée dans le système de commande 23, par le système de chien de garde 24.

[0035] L'interface d'utilisateur 27 comprend des moyens de liaison reliés électriquement aux sixièmes moyens de liaison de l'unité 31. Typiquement, l'interface d'utilisateur 27 comprend un affichage à cristaux liquides et un clavier.

[0036] L'indicateur extérieur 28 comprend des moyens de liaison reliés électriquement aux septièmes moyens de liaison de l'unité 31. Typiquement, l'indicateur extérieur 28 comprend des moyens d'affichage, un calculateur et un clavier. Ces différents composants sont situés en dehors du site protégé, et sont agencés de sorte qu'un utilisateur se trouvant à l'extérieur de ce site peut fournir à l'unité 31 les codes d'accès, restituer l'état de la serrure, et verrouiller la porte d'accès, par l'intermédiaire de l'indicateur extérieur 28. Il va de soi que ces différentes fonctions ne sont données qu'à titre illustratif.

[0037] Les alarmes 29 comprennent des moyens de liaison reliés électriquement aux huitièmes moyens de liaison de l'unité 31. Les alarmes 29 comprennent en outre des moyens de fourniture de signaux d'alarme, ces moyens étant agencés de sorte qu'ils fournissent des signaux d'alarme, quand ils reçoivent les signaux de commande d'alarme provenant de l'unité 31. Dans ce mode de réalisation, les alarmes 29 sont constituées de premier et second relais bistables connus en soi, auxquels sont connectes, par exemple, un transmetteur téléphonique et un émetteur sonore, respectivement.

[0038] Par ailleurs, on peut avantageusement prévoir des résistances électriques (non représentées) en tant que moyens de protection, ces résistances étant connectées en série aux deuxièmes moyens de liaison de l'unité 31.

[0039] Bien entendu, tous les composants décrits ci-dessus en relation avec la figure 2 sont connectés à des sources d'alimentation électrique (non représentées) connues en soi de l'homme de l'art.

[0040] La figure 3 représente de façon plus détaillée les moyens de liaison qui relient les différents composants décrits ci-dessus en relation avec la figure 2.

[0041] La figure 3 représente les mêmes composants que ceux décrits en relation avec la figure 2, et ces composants sont désignés par les mêmes références en figures 2 et 3.

[0042] Tous les signaux présents dans le dispositif de commande 20 sont traités par l'unité 31, puisque cette unité gère, en plus desdites fonctions communes aux deux unités 31 et 32, lesdites fonctions plus complexes, comme cela a été mentionné ci-dessus.

[0043] On ne va pas décrire la réalisation pratique des moyens de liaison entre les différents composants, cette réalisation étant supposée connue en soi de l'homme de l'art, et représentée en figure 3, à titre illustratif uniquement.

[0044] Pour l'essentiel, chaque moyen de liaison de l'unité 31 fournit et/ou reçoit des signaux spécifiques, comme cela est décrit de façon détaillée ci-après.

[0045] Les premiers moyens de liaison de l'unité 31 fournissent des signaux désignés UC1_OK, UC2_OK, ORDER1 et CRS_END, et reçoivent les signaux UC2_OK et CRS_END et un signal désigné ORDER2.

[0046] Si le signal UC1_OK est au niveau haut, ce signal indique que l'unité 31 est opérationnelle, et l'unité 32 est alors informée que l'unité 31 vérifie l'état de son propre fonctionnement. Si le signal UC1_OK est au niveau bas, ce signal indique que l'unité 31 est en procédure de réinitialisation. Par ailleurs, l'unité 32 peut décréter que l'unité 31 n'est plus opérationnelle, et imposer l'état bas au signal UC1_OK. Les moyens de commande 30 ne tiennent alors plus compte de la consigne fournie par l'unité 31.

[0047] Le signal ORDER1 est fourni en tant que consigne par l'unité 31, et permet à l'unité 32 de contrôler la validité de la consigne fournie par l'unité 31. L'unité 32 peut déterminer si le signal ORDER1 est correct quand la porte d'accès est verrouillée, ou quand la serrure fonctionne en tant que serrure horaire.

