DISPOSITIF DE SÉCURITÉ POUR UN VÉHICULE FERROVIAIRE, VÉHICULE FERROVIAIRE, PROCÉDÉ DE MISE EN SÉCURITÉ D'UN TEL VÉHICULE FERROVIAIRE, ET PROGRAMME D'ORDINATEUR ASSOCIÉ

Abstract

 Ce dispositif de sécurité (24) pour un véhicule ferroviaire (2) est configuré pour commander un système (22) de freinage du véhicule ferroviaire. Il comprend un premier module de détection pour détecter au moins un comportement anormal du véhicule ferroviaire parmi un franchissement interdit d'un feu (10, 11) et un dépassement d'une limite de vitesse ; un deuxième module de détection pour détecter au moins une défaillance interne au dispositif de sécurité ; et un module de commande pour envoyer un signal de commande au système de freinage.
Le module de commande est configuré pour :
- en cas de détection d'un comportement anormal, envoyer un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, et
- en cas de détection d'une défaillance interne, envoyer un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage,
le premier niveau étant supérieur au deuxième niveau.

Description

[0001] La présente invention concerne un dispositif de sécurité pour un véhicule ferroviaire, le dispositif de sécurité étant configuré pour commander un système de freinage du véhicule ferroviaire.

[0002] L'invention concerne également un véhicule ferroviaire, tel qu'un tramway, sur pneus ou rails, un véhicule léger sur rails également appelé LRV (acronyme anglais pour Light Rail Vehicle) ou un métro, tel qu'un métro sur pneus, comprenant un système de freinage du véhicule ferroviaire et un tel dispositif de sécurité configuré pour commander le système de freinage.

[0003] L'invention concerne également un procédé de mise en sécurité du véhicule ferroviaire, le procédé étant mis en oeuvre par un tel dispositif électronique de sécurité.

[0004] L'invention concerne également un programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un tel procédé de mise en sécurité.

[0005] L'invention concerne le domaine de la sécurité des véhicules ferroviaires, en particulier des tramways, des LRV ou des métros, tels que des métros sur pneus. L'invention concerne en particulier les dispositifs d'arrêt automatique de train, également appelés DAAT (acronyme de Dispositif d'Arrêt Automatique d'un Train), ou les systèmes ATP (de l'anglais Automatic Train Protection), qui sont configurés pour commander automatiquement un système de freinage du véhicule ferroviaire sous certaines conditions.

[0006] On connait un dispositif de sécurité pour un véhicule ferroviaire, tel qu'un dispositif d'arrêt automatique (DAAT) ou un système ATP. Ce dispositif de sécurité comprend un premier module de détection configuré pour détecter au moins un comportement anormal du véhicule ferroviaire parmi un franchissement interdit d'un feu de signalisation et un dépassement d'une limite de vitesse ; un deuxième module de détection configuré pour détecter au moins une défaillance interne au dispositif de sécurité ; et un module de commande configuré pour envoyer un signal de commande au système de freinage.

[0007] Le module de commande est alors configuré pour envoyer un signal de commande d'un freinage d'urgence suivant un niveau de freinage maximal, en cas de détection d'un comportement anormal par le premier module de détection ou bien de détection d'une défaillance interne par le deuxième module de détection.

[0008] On connait également du document FR 2 949 412 B1 une installation de sécurité ferroviaire permettant le freinage d'un train circulant le long d'une voie lors du franchissement d'un équipement de signalisation latérale de la voie, tel qu'un feu tricolore, un état dudit équipement de signalisation étant commandé à distance depuis une station de commande. L'installation de sécurité ferroviaire comprend un dispositif au sol comportant un encodeur comportant des moyens de génération de télégrammes et au moins une balise disposée sur la voie à proximité de l'équipement de signalisation latérale considéré, la balise étant apte à émettre un signal radioélectrique correspondant à un télégramme généré par l'encodeur. L'installation de sécurité ferroviaire comprend également un dispositif embarqué répondant à la norme ETCS, comportant une antenne apte à capter un signal radioélectrique émis par la balise, et une unité de calcul et d'actionnement connectée à l'antenne, apte à traiter le signal radioélectrique reçu et comportant des moyens d'actionnement du système de freinage du train.

[0009] Lorsque l'équipement de signalisation latérale est dans l'état « arrêt », correspondant par exemple à un feu rouge du feu tricolore, le dispositif au sol émet un télégramme du type « arrêt » compatible avec la norme ETCS, et le dispositif embarqué à bord du train déclenche alors le freinage du train.

