Brevet FR3146447A1 — publié le 20240913

L’invention concerne un module électronique d’aide à la conduite d’un véhicule automobile, comportant : - au moins un bloc sûr (U1, U2) adapté à générer une première donnée de sortie (S1, S2) qui présente un niveau de fiabilité élevé, et - au moins un bloc faillible (U3) qui reçoit au moins une donnée d’entrée relative au véhicule automobile, et qui fournit au moins une deuxième donnée de sortie (S33), ladite deuxième donnée de sortie étant fonction de ladite au moins une donnée d’entrée et présentant un niveau de fiabilité inférieur à celui de chaque première donnée de sortie, et - un bloc de sécurisation (U4) qui reçoit en entrée les première et deuxième donnée de sortie et qui fournit en sortie une information sécurisée (S4) dont le niveau de fiabilité est supérieur à celui de ladite deuxième donnée de sortie. Figure pour l’abrégé : Fig.2 Module électronique d’aide à la conduite d’un véhicule automobile Domaine technique de l'invention La présente invention concerne de manière générale la sécurité dans le domaine automobile. Elle concerne plus particulièrement un module électronique programmé et structuré dans le but d’aider un conducteur à la conduite de son véhicule automobile. L’invention trouve une application particulièrement avantageuse dans la conception de logiciels sécurisés permettant d’automatiser la conduite de véhicules automobiles. Etat de la technique Les véhicules automobiles modernes comportent plusieurs calculateurs qui offrent une grande quantité de fonctions, dont des fonctions de pilotage autonome ou semi-autonome du véhicule. Parmi ces fonctions, on peut par exemple citer la fonction de maintien automatique du véhicule au centre de sa voie de circulation, ou la fonction de régulation adaptative de vitesse (qui permet de maintenir la vitesse du véhicule à une vitesse de consigne et au besoin de réguler cette vitesse si la circulation se densifie afin de maintenir des distances de sécurité adaptées). Ces fonctions mettent en œuvre une quantité importante de logiciels, représentant généralement plusieurs millions de lignes de code. Certaines de ces fonctions sont critiques pour la sécurité du véhicule. Dès lors, les logiciels doivent être développés selon des règles de conception rigoureuses définies par exemple par la norme ISO26262. Le matériel informatique et les capteurs (caméra, RADAR…) sont également sélectionnés en fonction de cette norme. Cette norme ISO26262 définit des niveaux d’exigence en matière de sécurité automobile allant du niveau ASIL-A (niveau le moins critique) au niveau ASIL-D (niveau le plus critique). Pendant la conception du véhicule, il est prévu de développer chaque fonction en respectant le niveau ASIL qui lui est assigné. Naturellement, plus la fonction est critique, plus le niveau ASIL est élevé, et plus le développement du logiciel s’avère coûteux en termes notamment de temps de développement. En parallèle de cela, la norme SAEJ3016 définit des degrés de délégation de conduite, le niveau le plus élevé (cinq) désignant des véhicules entièrement autonomes et les autres niveaux désignant des véhicules requérant de la part du conducteur une attention plus ou moins élevée. Dans le cadre de l’automatisation partielle des véhicules (avec un niveau inférieur à quatre), il est nécessaire d’exécuter une fonction de surveillance de l’attention du conducteur. Ce programme peut typiquement consister à surveiller que le conducteur a bien les mains sur le volant. Ainsi, les fonctions de conduite semi-autonome du véhicule pourront être mises en œuvre uniquement si le conducteur a bien les mains sur son volant. La fonction de surveillance de l’attention du conducteur doit alors elle aussi satisfaire un niveau ASIL donné (par exemple un niveau ASIL-B). Deux stratégies peuvent être employées pour déterminer si le conducteur a les mains sur le volant. Une première stratégie consiste à mesurer le couple exercé par le conducteur sur le volant quand une