[0048] Si l'unité 31 met le signal CRS_END au niveau bas, le moteur susceptible de changer la position du pêne 22 peut démarrer suivant le sens défini par les moyens de commande 30. Quand la came de ce moteur a quitté sa position de fin de course, cette came maintient le signal CRS_END au niveau bas, ce qui permet à cette came de poursuivre sa course. Quand la came revient en position de fin de course, le signal CRS_END est mis au niveau haut, et le moteur est à nouveau bloqué. Ainsi, si l'unité 31 veut faire appliquer les signaux ORDER1 et ORDER2, elle met le signal CRS_END au niveau bas pendant 100 ms. Le signal CRS_END permet également à l'unité 31 de détecter si la came a réalisé son mouvement. L'unité 31 peut ainsi détecter un problème de moteur, si le signal CRS_END initialement au niveau haut est maintenu au niveau bas pendant une durée prédéterminée, typiquement inférieure à 200 ms ou supérieure à 5 s.

[0049] Si le signal UC2_OK est au niveau haut, ce signal indique que l'unité 32 est opérationnelle. Si l'unité 32 est réinitialisée, elle met le signal UC2_OK au niveau bas, puis ce signal passe à nouveau au niveau haut quand cette procédure de réinitialisation est terminée. L'unité 31 peut imposer un niveau bas au signal UC2_OK et, dans ce cas, les moyens de commande 30 ne tiennent plus compte du signal ORDER2.

[0050] Le signal ORDER2 est fourni en tant que consigne par l'unité 32. Ce signal est redéfini toutes les demisecondes, et correspond à une "demande de déverrouillage" quand ce signal est au niveau haut, et à une "demande de verrouillage" quand ce signal est au niveau bas.

[0051] Les deuxièmes moyens de liaison de l'unité 31 fournissent des signaux désignés EEP1, MDE0, MDE1, MDE2 et RESET2, et reçoivent des signaux désignés EEP2 et RESET1.

[0052] Le signal EEP1 fourni par l'unité 31 est utilisé pour indiquer à l'unité 32 que l'unité 32 peut accéder à la mémoire EEPROM sans risque de conflit avec l'unité 31. Autrement dit, le signal EEP1 est utilisé pour indiquer à l'unité 32 la période durant laquelle l'accès à la mémoire EEPROM est réservée à l'unité 31. Toutes les secondes, l'unité 31 met le signal EEP1 au niveau haut ou au niveau bas. Ainsi, le signal EEP1 au niveau haut indique que l'accès est réservé à l'unité 31, et donc que l'unité 32 ne peut avoir accès à la mémoire EEPROM.

[0053] De même, le signal EEP2 fourni par l'unité 32 est utilisé pour indiquer à l'unité 31 que l'unité 31 peut accéder à la mémoire EEPROM sans risque de conflit avec l'unité 32.

[0054] Les signaux MDE0, MDE1 et MD2 fournis par l'unité 31 à l'unité 32 représentent l'activité en cours de l'unité 31. La table 1 représente huit activités différentes de l'unité 31, ainsi que les valeurs prédéterminées des signaux MDE0, MDE1 et MD2, associées à ces activités.

Table 1

activité	MDE2	MDE1	MDE0
A	0	0	0
B	0	0	1
C	0	1	0
D	0	1	1
E	1	0	0
F	1	0	1
G	1	1	0
H	1	1	1

[0055] L'activité A correspond à une défaillance en cours d'un composant du dispositif de commande 20, par exemple une incohérence dans le contenu de la mémoire EEPROM. L'activité B correspond à une mise à disposition d'un nouvel événement dans la mémoire EEPROM. L'activité C correspond à une occupation en cours de l'accès d'utilisateur. L'activité D correspond à une synchronisation de l'unité 32 par l'unité 31. L'activité E correspond à un verrouillage commandé à distance de ladite porte d'accès. L'activité F correspond à une activation du système de secours 25. L'activité G correspond à un contrôle de fiabilité réalisé sur des composants de la serrure. L'activité H correspond à un fonctionnement en situation normale de l'unité 31, et est fournie par défaut à l'unité 32, un tel fonctionnement étant défini ultérieurement de façon détaillée. Ainsi, les signaux MDE0, MDE1 et MDE2 passent par l'état "111", quand l'unité 31 passe d'un état à l'autre. De tels changements peuvent se produire au passage de la prochaine seconde.