[0010] Toutefois, un tel dispositif de sécurité pour véhicule ferroviaire n'est pas toujours très adapté pour un fonctionnement en milieu urbain avec de nombreux obstacles, tels que des piétons, des cyclistes ou encore des voitures, notamment dans le cas où le véhicule ferroviaire est un tramway, un LRV ou encore un métro sur pneus.

[0011] Le but de l'invention est alors de proposer un dispositif de sécurité pour véhicule ferroviaire qui soit plus adapté à un tel fonctionnement en milieu urbain.

[0012] A cet effet, l'invention a pour objet un dispositif de sécurité pour un véhicule ferroviaire, tel qu'un tramway, un LRV ou un métro, tel qu'un métro sur pneus, le dispositif de sécurité étant configuré pour commander un système de freinage du véhicule ferroviaire et comprenant :

• un premier module de détection configuré pour détecter au moins un comportement anormal du véhicule ferroviaire parmi un franchissement interdit d'un feu de signalisation et un dépassement d'une limite de vitesse ;
• un deuxième module de détection configuré pour détecter au moins une défaillance interne au dispositif de sécurité ;
• un module de commande configuré pour envoyer un signal de commande au système de freinage ;

le module de commande étant configuré pour :

+ en cas de détection d'un comportement anormal par le premier module de détection, envoyer un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, et

+ en cas de détection d'une défaillance interne par le deuxième module de détection, envoyer un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage,

le premier niveau de freinage étant strictement supérieur au deuxième niveau de freinage.

[0013] Avec le dispositif de sécurité selon l'invention, le freinage d'urgence avec le niveau de freinage maximal, c'est-à-dire le freinage d'urgence suivant le premier niveau de freinage, est commandé seulement en cas de détection d'un comportement anormal du véhicule ferroviaire, à savoir un franchissement interdit d'un feu de signalisation ou un dépassement d'une limite de vitesse, mais pas en cas de détection d'une défaillance interne au dispositif de sécurité.

[0014] Ceci permet alors de limiter les risques de blessures de passagers à l'intérieur du véhicule ferroviaire, en commandant le freinage d'urgence suivant le premier niveau de freinage (qui est particulièrement efficace pour limiter une vitesse de collision du véhicule ferroviaire avec des obstacles, tels que des piétons, cyclistes ou voitures) seulement quand la situation le nécessite, c'est-à-dire en cas de comportement anormal du véhicule ferroviaire, mais pas en cas de détection d'une simple défaillance interne au dispositif de sécurité, une telle détection résultant en outre parfois d'une fausse alarme.

[0015] Suivant d'autres aspects avantageux de l'invention, le dispositif de sécurité comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles :

• le module de commande est configuré pour envoyer un signal de commande du freinage d'urgence suivant le premier niveau de freinage seulement en cas de détection d'un comportement anormal par le premier module de détection ;
• le premier niveau de freinage comporte le niveau d'urgence 3 ou le niveau d'urgence 4 selon la norme EN13452-1 ;
• le deuxième niveau de freinage comporte le niveau d'urgence 1 ou le niveau d'urgence 2 selon la norme EN13452-1 ; et
• le module de commande est configuré pour commander un dispositif de freinage magnétique via l'envoi du signal de commande du freinage d'urgence suivant le premier niveau de freinage, le système de freinage comportant le dispositif de freinage magnétique.

[0016] L'invention a également pour objet un véhicule ferroviaire comprenant un système de freinage du véhicule ferroviaire et un dispositif de sécurité configuré pour commander le système de freinage, dans lequel le dispositif de sécurité est tel que défini ci-dessus.

[0017] Suivant un autre aspect avantageux de l'invention, le véhicule ferroviaire est un tramway, un LRV ou un métro, tel qu'un métro sur pneus.

[0018] L'invention a également pour objet un procédé de mise en sécurité d'un véhicule ferroviaire, tel qu'un tramway, un LRV ou un métro, tel qu'un métro sur pneus, le procédé étant mis en oeuvre par un dispositif électronique de sécurité et comprenant :

• la détection d'au moins un évènement parmi un comportement anormal du véhicule ferroviaire et une défaillance interne au dispositif de sécurité, le comportement anormal du véhicule ferroviaire étant un franchissement interdit d'un feu de signalisation ou un dépassement d'une limite de vitesse ;
• la commande d'un système de freinage du véhicule ferroviaire, comportant :

  + en cas de détection d'un comportement anormal du véhicule ferroviaire, l'envoi au système de freinage d'un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, et

  + en cas de détection d'une défaillance interne du dispositif de sécurité, l'envoi au système de freinage d'un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage,

le premier niveau de freinage étant strictement supérieur au deuxième niveau de freinage.

