Brevet FR3057968A1 — publié le 20180427

PROCÉDÉ DE GESTION D'UN SYSTÈME AUTOMATISÉ CONTRÔLÉ PAR UN OPÉRATEUR ET UN AUTOMATE, SYSTÈME AUTOMATISÉ ASSOCIÉ 1. Domaine technique de l'invention L'invention concerne un procédé de gestion d'un système automatisé. En particulier, l'invention concerne un procédé de gestion d'un système automatisé d'un véhicule, notamment d'un aéronef. 2. Arrière-plan technologique Les systèmes contrôlés par un opérateur, notamment les systèmes sensibles, c'est-à-dire qui font l'objet d'une attention renforcée pour des raisons de sécurité, tels que les véhicules (véhicule ferroviaire, terrestre ou maritime, aéronef, etc.) ou des panneaux de contrôle de centrale nucléaire par exemple, comprennent une multitude de boutons d'interaction et de voyants pour permettre l'interaction avec l'opérateur. Pour simplifier la gestion de ces systèmes par l'opérateur, une partie de cette gestion est automatisée et gérée en fonction de paramètres calculés ou mesurés par le système. Notamment, dans le domaine aéronautique, les aéronefs disposent d'un mode dit de pilotage automatique permettant l'exécution de tâches sans nécessiter l'intervention du pilote (l'opérateur). Toutefois, dans ces situations de gestion automatisée, un des problèmes rencontrés est de s'assurer que si le système change d'état, l'opérateur s'aperçoive de ce changement d'état. Dans le cas des aéronefs, le problème devient de plus en plus critique au vu de la complexité accrue du pilotage automatique. En outre, si ces changements d'états peuvent être déclenchés directement par l'opérateur, auquel cas ils sont attendus par l'opérateur, ils peuvent aussi être déclenchés par une action annexe de l'opérateur qui entraine des changements de valeur de paramètres entrainant eux-mêmes un changement d'état, ou bien ils peuvent être exécutés automatiquement par le système sans action de l'opérateur. Dans ces deux derniers cas, il est donc primordial de s'assurer que l'opérateur a bien perçu les changements d'états. Pour ce faire, des solutions ont été proposées pour effectuer un suivi du regard de l'opérateur (méthode dite d'oculométrie, ou eye-tracking 3057968 2 en anglais), afin de s'assurer que le pilote a bien vu un élément visuel du panneau de contrôle du système indiquant le changement d'état. Toutefois, cette solution n'est pas suffisante. En effet, lorsqu'un changement d'état est effectué alors que l'opérateur n'a pas directement provoqué ce changement 5 d'état, il est possible que l'opérateur ne comprenne pas pourquoi le changement d'état a été effectué. Ce genre de situation peut entrainer des comportements erratiques de l'opérateur qui, voulant tenter de replacer le système dans l'état initial sans comprendre les raisons du changement d'état, ne connait pas ou se méprend sur la procédure à appliquer pour revenir à l'état initial. Ces conflits entre l'opérateur et le gestionnaire 10 automatique peuvent dégénérer et conduire à des accidents ou incidents graves. En particulier, dans un aéronef, le pilote et le pilote automatique partageant la gestion du pilotage de l'aéronef, ces conflits peuvent entrainer des problèmes dangereux de trajectoire de l'aéronef. Les inventeurs ont donc cherché une solution pour s'assurer de la maitrise 15 complète de l'opérateur sur le système qu'il contrôle, même en présence d'une gestion automatique du système en parallèle qui peut effectuer des changements d'états. 3. Objectifs de l'invention L'invention vise à pallier au moins certains des inconvénients des procédés de gestion et des systèmes automatisés connus. 20 En particulier, l'invention vise à fournir, dans au moins un mode de réalisation de l'invention, un procédé de gestion qui permet de s'assurer que l'opérateur a conscience du changement d'état du système automatisé qu'il contrôle et qu'il a une bonne compréhension du système et notamment des raisons qui ont conduit à cet état. L'invention vise aussi à fournir, dans au moins un mode de réalisation, un 25 procédé de gestion permettant d'alerter l'opérateur humain quand celui-ci n'a pas conscience du changement d'état du système automatisé qu'il contrôle et des raisons qui ont conduit à cet état. L'invention vise aussi à fournir, dans au moins un mode de réalisation, un procédé et un dispositif de gestion pouvant être utilisés dans un aéronef piloté par un 30 pilote humain et un pilote automatique. 