seconde stratégie consiste à équiper le volant de capteur capacitifs. La seconde stratégie est celle qui donne les meilleurs résultats, mais elle est beaucoup plus onéreuse que la première qui ne nécessite aucun capteur dédié (ceux utilisés sont déjà présents dans les véhicules étant suffisants). Dans ce contexte, le document US20210024075 propose alors d’utiliser l’intelligence artificielle (en l’espèce un réseau de neurones) afin d’améliorer la détection des mains du conducteur sur le volant. Cette solution technique s’avère efficace mais elle présente un inconvénient majeur qui la rend en pratique inutilisable : il n’est pas possible de s’assurer à un coût raisonnable que le réseau de neurones présente le niveau ASIL souhaité. En outre, une nouvelle norme ISO/PAS 21448 a été introduite pour couvrir les défauts liés aux limitations intrinsèques d’une fonction. La combinaison de ces deux normes pour un composant embarquant des fonctions à base de réseaux de neurones rend alors extrêmement difficile leur qualification. C’est la raison pour laquelle la solution technique la meilleure reste celle basée sur la seconde stratégie, dont on rappelle qu’il s’agit de la plus onéreuse. Présentation de l'invention La présente invention propose une solution permettant d’utiliser des algorithmes difficiles à qualifier à un niveau ASIL, en limitant leur coût de développement. Plus particulièrement, on propose selon l’invention un module électronique d’aide à la conduite d’un véhicule automobile, comportant : - au moins un bloc sûr adapté à générer une première donnée de sortie qui présente un niveau de fiabilité élevé, et - au moins un bloc faillible qui reçoit au moins une donnée d’entrée relative au véhicule automobile, et qui fournit au moins une deuxième donnée de sortie, ladite deuxième donnée de sortie étant fonction de ladite au moins une donnée d’entrée et présentant un niveau de fiabilité inférieur à celui de chaque première donnée de sortie, et - un bloc de sécurisation qui reçoit en entrée les première et deuxième donnée de sortie et qui fournit en sortie une information sécurisée dont le niveau de fiabilité est supérieur à celui de ladite deuxième donnée de sortie. Ainsi, grâce à l’invention, le bloc de sécurisation permet, sur la base des données transmises par les blocs sûrs, de vérifier les données transmisses par le bloc faillible afin de garantir leur validité et d’en déduire une information sécurisée. Ainsi, il est possible d’utiliser l’intelligence artificielle pour réaliser des calculs, puis de contrôler le résultat de ces calculs non pas en refaisant ces calculs dans un bloc sûr, mais simplement en vérifiant que le bloc faillible fonctionne correctement. Cette solution s’avère donc peu onéreuse en termes de développement et d’implémentation sur un véhicule. D’autres caractéristiques avantageuses et non limitatives du module électronique conforme à l’invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : - ladite information sécurisée indique si un conducteur du véhicule automobile est attentif ; - ladite information sécurisée indique si le conducteur a ou non les mains sur un volant du véhicule automobile ; - ladite information sécurisée est déterminée en fonction du couple exercé par le conducteur sur le volant ; - ladite au moins une donnée d’entrée est relative au couple exercé par un conducteur du véhicule automobile sur un volant du véhicule automobile, et ladite au moins une deuxième donnée de sortie est déterminée en comparant ladite au moins une donnée d’entrée avec un seuil ; - ladite au moins une deuxième donnée de sortie est déterminée au moyen d’un réseau de neurones ; - le bloc faillible fournit au moins une autre donnée de sortie, l’information sécurisée étant identique à ladite deuxième donnée de sortie si au moins une condition est remplie, ladite condition étant que ladite autre donnée de sortie soit comparable à ladite première donnée de sortie ; - ladite autre donnée de sortie est calculée par le bloc