[0019] Suivant un autre aspect avantageux de l'invention, le procédé de mise en sécurité comprend la caractéristique suivante :

• lors de la commande du système de freinage, le signal de commande du freinage d'urgence suivant le premier niveau de freinage est envoyé au système de freinage seulement en cas de détection d'un comportement anormal.

[0020] L'invention a également pour objet un programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé tel que défini ci-dessus.

[0021] Ces caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels :

• la figure 1 est une vue schématique d'un véhicule ferroviaire selon l'invention, se déplaçant le long d'une voie ;
• la figure 2 est une représentation schématique du véhicule ferroviaire ; et
• la figure 3 est un organigramme d'un procédé de mise en sécurité du véhicule ferroviaire selon l'invention.

[0022] Sur la figure 1, un véhicule ferroviaire 2 est apte à circuler le long d'une voie ferrée 4 qui comporte, par exemple, deux files de rail 5 et 6, le véhicule ferroviaire 2 étant apte à communiquer avec un système au sol 8. La voie 4 est signalisée d'une manière classique au moyen, entre autres, d'équipements de signalisation latérale, tels que des premier et deuxième feux de signalisation 10, 11, disposés successivement sur le bord de la voie 4. Le premier feu 10 est au droit d'un premier point M de la voie 4 et le deuxième feu 11 est au droit d'un deuxième point M'. Chaque feu de signalisation 10, 11 est destiné à transmettre un signal visuel au conducteur 12 du véhicule ferroviaire 2.

[0023] Le véhicule ferroviaire 2 comprend un dispositif de réception 14 configuré pour recevoir des signaux, de préférence radioélectriques, de la part d'une balise 16, 18 associée à un feu de signalisation 10, 11 correspondant.

[0024] Le véhicule ferroviaire 2 comprend un dispositif de mesure 20 configuré pour mesurer une vitesse du véhicule ferroviaire ou bien pour acquérir la vitesse du véhicule ferroviaire de la part d'un autre appareil de mesure.

[0025] Le véhicule ferroviaire 2 comprend un système de freinage 22 configuré pour exercer une force de freinage sur le véhicule ferroviaire 2, le système de freinage 22 comportant notamment un dispositif de freinage magnétique, non représenté, pour exercer le niveau de freinage maximal.

[0026] Le véhicule ferroviaire 2 comprend en outre un dispositif de sécurité 24 configuré pour commander le système de freinage 22, le dispositif de sécurité 24 étant par exemple un dispositif d'arrêt automatique (DAAT - Dispositif d'Arrêt Automatique d'un Train), ou un système ATP (de l'anglais Automatic Train Protection).

[0027] Le véhicule ferroviaire 2 comprend également une interface homme-machine 26 reliée au dispositif de sécurité 24.

[0028] Le véhicule ferroviaire 2 est de préférence un tramway, un LRV ou un métro, tel qu'un métro sur pneus.

[0029] En variante le véhicule ferroviaire est un tramway sur pneus. Dans cette variante, seul un rail central de guidage est utilisé.

[0030] Le système au sol 8 comprend les premier et deuxième feux de signalisation 10, 11, une station de contrôle 28 configurée pour commander à distance un changement d'état de chaque feu de signalisation 10, 11, la station de contrôle 28 étant reliée au feu de signalisation 10, 11 correspondant, par une ligne électrique dédiée 30, pour la transmission d'un signal électrique de commande de l'état du feu de signalisation 10, 11. Chaque ligne électrique 30 respective est couplée au feu de signalisation 10, 11, par l'intermédiaire d'un système relais 32 permettant d'amplifier le signal électrique de commande pour effectuer le changement d'état du feu de signalisation 10, 11.

[0031] Le système au sol 8 comprend en outre, pour chaque feu de signalisation 10, 11, un codeur 34 et les balises 16, 18, à savoir une balise amont 16 et une balise aval 18. Les balises 16 et 18 sont disposées entre les files de rail 5 et 6 de la voie 4 et successivement, suivant un sens de déplacement du véhicule ferroviaire 2. En entrée, le codeur 34 est connecté au système relais 32 de la liaison entre la station de contrôle 28 et le feu de signalisation 10, 11 correspondant. En sortie, le codeur 34 est connecté à la balise amont 16.

[0032] Chaque feu de signalisation 10, 11 est apte à être dans l'un des trois états distincts suivants :

• un état « arrêt », correspondant par exemple à un feu rouge, indiquant au conducteur 12 de stopper le véhicule ferroviaire 2 pour qu'il ne franchisse pas le point M, M' correspondant ;
• un état «passant», correspondant par exemple à un feu vert, indiquant au conducteur 12 qu'il peut franchir le point M, respectivement le point M', et s'avancer sur un tronçon suivant de la voie 4 ;
• un état «attention», correspondant par exemple à un feu jaune, indiquant au conducteur 12 que le prochain feu de signalisation de la voie 4 est un feu se trouvant actuellement dans l'état « arrêt ». Cette information indique au conducteur 12 qu'il doit actionner le système de freinage du véhicule ferroviaire 2 pour respecter une indication donnée par le prochain feu de signalisation.

