Brevet FR3116783A1 — publié le 20220603

Dispositif électronique d’aide à la décision embarqué dans un véhicule, système de surveillance d’une flotte de véhicules et procédé d’aide à la décision associés L’invention concerne un dispositif électronique d’aide à la décision (14) embarqué dans un véhicule (10) comprenant une pluralité de systèmes (12) propre à fonctionner selon au moins un paramètre de fonctionnement et à émettre une alerte lorsque ce paramètre de fonctionnement est hors d’un domaine de sécurité prédéterminé associé. Le dispositif comprend : un module d’acquisition (16) configuré pour acquérir au moins deux alertes issues d’au moins deux systèmes, un module de traitement (18) configuré pour déterminer une menace en fonction des alertes ; un module de génération (20) configuré pour générer une consigne en fonction de chaque menace ; et un module d’explication (22) configuré pour afficher un message comprenant une information à destination d’un utilisateur. Figure pour l'abrégé : Figure 1 Dispositif électronique d’aide à la décision embarqué dans un véhicule, système de surveillance d’une flotte de véhicules et procédé d’aide à la décision associés La présente invention concerne un dispositif électronique d’aide à la décision embarqué dans un véhicule. Le véhicule est notamment un véhicule maritime tel qu’un navire, un véhicule aéronautique tel qu’un drone, un véhicule automobile tel qu’un véhicule autonome ou un véhicule ferroviaire. Le véhicule comprend une pluralité de systèmes. Par exemple, un navire comprend des systèmes mécaniques tels que des moteurs, des pompes, une hélice, etc. et des systèmes électroniques tels que les systèmes de commande, de sécurité, de communication etc. Pour chaque système pris individuellement, les experts de ce système ont des connaissances importantes en matière de fonctionnement, de maintenance, de prévention, de correction et d'optimisation de ce système. Cependant, la combinaison et l'exploitation combinée de ces connaissances pour chaque système au niveau du véhicule pose problème. En effet, toutes ces connaissances sont cloisonnées dans chacun des domaines associés à chaque système et leur mutualisation est compliquée. A titre d’exemple, si une baisse de pression est détectée dans la chambre de compression d’une pompe, seul le concepteur ou l’expert de cette pompe est en mesure de diagnostiquer, avec des données métiers telles que le débit, la température, etc. si la pompe fonctionne bien ou de déterminer les actions qu’il est nécessaire d’entreprendre pour corriger cette baisse de pression au niveau de la pompe. Toutefois, cet expert de la pompe n’est pas compétent pour détecter si cette baisse de pression serait en fait plutôt due à une problématique plus globale telle qu’une défaillance ou une attaque informatique contre le véhicule que seul un expert informatique est compétent pour détecter. A l’inverse, cet expert informatique n’est pas compétent pour juger du bon fonctionnement de la pompe. Ainsi, en présence d’une alerte de dysfonctionnement, il est compliqué de définir une consigne globale au niveau du véhicule en réaction à cet alerte prenant en compte toutes les particularités de chaque système ainsi que le contexte d’utilisation du véhicule. Il existe donc un besoin pour un dispositif d’aide à la décision embarqué dans le véhicule permettant la détermination d’une consigne en réponse plus rapide et plus efficace vis-à-vis de la sécurité du véhicule tout en étant permettant un suivi détaillé des consignes établies pour chaque utilisateur du véhicule. A cet effet, l’invention a pour objet un dispositif électronique d’aide à la décision embarqué dans un véhicule comprenant une pluralité de systèmes, chaque système étant propre à fonctionner selon au moins un paramètre de fonctionnement et à émettre une alerte lorsque ce paramètre de fonctionnement est hors d’un domaine de sécurité prédéterminé associé, la sécurité du véhicule étant susceptible d’être affectée par une liste prédéterminée de menaces, chaque menace étant associée à un groupe prédéterminé d’alertes selon une règle prédéterminée, le dispositif électronique d’aide à la décision comprenant :un premier module d’acquisition configuré pour acquérir au moins deux alertes issues d’au moins deux systèmes différents, un premier module de traitement configuré pour déterminer une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises ; un premier module de génération configuré pour générer une consigne à mettre en œuvre par au moins l’un des systèmes en fonction de chaque menace déterminée ; et un premier module d’explication configuré pour afficher sur un écran d’affichage embarqué dans le véhicule au moins un message textuel comprenant une information à destination d’un utilisateur du véhicule concernant les alertes, la menace et/ou la consigne. Suivant d’autres aspects avantageux de l’invention, le dispositif électronique d’aide à la décision comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : chaque menace est choisie parmi la liste constituée de : une panne matérielle, une défaillance logicielle, et une attaque informatique ; le premier module de génération est configuré pour générer la consigne en fonction en outre d’un contexte courant défini par la menace détectée et par au moins l’un parmi : le niveau de probabilité de la menace ; l’impact de la menace sur la sécurité du véhicule ; et l’imminence de la menace sur la sécurité du véhicule ; le dispositif comprend en outre au moins un module parmi : un premier module d’affichage configuré pour afficher la consigne à destination d’un utilisateur du véhicule, et un premier module de transmission configuré pour transmettre la consigne à au moins l’un des systèmes pour la mise en œuvre de la consigne ; le dispositif comprend en outre un premier module d’alarme configuré pour générer un signal d’alarme en fonction de chaque menace déterminée par le premier module de traitement, le signal d’alarme comportant une alarme relative à ladite menace ; le premier module de génération est configuré pour mettre en œuvre une méthode d’apprentissage automatique entrainée sur une base de données de référence pour la génération de la consigne ; et le premier module de traitement est configuré pour calculer un niveau de probabilité de la menace au moins en fonction de la comparaison entre les alertes acquises et chaque groupe prédéterminé d’alertes. L’invention concerne également un système de surveillance d’une flotte de véhicules, chaque véhicule comprenant un dispositif électronique d’aide à la décision tel que défini ci-dessus, la sécurité de la flotte de véhicules étant susceptible d’être affecté par une liste prédéterminée de dangers, chaque danger affectant au moins deux véhicules différents, le système de surveillance comprenant : un deuxième module d’acquisition configuré pour acquérir au moins deux menaces issues d’au moins deux véhicules différents, un deuxième module de traitement configuré pour déterminer un danger parmi la liste prédéterminée de dangers en fonction des menaces acquises; et un deuxième module de génération configuré pour générer une consigne en fonction de chaque danger déterminé. L’invention concerne également un procédé d’aide à la décision mis en œuvre par un dispositif d’aide à la décision embarqué dans un véhicule comprenant une pluralité de systèmes, chaque système étant propre à fonctionner selon au moins un paramètre de fonctionnement et à émettre une alerte lorsque l’un des paramètres de fonctionnement se situe hors d’un domaine de sécurité prédéterminé associé, la sécurité du véhicule étant susceptible d’être affectée par une liste prédéterminée de menaces, chaque menace étant associée à un groupe prédéterminé d’alertes, le procédé d’aide à la décision comprenant au moins les étapes suivantes : acquisition d’au moins deux alertes issues d’au moins deux systèmes différents, détermination d’une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises ; génération d’une consigne en fonction de chaque menace déterminée ; et affichage sur un écran d’affichage embarqué dans le véhicule au moins un message textuel comprenant une information à destination d’un utilisateur du véhicule concernant les alertes, la menace et/ou la consigne. L’invention a également pour objet un produit programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un procédé tel que défini ci-dessus. Ces caractéristiques et avantages de l’invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d’exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : la est une représentation schématique d’une flotte de véhicules surveillée par un système de surveillance selon l’invention; la est une représentation schématique d’un dispositif électronique d’aide à la décision embarqué dans l’un des véhicules de la , et la est une représentation schématique du système de surveillance de la , et la est un organigramme d’un procédé, selon l’invention, d’aide à la décision selon l’invention, le procédé étant mis en œuvre par dispositif électronique d’aide à la décision et le système de surveillance. Une flotte de véhicules 10 est représentée sur la . Chaque véhicule 10 est un véhicule maritime, aéronautique, automobile ou ferroviaire. Comme visible sur la , chaque véhicule 10 est notamment un navire. Par navire, on entend tout engin civil ou militaire se déplaçant sur la surface des mers tel qu’un bateau ou au-dessous de cette surface tel qu’un sous-marin. L’homme du métier comprendra que la flotte de véhicules 10 s’étend éventuellement sur une zone géographique étendue et que les véhicules 10 ne sont pas nécessairement à proximité l’un de l’autre. La flotte de véhicules 10 est surveillée par un système de surveillance 11 qui sera décrit par la suite. Chaque véhicule 10 comprend une pluralité de systèmes 12, un dispositif électronique d’aide à la décision 14 et avantageusement un écran d’affichage 15. Chaque système 12 est notamment un système mécanique comme, par exemple, un système de motorisation ou de propulsion du véhicule 10, ou un système électronique comme, par exemple, un système de commande ou de communication. Chaque système 12 est propre à fonctionner selon au moins un paramètre de fonctionnement. Chaque paramètre de fonctionnement est une donnée caractéristique du fonctionnement dudit système 12, notamment l’une des données d’entrée et/ou l’une des données de sortie du système 12. A titre d’exemple, lorsque le système 12 est une pompe, les paramètres de fonctionnement sont la pression, la puissance, le débit, etc. Lorsque le système 12 est un système de commande, les paramètres de fonctionnement sont par exemple la fréquence d’envoi des commandes, la valeur des commandes, etc. Chaque paramètre de fonctionnement est associé à un domaine de sécurité prédéterminé. Ce domaine de sécurité est défini en amont de l’opération du véhicule 10, notamment par des experts du système 12. Lors d’un fonctionnement normal du véhicule 10, c’est-à-dire sans dysfonctionnement ou attaque extérieure, le domaine