3057968 3 4. Exposé de l'invention Pour ce faire, l'invention concerne un procédé de gestion d'un système automatisé comprenant un afficheur et adapté pour être contrôlé par un opérateur humain et par au moins un automate comprenant un nombre d'états prédéterminé et 5 un ensemble de conditions permettant de passer d'un état à l'autre, l'automate étant dans un seul état à la fois, le procédé comprenant : une étape de déclenchement d'une condition associée à un paramètre du système, une étape d'affichage dudit paramètre du système sur l'afficheur dans 10 une première zone d'affichage de l'afficheur, dite zone de paramètre, une étape de changement automatique d'état de l'automate entre un premier état de l'automate et un deuxième état de l'automate suite au déclenchement de la condition, une étape d'affichage dudit deuxième état sur l'afficheur dans une 15 deuxième zone d'affichage de l'afficheur, dite zone de deuxième état, caractérisé en ce qu'il comprend en outre : une étape de détection, par un dispositif de suivi du regard de l'opérateur et après l'affichage du paramètre et l'affichage du deuxième état, des zones de l'affichage regardées par l'opérateur humain dans un 20 intervalle de temps prédéterminé, dites zones regardées, une étape de vérification que les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre. Un procédé selon l'invention permet donc, par la vérification que les zones regardées par l'opérateur humain comprennent au moins la zone d'affichage associée 25 au deuxième état (c'est-à-dire au nouvel état dont l'opérateur doit avoir conscience) et la zone associée au paramètre lié à la condition qui a déclenché la transition vers ce deuxième état. Ainsi, outre le fait de savoir que l'opérateur humain a conscience du nouvel état (le deuxième état), le procédé permet de s'assurer que l'opérateur humain a conscience de la condition qui a provoqué ce deuxième état. 30 Le procédé peut bien entendu être mis en oeuvre pour plusieurs opérateurs ou plusieurs groupes d'opérateurs, de façon à vérifier qu'au moins un opérateur a 3057968 4 conscience du nouvel état et de la condition qui a provoqué ce deuxième état. Par exemple, dans un aéronef, le pilote et le copilote forment deux opérateurs. L'afficheur est un écran ou une pluralité d'écrans ou un ensemble de voyants lumineux ou de cadrans permettant une interaction visuelle avec l'opérateur. 5 La zone de paramètre et la zone de deuxième état sont déduites et sélectionnées par analyse de la correspondance entre d'une part, le paramètre ou l'état que l'on souhaite être vu par l'opérateur et d'autre part la zone d'affichage normalement prévue à l'affichage de ce paramètre ou de l'état. Cette correspondance est par exemple enregistrée sous la forme d'un tableau, d'une liste, etc. On entend par 10 affichage du paramètre ou affichage de deuxième état, l'affichage d'un élément visuel indicateur dudit paramètre ou état. Par exemple, un compteur de vitesse pour l'affichage de la vitesse, une information lumineuse sous forme de texte ou de dessin donnant le nom de l'état en cours ou la valeur d'un paramètre, un voyant allumé ou non sur lequel est inscrit le nom de l'état ou du paramètre, etc. Bien entendu, le paramètre 15 peut être mis en correspondance avec plusieurs zones d'affichages et l'étape de vérification vérifie que les zones regardées comprennent chaque zone de paramètre associée au paramètre. L'étape d'affichage du paramètre du système peut être effectuée après le déclenchement (ou la réalisation) de la condition (par exemple une valeur d'un 20 paramètre dépassant un seuil impliquera l'allumage d'un voyant lumineux), ou avant le déclenchement de la condition (par exemple si la condition est liée à un dépassement d'une certaine vitesse, la vitesse peut être un paramètre qui est déjà affiché par le système avant que la condition ne se déclenche). Un état d'un automate est par exemple une valeur ou un ensemble de valeurs 25 d'un ensemble de paramètres. Un automate consiste par exemple en une mémoire comprenant l'état courant et l'ensemble des états et des conditions ou transitions ou évènements permettant le passage d'un état à l'autre. Le changement automatique d'état de l'automate consiste par exemple en un changement de valeur de l'automate dans la mémoire vers le nouvel état dès qu'une condition est remplie. 