[0056] Le signal RESET1 permet à l'unité 32 de réinitialiser l'unité 31, quand l'unité 32 met ce signal au niveau bas pendant au moins 40 µs. Cette procédure se produit quand l'unité 32 détecte que l'unité 31 ne fonctionne pas en situation normale. En cas de dysfonctionnement prolongé, l'unité 32 maintient le signal RESET1 au niveau bas, et l'unité 31 est alors déconnectée.

[0057] De même, le signal RESET2 est utilisé par l'unité 31 pour réinitialiser ou déconnecter l'unité 32.

[0058] L'homme de l'art notera que les signaux de contrôle du dispositif de commande 20 sont statiques, lors du fonctionnement du dispositif de commande 20. Autrement dit, les signaux EEP1, EEP2, MDE0, MDE1, MDE2, RESET1 et RESET2 sont égaux à des niveaux bas et haut. Un tel fonctionnement permet avantageusement de contrôler avec précision le niveau de chaque signal, ce qui permet de contrôler avec précision l'activité en cours. Ainsi, ce fonctionnement assure au dispositif de commande 20 une grande immunité par rapport au bruit, contrairement à un fonctionnement basé sur des signaux dynamiques.

[0059] Les troisièmes moyens de liaison de l'unité 31 fournissent des signaux désignés WP, SCL et SDA à la mémoire EEPROM, et reçoivent le signal SDA de la mémoire EEPROM.

[0060] Le signal WP permet à l'unité 31 d'avoir accès en écriture à ladite zone protégée réservée de la mémoire EEPROM.

[0061] Le signal SCL est le signal d'horloge qui permet de synchroniser les transferts de données de, et vers, la mémoire EEPROM.

[0062] Le signal SDA fournit des données en série entre la mémoire EEPROM et l'unité 31, 32.

[0063] Les quatrièmes moyens de liaison de l'unité 31 fournissent un signal désigné RST_SOS1.

[0064] Le signal RST_SOS1 permet de réinitialiser le système de chien de garde 24. Quand l'unité 31 fonctionne en situation normale, l'unité 31 réinitialise le système de chien de garde 24, en inversant toutes les secondes le niveau de ce signal. Quand l'unité 31 n'est plus en activité, ou si elle veut activer le système de secours 25, l'unité 31 ne réinitialise plus le système de chien de garde 24.

[0065] De même, les quatrièmes moyens de liaison de l'unité 32 fournissent un signal désigné RST_SOS2 qui permet à l'unité 32 de réinitialiser le système de chien de garde 24, et d'activer le système de secours 25.

[0066] Les cinquièmes moyens de liaison de l'unité 31 reçoivent un signal désigné BOLT_LCK.

[0067] Quand le signal BOLT_LCK est au niveau haut, ce signal indique à l'unité 31 que le pêne 22 est en position de verrouillage de ladite porte d'accès. Et, quand le signal BOLT_LCK est au niveau bas, ce signal indique à l'unité 31 que le pêne 22 est en position de déverrouillage de ladite porte d'accès.

[0068] Les septièmes moyens de liaison de l'unité 31 fournissent un signal désigné TXD, et reçoivent un signal désigné RXD.

[0069] Le signal TXD fournit de manière asynchrone des données de l'unité 31 à l'indicateur extérieur 28, comme cela est connu de l'homme de l'art.

[0070] Le signal RXD fournit de manière asynchrone des données de l'indicateur extérieur 28 à l'unité 31, comme cela est également connu de l'homme de l'art.

[0071] Les huitièmes moyens de liaison de l'unité 31 fournissent des signaux désignés REL1_SET, REL2_SET et REL_RST, ces signaux étant utilisés comme signaux de commande d'alarme.