de sécurité est dimensionné de telle sorte que les valeurs du paramètre de fonctionnement restent dans ce domaine de sécurité. Une valeur hors de ce domaine de sécurité est un indice d’un dysfonctionnement ou d’une attaque contre ce système 12. Chaque système 12 est configuré pour émettre une alerte lorsque au moins un des paramètres de fonctionnement associés est hors du domaine de sécurité prédéterminé associé audit paramètre de fonctionnement. Le dispositif électronique d’aide à la décision 14 est configuré pour générer une consigne en fonction du contexte courant et pour en informer au moins un utilisateur du véhicule 10. Le contexte courant est défini notamment par les paramètres de fonctionnement des différents systèmes 12 du véhicule 10. Le contexte courant permet de déterminer l’environnement et les contraintes rencontrées par le véhicule 10 au moment présent. Quand le véhicule 10 est un navire, le contexte permet de déterminer par exemple un contexte parmi : un navire en mission de combat, un navire en mode entraînement, un navire réalisant une manœuvre délicate dans un port, etc. A cet effet et comme cela est visible sur la , le dispositif électronique d’aide à la décision 14 comprend un premier module d’acquisition 16, un premier module de traitement 18, un premier module de génération 20 et un premier module d’explication 22. Le dispositif électronique d’aide à la décision 14 comprend en outre avantageusement un premier module d’affichage 24, un premier module de transmission 26 et un premier module d’alarme 28. Le premier module d’acquisition 16 est configuré pour acquérir au moins deux alertes issues d’au moins deux systèmes 12 différents. Ainsi, le premier module d’acquisition 16, aussi appelé « case manager » (ou « gestionnaire de cas » en français), est propre à recevoir l’ensemble des alertes remontées par les différents systèmes 12 du véhicule 10. Avantageusement, pour chaque alerte remontée par l’un des systèmes 12, le premier module d’acquisition 16 est configuré pour déterminer une consigne de réaction destinée au système 12 afin de répondre à l’alerte. Cette consigne de réaction est déterminée notamment par les experts du système 12 en amont de l’exploitation du véhicule 10. A titre d’exemple, si un débit de pompe trop important est détecté, la consigne de réaction sera une consigne de diminution de ce débit. Toutefois, comme expliqué plus haut, cette consigne de réaction qui est une réaction localisée et ne prenant en compte que les alertes dues à un seul système 12, ne permet pas de réagir à des problématiques plus globales comme une attaque informatique ou un dysfonctionnement matériel plus global. A cet effet, le premier module de traitement 18 est configuré pour déterminer une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises par premier module d’acquisition 16. Une menace est un évènement susceptible d’affecter la sécurité du véhicule 10. En particulier, chaque menace est choisie parmi la liste constituée d’une panne matérielle, une défaillance logicielle et une attaque informatique. En particulier, la sécurité du véhicule 10 est susceptible d’être affectée par une liste prédéterminée de menaces. Ces menaces sont ainsi étudiées en amont de l’exploitation du véhicule 10 par un ensemble d’experts des différents systèmes 12 du véhicule 10. Ainsi, chaque menace est associée à un groupe prédéterminé d’alertes selon une règle prédéterminée. La règle prédéterminée permet d’associer un ensemble d’alertes à une menace associée. A titre d’exemple, une menace d’attaque informatique contre les systèmes de propulsion du véhicule 10 est associée à une alerte de baisse de puissance moteur, une alerte de baisse de la rotation de l’hélice, une alerte du système de commande. A titre d’exemple également, une menace de type insertion de code malveillant sur un système est associée à une alerte d’insertion de clé USB, une détection d'un processus informatique inconnu ou un défaut d'intégrité. A titre d’exemple également, une mal fonction de type défaut d'isolation d'un réfrigérateur est associée à une alerte de consommation anormale d'électricité et une variation du profil PID (proportionnel/intégral/dérivé). Ainsi, le premier module de traitement 18 est propre à recevoir les différentes alertes acquises par le premier module d’acquisition 16 et d’en déduire une menace contre la sécurité du véhicule 10 selon la règle prédéterminée. Dans un mode de réalisation avantageux, le premier module de traitement 18 est configuré pour calculer un niveau de probabilité de la menace au moins en fonction de la comparaison entre les alertes acquises et chaque groupe prédéterminé d’alertes. En particulier, si une menace est associée à N alertes, l’acquisition d’un nombre inférieur à N d’alertes, permet au premier module de traitement 18 de déduire un risque de menace avec un certain niveau de probabilité. Ainsi, la détection de N-1 alertes associées à une menace permet la déduction de cette menace avec un niveau de probabilité important. A l’inverse, si seule la moitié des alertes associée à une menace a été détectée, le niveau de probabilité associé sera faible. L’homme du métier comprendra que le seuil permettant de détecter le niveau de probabilité est un paramètre dynamique, variant selon le contexte d’utilisation du système 12. Le premier module de traitement 18 est propre à envoyer la ou les menaces détectées, ainsi qu’avantageusement le niveau de probabilité associé à chaque menace, au premier module de génération 