30 La condition est associée à un paramètre par une valeur de ce paramètre (par exemple valeur d'un capteur), par un état de ce paramètre (par exemple état seuil 3057968 5 dépassé par la valeur du paramètre, état seuil non atteint par la valeur du paramètre), par une combinaison logique de différentes valeurs ou état de paramètre, par une comparaison du paramètre à une valeur, etc. Plus généralement, la condition peut être tout type de condition connue dans un automate à état fini utilisé à des fins industrielles 5 (de type automate programme industriel par exemple). En outre, la condition peut être liée à un autre automate distinct, par exemple si l'autre automate est dans un état particulier, la condition est validée et l'automate principal change d'état. Bien entendu, la condition peut être validée par plusieurs paramètres affichés sur plusieurs zones de paramètre et l'étape de vérification vérifie que les zones 10 regardées comprennent chaque zone de paramètre associées à chaque paramètre. Avantageusement, l'étape de détection comprend un suivi du regard qui consiste notamment en un suivi du mouvement oculaire qui peut être complété par un suivi de la tête et/ou du corps de l'opérateur humain de façon à déterminer les zones de l'afficheur regardées par l'opérateur humain. 15 Avantageusement et selon l'invention, si les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre, le procédé comprend une étape de contrôle, par le dispositif de suivi du regard de l'opérateur, que l'opérateur effectue un mouvement de l'oeil entre la zone de deuxième état et la zone de 20 paramètre. Selon cet aspect de l'invention, cette étape permet de valider que les zones regardées sont bien des zones distinctes et que la zone de deuxième état et la zone de paramètre ne sont pas des zones identiques. 25 Avantageusement, le procédé selon l'invention comprend en outre, lorsque l'étape de vérification conclut que les zones regardées ne comprennent pas au moins la zone de deuxième état et la zone de paramètre : une étape de création d'un message d'alerte textuel comprenant au moins un premier texte obtenu à partir du deuxième état et un 30 deuxième texte obtenu à partir de la condition déclenchée. Selon une première variante de l'invention, le procédé selon l'invention 3057968 6 comprend en outre une étape d'affichage dudit message d'alerte sur l'afficheur. Selon une deuxième variante de l'invention, le procédé selon l'invention comprend en outre une étape de synthèse vocale dudit message d'alerte textuel par un dispositif d'émission sonore. 5 Selon d'autres variantes de l'invention, lorsque l'étape de vérification conclut que les zones regardées ne comprennent pas au moins la zone de deuxième état et la zone de paramètre, une alerte sonore est émise, ou une combinaison entre une alerte sonore, vocale ou affichage textuel est émise. Selon cet aspect de l'invention, cette étape permet d'alerter l'opérateur humain 10 sur le changement d'état et de l'avertir de la condition ayant déclenché ce changement d'état. Le message d'alerte textuel est par exemple obtenu par concaténation ou combinaison des textes descriptifs. Cette étape n'est exécutée que lorsqu'il est apparent que l'opérateur humain n'a pas regardé les zones de paramètre et de deuxième état, c'est-à-dire qu'il n'est pas conscient du changement d'état ou n'est pas conscient de la 15 condition ayant entrainé le changement d'état. Le fait d'alerter l'opérateur uniquement quand le procédé considère que le changement d'état n'est pas compris et non pas à chaque transition, permet de limiter le nombre d'alertes soumises à l'opérateur humain et de ne l'avertir qu'en cas de détection de son manque de conscience sur l'évolution des états du ou des automates. 