Principes de redondance et de conception sans danger pour le système ferroviaire à grande vitesse

Redondance du système: Signalisation et contrôle

La signalisation est le système nerveux du rail à grande vitesse, et sa défaillance ne doit pas entraîner de catastrophe. Par conséquent, les systèmes de signalisation sont conçus avec des architectures duelles-redundant. Par exemple, dans le Système européen de contrôle des trains (ETCS, l'ordinateur de bord et les balises côté voie sont dupliqués. Si le lecteur de balise primaire échoue, l'unité secondaire prend le contrôle en millisecondes.

• Systèmes d'interblocage redondants:[ Chaque boîte de signalisation ou unité d'interblocage est soutenue par une unité identique fonctionnant en parallèle. La logique de vote (2‐out‐of‐2 ou 2‐out‐of‐3) garantit qu'une seule défaillance de composant ne produit pas une commande dangereuse.
• Chances radio de secours: GSM‐R (Global System for Mobile Communications – Railway) utilise plusieurs bandes de fréquences et stations de base redondantes. Si une tour cellulaire se déconnecte, les tours adjacentes augmentent la puissance pour maintenir la couverture.
• Protocoles de données non sûrs:[ Chaque message envoyé entre le train et le côté piste comprend des contrôles cycliques de redondance (CRC) et des numéros de séquence. Si un paquet corrompu ou manquant est détecté, le système répète la transmission ou par défaut à une commande de freinage sûre.

Redondance de puissance : maintenir les trains en énergie

Un train à grande vitesse peut tirer plus de 10 MW de puissance à l'accélération maximale. La perte de puissance de traction sur un gradient raide ou dans un tunnel peut entraîner un renversement ou un éboulement dangereux.

• Deux lignes de ravitaillement :[ Chaque sous-station reçoit de l'énergie de deux lignes de transmission indépendantes à haute tension, souvent de réseaux régionaux différents. Si une ligne échoue, l'autre porte immédiatement la pleine charge.
• Alimentations non interruptibles (UPS):[ Aux postes de signalisation et aux centres de commande côté piste, les batteries et les unités UPS volants assurent une transition sans faille pendant les quelques secondes nécessaires au démarrage des générateurs de secours.
• Générateurs d'urgence:[ Les principales sous-stations et les salles de commande sont équipées de générateurs diesel ou de turbines à gaz qui peuvent fonctionner pendant 72 heures et plus sans avoir à fournir de carburant externe.
• Commandes de section:[ Le fil caténaire supérieur est divisé en sections isolées électriquement, chacune étant alimentée par sa propre sous-station. Si une sous-station échoue, les sections adjacentes peuvent être reliées par des commutateurs télécommandés, ce qui permet de maintenir la ligne sous tension.

Principes de conception sans danger

Bien que la redondance assure la continuité, la conception sans échec répond à une autre question : Ce qui se passe lorsqu'une défaillance se produit? Un système sans échec est conçu de façon à ce que toute défaillance – ou même une combinaison de défaillances dans un ensemble défini – se traduise par un état sûr pour les passagers, l'équipage et l'infrastructure.

Protection automatique du train (ATP) et freinage d'urgence

Chaque train à grande vitesse moderne est équipé d'un système Automatic Train Protection (ATP)[ qui surveille en permanence la vitesse et la position du train par rapport à la prochaine autorité de signalisation. Si le conducteur ne répond pas à une restriction de vitesse ou à une commande d'arrêt, l'ATP déclenche un freinage d'urgence. L'aspect critique de la sécurité en cas de défaillance est que la commande de freinage est transmise par un circuit séparé et surveillé en continu. Si la liaison de communication se brise (p. ex., un câble est coupé ou un signal radio est perdu), le système embarqué interprète cette situation comme une condition -pas de signal et applique automatiquement les freins.

Sur le réseau Shinkansen, le système --TC , utilise une méthode -circuit numérique : chaque section de voie émet une fréquence spécifique ; si la fréquence est absente ou corrompue, l'ordinateur de bord du train , applique immédiatement des freins. De même, dans le système TVM 430 utilisé en France , TGV, une boucle de câble continue le long de la voie transmet des commandes de vitesse.

Interlocks de signal redondants et intégrité de la route

Les interlockages de signalisation – la logique qui garantit qu'un train ne peut entrer dans une section que lorsque le parcours est clair – sont construits avec des éléments de sécurité par défaut basés sur des logiciels . Les interlockages traditionnels basés sur des relais utilisent des relais -vital=» conçus physiquement de sorte que si une bobine de relais échoue, les contacts se désenergisent toujours vers l'état -red=2. Les interlockages basés sur des logiciels modernes utilisent des programmes divers : deux équipes différentes écrivent la même logique dans deux langages de programmation différents, et un troisième ordinateur indépendant compare leurs sorties.

• Verrouillage de la route:[ Une fois qu'une route est réglée, elle ne peut être changée tant que le train n'a pas complètement franchi le dernier point, mécanisme de sécurité qui empêche les points de se déplacer sous un train.
• Verrouillage de l'approche :[ Si un signal échoue, l'interverrouillage maintient la route verrouillée pendant une durée définie (généralement 60 à 90 secondes) pour permettre au train de s'arrêter en toute sécurité avant que la route ne soit relâchée.
• Détection de points : Chaque commutateur comprend deux détecteurs de position indépendants; s'ils ne sont pas d'accord sur la position, l'interverrouillage traite le point comme -"pas sûr" et refuse de dégager le signal.