faillible et est considérée comparable à ladite première donnée de sortie si elle est égale à une valeur fonction de ladite première donnée de sortie ; - ladite autre donnée de sortie est calculée par le bloc faillible et est considérée comparable à ladite première donnée de sortie si elle est complémentaire d’une fonction de ladite première donnée de sortie ; - l’information sécurisée est identique à ladite deuxième donnée de sortie si au moins une condition est remplie, ladite condition étant que ladite première donnée de sortie indique une absence d’erreur matérielle. L’invention propose également un véhicule automobile comprenant un châssis et des éléments de carrosserie qui délimitent un habitacle, au moins deux roues directrices, un système de direction comprenant un volant qui est situé dans l’habitacle et qui est connecté aux roues directrices, et un capteur de couple adapté à mesurer le couple exercé par le conducteur sur le volant, ainsi qu’un module électronique tel que précité. Bien entendu, les différentes caractéristiques, variantes et formes de réalisation de l'invention peuvent être associées les unes avec les autres selon diverses combinaisons dans la mesure où elles ne sont pas incompatibles ou exclusives les unes des autres. Description détaillée de l'invention La description qui va suivre en regard des dessins annexés, donnés à titre d’exemples non limitatifs, fera bien comprendre en quoi consiste l’invention et comment elle peut être réalisée. Sur les dessins annexés : est une vue schématique en perspective d’un véhicule automobile conforme à l’invention ; est une vue schématique d’un logiciel de détection de la prise en main par un conducteur du volant du véhicule automobile de la . Sur la , on a représenté un véhicule 1 automobile adapté à mettre en œuvre l’invention. Il s’agit ici d’une voiture. En variante, il pourrait s’agir d’un autre type de véhicule (camion, moto, bus…). Ici, ce véhicule 1 comporte classiquement un châssis et des éléments de carrosserie qui délimitent un habitacle dans lequel se trouve notamment un siège pour le conducteur 5 du véhicule, une planche de bord et un volant 3. Il comporte également des roues, dont au moins deux sont directrices. Ce véhicule 1 comporte un groupe motopropulseur, un système de freinage et un système de direction permettant de faire tourner le véhicule (non visibles sur la figure). Classiquement, le système de direction comporte un actionneur de direction assistée pilotable électroniquement, le groupe motopropulseur comporte un actionneur de commande de moteur pilotable électroniquement, et le système de freinage comporte un actionneur de freinage pilotable électroniquement. Ce véhicule 1 est en outre équipé d’au moins une interface homme-machine. En pratique, la planche de bord intègre un écran d’affichage 4 et il est prévu au moins un haut-parleur (non visible). Le véhicule 1 comporte par ailleurs une unité électronique de traitement 2 qui comporte un ou plusieurs calculateurs (microprocesseurs ou microcontrôleurs), des mémoires et des interfaces d'entrée et de sortie. Grâce à ses interfaces d'entrée, l’unité électronique de traitement 2 est adaptée à recevoir différentes données d’entrée, qui proviennent de capteurs ou de calculateurs tiers. Ces données d’entrée sont par exemple relatives au véhicule automobile et à son environnement extérieur (position sur la route…). L’unité électronique de traitement 2 est notamment adaptée à recevoir un signal E2 correspondant au couple mesuré par un capteur de couple exercé sur le système de direction. Ce couple mesuré correspond en pratique au couple exercé par le conducteur sur le volant 3. Elle est également adaptée à recevoir d’autres signaux E31 – E34, dont par exemple la vitesse du véhicule automobile 1. Grâce à ses interfaces de sortie, l’unité électronique de traitement 2 est adaptée à commander l’interface homme-machine afin de fournir au conducteur des informations. Elle est également adaptée à commander