20 Selon une variante de l'invention, le message textuel comprend un troisième texte obtenu à partir du premier état. L'addition au message textuel d'un texte obtenu à partir du premier état permet d'améliorer la compréhension du changement d'état. L'invention concerne également un système automatisé adapté pour être 25 contrôlé par un opérateur humain et par au moins un automate comprenant un nombre d'états prédéterminé et un ensemble de conditions permettant de passer d'un état à l'autre, l'automate étant dans un seul état à la fois, le système comprenant : des moyens de gestion de l'automate, adaptés pour, au déclenchement d'une condition associée à un paramètre du système, changer automatiquement l'état 30 de l'automate entre un premier état de l'automate et un deuxième état de l'automate, 3057968 7 un afficheur, adapté pour afficher le paramètre du système dans une première zone d'affichage de l'afficheur, dite zone de paramètre, et le deuxième état de l'automate dans une deuxième zone d'affichage de l'afficheur, dite zone de deuxième état, 5 un dispositif de suivi du regard de l'opérateur, adapté pour détecter des zones de l'affichage regardées par l'opérateur humain dans un intervalle de temps prédéterminé, dites zones regardées, des moyens de vérification que les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre. 10 L'invention concerne également un aéronef comprenant un système automatisé selon l'invention, ledit système étant contrôlé par un pilote automatique et adapté pour être piloté par un pilote humain. L'invention concerne également un procédé de gestion, un système automatisé 15 et un aéronef caractérisés en combinaison par tout ou partie des caractéristiques mentionnées ci-dessus ou ci-après. 5. Liste des figures D'autres buts, caractéristiques et avantages de l'invention apparaîtront à la lecture de la description suivante donnée à titre uniquement non limitatif et qui se 20 réfère aux figures annexées dans lesquelles : la figure 1 est une vue schématique d'un afficheur de type écran d'un poste de pilotage d'aéronef, les figures 2, 3, 4 et 5 sont des vues schématiques d'un afficheur de type écran d'un poste de pilotage d'aéronef et d'un diagramme état-transition pendant la 25 mise en oeuvre d'un procédé selon un mode de réalisation de l'invention, la figure 6 représente un procédé de gestion selon un mode de réalisation de l'invention. 6. Description détaillée d'un mode de réalisation de l'invention Les réalisations suivantes sont des exemples. Bien que la description se réfère à 30 un ou plusieurs modes de réalisation, ceci ne signifie pas nécessairement que chaque référence concerne le même mode de réalisation, ou que les caractéristiques 3057968 8 s'appliquent seulement à un seul mode de réalisation. De simples caractéristiques de différents modes de réalisation peuvent également être combinées pour fournir d'autres réalisations. Sur les figures, les échelles et les proportions ne sont pas strictement respectées et ce, à des fins d'illustration et de clarté. 5 Les modes de réalisation représentés dans cette description sont relatifs à la mise en oeuvre du procédé et du dispositif de gestion d'un aéronef (en particulier un avion) contrôlé par un pilote. Toutefois, le procédé et le dispositif de gestion peuvent être mise en oeuvre dans tout type de système contrôlé par un opérateur humain et au moins en partie par un automate et permettant des interactions avec l'opérateur par le 10 biais d'éléments visuels sur un afficheur. La figure 1 est une représentation schématique d'un afficheur 10 d'un système contrôlé par un opérateur humain et par au moins un automate. En particulier, l'afficheur 10 est un écran installé dans un avion piloté par un pilote humain et un pilote 15 automatique gérant plusieurs automates chacun dans un seul état à la fois. L'afficheur 10 permet d'afficher plusieurs éléments, notamment la vitesse, via un compteur 12 de vitesse, l'altitude, via un altimètre 14, l'assiette, via un horizon 16 artificiel, ainsi que les états des différents automates gérés par le pilote automatique dans une interface graphique appelée FMA 18 pour (Flight Mode Annunciator en 20 anglais). Le FMA 18, dans ce mode de réalisation, comprend diverses informations, réparties dans différentes colonnes, ici de gauche à droite : les modes de poussées de l'avion, par exemple ici « THR CLB » pour thrust climb en anglais, signifiant l'état « poussée de montée », 25 les modes verticaux, par exemple ici « OP CLB » pour open