[0072] Le signal REL1_SET active le premier relais bistable des alarmes 29.

[0073] Le signal REL2_SET active le second relais bistable des alarmes 29.

[0074] Le signal REL_RST désactive les premier et second relais bistables des alarmes 29.

[0075] On décrit ci-après le fonctionnement du dispositif de commande 20 à redondance selon la présente invention. Comme cela est expliqué de façon détaillée ci-dessus en relation avec les figures 2 et 3, le système de commande 23 à redondance du dispositif de commande 20 comprend deux unités 31 et 32 qui réalisent des fonctions communes relatives à la gestion d'un changement d'état de la serrure suivant des conditions prédéterminées, et à la garantie du maintien de l'état en cours jusqu'au prochain changement d'état. Par conséquent, on ne décrira que le fonctionnement de l'unité 31, cette unité étant alors choisie de façon arbitraire.

[0076] On définit une situation normale comme une situation durant laquelle les deux unités 31 et 32 fournissent la même consigne aux moyens de commande 30. On définit également une situation anomale comme une situation au cours de laquelle un effet interne ou externe au dispositif de commande 20 modifie le fonctionnement de ce dispositif par rapport à son fonctionnement en situation normale. Un tel effet est généralement provoqué par une perturbation dont la nature peut être volontaire, par exemple un changement de position du pêne 22 ou un crochetage de la serrure, ou bien involontaire, par exemple une défaillance de composants, une activité industrielle adjacente, ou une activité atmosphérique telle qu'une explosion solaire ou des décharges électromagnétiques de haute intensité.

[0077] Par opposition à une situation normale, on définit une situation d'exception comme une situation se produisant suite à la détection d'une perturbation ou d'une situation anomale ayant pour effet : la fourniture de deux consignes différentes par les deux unités 31 et 32, par exemple l'une demandant au mécanisme 21 le déverrouillage de la porte d'accès, et l'autre demandant son verrouillage; ou l'absence de présence d'activité d'au moins une des unités 31 et 32. Le dispositif de commande 20 déclenche alors une procédure spécifique pour rétablir le fonctionnement correspondant au fonctionnement en situation normale antérieur à ladite détection.

[0078] Ainsi, il existe essentiellement deux modes de fonctionnement du dispositif de commande 20 : un fonctionnement en situation normale, et un fonctionnement en situation d'exception.

[0079] A titre illustratif uniquement, la figure 4 représente des chronogrammes de fonctionnement du dispositif de commande 20 à redondance selon la présente invention, dans le cas d'une situation normale durant laquelle le dispositif de commande 20 va déverrouiller la porte d'accès, puis la verrouiller à nouveau.

[0080] En se référant aux signaux décrits en relation avec la figure 3, les références 41 à 58 de la figure 4 désignent les chronogrammes des signaux RESET1, RESET2, RST_SOS1, RST_SOS2, UC1_OK, UC2_OK, ORDER1, ORDER2, CRS_END BOLT_LCK. MDE0, MDE1, MDE2, EEP1, EEP2, WP, SDA, SCL, respectivement, ces signaux pouvant être mis à un niveau bas désigné "0", ou à un niveau haut désigné "1".

[0081] Lors d'un fonctionnement en situation normale, les deux unités 31 et 32 sont opérationnelles, et ne sont donc pas réinitialisées. Par conséquent, le signal UC1_OK (courbe 45) et le signal UC2_OK (courbe 46) sont au niveau haut, ainsi que le signal RESET1 (courbe 41) et le signal RESET2 (courbe 42).

[0082] En outre, les deux unités 31 et 32 réinitialisent périodiquement le système de chien de garde 24, de telle sorte que le système de secours 25 n'est pas activé. Par conséquent, toutes les secondes, le signal RST_SOS1 (courbe 43) et le signal RST_SOS2 (courbe 44) sont inversés de telle sorte que le signal RST_SOS1 (courbe 43) est mis au niveau haut quand le signal RST_SOS2 (courbe 44) est mis au niveau bas, et inversement.