20 et au premier module d’alarme 28. Le premier module de génération 20 est configuré pour générer une consigne à mettre en œuvre par au moins l’un des systèmes 12 en fonction de chaque menace déterminée. La consigne est une opération à réaliser par le système 12 associé. La consigne est notamment une opération curative permettant de supprimer la menace, une opération préventive permettant de limiter les impacts de l’éventuelle menace, une opération de confirmation de la présence de la menace, ou encore une combinaison de ces opérations. La consigne s’applique éventuellement à un système 12 n’ayant pas fait remonter d’alerte mais qui a été diagnostiqué comme source des dysfonctionnements ayant engendré les alertes dans les autres systèmes 12 voisins. Le premier module de génération 20 est avantageusement configuré pour générer la consigne en fonction en outre du contexte défini par au moins l’un parmi : le niveau de probabilité de la menace, l’impact de la menace sur la sécurité du véhicule 10 et l’imminence de la menace sur la sécurité du véhicule 10. Ainsi, le premier module de génération 20 est configuré pour trouver un compromis entre l’efficacité de la réaction, le risque d’appliquer la réaction et notamment les effets secondaires que pourrait engendrer la consigne et la durée nécessaire pour réaliser la consigne. Autrement dit, le premier module de génération 20 est configuré pour déterminer la réaction définie par la consigne en prenant en compte comme critères : l’efficacité de la réaction, le risque d’appliquer la réaction en fonction des effets secondaires possibles, la durée nécessaire pour réaliser la réaction et la nature de la réaction qui peut être un traitement curatif, un traitement préventif ou encore un diagnostic de confirmation. A titre d’exemple, lorsqu’un opérateur de navire doit réaliser une opération délicate telle qu’une entrée dans un port, si une menace est détectée, la consigne à appliquer dépend du contexte immédiat. Si la menace n’est pas avérée de manière certaine, par exemple s’il s’agit notamment d’une simple anticipation, la menace peut être éventuellement ignorée ou la consigne peut être uniquement une consigne préventive, et ainsi laisser l’opérateur réaliser la manœuvre qui requiert beaucoup d’attention de sa part. A l’inverse, si la menace détectée est quasi-certaine et grave, il est urgent d’appliquer une consigne curative immédiatement et interrompre la manœuvre en cours. La génération des consignes par le premier module de génération 20 est par exemple réalisée à partir d’une table de correspondance prédéterminée entre les différentes menaces et les consignes associées. Cette table est notamment réalisée par des experts des différents systèmes 12 du véhicule 10. En variante, le premier module de génération 20 est configuré pour mettre en œuvre une méthode d’apprentissage automatique entrainée sur une base de données de référence pour la génération de la consigne. La base de données de référence comprend notamment un historique des menaces enregistrées sur d’autres véhicules 10 semblables, des consignes alors déterminées et des résultats associés. La base de données est avantageusement régulièrement mise à jour en prenant en compte le retour d’expérience des différents véhicules 10 de la flotte. Le premier module de génération 20 est configuré pour envoyer la ou les consignes au premier module d’explication 22 et avantageusement au module d’affichage 24 et/ou au module de transmission 26. Le premier module d’affichage 24 est configuré pour afficher la consigne à destination d’un utilisateur du véhicule 10. La consigne est par exemple affichée sur l’écran d’affichage 15 disposé dans la cabine de commande du véhicule 10. L’utilisateur est alors informé de la consigne recommandée par le dispositif d’aide à la décision 14 et peut l’appliquer s’il le juge nécessaire au vu du contexte. Le premier module de transmission 26 est configuré pour transmettre la consigne à au moins l’un des systèmes 12 pour la mise en œuvre de la consigne. Dans ce cas, la consigne est mise en œuvre automatiquement sans que l’utilisateur la valide ou non. Avantageusement, le premier module de génération 20 est configuré pour envoyer la consigne au premier module d’affichage 24 ou au premier module de transmission 26 en fonction contexte courant et notamment du niveau de probabilité de la menace, de l’impact de la menace sur la sécurité du véhicule 10 et de l’imminence de la menace sur la sécurité du véhicule 10. Le premier module d’affichage 24 est avantageusement propre à afficher sur l’écran d’affichage 15 un bouton permettant à l’utilisateur de valider la consigne et de l’envoyer au premier module de transmission 26. Le premier module d’explication 22 est configuré pour afficher sur l'écran d’affichage 15 au moins un message textuel comprenant une information à destination d’un utilisateur du véhicule 10 concernant les alertes, la menace et/ou la consigne. En particulier, le premier module d’explication 22 est configuré pour afficher le lien logique entre les alertes qui a conduit à la détection de la menace puis de la consigne. Le premier module d’explication 22 est en outre configuré pour afficher le niveau de probabilité de la menace. A titre d’exemple, le premier module d’explication 22 affiche une information relative à deux alertes à savoir la détection d’un processus inconnu sur une machine informatique du véhicule 10 et une augmentation du trafic réseau. Le premier module d’explication 22 affiche en