climb en anglais, signifiant l'état « en montée rapide», les modes horizontaux, par exemple ici « NAV » pour navigation en anglais, signifiant l'état dans lequel l'aéronef suit le plan de vol, l'état du pilotage automatique dans la dernière colonne, par exemple ici « AP1 » 30 pour AutoPilot en anglais, signifiant que le pilotage automatique est activé. Dans ce mode de réalisation, les informations affichées sont réunies au sein d'un 3057968 9 seul écran, mais selon d'autres modes de réalisation de l'invention, l'afficheur comprend plusieurs écrans, cadrans ou voyants permettant d'afficher les informations à destination du pilote. En particulier, le compteur de vitesse, l'altimètre, l'horizon artificiel et le FMA peuvent être disposés dans des écrans ou cadrans différents selon les 5 aéronefs. Les figures 2, 3, 4 et 5 sont chacune une vue schématique d'un afficheur et d'un diagramme état-transition représentatif d'un automate durant différentes phases du procédé de gestion selon un mode de réalisation de l'invention. Les figures 2 et 3 présentent un premier exemple. La situation de l'aéronef 10 décrite dans la figure 2 est une situation dans laquelle le pilotage automatique est activé, comme indiqué par la présence d'un texte « AP1 » dans une zone 20 d'affichage du FMA 18 de l'afficheur 10. Le pilotage automatique activé correspond à un état d'un automate 22 comprenant ici deux états, un premier état AP « ON » dans lequel le pilotage automatique est activé, et un deuxième état AP « OFF » dans lequel le pilotage 15 automatique est désactivé. Dans la situation représentée figure 2, l'automate est dans l'état AP « ON ». La figure 3 décrit une situation dans laquelle l'aéronef est en survitesse. Cette survitesse va initier un procédé de gestion selon un mode de réalisation de l'invention, tel que représenté par la figure 6. Selon une première étape 101 de 20 déclenchement, la survitesse va déclencher une condition 23 associée à l'automate. La survitesse est liée au paramètre de vitesse de l'aéronef qui est affichée dans une deuxième étape 102 d'affichage par l'afficheur 10 dans la zone d'affichage liée au compteur de vitesse 12. Selon un autre mode de réalisation, le paramètre « survitesse » peut être affiché indépendamment de la vitesse, par exemple à l'aide d'un voyant 25 spécifique. L'automate 22, par déclenchement de la condition 23 associée à une survitesse de l'aéronef, va passer dans une troisième étape 103 de changement automatique d'état, du premier état AP « ON » au deuxième état AP « OFF ». Ce changement d'état est affiché dans une quatrième étape 104 d'affichage dans l'afficheur 10 via notamment 30 l'absence de texte « AP1 » dans la zone 20 d'affichage, qui était présent dans la situation précédente représentée figure 2, indiquant ainsi le changement d'état. 3057968 10 Ces premières étapes sont déjà connues de l'art antérieur. Suite au changement d'état et à l'affichage du paramètre et du deuxième état, un dispositif de suivi du regard de l'opérateur, permet dans une cinquième étape 105 de détection, de détecter des zones d'affichage regardées par l'opérateur humain dans un 5 intervalle de temps prédéterminé, dites zones regardées. Dans une sixième étape 106 de vérification, le système vérifie que les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre. Les zones regardées correspondent à des zones sur lesquelles le regard de l'opérateur s'est porté pendant suffisamment de temps sans interruption pour 10 considérer que la zone est regardée. Ces critères sont connus dans l'utilisation de dispositifs de suivi du regard. L'intervalle de temps prédéterminé correspond à un temps minimum dans lequel on souhaite que l'opérateur humain ait pris conscience du changement d'état et de la condition qui a entrainé le changement d'état (en regardant la zone de paramètre), 15 qui peut être par exemple fixé à dix secondes. À la suite de cet intervalle de temps prédéterminé, si la vérification indique que l'opérateur humain n'a regardé ni la zone de deuxième état ni la zone de paramètre, ou a regardé la zone de deuxième état mais pas la zone de paramètre, on peut considérer qu'il n'a pas compris les raisons du changement d'état. Ainsi, le procédé peut 20 comprendre une étape