l’actionneur de direction assistée, l’actionneur de commande de moteur, et l’actionneur de freinage. Grâce à ses mémoires, l’unité électronique de traitement 2 mémorise une application informatique, constituée de programmes d’ordinateur (ou « logiciels ») comprenant des instructions dont l’exécution par les calculateurs permet la mise en œuvre du procédé décrit ci-après. Dans la suite de cet exposé, on considérera que chaque « logiciel » permet de mettre en œuvre une « fonction » particulière d’aide à la conduite du véhicule. Ici, on considérera plus particulièrement trois logiciels permettant d’exécuter deux fonctions distinctes de pilotage autonome du véhicule et une fonction de surveillance de l’attention du conducteur. L’une de ces fonctions de pilotage est la régulation automatique de la vitesse du véhicule, dite fonction ACC (de l’anglais « Adaptive Cruise Control »). Grâce à cette fonction, le conducteur peut sélectionner une consigne de vitesse. Il peut par exemple s’agir d’une vitesse particulière (telle que 80 km/h), ou d’une requête indiquant au véhicule de rouler si possible à la vitesse maximum autorisée sur la voie de circulation empruntée. Sur la base de cette consigne de vitesse et des données issues de capteurs embarqués dans le véhicule, la fonction ACC permet de calculer des consignes de pilotage de l’actionneur de commande du moteur et de l’actionneur de freinage. Ces consignes sont calculées de façon à réguler la vitesse du véhicule soit à la consigne de vitesse tant qu’aucun véhicule tiers ne précède de trop près le véhicule 1, soit à une vitesse réduite qui dépend de la vitesse du véhicule tiers qui le précède, de manière à conserver avec celui-ci une distance de sécurité acceptable. Une autre de ces fonctions de pilotage est le maintien du véhicule au centre de sa voie, dite fonction LCA (de l’anglais « Lane Centering Assist »). Cette fonction permet de piloter de manière automatique la direction du véhicule de manière que ce dernier reste centré sur sa voie de circulation. La fonction de surveillance, qui fait plus précisément l’objet du présent exposé, permet de contrôler que le conducteur est attentif à la conduite de son véhicule. Elle est ici basée sur la détection de la tenue du volant 3 par le conducteur. Cette fonction, dite fonction HOD (de l’anglais « Hands On Detection »), est nécessaire à la mise en œuvre des deux autres fonctions en ce sens que ces deux autres fonctions ne peuvent être implémentées que si le conducteur garde les mains sur son volant (en permanence ou au moins par intermittence). A ce stade, on pourra noter que chaque fonction devra être caractérisée par un niveau de fiabilité, ci-après appelé « niveau de sécurité ASIL » (de l’anglais « Automotive Safety Integrity Level »). Ce niveau de sécurité ASIL permet, sur la base d’une analyse de risques, de déterminer dans quelle mesure le logiciel est en mesure de mettre en œuvre la fonction en toute sécurité. Le niveau de sécurité ASIL considéré sera ici établi conformément à la norme ISO26262. Ainsi, un logiciel ayant un niveau de sécurité garanti pourra être classé selon quatre niveaux, du niveau inférieur ASIL-A au niveau supérieur ASIL-D (niveau offrant la plus grande sécurité), en passant dans l’ordre par les niveaux ASIL-B et ASIL-C. En revanche, un logiciel ne répondant à aucun niveau de sécurité particulier aura un classement « QM ». On dira alors d’un premier logiciel qu’il a un niveau ASIL supérieur à un autre si son niveau ASIL est classé à un niveau supérieur à celui de cet autre logiciel ou si cet autre logiciel est classé « QM ». On notera aussi que des données et des matériels pourront être certifiés par un niveau de sécurité. Ce niveau de sécurité sera ici encore défini par la norme précitée. Ainsi, dans la suite, on pourra caractériser une donnée, un capteur ou un calculateur par son niveau ASIL. L’invention propose de simplifier la conception et le développement des logiciels d’aide à la conduite du véhicule