outre la détection de la menace associée, à savoir un code malveillant présente dans la machine réalisant un scan de port. Enfin, le premier module d’explication 22 affiche la consigne de restaurer la machine. Le premier module d’explication 22 affiche en outre éventuellement la probabilité de cette menace et une information relative à l’efficacité et la rapidité de la consigne déterminée. L’utilisateur possède ainsi une vision complète et précise des menaces sur le véhicule 10 et des opérations à réaliser. Dans un mode de réalisation avantageux, le premier module d’explication 22 est configuré pour recevoir des requêtes de l’utilisateur envoyées notamment via l’écran d’affichage 15 et d’afficher des informations complémentaires en réponse à ces requêtes. Ces requêtes sont notamment des demandes d’informations complémentaires sur les alertes, la menace et/ou la consigne et permettent ainsi à l’utilisateur d’être en possession de toutes les informations nécessaires. Le premier module d’alarme 28 est configuré pour générer un signal d’alarme en fonction de chaque menace déterminée par le premier module de traitement 18. Le signal d’alarme comporte une alarme relative à ladite menace. Le premier module d’alarme 28 est en particulier configuré pour envoyer le signal d’alarme au premier module d’affichage 24 afin que l’alarme s’affiche sur l’écran d’affichage 15. L’utilisateur est ainsi directement averti de la détection d’une menace, éventuellement avant que le premier module de génération 20 ait eu le temps de générer une consigne associée. Ainsi, le dispositif d’aide à la décision 14 selon l’invention permet la détermination d’une consigne en réponse plus rapide et plus efficace vis-à-vis de la sécurité du véhicule 10 permettant la prise en compte de l’ensemble des systèmes 12 et de leurs interactions. L’invention permet donc une détection des attaques informatiques contre les véhicules ou peut être appliqué à la maintenance prédictive du véhicule 10 en détectant des éventuelles défaillances matérielles ou logicielles globales affectant différents systèmes 12. Le dispositif d’aide à la décision 14 permet en outre un suivi détaillé des consignes établies pour chaque utilisateur du véhicule 10 au moyen des explications affichées sur l’écran d’affichage 15. Ainsi, le dispositif d’aide à la décision 14 adopte une méthode dite « automatique explicatif ». Le premier module de génération 20 est propre à déterminer une unique proposition de consigne en fonction des menaces détectées et le premier module d’explication 22 est propre à expliquer le raisonnement qui à mener à la génération automatique de cette consigne. Afin de comprendre au mieux l’invention, une analogie peut être effectuée avec le domaine médical. En effet, les différentes alertes des systèmes 12 sont analogues à des symptômes ressentis par une personne au niveau de ses différents organes. Généralement une personne à la possibilité de traiter les symptômes qu’elle ressent, comme le mal de tête, une courbature, les yeux qui pleurent, un mal de dent, etc. Le traitement d’un symptôme comme le mal de tête se fait via une aspirine. Cette automédication ne permet généralement pas de se soigner mais elle évite un emballement trop rapide de la dégradation de la santé qui peut être due à un problème bien plus grave mais que la personne ne peut déduire à cause d’un manque de connaissance, d’outils ou d’expertise. Le traitement du symptôme va permettre de patienter jusqu'à la visite d’un médecin bénéficiant de la connaissance et des techniques nécessaires au diagnostic. La corrélation de l’ensemble des symptômes va permettre de déduire un syndrome. Par exemple dans le cas d’un syndrome de type coronavirus, les symptômes associés sont le mal de tête, une forte fièvre, un problème respiratoire, etc. Bien évidemment, il n’est pas nécessaire d’avoir l’ensemble des symptômes pour suspecter un syndrome. Le fait de connaitre le syndrome, permet alors de déterminer une prescription de traitement. Effectivement, en médecine pour chaque syndrome décrit, on associe généralement un protocole permettant la guérison. Ainsi, le médecin a la possibilité de justifier son traitement par l’explication des différents symptômes qu’il a détecté. Toutefois, la sécurité de la flotte de véhicules 10 est également susceptible d’être menacée par un danger affectant au moins deux véhicules 10 différents. Un danger est par exemple une attaque informatique contre l’ensemble de la flotte de véhicules 10 ou un défaut générique affectant potentiellement l’ensemble des véhicules 10 tel qu’un défaut de conception matériel ou logiciel. A cet effet, en référence à la , le système de surveillance 11 de la flotte de véhicules 10 comprend un deuxième module d’acquisition 30, un deuxième module de traitement 32 et un deuxième module de génération 34. Le système de surveillance 11 comprend en outre avantageusement un deuxième module d’explication 36, un deuxième module d’affichage 38, un deuxième module de transmission 40 et un deuxième module d’alarme 42. Le système de surveillance 11 est par exemple intégré dans un centre de surveillance 50 disposé à l’écart des véhicules 10. Lorsque les véhicules 10 sont des navires, le centre de surveillance 50 est par exemple un bâtiment terrestre surveillant à distance la flotte de navires. Le centre de surveillance 50 comprend en particulier un écran d’affichage 52 destiné à un opérateur surveillant la flotte. Le fonctionnement de chaque deuxième module 30, 32, 34, 36, 38, 40, 42 