[0083] Lors d'un fonctionnement en situation normale, les unités 31 et 32 fournissent également la même consigne. Ainsi, le signal ORDER1 (courbe 47) et le signal ORDER2 (courbe 48) sont au même niveau. En outre, les moyens de commande 30 fonctionnent en tant que porte ET aux entrées de laquelle sont fournis les signaux ORDER1 et ORDER2, respectivement. En outre, l'unité 31 indique à l'unité 32 qu'elle fonctionne en situation normale, ce qui permet à l'unité 32 de le vérifier. Ainsi, le signal EEP1 (courbe 54) est inversé toutes les secondes. De façon similaire, l'unité 32 indique à l'unité 31 qu'elle fonctionne en situation normale. Ainsi, le signal EEP2 (courbe 55) est inversé toutes les secondes, de telle sorte que le signal EEP1 (courbe 54) est mis au niveau haut quand le signal EEP2 (courbe 55) est mis au niveau bas, et inversement.

[0084] Considérons à titre illustratif uniquement que la porte d'accès est initialement verrouillée, c'est-à-dire que les signal ORDER1 (courbe 47) et le signal ORDER2 (courbe 48) sont au niveau bas. Par conséquent, les moyens de commande 30 reçoivent en entrée ces deux consignes et, après validation par le signal CRS_END (courbe 49), fournissent en sortie au mécanisme 21 l'ordre de maintenir l'état actuel de la serrure, c'est-à-dire que le moteur ne soit pas déclenché, et que le pêne 22 n'ait pas changé de position. Ainsi, le signal CRS_END (courbe 49) et le signal BOLT_LCK (courbe 50) sont au niveau haut.

[0085] A un instant t1, le signal ORDER1 (courbe 47) et le signal ORDER2 (courbe 48) passent simultanément au niveau haut de manière à déverrouiller la porte d'accès. Par conséquent, les moyens de commande 30 reçoivent en entrée ce changement d'état des consignes et, après validation par le signal CRS_END (courbe 49), fournissent en sortie au mécanisme 21 l'ordre de changer l'état actuel de la serrure, c'est-à-dire de déclencher le moteur pour changer la position du pêne 22. Ainsi, le signal CRS_END (courbe 49) est mis au niveau bas de telle sorte que la came de ce moteur quitte sa position de fin de course. Ensuite, cette came maintient le signal CRS_END (courbe 49) au niveau bas de telle sorte qu'elle poursuit sa course. Quand la came est en fin de course, elle met le signal CRS_END (courbe 49) au niveau haut, ce qui bloque le moteur.

[0086] La porte d'accès est alors déverrouillée. Autrement dit, le pêne 22 a changé de position, ce qui est détecté par le système de détection de changement de position de pêne 26. Le signal BOLT_LCK (courbe 50) est alors mis au niveau bas. Ensuite, quand le signal EEP1 (courbe 54) est au niveau haut. A un instant t2, l'unité 31 a accès en écriture à la mémoire EEPROM, et écrit un nouvel événement dans la zone partagée réservée de cette mémoire, par l'intermédiaire du signal SDA (courbe 57) et du signal SCL (courbe 58). A titre d'exemple, cet événement est le verrouillage de la porte d'accès à un instant t6.

[0087] A un instant t3, l'unité 31 informe l'unité 32 qu'un nouvel événement est disponible dans la mémoire EEPROM, ce qui correspond à l'activité B décrite ci-dessus en relation avec la table 1. Ainsi, à l'instant t3, le signal MDE0 (courbe 51) est maintenu au niveau haut, et le signal MDE1 (courbe 52) et le signal MDE2 (courbe 53) sont mis au niveau bas.

[0088] A un instant t4, le signal EEP2 (courbe 55) étant au niveau haut, l'unité 32 a accès en lecture à la zone partagée de la mémoire EEPROM, et lit le nouvel événement disponible dans cette zone, par l'intermédiaire du signal SDA (courbe 57) et du signal SCL (courbe 58).