automobile, tout en leur assurant un niveau ASIL conforme au cahier des charges. Pour cela, il est proposé de séparer, dans le module électronique 20 de l’unité électronique de traitement 2 qui est en charge de mettre en œuvre la fonction d’aide à la conduite considérée (ici la fonction HOD) : - des premières fonctionnalités pouvant être développées avec le niveau ASIL requis et - des secondes fonctionnalités qui ne peuvent pas l’être, puis d’ajouter un bloc de sécurité permettant de vérifier que les secondes fonctionnalités donnent des résultats fiables en se basant pour cela sur les résultats donnés par les premières fonctionnalités. Dès lors, le module électronique 20 est scindé en plusieurs composants logiciel distincts ci-après appelés « blocs », dont : - au moins un bloc sûr U1, U2 satisfaisant le niveau ASIL recherché, - au moins un bloc faillible U3 présentant un niveau ASIL inférieur (typiquement un niveau QM), et - un bloc de sécurité U4 qui permet de contrôler la validité des sorties de chaque bloc faillible U3 sur la base de la sortie d’au moins un bloc sûr U1, U2, et qui présente de préférence le niveau ASIL recherché. Ces blocs sont des composants logiciels distincts. Ils forment en outre, de préférence, des composants matériels distincts. Autrement formulé, les composants logiciels sont de préférence stockés dans des mémoires distinctes et exécutées par des calculateurs (processeurs, unité logique…) distincts. Une fois ces blocs définis, il est prévu de créer des scenarii de certification au niveau ASIL souhaité de l’ensemble de la fonction d’aide à la conduite. Ces scenarii sont préférentiellement développés pour valider ce niveau ASIL dans les cas extrêmes, de façon à réduire le nombre de scenarii à envisager. Il est ainsi possible de connaître la couverture du modèle choisi, c’est-à-dire le pourcentage de scenarii validés. L’objectif est que l’ensemble des scenarii soient validés, pour que l’ensemble des fonctionnalités soient garanties. On dit que le taux de couverture est de 100%. Dans le cadre du présent exposé, la fonction d’aide à la conduite qui sera plus précisément considérée sera donc la fonction HOD, de détection de tenue du volant par le conducteur. Cette fonction se basera sur la détection d’un couple exercé sur le volant 3 par le conducteur 5. En d’autres termes, le volant sera ici dépourvu de capteurs capacitifs permettant de détecter si le conducteur pose ou non ses mains sur le volant. La fonction sera au contraire exécutée sur la base des données émises par le capteur de couple exercé sur le volant. Ici, le module électronique 20 mettant en œuvre cette fonction comporte deux blocs sûrs U1, U2, c’est-à-dire deux composants logiciels permettant de fournir des données au niveau ASIL recherché, ici au niveau ASIL B. Le premier bloc sûr U1 est un composant permettant de déterminer des défauts tant logiciels que matériels. Typiquement, ce bloc permet de détecter un défaut de la direction assisté, un défaut dans les signaux circulant sur le réseau CAN du véhicule, un défaut de l’unité électronique de traitement 2… Un tel bloc étant déjà connu de l’Homme du métier, il ne sera pas ici davantage décrit. On pourra seulement préciser qu’il émet un signal de sortie S1, se présentant par exemple sous la forme d’un booléen égal à 0 tant qu’aucun défaut n'est détecté et à 1 sinon. Le second bloc sûr U2 est un composant d’interfaçage permettant de recevoir des signaux E2 provenant de réseaux extérieurs à l’unité électronique de traitement 2, typiquement de réseaux CAN ou Ethernet. Ce second bloc sûr U2 émet un signal de sortie S2, se présentant par exemple sous la forme d’une variable dont la valeur est égale au couple exercé par le conducteur 5 sur le volant 3. Typiquement, il peut s’agir d’une interface analogique numérique. Le module électronique 20 comporte ici un seul bloc faillible U3, c’est-à-dire un seul composant logiciel et matériel qui fournit des données n’étant pas au niveau ASIL recherché, ici des