est semblable au fonctionnement de chaque premier module 16, 18, 20, 22, 24, 26, 28 associé, seules les données d’entrées et les données de sortie variant. Le deuxième module d’acquisition 30 est configuré pour acquérir au moins deux menaces issues d’au moins deux véhicules 10 différents. Le deuxième module de traitement 32 est configuré pour déterminer un danger parmi une liste prédéterminée de dangers en fonction des menaces acquises. A titre d’exemple, si plusieurs véhicules 10 remontent la même menace affectant les mêmes systèmes 12 électroniques au même moment, le deuxième module de traitement 30 détermine qu’une attaque informatique contre la flotte de véhicules 10 est en cours. Le deuxième module de génération 34 est alors configuré pour générer une consigne en fonction de chaque danger déterminé. La consigne est une opération à réaliser par au moins un véhicule 10 de la flotte. Le deuxième module de génération 34 est avantageusement configuré pour générer la consigne en fonction en outre du contexte défini par au moins l’un parmi : le niveau de probabilité du danger, l’impact du danger sur la sécurité de la flotte et l’imminence du danger sur la sécurité de la flotte. Ainsi, le deuxième module de génération 34 est configuré pour trouver un compromis entre l’efficacité de la réaction, le risque d’appliquer la réaction et notamment les effets secondaires que pourrait engendrer la consigne et la durée nécessaire pour réaliser la consigne. Le deuxième module de génération 34 est configuré pour envoyer la ou les consignes au deuxième module d’explication 36 et avantageusement au deuxième module d’affichage 38 et/ou au deuxième module de transmission 40. Le deuxième module d’affichage 38 est configuré pour afficher la consigne à destination d’un opérateur du centre de surveillance 50. La consigne est par exemple affichée sur l’écran d’affichage 52 disposé dans le centre de surveillance 50. Le deuxième module de transmission 40 est configuré pour transmettre la consigne à au moins l’un des véhicules 10 pour la mise en œuvre de la consigne. Dans ce cas, la consigne est mise en œuvre automatiquement sans que l’opérateur la valide ou non. Avantageusement, le deuxième module de génération 34 est configuré pour envoyer la consigne au deuxième module d’affichage 38 ou au deuxième module de transmission 40 en fonction contexte courant et notamment du niveau de probabilité du danger, de l’impact du danger sur la sécurité de la flotte et de l’imminence du danger sur la sécurité de la flotte. Le deuxième module d’explication 36 est configuré pour afficher sur l'écran d’affichage 52 disposé dans le centre de surveillance 50 au moins un message textuel comprenant une information à destination d’un opérateur concernant les menaces, le danger et/ou la consigne. En particulier, le deuxième module d’explication 36 est configuré pour afficher le lien logique entre les menaces qui a conduit à la détection du danger puis de la consigne. Dans un mode de réalisation avantageux, le deuxième module d’explication 36 est configuré pour recevoir des requêtes de l’opérateur envoyées notamment via l’écran d’affichage 52 et d’afficher des informations complémentaires en réponse à ces requêtes. Ces requêtes sont notamment des demandes d’informations complémentaires sur les menaces, le danger et/ou la consigne et permettent ainsi à l’opérateur d’être en possession de toutes les informations nécessaires. Le deuxième module d’alarme 42 est configuré pour générer un signal d’alarme en fonction de chaque danger déterminé par le deuxième module de traitement 32. Le signal d’alarme comporte une alarme relative audit danger. Le deuxième module d’alarme 42 est en particulier configuré pour envoyer le signal d’alarme au deuxième module d’affichage 38 afin que l’alarme s’affiche sur l’écran d’affichage 52. Dans l’exemple de la , le dispositif électronique d’aide à la décision 14 comprend une unité de traitement d’informations 60 formée par exemple d’une mémoire 62 et d’un processeur 64 associé à la mémoire 62. Les différents modules sont réalisés chacun sous forme d’un logiciel, ou d’une brique logicielle, exécutables par le processeur 64 et stockés dans la mémoire 62. Le processeur 64 est alors apte à exécuter chacun de ces logiciels. Dans l’exemple de la , le système de surveillance 11 comprend une unité de traitement d’informations 70 formée par exemple d’une mémoire 72 et d’un processeur 74 associé à la mémoire 72. Les différents modules sont réalisés chacun sous forme d’un logiciel, ou d’une brique logicielle, exécutables par le processeur 64 et stockés dans la mémoire 72. Le processeur 74 est alors apte à exécuter chacun de ces logiciels. En variante non représentée, les différents modules sont réalisés chacun sous forme d’un composant logique programmable, tel qu’un FPGA (de l’anglais Field Programmable Gate Array), ou encore sous forme d’un circuit intégré dédié, tel qu’un ASIC (de l’anglais Application Specific Integrated Circuit). Lorsque le dispositif électronique d’aide à la décision 14 et/ou le système de surveillance 11 est réalisé sous forme d’un ou plusieurs logiciels, c’est-à-dire sous forme d’un programme d’ordinateur, il est en outre apte à être enregistré sur un support, non représenté, lisible par ordinateur. Le support lisible par ordinateur est par exemple, un médium apte à mémoriser les instructions électroniques et à être couplé à un bus d’un système informatique. A titre d’exemple, le support lisible est un disque