Communication d'urgence et fonctionnement à distance

Les pilotes de train transportent des combinés GSM‐R avec des boutons d'appel d'urgence qui dépassent tout autre trafic. Les opérateurs de salle de commande peuvent couper à distance la puissance de traction à n'importe quelle section de piste, mettre des signaux à rouge à distance et activer des applications de freinage d'urgence[ sur n'importe quel train en envoyant une commande numérique unique. Ces commandes sont transmises sur un réseau physiquement distinct et protégé contre les défaillances du système principal de signalisation.

Caractéristiques du matériel roulant en cas d'échec

Les trains à grande vitesse intègrent eux-mêmes des dizaines de mécanismes de sécurité en cas d'échec :

• Protection des glissières de roue (WSP):[ Si un essieu perd son adhérence, le système WSP réduit de manière indépendante la pression de freinage sur cet essieu pour empêcher le verrouillage des roues, tout en maintenant la force de freinage sur d'autres essieux.
• Détection et suppression des incendies :[ Plusieurs capteurs dans les compartiments moteurs et les zones passagers déclenchent des extincteurs automatiques qui utilisent des agents sans danger pour l'environnement.
• Interverrouillage de la porte:[ Les portes du train ne peuvent être ouvertes que si la vitesse du train est inférieure à 5 km/h, ce qui empêche l'ouverture des portes en mouvement.
• Suppression de batterie:[ Chaque train transporte des batteries qui peuvent alimenter l'éclairage de secours, le fonctionnement de la porte et les communications pendant au moins 90 minutes après la perte de puissance de traction.

Intégration de la redondance et de la sécurité des défaillances pour la résilience du système

La redondance et la conception sans échec ne sont pas des stratégies distinctes; elles fonctionnent ensemble dans le cadre d'une approche de défense en profondeur. La redondance empêche les défaillances de devenir des interruptions de service; la sécurité sans défaillance garantit que si une défaillance contourne la redondance, le résultat demeure sûr. Par exemple, une alimentation peut avoir deux alimentations (redondance), mais si les deux alimentations échouent simultanément (un événement rare mais possible), le système de traction sans défaillance appliquera automatiquement les freins et arrêtera le train de manière contrôlée plutôt que de le laisser échoué sans puissance pour le maintenir sur un gradient.

Quantification de la fiabilité : niveaux de risque acceptables

Les systèmes ferroviaires à grande vitesse sont conçus pour répondre à des probabilités de défaillance extrêmement faibles.Les normes internationales telles que FR 50126 (Applications ferroviaires – Fiabilité, disponibilité, maintien et sécurité) exigent que le taux de défaillances catastrophiques (par exemple collisions, déraillements) soit inférieur à 10−9 par heure de train, soit l'équivalent d'une défaillance en 114 000 ans d'exploitation continue.

Les concepteurs effectuent Analyse du mode et des effets d'échec (FMEA) et Analyse des arbres d'échec (FTA)[ pour chaque sous-système. Ils calculent des mesures comme temps moyen entre les défaillances (MTBF) pour les éléments redondants et temps moyen pour réparer (MTTR) pour s'assurer que les systèmes de sauvegarde peuvent prendre le dessus avant que l'unité primaire ne soit rétablie. Par exemple, un circuit de voie a un MMBF de 100 000 heures, mais sa sauvegarde est identique et activée dans un délai de 0,5 seconde.

Exemples du monde réel : Redondance et échec en sécurité

Shinkansen (Japon)

Le réseau Shinkansen fonctionne depuis plus de 55 ans avec zéro décès de passagers en raison d'accidents. Sa culture de redondance est légendaire : chaque station est desservie par deux centres de contrôle indépendants ; chaque train dispose de quatre systèmes de freinage (freinage régénératif, rhéostatique, disque et d'urgence magnétique) ; et le système COMTRAC (Computer-Aided Traffic Control) utilise des ordinateurs centraux triples-redondants. Si un ordinateur donne une sortie différente des deux autres, il est ignoré – une logique de vote 2-out-of-3 qui masque les défauts d'échec unique.

TGV français

Le réseau TGV emploie TVM 430 signalant avec surveillance continue de la vitesse. Si l'ordinateur de bord détecte que la vitesse réelle du train dépasse la vitesse cible de plus de 2 km/h pendant plus de 2 secondes, il déclenche un freinage automatique. Le système utilise également un =rouge-to-black= sécurisé : un signal qui ne passe pas à l'aspect le plus restrictif (rouge) plutôt qu'à celui moins restrictif, garantissant que les trains ne reçoivent jamais une indication fausse =procédé.

Chines Haute vitesse Rail

Le réseau HSR en expansion rapide utilise un hybride de ETCS et de système de contrôle des trains chinois (CTCS‐3). Il comprend des centres de blocs radio redondants, chacun ayant une connexion électrique et réseau indépendante. Dans un incident survenu en 2018 sur la ligne Shanghai–Kunming, une frappe éclair a endommagé une RBC; la sauvegarde a pris le dessus dans les 800 millisecondes, et aucun train n'a connu de retard ou de problème de sécurité.

Conclusion : L'avenir du rail haute vitesse à sécurité de défaillance

Les nouvelles technologies, telles que 5G-based train control et ]]][L'intelligence artificielle pour la maintenance prédictive[], offrent des possibilités d'améliorer à la fois la redondance (p. ex., le réacheminement dynamique basé sur des données de défaillance en temps réel) et la réponse sécuritaire (p. ex., le freinage d'urgence basé sur l'IA qui tient compte des conditions de la voie).