données au niveau QM. Ce bloc faillible U3 constitue pourtant le cœur du module électronique 20 puisque c’est lui qui est en mesure de déterminer si le conducteur a, ou non, les mains sur le volant. Il reçoit en entrée le signal S2 de sortie du second bloc sûr U2 (le couple exercé sur le volant). Il reçoit ici en outre plusieurs autres données, à savoir : - un signal E31 renseignant la vitesse du véhicule, - un signal E32 signalant toute requête du conducteur relative à la fonction LCA (souhaite-t-il ou non l’activer ?), - un signal E33 indiquant l’état actif ou non de la fonction LCA et de la fonction ACC, et - un signal E34 relatif au couple de friction détecté sur le système de direction. Sur la base de ces informations, ce bloc est en mesure de fournir tout d’abord un signal S33 relatif à la tenue ou non du volant par le conducteur. Ce signal se présente par exemple sous la forme d’un booléen égal à 0 tant que le conducteur a les mains sur le volant et à 1 sinon. Ce bloc faillible U3 est également en mesure de fournir deux signaux S31, S32 qui seront utilisées pour vérifier si le signal S33 est fiable. Ces deux signaux sont de préférence formés en forçant le bloc faillible U3 à exécuter des opérations. La fiabilité de ce bloc faillible U3 pourra ainsi être contrôlée en vérifiant que les résultats de ces calculs sont justes. En pratique, l’un de ces signaux S31 est égal à la moyenne du couple exercé par le conducteur sur le volant sur une période prédéterminée, par exemple de l’ordre de la seconde. Un autre de ces signaux S32 est issu d’une opération de codage du signal S33. En l’espèce, il s’agit d’une version miroir du signal S33, qui se présente donc sous la forme d’un booléen égal à 1 tant que le conducteur a les mains sur le volant et à 0 sinon. A ce stade, on peut décrire plus en détail comment est ici généré le signal S33 relatif à la tenue ou non du volant par le conducteur. Le bloc faillible U3 comporte ici trois unités U31, U32, U33. Les première et deuxième unité U31, U32 sont conçues pour déterminer en parallèle, et sur la base des signaux reçus, deux évaluations du signal S33. En variante, une seule des deux évaluations pourrait être réalisée, auquel cas le signal S33 serait égal à cette évaluation. Ici, l’une de ces évaluations est réalisée par seuillage. Pour cette opération, il est considéré que le conducteur a les mains sur le volant lorsque l’écart entre le couple mesuré et le couple de friction dépasse un seuil prédéterminé. Ce seuil peut varier, par exemple en fonction de la vitesse du véhicule. L’autre de ces évaluations est réalisée au moyen d’un réseau de neurones. Il se base sur une partie des entrées, ici sur toutes. Ce réseau de neurones pourrait être de tout type. Il s’agit ici d’un réseau de neurones du type « feedforward » / récurrent (« RNN »). Ce réseau de neurones comporte une couche d’entrée, au moins une couche cachée, et une couche de sortie, avec plusieurs neurones artificiels sur les couches cachées. Les fonctions d’activation utilisées au sein des couches cachées sont par exemple de type sigmoïde. L’apprentissage du réseau de neurones se fera par exemple par rétropropagation (on parle de « back propagation ») du gradient de l’erreur, sur un set d’apprentissage. Le set d’apprentissage correspondra à des valeurs de données déjà connues. On ne définira pas ici davantage ce réseau de neurones, mais on pourra seulement préciser qu’il est très difficile à qualifier au niveau ASIL B. C’est d’ailleurs la raison pour laquelle le bloc faillible U3 n’est pas ici qualifié au niveau ASIL B. Sur la base des deux évaluations, il est possible de déterminer le signal S33, par exemple en considérant plutôt l’une ou l’autre des deux évaluations lorsqu’elles diffèrent, selon la configuration dans laquelle se trouve le véhicule (le seuillage fonctionnant par exemple mieux à basse vitesse mais moins bien à haute vitesse). La troisième unité U33 intégrée au bloc faillible U3 est conçue pour sélectionner l’une