optique, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non-volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique. Sur le support lisible est alors mémorisé un programme d’ordinateur comportant des instructions logicielles. Le fonctionnement du dispositif électronique d’aide à la décision 14 et su système de surveillance 11 selon l’invention va désormais être expliqué à l’aide de la représentant un organigramme du procédé, selon l’invention, d’aide à la décision. Par la suite, un exemple de mise en œuvre du procédé va être décrite pour un navire, et l’homme du métier comprendra que ce procédé s’applique plus généralement à tout véhicule 10. Initialement, comme visible sur la , une flotte de navires navigue, chaque navire fonctionnant sans dysfonctionnement. Puis, à bord d’au moins un navire, plusieurs systèmes 12 émettent des alertes sur leur fonctionnement. En particulier, au moins un paramètre de fonctionnement de chaque système 12 est hors d’un domaine de sécurité prédéterminé associé. Par exemple, une pompe présente une pression trop basse et une machine informatique présente un trafic trop important. Lors d’une étape 100, le premier module d’acquisition 16 fait alors l’acquisition d’au moins deux alertes issues d’au moins deux systèmes 12 différents. Puis, lors d’une étape 110, le premier module de traitement 16 détermine une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises. Par exemple, la menace détectée est une attaque informatique contre le système de commande des pompes. Avantageusement, le premier module de traitement 16 envoie la menace détectée au système de surveillance 11. Lors d’une étape 120, le premier module de génération 18 génère une consigne en fonction de la menace déterminée. Par exemple, la consigne est un arrêt des pompes, une restauration de la machine informatique et une recherche de virus dans le reste du véhicule 10. Puis, le module d’affichage 24 affiche sur l’écran d’affichage 15 embarqué dans le navire au moins un message textuel comprenant une information à destination d’un utilisateur du navire, tel que le pilote, concernant les alertes, la menace et/ou la consigne. En particulier, le message textuel indique la nature des alertes acquises, la menace détectée associée avec un niveau de probabilité de cette menace et la consigne déterminée en réponse. Lors d’une étape 130, le premier module d’affichage 24 affiche la consigne à destination d’un utilisateur du navire sur l’écran d’affichage 15 disposé dans la cabine de commande du navire. En variante ou en complément, lors d’une étape 140, le premier module de transmission 26 transmet la consigne à au moins l’un des systèmes 14 pour la mise en œuvre de la consigne. Par exemple, le premier module de transmission 26 transmet la consigne d’arrêt à la pompe et la consigne de restauration à la machine informatique. Au moins un autre navire de la flotte met en œuvre les étapes 100 à 140. Par exemple, cet autre navire fait également remonter une menace d’attaque informatique contre le système de commande des pompes. Lors d’une étape 150, le deuxième module d’acquisition 30 acquiert au moins deux menaces issues des au moins deux navires différents. Le deuxième module de traitement 32 détermine, lors d’une étape 160, un danger parmi une liste prédéterminée de dangers en fonction des menaces acquises. Par exemple, le danger est ici une attaque informatique contre l’ensemble de la flotte. Le deuxième module de génération 34 est génère alors une consigne en fonction de chaque danger déterminé lors d’une étape 170. La consigne est par exemple une recherche de virus dans le système de commande de la pompe envoyé à tous les navires de la flotte. Puis, lors d’une étape 180, le deuxième module d’affichage 38 affiche la consigne à destination d’un opérateur du centre de surveillance 50 sur l’écran d’affichage 52. En complément ou en variante, lors d’une étape 190, le deuxième module de transmission 40 transmet la consigne à au moins l’un des véhicules 10 pour la mise en œuvre de la consigne. Enfin, lors d’une étape 200, le deuxième module d’explication 42 affiche sur l'écran d’affichage 52 disposé dans le centre de surveillance 50 au moins un message textuel comprenant une information à destination d’un opérateur concernant les menaces, le danger et/ou la consigne. On comprend que l’invention présente un certain nombre d’avantages. En effet, l’invention permet de déterminer une consigne rapidement et efficacement. La contextualisation des événements détectés dans l’environnement d’utilisation des différents systèmes 12 du véhicule 10 permet de pouvoir comprendre plus précisément les différents dysfonctionnements affectant le véhicule 10. En comprenant mieux ce qu’il se passe dans le véhicule 10 en mutualisant les alertes remontées, il est possible d’y répondre plus efficacement. En présence d’une alerte de dysfonctionnement remontée par un système 12, celle-ci sera traitée à des niveaux différents. Le premier niveau correspond à une réaction reflexe, manuelle ou automatique, qui a pour principal objectif d’éviter que l’accident s’empire. Par exemple, lorsqu’une pompe s’arrête de fonctionner, quelle que soit la raison, la première réaction est de couper la vanne qui l’alimente. Les autres niveaux ont pour objectif de contextualiser cette alerte dans un environnement de plus haut niveau. Ainsi, il existe autant de niveaux que de compétences nécessaires pour traiter l’alerte. Une fois le problème compris dans sa globalité, on agit au niveau du véhicule 10 alors que