[0033] Le dispositif de réception 14 est configuré pour recevoir les signaux, de préférence radioélectriques, de la part des balises 16, 18 associées à chaque feu de signalisation 10, 11, en particulier une indication relative à un franchissement interdit d'un feu de signalisation 10, 11 correspondant. Le dispositif de réception 14 comporte une antenne et un émetteur-récepteur radioélectriques, non représentés, configurés pour recevoir les signaux radioélectriques de la part des balises 16, 18.

[0034] Le dispositif de réception 14 est également configuré pour recevoir une indication relative à une limite de vitesse en vigueur dans la zone géographique où se trouve le véhicule ferroviaire 2. Cette indication relative à la limite de vitesse est également reçue sous forme d'un ou plusieurs signaux radioélectriques.

[0035] Les balises, respectivement amont 16 et aval 18, sont configurées pour émettre des signaux radioélectriques de courte portée. La présence de la seconde balise 18, également appelée balise aval, en aval de la première balise 16, également appelée balise amont, permet d'orienter d'une manière simple la voie 4 dans un sens de circulation unique correspondant à l'ordre des balises amont 16, puis aval 18. Par exemple, un véhicule ferroviaire 2 circulant sur une voie parallèle à la voie 4, mais ayant un sens de circulation opposé ne tient pas compte des signaux radioélectriques émis par les balises 16 et 18, car il reçoit d'abord un signal de la part de la balise aval 18, puis de celle de la balise amont 16.

[0036] Le dispositif de mesure 20 est connu en soi et est configuré pour mesurer la vitesse du véhicule ferroviaire, en particulier sa vitesse instantanée, ou bien pour acquérir ladite vitesse du véhicule ferroviaire 2 de la part d'un autre appareil de mesure, tel qu'un récepteur d'un système de positionnement par satellite, également appelé récepteur GNSS (de l'anglais Global Navigation Satellite System).

[0037] Le système de freinage 22 est également connu en soi et est configuré pour freiner le véhicule ferroviaire 2. Le système de freinage 22 comporte notamment le dispositif de freinage magnétique, qui est apte à exercer une force de freinage sur le véhicule ferroviaire 2 correspondant à un niveau maximal de freinage.

[0038] Le dispositif de sécurité 24, visible également sur la figure 2, comprend un premier module de détection 40 configuré pour détecter au moins un comportement anormal du véhicule ferroviaire parmi un franchissement interdit d'un feu de signalisation 10, 11 et un dépassement d'une limite de vitesse.

[0039] Le dispositif de sécurité 24 comprend un deuxième module de détection 42 configuré pour détecter au moins une défaillance interne au dispositif de sécurité 24, et un module de commande 44 configuré pour envoyer un signal de commande au système de freinage 22.

[0040] Le dispositif de sécurité 24 comprend un module d'acquisition 46 configuré pour acquérir une autorisation de franchissement d'un feu de signalisation 10, 11 correspondant, cette autorisation de franchissement étant par exemple reçue par une action volontaire du conducteur.

[0041] Le dispositif de sécurité 24 est par exemple de niveau au moins égal à SIL 2 (de l'anglais Safety Integrity Level 2) selon les normes NF EN 50126, NF EN 50128 et NF EN 50129.

[0042] Dans l'exemple de la figure 2, le dispositif de sécurité 24 est réalisé au moins partiellement sous forme de logique câblée, le premier module de détection 40 comportant un premier comparateur 50, un deuxième comparateur 52 et une porte logique OU 54, et le module de commande 44 comportant une première boucle de commande 60 équipée d'un ou plusieurs premiers interrupteurs 62, tels que des interrupteurs normalement fermés, et une deuxième boucle de commande 64 distincte de la première boucle de commande 60, la deuxième boucle de commande 64 étant équipée d'un ou plusieurs deuxièmes interrupteurs 66, tels que des interrupteurs normalement ouverts.

