Brevet FR3157323A1 — publié le 20250627

L'invention concerne un procédé de gestion, par un système informatique embarqué à bord d'un véhicule automobile, du fonctionnement du véhicule, le véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome. L'invention concerne également un système informatique (100) mettant en œuvre un tel procédé. Figure pour l’abrégé : 1 Procédé et système de gestion du fonctionnement d’un véhicule automobile en modes de conduite mixtes Domaine technique de l'invention La présente invention se rapporte au domaine des véhicules automobiles autonomes. L'invention concerne en particulier un procédé de gestion, par un système informatique embarqué à bord d'un véhicule automobile, du fonctionnement du véhicule, le véhicule étant capable de fonctionner selon un mode de conduite manuelle et un mode de conduite autonome. L'invention concerne également un système informatique mettant en œuvre un tel procédé. L'invention est applicable à tout type de véhicule automobile, y compris les voitures, les robots ou autres navettes autonomes. État de la technique antérieure Ces dernières années, les véhicules autonomes font l'objet d'une attention croissante, avec le développement de véhicules de haut niveau d’autonomie (L3+), en particulier pour des véhicules qui circulent dans des environnements contrôlés, par exemple logistiques. Suivant cette tendance, la grande majorité des développements dans le domaine des véhicules autonomes concernent l'amélioration des capacités des véhicules sur le plan du positionnement, de la perception ou du contrôle du véhicule. Cependant, une des principales limites au déploiement du véhicule autonome reste la capacité à concevoir une plateforme sûre, qui garantisse notamment des performances constantes du véhicule quelles que soient les circonstances. Ainsi, la conduite autonome va en particulier de pair avec le besoin de disposer d'une capacité de sécurité redondante pour maintenir la sécurité lors d’éventuelles défaillances de la conduite autonome. Sur ce point, certaines approches s’intéressent à mettre en œuvre des capacités de freinage redondantes. Toutefois, ces approches restent superficielles dans la mesure où elles n'offrent pas un double système complet, qui surveille et gère tous les autres aspects et fonctionnalités critiques du véhicule. En outre, elles ne surveillent généralement pas les commandes de conduite autonome et ne réagissent pas en cas d’incohérence. L'invention vise à surmonter ces inconvénients. L'objet de l'invention est de fournir une solution qui permet le fonctionnement sûr d’un véhicule en cas de défaillance de la conduite autonome. Pour ce faire, l'invention vise à fournir un procédé et un système qui fournissent une capacité de contrôle du fonctionnement du véhicule redondante qui permet de détecter et réagir à toute défaillance de l’un ou l’autre des composants qui contrôlent le fonctionnement du véhicule. De cette manière, l'invention souhaite améliorer la sécurité des véhicules autonomes. Afin d'atteindre ces objectifs, l'invention concerne, selon un premier aspect, un procédé de gestion, par un système informatique embarqué à bord d'un véhicule automobile, du fonctionnement du véhicule, ledit véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comprenant une unité de commande électronique primaire et plusieurs unités de commande électronique auxiliaires, dont une unité de contrôle de châssis ayant un module de commande de freinage primaire et un module de commande de direction primaire, une unité de contrôle du groupe motopropulseur, une unité de contrôle d'aide à la conduite comportant un module de commande d’aide à la conduite et une unité de contrôle de conduite autonome, ledit système comprenant au moins une unité de traitement d'informations, avec un ou plusieurs processeurs, et un support de stockage de données, qui sont configurés pour exécuter conjointement au moins une interface de conduite autonome et un module de sécurité, ledit procédé comprenant les étapes de : recevoir, par un module passerelle de ladite interface de conduite autonome, des données caractérisant un ensemble de commandes d’aide à la conduite correspondant à un ensemble de fonctionnalités d’aide à la conduite ; déterminer, par un module de traitement dudit module passerelle, une première fonctionnalité d'aide à la conduite qui doit rester active et des données caractérisant une première commande d'aide à la conduite correspondant à cette première fonctionnalité d'aide à la conduite ; déterminer, par un premier module de gestion de données de ladite interface de conduite autonome, des données caractérisant un premier ensemble d'informations comprenant lesdites données caractérisant une première commande d'aide à la conduite, des données caractérisant une première commande de contrôle de conduite autonome, reçues de ladite unité de contrôle de conduite autonome, et des données caractérisant un état dudit module de sécurité, ladite première commande de contrôle de conduite autonome correspondant à ladite première fonctionnalité d’aide à la conduite, ladite première commande d'aide à la conduite et ladite première commande de contrôle de conduite autonome correspondant à une première opération de conduite ; déterminer, par un deuxième module de gestion de données dudit module de sécurité, des données caractérisant un deuxième ensemble d'informations, ledit deuxième ensemble d'informations incluant des commandes d'aide à la conduite et des données caractérisant un état de ladite interface de conduite autonome ; déterminer, par ledit deuxième module de gestion de données, des données caractérisant un niveau de cohérence entre ladite première commande d'aide à la conduite et ladite première commande de contrôle de conduite autonome ; et transmettre, par ledit premier module de gestion de données, lesdites données caractérisant une première commande d’aide à la conduite ou lesdites données caractérisant une première commande de contrôle de conduite autonome à ladite