la réaction réflexe de premier niveau ne cible que le système 12 ayant remonté l'alerte. La réponse aux différents dysfonctionnements rencontrés par le véhicule 10 est donc plus efficace et la sécurité du véhicule 10 est ainsi renforcée. Dispositif électronique d’aide à la décision (14) embarqué dans un véhicule (10) comprenant une pluralité de systèmes (12), chaque système (12) étant propre à fonctionner selon au moins un paramètre de fonctionnement et à émettre une alerte lorsque ce paramètre de fonctionnement est hors d’un domaine de sécurité prédéterminé associé, la sécurité du véhicule (10) étant susceptible d’être affectée par une liste prédéterminée de menaces, chaque menace étant associée à un groupe prédéterminé d’alertes selon une règle prédéterminée, le dispositif électronique d’aide à la décision (14) comprenant : un premier module d’acquisition (16) configuré pour acquérir au moins deux alertes issues d’au moins deux systèmes (12) différents, un premier module de traitement (18) configuré pour déterminer une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises ; un premier module de génération (20) configuré pour générer une consigne à mettre en œuvre par au moins l’un des systèmes (12) en fonction de chaque menace déterminée ; et un premier module d’explication (22) configuré pour afficher sur un écran d’affichage (15) embarqué dans le véhicule (10) au moins un message textuel comprenant une information à destination d’un utilisateur du véhicule (10) concernant les alertes, la menace et/ou la consigne. Dispositif (14) selon la revendication 1, dans lequel chaque menace est choisie parmi la liste constituée de : une panne matérielle, une défaillance logicielle, et une attaque informatique. Dispositif (14) selon la revendication 1 ou 2, dans lequel le premier module de génération (16) est configuré pour générer la consigne en fonction en outre d’un contexte courant défini par la menace détectée et par au moins l’un parmi : le niveau de probabilité de la menace ; l’impact de la menace sur la sécurité du véhicule ; et l’imminence de la menace sur la sécurité du véhicule. Dispositif (14) selon l’une quelconque des revendications précédentes, comprenant en outre au moins un module parmi : - un premier module d’affichage (24) configuré pour afficher la consigne à destination d’un utilisateur du véhicule (10), et - un premier module de transmission (26) configuré pour transmettre la consigne à au moins l’un des systèmes (12) pour la mise en œuvre de la consigne. Dispositif (14) selon l’une quelconque des revendications précédentes, comprenant en outre un premier module d’alarme (28) configuré pour générer un signal d’alarme en fonction de chaque menace déterminée par le premier module de traitement (18), le signal d’alarme comportant une alarme relative à ladite menace. Dispositif (14) selon l’une quelconque des revendications précédentes, dans lequel le premier module de génération (20) est configuré pour mettre en œuvre une méthode d’apprentissage automatique entrainée sur une base de données de référence pour la génération de la consigne. Dispositif (14) selon l’une quelconque des revendications précédentes, dans lequel le premier module de traitement (18) est configuré pour calculer un niveau de probabilité de la menace au moins en fonction de la comparaison entre les alertes acquises et chaque groupe prédéterminé d’alertes. Système de surveillance (11) d’une flotte de véhicules (10), chaque véhicule (10) comprenant un dispositif électronique d’aide à la décision (14) selon l’une quelconque des revendications précédentes, la sécurité de la flotte de véhicules (10) étant susceptible d’être affecté par une liste prédéterminée de dangers, chaque danger affectant au moins deux véhicules (10) différents, le système de surveillance (11) comprenant : un deuxième module d’acquisition (30) configuré pour acquérir au moins deux menaces issues d’au moins deux véhicules différents, un deuxième module de traitement (32) configuré pour déterminer un danger parmi la liste prédéterminée de dangers en fonction des menaces acquises; et un deuxième module de génération (34) configuré pour générer une consigne en fonction de chaque danger déterminé. Procédé d’aide à la décision mis en œuvre par un dispositif d’aide à la décision (14) embarqué dans un véhicule (10) comprenant une pluralité de systèmes (12), chaque système (12) étant propre à fonctionner selon au moins un paramètre de fonctionnement et à émettre une alerte lorsque l’un des paramètres de fonctionnement se situe hors d’un domaine de sécurité prédéterminé associé, la sécurité du véhicule (10) étant susceptible d’être affectée par une liste prédéterminée de menaces, chaque menace étant associée à un groupe prédéterminé d’alertes, le procédé d’aide à la décision comprenant au moins les étapes suivantes : acquisition d’au moins deux alertes issues d’au moins deux systèmes (12) différents, détermination d’une menace parmi la liste prédéterminée de menaces en fonction des alertes acquises ; génération d’une consigne en fonction de chaque menace déterminée ; et affichage sur un écran d’affichage (15) embarqué dans le véhicule (10) au moins un message textuel comprenant une information à destination d’un utilisateur du véhicule (10) concernant les alertes, la menace et/ou la consigne. Produit programme ordinateur comprenant des instructions logicielles, qui lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un procédé d’aide à la décision selon la revendication précédente.