ou l’autre des deux évaluations. Elle permet en outre, sur la base du signal S2, de déterminer la moyenne du couple exercé sur le volant sur une période prédéterminée (le signal S31). Elle permet en outre, sur la base du signal S33, de déterminer une version miroir de ce signal S33 (c’est-à-dire le signal S32). Comme cela a été expliqué supra, ces deux signaux S31 et S32 permettront de contrôler que le bloc faillible U3 fonctionne correctement. On utilise donc ici deux signaux distincts pour vérifier que le bloc faillible U3 fonctionne correctement, ces signaux étant de préférence formé à l’aide d’opérations de types différents portant sur des signaux distincts. En variante, on pourrait utiliser un plus grand nombre ou un plus petit nombre de signaux pour vérifier que le bloc faillible U3 fonctionne correctement. On peut maintenant s’intéresser au bloc de sécurisation U4 qui reçoit tous les signaux de sortie des blocs faillible U3 et sûrs U1, U2. Ce bloc de sécurisation U4 est conçu pour valider ou non le signal S33, sous au moins une condition. Dans le mode de réalisation décrit et représenté, trois conditions sont nécessaires pour valider le signal S33. La première condition est contrôlée par un bloc U41, qui reçoit en entrée le signal S1 (relatif à la présence ou non de défaut tant logiciel que matériel). Ce bloc U41 vérifie en pratique si un défaut a été détecté ou non. Tant qu’aucun défaut n’est détecté, ce bloc U41 délivre un signal S41 correspondant à un booléen égal à 1. Sinon, le signal est nul. La deuxième condition est contrôlée par deux blocs U42 et U43. Le bloc U42 reçoit en entrée le signal S2 (le couple mesuré) et en déduit une moyenne du couple mesurée sur la période prédéterminée. Le bloc U43 compare cette moyenne avec celle calculée par le bloc U3 (signal S31). En pratique, il délivre un signal S43 correspondant à un booléen égal à 1 si les deux moyennes sont du même ordre. Sinon, le signal est nul. On notera ici que la vérification de la cohérence des deux valeurs de moyenne du couple se fait en autorisant une marge d’erreur sur une durée maximale. Typiquement, on peut autoriser une marge maximale de 0,1 Nm pendant maximum 100ms. L’avantage de ce mécanisme est qu’il va permettre de contrôler la validité du signal S33 en vérifiant que le bloc U3 calcule une moyenne de couple fiable. La troisième condition est contrôlée par le bloc U44 qui reçoit en entrée les signaux S32 et S33, lesquels sont supposés être complémentaires. Si c’est bien le cas, la troisième condition est validée. Dès lors, ce bloc U44 délivre un signal S44 correspondant à un booléen égal à 1. Sinon, le signal S44 est nul. L’avantage de ce mécanisme est encore une fois de pouvoir contrôler la validité du signal S33 en vérifiant que le bloc U3 donne des résultats fiables, signifiant ainsi que le composant n’est pas corrompu et qu’il n’y pas eu d’erreur de transmission entre ces deux composants. Alors, si les trois conditions sont simultanément remplies, c’est-à-dire si tous les signaux S41, S43 et S44 sont égaux à 1, le bloc U45 de consolidation fournit en sortie du module électronique 20 un signal S4 égal au signal S33 calculé par le bloc U3. En d’autres termes, on considère ainsi que le signal S33 issu du bloc faillible U3 est fiable et qu’il indique de manière sure si le conducteur a ou non les mains sur le volant. Dans le cas contraire, le signal S4 prend une valeur différente de celle du signal S33. Il s’agit par défaut d’une valeur devant permettre aux fonctions LCA et ACC de s’inactiver. En d’autres termes, on considère ainsi que le signal S33 issu du bloc faillible U3 n’est pas fiable et que, n’étant pas en mesure de déterminer de manière sure si le conducteur a ou non les mains sur le volant, il est nécessaire d’inactiver les fonctions LCA et ACC. On notera que cette inactivation pourra être progressive, et s’opérer après plusieurs alertes à destination du conducteur (affichées sur l’écran et émise par les enceintes). On comprend