[0089] A un instant t5, l'unité 31 informe l'unité 32 qu'elle fonctionne en situation normale, ce qui correspond à l'activité H décrite ci-dessus en relation avec la table 1. Ainsi, le signal MDE0 (courbe 51) est maintenu au niveau haut, et le signal MDE1 (courbe 52) et le signal MDE2 (courbe 53) sont mis au niveau haut. La situation est dès lors semblable à la situation initiale, et se répète, excepté pour le signal ORDER1 (courbe 47) et le signal ORDER2 (courbe 48) qui sont au niveau haut de manière à maintenir l'état actuel de la serrure, c'est-à-dire le verrouillage de la porte d'accès.

[0090] A l'instant t6, la situation est semblable à celle de l'instant t1, et se répète, excepté pour le signal ORDER1 (courbe 47) et le signal ORDER2 (courbe 48), qui sont mis au niveau bas pour changer l'état de la serrure, c'est-à-dire pour verrouiller la porte d'accès.

[0091] A titre illustratif uniquement, la figure 5 représente des chronogrammes de fonctionnement du dispositif de commande selon la présente invention, dans le cas d'une situation d'exception liée, dans ce cas, à une absence d'activité de l'unité 32.

[0092] En se référant aux signaux décrits en relation avec la figure 3, les références 59 à 76 de la figure 5 désignent les chronogrammes des signaux RESET1, RESET2, RST_SOS1, RST_SOS2, UC1_OK, UC2_OK, ORDER1, ORDER2, CRS_END, BOLT_LCK, MDE0, MDE1, MDE2, EEP1, EEP2, WP, SDA, SCL, respectivement, ces signaux pouvant être mis à un niveau bas désigné "0", ou à un niveau haut désigné "1".

[0093] Comme le représente la figure 5, la situation initiale est semblable à la situation initiale décrite en relation avec la figure 4.

[0094] A un instant t10, se produit une perturbation qui provoque une absence d'activite de l'unité 32. Il en résulte que l'unité 32 n'inverse plus toutes les secondes le signal RST_SOS2 (courbe 62), ni le signal EEP2 (courbe 73), l'évolution des autres signaux étant inchangée par rapport à la situation initiale, antérieure à l'instant t10.

[0095] A un instant t11, l'unité 31 constate que l'unité 32 n'inverse plus le signal EEP2 (courbe 73), et tente de la réinitialiser en mettant le signal RESET2 (courbe 60) au niveau bas pendant 1 ms. A l'instant t11, l'unité 31 met également le signal UC2_OK (courbe 64) au niveau bas, de sorte que les moyens de commande 30 ne tiennent plus compte du signal ORDER2 (courbe 66). Ensuite, à un instant t12, quand le signal EEP1 (courbe 72) est mis au niveau haut, l'unité 31 a alors accès en écriture à la mémoire EEPROM, et écrit sa propre valeur du temps dans la zone partagée protégée de cette mémoire, par l'intermédiaire du signal SDA (courbe 75) et du signal SCL (courbe 76). Ensuite, le signal EEP2 (courbe 73) étant au niveau haut, l'unité 32 lit la valeur écrite dans cette zone protégée réservée.

[0096] A un instant t13, l'unité (courbe 76) 31 constate que l'unité 32 n'est toujours pas en activité, et tente une nouvelle réinitialisation de l'unité 32 par le signal RESET2 (courbe 60). La situation est semblable à celle décrite à l'instant t11, et se répète.

[0097] A un instant t14, après plusieurs tentatives de réinitialisations, l'unité 31 décide de "déconnecter" l'unité 32 en maintenant le signal RESET2 (courbe 60) au niveau bas. Par la suite, le dispositif de commande 20 fonctionne seulement à partir de l'unité 31. Ainsi, à un instant t15, la porte d'accès est déverrouillée suite à la seule fourniture du signal ORDER1 (courbe 65) qui est mis au niveau haut, ce qui réalise le changement d'état de la serrure à l'instant préalablement programmé. Autrement dit, le système de commande 23 a mis en oeuvre sa fonction de redondance pour gérer un changement d'état de la serrure suivant des conditions prédéterminées, et pour garantir le maintien de l'état en cours jusqu'au prochain changement d'état.