[0043] En complément ou en variante, le dispositif de sécurité 24 comprend en outre une unité de traitement d'informations, non représentée, formée par exemple d'un processeur et d'une mémoire associée au processeur. Selon cette variante, le premier module de détection 40, le deuxième module de détection 42, le module de commande 44 et le module d'acquisition 46 sont par exemple réalisés chacun sous forme d'un logiciel exécutable par le processeur. La mémoire de l'unité de traitement d'informations est alors apte à stocker un premier logiciel de détection configuré pour détecter au moins un comportement anormal du véhicule ferroviaire parmi un franchissement interdit d'un feu de signalisation 10, 11 et un dépassement d'une limite de vitesse, un deuxième logiciel de détection configuré pour détecter au moins une défaillance interne au dispositif de sécurité 24, un logiciel de commande configuré pour envoyer un signal de commande au système de freinage 22 et un logiciel d'acquisition configuré pour acquérir une autorisation de franchissement d'un feu de signalisation 10, 11 correspondant. Le processeur de l'unité de traitement d'informations est alors apte à exécuter le premier logiciel de détection, le deuxième logiciel de détection, le logiciel de commande et le logiciel d'acquisition.

[0044] En variante non représentée, le premier module de détection 40, le deuxième module de détection 42, le module de commande 44 et le module d'acquisition 46 sont réalisés chacun sous forme d'un composant logique programmable, tel qu'un FPGA (de l'anglais Field Programmable Gate Array), ou encore sous forme d'un circuit intégré dédié, tel qu'un ASIC (de l'anglais Applications Specific Integrated Circuit).

[0045] L'interface homme-machine 26 est connectée au dispositif de sécurité 24, et comporte, par exemple, un écran, non représenté, pour afficher des informations lisibles par le conducteur 12 du véhicule ferroviaire 2, ainsi qu'un haut-parleur, non représenté, pour émettre différentes sonneries d'avertissement.

[0046] Le codeur 34 est configuré pour recevoir, depuis le système relais 32, un signal électrique secondaire correspondant au signal électrique de commande de l'état du feu de signalisation 10, 11 correspondant. Le codeur 34 est alors configuré pour traiter ce signal électrique secondaire et générer une trame de bits correspondant à l'état actuel du feu de signalisation 10, 11 correspondant auquel le codeur 34 est associé. La trame, ou série de bits, est transmise à la balise amont 16 qui est apte à émettre un signal radioélectrique correspondant à la trame générée par le codeur 34.

[0047] Le premier module de détection 40 est configuré pour détecter un franchissement interdit d'un feu de signalisation 10, 11 ou un dépassement d'une limite de vitesse.

[0048] Le premier module de détection 40 comporte par exemple le premier comparateur 50 apte à comparer, d'une part, un signal reçu de la part du dispositif de réception 14 relatif à l'état du feu de signalisation 10, 11 correspondant, ainsi qu'au franchissement ou non de ce feu de signalisation 10, 11 par le véhicule ferroviaire 2, et d'autre part, l'autorisation ou non de franchissement du feu de signalisation 10, 11, acquise par le module d'acquisition 46, afin de détecter un éventuel franchissement interdit, i.e. non autorisé, du feu de signalisation 10, 11 correspondant.

[0049] Le premier module de détection 40 comporte par exemple le deuxième comparateur 52 apte à comparer, d'une part, un signal reçu de la part du dispositif de réception 14 relatif à la limite de vitesse en vigueur dans la zone géographique où se trouve le véhicule ferroviaire 2, et d'autre part, la vitesse du véhicule ferroviaire 2 reçue de la part du dispositif de mesure 20, afin de détecter un éventuel dépassement de la limite de vitesse.

[0050] Le premier module de détection 40 comporte en outre la porte logique OU 54 connectée en sortie des premier et deuxième comparateurs 50, 52, la porte logique OU 54 délivrant alors en sortie un signal indiquant au moins un comportement anormal du véhicule ferroviaire 2 parmi un franchissement interdit d'un feu de signalisation 10, 11 correspondant et un dépassement d'une limite de vitesse. La sortie de la porte logique OU 54 forme dans ce cas la sortie du premier module de détection 40.

[0051] Le deuxième module de détection 42 est configuré pour détecter au moins une défaillance interne au dispositif de sécurité 24. Une telle défaillance interne résulte par exemple d'un défaut constaté lors d'un autotest interne au dispositif de sécurité 24, lors d'un test d'intégrité logicielle, ou encore lors d'un test de surveillance du matériel pour la supervision de l'activité logicielle et/ou de l'alimentation du dispositif de sécurité 24.

[0052] Selon l'invention, le module de commande 44 est configuré pour envoyer un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, en cas de détection d'un comportement anormal par le premier module de détection 40, et pour envoyer un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage, en cas de détection d'une défaillance interne par le deuxième module de détection 42, le premier niveau de freinage étant strictement supérieur au deuxième niveau de freinage.

[0053] Le module de commande 44 est de préférence configuré pour envoyer un signal de commande du freinage d'urgence suivant le premier niveau de freinage seulement en cas de détection, par le premier module de détection 40, d'un comportement anormal du véhicule ferroviaire 2.