supplémentaire dans laquelle un message d'alerte textuel est créé comprenant au moins des informations sur le premier état, le deuxième état et la condition qui a déclenché le passage d'un état à l'autre. Par exemple, dans le cas présenté, le message peut prendre la forme : « Le pilote automatique a changé de l'état AP « ON » (information du premier état) à l'état AP « OFF » (information du deuxième 25 état) parce que survitesse (information de condition) ». Avant d'afficher ce message, le procédé peut effectuer des analyses complémentaires permettant de renforcer les présomptions que l'opérateur humain ne comprend pas le comportement du pilote automatique. Notamment, une première analyse peut être une analyse de la balistique de 30 l'oeil, permettant de décomposer le comportement oculaire de l'opérateur pour en caractériser les états attentionnels dégradés. La mesure de l'activité oculaire permet de 3057968 11 déceler les altérations de l'attention en différenciant les phases entre attention et vision. À titre d'exemple simplifié dans le but pour fixer les idées, on peut calculer le rapport entre le temps d'exploration (mouvements saccadiques de l'oeil) et le temps d'exploitation (fixation). Par extrapolation, ce rapport permet de donner une bonne 5 indication sur la mesure de compréhension du pilote. Par exemple, s'il apparait que les temps d'exploration de l'opérateur sont supérieurs à une valeur de référence ou que les temps de fixation sont inférieurs à une autre valeur de référence, les présomptions que l'opérateur humain ne comprend pas le comportement du pilote automatique augmentent. 10 Une deuxième analyse permet de détecter les situations dans lesquelles : le changement d'état s'est produit sans action directe du pilote sur les interfaces du pilote automatique, les actions du pilote sur l'interface du pilote automatique sont sans effets. Ces situations entrainent que les présomptions que l'opérateur humain ne 15 comprend pas le comportement du pilote automatique augmentent. Les figures 4 et 5 présentent un deuxième exemple. La situation de l'aéronef présentée dans la figure 4 est une situation dans laquelle l'aéronef est en montée, suit sa navigation et a une contrainte d'altitude de 8000 pieds, comme indiqué 20 respectivement par la présence d'un texte « CLB » et « NAV » dans des zones d'affichage du FMA 18 et au-dessus de l'altimètre 14 de l'afficheur 10. Le pilotage automatique activé correspond à un état de plusieurs automates 22 comprenant chacun deux états : un premier automate comprenant un premier état Contrainte Altitude dans lequel une contrainte d'altitude est fixée et un deuxième état Perte Contrainte Altitude dans lequel 25 aucune contrainte d'altitude n'est fixée, un deuxième automate comprenant un premier état CLB dans lequel l'aéronef est en montée et un deuxième état OPCLB dans lequel l'aéronef est dans un autre mode vertical, et un troisième automate comprenant un premier état NAV dans lequel l'aéronef suit sa navigation et un deuxième état HDG (pour heading hold en anglais, signifiant l'état « tenue de cap ») dans lequel l'aéronef 30 suit son cap. Dans la situation représentée figure 4, les automates sont dans l'état Contrainte Altitude, CLB et NAV. 3057968 12 La figure 5 représente une situation dans laquelle le pilote, pour effectuer une manoeuvre d'évitement, change le cap de l'aéronef. Le changement de cap initié par le pilote va initier un procédé de gestion selon un mode de réalisation de l'invention, tel que représenté par la figure 6. Selon une 5 première étape 101 de déclenchement, le changement de cap va déclencher une condition 26 associée au troisième automate entrainant le changement de l'état NAV vers l'état HDG. C'est l'objectif souhaité par l'opérateur, il n'est donc pas nécessaire de vérifier qu'il est conscient de ce seul changement d'état. Toutefois, le changement d'état du troisième état de l'automate entraine aussi 10 un changement d'état du deuxième automate : changement de mode vertical de l'état CLB vers l'état OPCLB. Ce changement de mode vertical entraine un changement d'état du premier automate : perte de la contrainte d'altitude entrainant une ascension de l'avion à 10000 pieds d'altitude. La condition du changement d'état du premier automate lié à l'altitude est donc un changement d'état d'un autre automate. 