[0098] Toutefois, au-delà de l'instant t15, l'unité 31 ne fournit plus la consigne de verrouiller à nouveau la porte d'accès, sans qu'une intervention technique extérieure n'ait lieu. L'homme de l'art note que la porte d'accès est alors avantageusement déverrouillée, ce qui évite d'effectuer une intervention destructive sur cette porte ou sur sa serrure.

[0099] Il va de soi pour l'homme de l'art que la description détaillée ci-dessus peut subir diverses modifications sans sortir du cadre de la présente invention. Par exemple, à titre de variante de réalisation, on peut prévoir d'autres types d'unités dans un dispositif de commande à redondance selon la présente invention, ce dispositif de commande comprenant des moyens de commande pour commander un mécanisme pour verrouiller et déverrouiller une porte d'accès à un site protégé, ces unités pouvant fournir des consignes semblables auxdits moyens de commande, et lesdits moyens de commande étant agencés de sorte qu'ils se comportent fonctionnellement en tant que porte ET aux entrées de laquelle les consignes des unités sont fournies respectivement, au cours d'un fonctionnement en situation normale dudit dispositif de commande.

Revendications

1. Dispositif de commande (20) à redondance destiné à équiper une serrure comprenant un mécanisme (21) pour verrouiller et déverrouiller une porte, ce dispositif de commande (20) étant propre à gérer au moins un changement d'état de cette serrure suivant des conditions prédéterminées, et à garantir le maintien de l'état en cours jusqu'au prochain changement d'état, le dispositif de commande (20) comprenant :

- un système de commande (23) à redondance comprenant des moyens de commande (30) pour commander ledit mécanisme (21), et au moins deux unités (31; 32) destinées à fournir des consignes semblables aux moyens de commande (30); et

- une interface d'utilisateur (27) entre le dispositif de commande (20) et un utilisateur; le dispositif de commande (20) étant caractérisé en ce que les moyens de commande (30) se comportent fonctionnellement en tant que porte ET aux entrées de laquelle les consignes des unités (31; 32) sont fournies respectivement, quand le dispositif de commande (20) fonctionne en situation normale.

2. Dispositif de commande (20) selon la revendication 1, caractérisé en ce que le système de commande (23) comprend une première unité électronique (31) ayant une première structure et un premier fonctionnement, et une seconde unité électronique (32) ayant une seconde structure et un second fonctionnement, ces deux unités électroniques (31; 32) étant agencées de telle sorte que les première et seconde structures sont sensiblement différentes, et/ou que les premier et second fonctionnements sont sensiblement différents, tout en réalisant des fonctions communes.

3. Dispositif de commande (20) selon la revendication 2, caractérisé en ce que les fonctions communes sont la garantie du maintien de l'écoulement du temps, le déverrouillage et le verrouillage de la porte selon des conditions horaires prédéterminées, le contrôle de la présence d'activité de l'autre unité, et/ou le contrôle de la validité de codes d'accès.

4. Dispositif de commande (20) selon l'une des revendications 2 ou 3, comprenant en outre un système de chien de garde (24) constitué de moyens de détection pour détecter la présence d'activité des unités électroniques (31; 32), et de moyens de déclenchement pour déclencher un système de secours (25), quand les deux unités électroniques (31; 32) ne fonctionnent plus pendant une période supérieure à un temps prédéterminé.

5. Dispositif de commande (20) selon l'une des revendications 2 à 4, caractérisé en ce que le système de commande (23) comprend en outre une unité intermédiaire (33) reliée électriquement aux unités électroniques (31; 32), destinée à servir d'intercesseur lors d'un transfert de données entre les unités électroniques (31; 32), et à assurer le maintien du journal des événements liés aux transactions effectuées sur la serrure, aux changements d'état de la serrure, et à la détection de perturbations et de situations anomales.