[0054] Le module de commande 44 est par exemple configuré pour commander le dispositif de freinage magnétique, via l'envoi du signal de commande du freinage d'urgence suivant le premier niveau de freinage.

[0055] Le premier niveau de freinage comporte le niveau d'urgence 3 ou le niveau d'urgence 4 selon la norme EN13452-1. Le premier niveau de freinage est de préférence le niveau d'urgence 3 ou le niveau d'urgence 4 selon la norme EN13452-1.

[0056] Le niveau d'urgence 3 correspond, selon la norme EN13452-1, à une décélération comprise entre 2,8 m.s^-2 et 5 m.s^-2 avec un jerk maximum de 8 m/s³. Le niveau d'urgence 4 correspond, selon la norme EN13452-1, à une décélération comprise entre 2,8 m.s^-2 et 4 m.s^-2 avec un jerk maximum de 8 m/s³.

[0057] Le deuxième niveau de freinage comporte le niveau d'urgence 1 ou le niveau d'urgence 2 selon la norme EN13452-1. Le deuxième niveau de freinage est de préférence le niveau d'urgence 1 ou le niveau d'urgence 2 selon la norme EN13452-1.

[0058] Le niveau d'urgence 1 correspond, selon la norme EN13452-1, à une décélération comprise entre 1,2 m.s^-2 et 2,5 m.s^-2 avec un jerk maximum de 4 m/s³. Le niveau d'urgence 2 correspond, selon la norme EN13452-1, à une décélération comprise entre 1,2 m.s^-2 et 2,5 m.s^-2 avec un jerk maximum de 4 m/s³

[0059] Le module de commande 44 comporte, par exemple, la première boucle de commande 60 équipée de deux premiers interrupteurs 62, tels que des interrupteurs normalement fermés, pour la commande du freinage d'urgence suivant le premier niveau de freinage.

[0060] Le module de commande 44 comporte, par exemple, la deuxième boucle de commande 64 distincte de la première boucle de commande 60, la deuxième boucle de commande 64 étant équipée de deux deuxièmes interrupteurs 66, tels que des interrupteurs normalement ouverts, pour la commande du freinage d'urgence suivant le deuxième niveau de freinage, de valeur strictement inférieure à celle du premier niveau de freinage.

[0061] Le module de commande 44 a, par exemple, une logique d'activation inversée d'une boucle de commande à l'autre, la première boucle 60 comportant des interrupteurs 62 normalement fermés et la deuxième boucle 64 comportant des interrupteurs 66 normalement ouverts.

[0062] La première boucle de commande 60 est, dans l'exemple de la figure 2, dédiée à la commande du système de freinage 22 avec mise en oeuvre du dispositif de freinage magnétique, et la deuxième boucle de commande 64 est dédiée à la commande du système de freinage 22 sans mise en oeuvre du dispositif de freinage magnétique.

[0063] L'utilisation de deux boucles de commande 60, 64 distinctes permet une différenciation dans l'interface de commande des premier et deuxième niveaux de freinage distincts.

[0064] En outre et de préférence, la première boucle de commande 60 et la deuxième boucle de commande 64 ne sont pas activables simultanément, afin de ne pas commander simultanément le système de freinage 22 à la fois avec le premier niveau de freinage et avec le deuxième niveau de freinage.

[0065] Le fonctionnement du véhicule ferroviaire 2, et en particulier du dispositif de sécurité 24, va désormais être expliqué à l'aide de la figure 3 représentant un organigramme du procédé de mise en sécurité du véhicule ferroviaire selon l'invention.

[0066] Lors d'une étape initiale 100, le premier module de détection 40 surveille les informations reçues du dispositif de réception 14, d'une part, et du dispositif de mesure 20, d'autre part, afin de détecter un éventuel comportement anormal du véhicule ferroviaire 2, ce comportement anormal étant un franchissement interdit d'un feu de signalisation 10, 11 ou un dépassement d'une limite de vitesse, c'est-à-dire un excès de vitesse.

[0067] Le premier module de détection 40 compare notamment la vitesse du véhicule ferroviaire 2, en particulier sa vitesse instantanée, fournie par le dispositif de mesure 20 avec la limite de vitesse correspondante fournie par le dispositif de réception 14, et signale, au module de commande 44, un éventuel dépassement de cette limite de vitesse.

[0068] Le premier module de détection 40 compare également les différentes informations reçues du dispositif de réception 14 avec celles fournies par le module d'acquisition 46, afin de vérifier, en cas de franchissement d'un feu de signalisation 10, 11 correspondant, qu'un tel franchissement était bien autorisé.