15 Ainsi, pour vérifier que l'opérateur est bien conscient de la perte de contrainte d'altitude, il faut vérifier qu'il regarde : la zone 24c d'affichage liée à l'altitude visée par l'aéronef (10000 pieds), la condition entrainant cette perte de contrainte d'altitude, qui est le changement de mode vertical dans la zone 24a d'affichage (OPCLB), 20 la condition entrainant ce changement de mode vertical, qui est le passage en mode cap affiché dans la zone 24b d'affichage (HDG). REVENDICATIONS1. Procédé de gestion d'un système automatisé comprenant un afficheur et adapté pour être contrôlé par un opérateur humain et par au moins un automate comprenant un nombre d'états prédéterminé et un ensemble de conditions permettant de passer d'un état à l'autre, l'automate étant dans un seul état à la fois, le procédé comprenant : une étape de déclenchement d'une condition associée à un paramètre du système, une étape d'affichage dudit paramètre du système sur l'afficheur dans une première zone d'affichage de l'afficheur, dite zone de paramètre, une étape de changement automatique d'état de l'automate entre un premier état de l'automate et un deuxième état de l'automate suite au déclenchement de la condition, une étape d'affichage dudit deuxième état sur l'afficheur dans une deuxième zone d'affichage de l'afficheur, dite zone de deuxième état, caractérisé en ce qu'il comprend en outre : une étape de détection, par un dispositif de suivi du regard de l'opérateur et après l'affichage du paramètre et l'affichage du deuxième état, des zones de l'affichage regardées par l'opérateur humain dans un intervalle de temps prédéterminé, dites zones regardées, une étape de vérification que les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre. 2. Procédé de gestion selon la revendication 1, caractérisé en ce que, si les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre, il comprend une étape de contrôle, par le dispositif de suivi du regard de l'opérateur, que l'opérateur effectue un mouvement de l'oeil entre la zone de deuxième état et la zone de paramètre. 3. Procédé de gestion selon l'une des revendications 1 ou 2, caractérisé en ce qu'il comprend en outre, lorsque l'étape de vérification conclue que les zones regardées ne 3057968 14 comprennent pas au moins la zone de deuxième état et la zone de paramètre : une étape de création d'un message d'alerte textuel comprenant au moins un premier texte obtenu à partir du deuxième état et un deuxième texte obtenu à partir de la condition déclenchée. 5 4. Procédé de gestion selon la revendication 3, caractérisé en ce qu'il comprend en outre une étape d'affichage dudit message d'alerte sur l'afficheur. 5. Procédé de gestion selon l'une des revendications 3 ou 4, caractérisé en ce qu'il 10 comprend en outre une étape de synthèse vocale dudit message d'alerte textuel par un dispositif d'émission sonore. 6. Système automatisé adapté pour être contrôlé par un opérateur humain et par au moins un automate comprenant un nombre d'états prédéterminé et un ensemble de 15 conditions permettant de passer d'un état à l'autre, l'automate étant dans un seul état à la fois, le système comprenant : - des moyens de gestion de l'automate, adaptés pour, au déclenchement d'une condition associée à un paramètre du système, changer automatiquement l'état de l'automate entre un premier état de 20 l'automate et un deuxième état de l'automate, - un afficheur, adapté pour afficher le paramètre du système dans une première zone d'affichage de l'afficheur, dite zone de paramètre, et le deuxième état de l'automate dans une deuxième zone d'affichage de l'afficheur, dite zone de deuxième état, 25 - un dispositif de suivi du regard de l'opérateur, adapté pour détecter des zones de l'affichage regardées par l'opérateur humain dans un intervalle de temps prédéterminé, dites zones regardées, - des moyens de vérification que les zones regardées comprennent au moins la zone de deuxième état et la zone de paramètre. 30 7. Aéronef comprenant un système automatisé selon la revendication 6, ledit 3057968 15 système étant contrôlé par un pilote automatique et adapté pour être piloté par un pilote humain.