6. Dispositif de commande (20) selon la revendication 5, caractérisé en ce que l'unité intermédiaire (33) est constituée de moyens de mémorisation à au moins deux accès, dans lesquels chaque unité électronique (31; 32) peut stocker des données destinées à être fournies ultérieurement à l'autre unité électronique (32; 31), de façon à réaliser la fonction d'intercesseur.

7. Dispositif de commande (20) selon la revendication 6, caractérisé en ce que les moyens de mémorisation sont constitués d'une mémoire non volatile.

8. Dispositif de commande (20) selon la revendication 6, caractérisé en ce que les moyens de mémorisation sont constitués d'une mémoire EEPROM.

9. Dispositif de commande (20) selon la revendication 8, caractérisé en ce que la mémoire EEPROM comprend :

- une zone partagée pour stocker des données provenant d'une des unités électroniques (31; 32), et destinées à être fournies ultérieurement à l'autre unité électronique (32; 31); et

- une zone protégée réservée dont l'accès en écriture est réservé à la première unité électronique (31), cette zone étant destinée à stocker des paramètres programmés par l'utilisateur, et des variables de fonctionnement.

10. Dispositif de commande (20) selon la revendication 9, caractérisé en ce que les paramètres programmés comprennent les données horaires relatives à un déverrouillage et/ou à un verrouillage de la porte, les codes d'accès et des variables d'identité de la serrure.

11. Dispositif de commande (20) selon la revendication 9 ou 10, caractérisé en ce que les variables de fonctionnement sont les seuils de tension nominaux, la valeur d'erreur absolue de la fréquence de vibration du cristal de quartz, et des paramètres liés à des normes de qualité.

12. Dispositif de commande (20) selon l'une des revendications 9 à 11, caractérisé en que la mémoire EEPROM est en outre agencée de sorte que les deux unités électroniques (31; 32) peuvent accéder de façon alternée à ladite zone partagée, pour protéger la cohérence des données échangées avec la mémoire EEPROM, notamment dans le cas où l'une des unités électroniques (31; 32) est le siège d'une perturbation ou d'une situation anomale.

13. Dispositif de commande (20) selon l'une des revendications 2 à 12, caractérisé en ce que la première unité électronique (31) comprend :

- des moyens de mesure pour mesurer des niveaux d'alimentation électrique;

- des moyens de fourniture de signaux de commande d'alarme pour fournir des signaux de commande d'alarme, quand une perturbation ou une situation anomale est détectée; et

- des moyens de commande pour commander un affichage à des moyens d'affichage.

14. Dispositif de commande (20) selon l'une des revendications 2 à 13, caractérisé en ce que chaque unité électronique (31; 32) comprend en outre des moyens de fourniture de signaux de contrôle pour fournir à l'autre unité électronique (32; 31) des signaux de contrôle représentant l'activité en cours de ladite unité électronique (31; 32), cette unité (31; 32) étant susceptible de réaliser une pluralité d'activités, et des moyens de liaison pour relier électriquement les unités électroniques (31; 32) entre elles, ces moyens étant agencés de sorte que chaque unité électronique (31; 32) peut fournir lesdits signaux de contrôle à l'autre unité électronique (32; 31).

15. Dispositif de commande (20) selon la revendication 14, caractérisé en ce qu'il comprend en outre des résistances électriques en tant que moyens de protection, ces résistances étant connectées en série avec lesdits moyens de liaison.

16. Dispositif de commande (20) selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend en outre des moyens de fourniture de signaux d'alarme, ces moyens étant agencés de sorte qu'ils fournissent des signaux d'alarme, quand ils reçoivent de ladite première unité électronique (31) lesdits signaux de commande d'alarme.

17. Dispositif de commande (20) selon l'une quelconque des revendications précédentes, comprenant en outre un système de détection (26) agencé de manière à fournir des signaux de détection quand un changement d'état de serrure a lieu.

18. Dispositif de commande (20) selon la revendication 17, caractérisé en ce que le système de détection (26) est constitué d'un interrupteur mécanique.

Dessins