que le bloc de sécurisation U4, qui répond au niveau ASIL B et qui s’appuie sur des données issues de blocs sûrs, permet de transformer un signal S33 au niveau QM en un signal S4 au niveau ASIL B. La présente invention n’est nullement limitée au mode de réalisation décrit et représenté, mais l’homme du métier saura y apporter toute variante conforme à l’invention. Module électronique (20) d’aide à la conduite d’un véhicule automobile (1), comportant : - au moins un bloc sûr (U1, U2) adapté à générer une première donnée de sortie (S1, S2) qui présente un niveau de fiabilité élevé, et - au moins un bloc faillible (U3) qui reçoit au moins une donnée d’entrée relative au véhicule automobile, et qui fournit au moins une deuxième donnée de sortie (S33), ladite deuxième donnée de sortie (S33) étant fonction de ladite au moins une donnée d’entrée et présentant un niveau de fiabilité inférieur à celui de chaque première donnée de sortie (S1, S2), et - un bloc de sécurisation (U4) qui reçoit en entrée les première et deuxième donnée de sortie (S1, S2, S33) et qui fournit en sortie une information sécurisée (S4) dont le niveau de fiabilité est supérieur à celui de ladite deuxième donnée de sortie (S33). Module électronique (20) selon la revendication 1, dans lequel ladite information sécurisée (S4) indique si un conducteur du véhicule automobile (1) est attentif, préférentiellement en renseignant s’il a ou non les mains sur un volant (3) du véhicule automobile (1). Module électronique (20) selon la revendication 2, dans lequel ladite information sécurisée (S4) est déterminée en fonction du couple exercé par le conducteur sur le volant (3). Module électronique (20) selon l’une des revendications 1 à 3, dans lequel ladite au moins une donnée d’entrée est relative au couple exercé par un conducteur du véhicule automobile (1) sur un volant (3) du véhicule automobile (1), et ladite au moins une deuxième donnée de sortie (S33) est déterminée en comparant ladite au moins une donnée d’entrée avec un seuil. Module électronique (20) selon l’une des revendications 1 à 4, dans lequel ladite au moins une deuxième donnée de sortie (S33) est déterminée au moyen d’un réseau de neurones. Module électronique (20) selon l’une des revendications 1 à 5, dans lequel le bloc faillible (U3) fournit au moins une autre donnée de sortie (S31, S32), l’information sécurisée (S4) étant identique à ladite deuxième donnée de sortie (S33) si au moins une condition est remplie, ladite condition étant que ladite autre donnée de sortie (S31, S32) soit comparable à ladite première donnée de sortie (S1, S2). Module électronique (20) selon la revendication 6, dans lequel ladite autre donnée de sortie (S31, S32) est calculée par le bloc faillible (U3) et est considérée comparable à ladite première donnée de sortie (S1, S2) si elle est égale à une valeur fonction de ladite première donnée de sortie (S1, S2). Module électronique (20) selon l’une des revendications 6 et 7, dans lequel ladite autre donnée de sortie (S31, S32) est calculée par le bloc faillible (U3) et est considérée comparable à ladite première donnée de sortie (S1, S2) si elle est complémentaire d’une fonction de ladite première donnée de sortie (S1, S2). Module électronique (20) selon l’une des revendications 1 à 8, dans lequel l’information sécurisée (S4) est identique à ladite deuxième donnée de sortie (S33) si au moins une condition est remplie, ladite condition étant que ladite première donnée de sortie (S1, S2) indique une absence d’erreur matérielle. Véhicule automobile (1) comprenant un châssis et des éléments de carrosserie qui délimitent un habitacle, au moins deux roues directrices, un système de direction comprenant un volant (3) qui est situé dans l’habitacle et qui est connecté aux roues directrices, et un capteur de couple adapté à mesurer le couple exercé par le conducteur sur le volant, caractérisé en ce qu’il comporte en outre un module électronique (20) conforme à l’une des revendications 1 à 9.