[0069] Le deuxième module de détection 42 surveille, également lors de l'étape 100, des résultats de tests internes au dispositif de sécurité 24, notamment les résultats d'autotests internes, de test(s) d'intégrité logicielle et/ou de test(s) de surveillance du matériel, afin de détecter une éventuelle défaillance interne au dispositif de sécurité 24. Le cas échéant, le deuxième module de détection 42 signale, au module de commande 44, une éventuelle défaillance interne au dispositif de sécurité.

[0070] En cas de détection d'au moins un événement parmi un comportement anormal du véhicule ferroviaire 2 de la part du premier module de détection 40 et une défaillance interne au dispositif de sécurité de la part du deuxième module de détection 42, le procédé de mise en sécurité passe à l'étape suivante 110 afin de commander le système de freinage 22 du véhicule ferroviaire en fonction de l'événement détecté.

[0071] En cas de détection d'un comportement anormal par le premier module de détection 40, le module de commande 44 envoie alors au système de freinage 22 un signal de commande d'un freinage d'urgence suivant le premier niveau de freinage, le premier niveau de freinage étant par exemple le niveau d'urgence 3 ou 4 selon la norme EN13452-1.

[0072] En cas de détection seulement d'une défaillance interne au dispositif de sécurité par le deuxième module de détection 42, le module de commande 44 envoie alors, au système de freinage 22, un signal de commande d'un freinage d'urgence suivant le deuxième niveau de freinage, le deuxième niveau de freinage étant strictement inférieur au premier niveau de freinage, le deuxième niveau de freinage étant par exemple le niveau d'urgence 1 ou 2 selon la norme EN13452-1.

[0073] En variante, le dispositif de sécurité 24 comprend en outre un troisième module de détection, non représenté, configuré pour détecter une anomalie ne nécessitant pas un freinage avec une efficacité maximale, telle qu'un état d'attention du conducteur correspondant à une baisse de l'attention du conducteur en dessous d'un seuil prédéterminé. Un tel état d'attention est, par exemple, déterminé par un dispositif de veille qui contrôle l'état du conducteur, c'est-à-dire, par exemple, les mouvements du conducteur. Dans cette variante, en cas de détection seulement d'une baisse de l'attention du conducteur en dessous du seuil prédéterminé, par le troisième module de détection, le module de commande 44 envoie alors, au système de freinage 22, un signal de commande d'un freinage d'urgence suivant le deuxième niveau de freinage, le deuxième niveau de freinage étant strictement inférieur au premier niveau de freinage, le deuxième niveau de freinage étant par exemple le niveau d'urgence 1 ou 2 selon la norme EN13452-1

[0074] Ainsi, le dispositif de sécurité 24 et le procédé de mise en sécurité selon l'invention permettent de commander le système de freinage 22 pour avoir un freinage avec une efficacité maximale seulement lorsqu'un danger effectif est détecté, tel qu'un franchissement interdit d'un feu de signalisation 10, 11 ou encore un dépassement de la limite de vitesse correspondante. En effet, un tel freinage avec efficacité maximale présente un risque pour les voyageurs se trouvant dans le véhicule ferroviaire 2, notamment un risque de chute et/ou de blessure.

[0075] En revanche, lorsque le dispositif de sécurité 24 détecte seulement une défaillance interne au dispositif de sécurité, résultant par exemple d'un défaut d'autotest, un tel signalement d'une défaillance étant d'ailleurs parfois une fausse alarme, le dispositif de sécurité 24 et le procédé de mise en sécurité selon l'invention permettent de commander le système de freinage 22 pour avoir un freinage avec une efficacité modérée afin de réduire le risque encouru par les voyageurs se trouvant dans le véhicule ferroviaire 2, notamment le risque de chute.

[0076] Le dispositif de sécurité 24 et le procédé de mise en sécurité selon l'invention permettent alors de réduire le nombre de freinages d'urgence avec efficacité maximale qui sont intempestifs, notamment de diminuer le nombre de freinages intempestifs, ou injustifiés, de niveau d'urgence 3 ou 4 selon la norme EN13452-1.

[0077] On conçoit alors que le dispositif de sécurité 24 et le procédé de mise en sécurité selon l'invention sont plus adaptés à un fonctionnement en milieu urbain avec de nombreux obstacles, tels que des piétons, des cyclistes ou encore des voitures, notamment dans le cas où le véhicule ferroviaire 2 est un tramway, un LRV ou encore un métro sur pneus.

Revendications

1. Dispositif de sécurité (24) pour un véhicule ferroviaire (2), tel qu'un tramway, un LRV ou un métro, tel qu'un métro sur pneus, le dispositif de sécurité (24) étant configuré pour commander un système (22) de freinage du véhicule ferroviaire (2) et comprenant :

- un premier module de détection (40) configuré pour détecter au moins un comportement anormal du véhicule ferroviaire (2) parmi un franchissement interdit d'un feu de signalisation (10, 11) et un dépassement d'une limite de vitesse ;

- un deuxième module de détection (42) configuré pour détecter au moins une défaillance interne au dispositif de sécurité (24) ;

- un module de commande (44) configuré pour envoyer un signal de commande au système de freinage (22) ;

caractérisé en ce que le module de commande (44) est configuré pour :

- en cas de détection d'un comportement anormal par le premier module de détection (40), envoyer un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, et

- en cas de détection d'une défaillance interne par le deuxième module de détection (42), envoyer un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage,

le premier niveau de freinage étant strictement supérieur au deuxième niveau de freinage.

2. Dispositif de sécurité (24) selon la revendication 1, dans lequel le module de commande (44) est configuré pour envoyer un signal de commande du freinage d'urgence suivant le premier niveau de freinage seulement en cas de détection d'un comportement anormal par le premier module de détection (40).

3. Dispositif de sécurité (24) selon la revendication 1 ou 2, dans lequel le premier niveau de freinage comporte le niveau d'urgence 3 ou le niveau d'urgence 4 selon la norme EN13452-1,
le niveau d'urgence 3 correspondant, selon la norme EN13452-1, à une décélération comprise entre 2,8 m.s^-2 et 5 m.s^-2 avec un jerk maximum de 8 m/s³,
le niveau d'urgence 4 correspondant, selon la norme EN13452-1, à une décélération comprise entre 2,8 m.s^-2 et 4 m.s^-2 avec un jerk maximum de 8 m/s³.

4. Dispositif de sécurité (24) selon l'une quelconque des revendications précédentes, dans lequel le deuxième niveau de freinage comporte le niveau d'urgence 1 ou le niveau d'urgence 2 selon la norme EN13452-1,
le niveau d'urgence 1 correspondant, selon la norme EN13452-1, à une décélération comprise entre 1,2 m.s^-2 et 2,5 m.s^-2 avec un jerk maximum de 4 m/s³,
le niveau d'urgence 2 correspondant, selon la norme EN13452-1, à une décélération comprise entre 1,2 m.s^-2 et 2,5 m.s^-2 avec un jerk maximum de 4 m/s³.

5. Dispositif de sécurité (24) selon l'une quelconque des revendications précédentes, dans lequel le module de commande (44) est configuré pour commander un dispositif de freinage magnétique via l'envoi du signal de commande du freinage d'urgence suivant le premier niveau de freinage, le système de freinage (22) comportant le dispositif de freinage magnétique.

6. Véhicule ferroviaire (2) comprenant un système (22) de freinage du véhicule ferroviaire (2) et un dispositif de sécurité (24) configuré pour commander le système de freinage (22),
caractérisé en ce que le dispositif de sécurité (24) est selon l'une quelconque des revendications précédentes.

7. Véhicule ferroviaire (2) selon la revendication 6, dans lequel le véhicule ferroviaire (2) est un tramway, un LRV ou un métro, tel qu'un métro sur pneus.

8. Procédé de mise en sécurité d'un véhicule ferroviaire (2), tel qu'un tramway, un LRV ou un métro, tel qu'un métro sur pneus, le procédé étant mis en oeuvre par un dispositif électronique de sécurité (24) et comprenant :

- la détection (100) d'au moins un évènement parmi un comportement anormal du véhicule ferroviaire (2) et une défaillance interne au dispositif de sécurité (24), le comportement anormal du véhicule ferroviaire (2) étant un franchissement interdit d'un feu de signalisation (10, 11) ou un dépassement d'une limite de vitesse ;

- la commande (110) d'un système (22) de freinage du véhicule ferroviaire (2), comportant :

+ en cas de détection d'un comportement anormal du véhicule ferroviaire (2), l'envoi au système de freinage (22) d'un signal de commande d'un freinage d'urgence suivant un premier niveau de freinage, et

+ en cas de détection d'une défaillance interne du dispositif de sécurité (24), l'envoi au système de freinage (22) d'un signal de commande d'un freinage d'urgence suivant un deuxième niveau de freinage,

le premier niveau de freinage étant strictement supérieur au deuxième niveau de freinage.

9. Procédé selon la revendication 8, dans lequel, lors de la commande (110) du système de freinage (22), le signal de commande du freinage d'urgence suivant le premier niveau de freinage est envoyé au système de freinage (22) seulement en cas de détection d'un comportement anormal.

10. Programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé selon la revendication 8 ou 9.

Dessins