unité de commande électronique primaire en fonction du niveau de cohérence. Selon une variante, le procédé peut comprendre en outre les étapes de : activer, par ledit premier module de gestion de données, des modules de commande électronique secondaires dudit véhicule si ledit module de sécurité est dans un état non opérationnel, lesdits modules de commande électronique secondaires comprenant un module de commande de freinage secondaire et un module de commande de direction secondaire ; et provoquer, par lesdits modules de commande électronique secondaires, l’arrêt dudit véhicule en maintenant le volant dans une position courante et en appliquant une puissance de freinage maximale. Selon une autre variante, le procédé peut comprendre en outre les étapes de : transmettre, par un module de gestion d’urgence dudit module de sécurité, des données caractérisant un état non opérationnel de ladite interface de conduite autonome à un module de gestion d'alimentation dudit module de sécurité ; et désactiver, par ledit module de gestion d’alimentation, ladite interface de conduite autonome à l'aide d'un interrupteur commandé par ledit module de gestion d’alimentation. Selon encore une autre variante, l’étape iv) peut comprendre les étapes de : déterminer, par ledit deuxième module de gestion de données, des données caractérisant une commande de contrôle d'urgence, si ladite interface de conduite autonome est dans un état non opérationnel ; et provoquer, par ledit deuxième module de gestion de données, l’arrêt dudit véhicule en activant ledit module de commande de freinage primaire et ledit module de commande de direction primaire afin de réaliser une manœuvre d'arrêt sur la base de ladite commande de contrôle d'urgence. Selon encore une autre variante, l’étape iii) peut comprendre les étapes de : recevoir, à l'aide d'un premier module de détection de conditions de fonctionnement de ladite interface de conduite autonome, des données caractérisant un état de fonctionnement actuel dudit module de sécurité ; et déterminer, à l'aide dudit premier module de détection de conditions de fonctionnement, ledit état dudit module de sécurité sur la base dudit état de fonctionnement actuel dudit module de sécurité. Selon encore une autre variante, l’étape iv) peut comprendre les étapes de : recevoir, à l'aide d'un deuxième module de détection de conditions de fonctionnement dudit module de sécurité, des données caractérisant un état de fonctionnement actuel de ladite interface de conduite autonome ; et déterminer, à l'aide dudit second module de détection de conditions de fonctionnement, ledit état de ladite interface de conduite autonome sur la base de l'état de fonctionnement actuel de ladite interface de conduite autonome. Selon encore une autre variante, l’étape i) peut comprendre les étapes de : recevoir, à l'aide dudit module de commande d'aide à la conduite, des données caractérisant un premier ensemble d'informations de capteurs, ledit premier ensemble d'informations de capteurs étant obtenu à partir d'une pluralité de premiers capteurs dont est équipé ledit véhicule pour faciliter les fonctionnalités d'aide à la conduite ; et déterminer, à l'aide dudit module de commande d'aide à la conduite, ledit ensemble de commandes d'aide à la conduite correspondant audit ensemble de fonctionnalités d'aide à la conduite sur la base dudit premier ensemble d'informations de capteurs. Selon encore une autre variante, l’étape iii) peut comprendre les étapes de : recevoir, à l'aide de l'unité de contrôle de conduite autonome, des données caractérisant un deuxième ensemble d'informations de capteurs, ledit deuxième ensemble d'informations de capteurs étant obtenu à partir d'une pluralité de deuxièmes capteurs facilitant les fonctionnalités de conduite autonome et de la pluralité de premiers capteurs ; et déterminer, à l'aide de l'unité de contrôle de conduite autonome, la première commande de contrôle de conduite autonome sur la base du deuxième ensemble d'informations de capteurs. Selon encore une autre variante, l’étape iii) peut comprendre une étape consistant à mettre en forme, à l'aide d'un module de contrôle de logique de commande de ladite interface de conduite autonome, ladite première commande de contrôle de conduite autonome avant transmission audit premier module de gestion de données. Selon un deuxième aspect, l'invention concerne un système informatique pour gérer le fonctionnement d'un véhicule automobile, ledit véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comprenant une unité de commande électronique primaire et plusieurs unités de commande électronique auxiliaires, parmi lesquelles une unité de contrôle de châssis ayant un module de commande de freinage primaire et un module de commande de direction primaire, une unité de contrôle du groupe motopropulseur, une unité de contrôle d'aide à la conduite comportant un module de commande d'aide à la conduite et une unité de contrôle de conduite autonome, le système comprenant une unité de traitement d’informations, avec un ou plusieurs processeurs, et un support de stockage des données, qui sont configurés pour exécuter conjointement une interface de conduite autonome et un module de sécurité mettant en œuvre une procédé tel que décrit ci-dessus. Selon un troisième aspect, l'invention concerne un véhicule automobile capable de fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comportant une unité de commande électronique primaire et plusieurs unités de commande électronique auxiliaires, dont une unité de contrôle de châssis comportant un module de commande de freinage primaire et un module de commande de direction primaire, une unité de contrôle du groupe motopropulseur, une unité de contrôle d'aide à la conduite comportant un module de commande d'aide à la conduite et une unité de contrôle de conduite autonome, le véhicule comportant un système tel que décrit ci-dessus. D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après et des figures annexées, dans lesquelles : FIG. 1 est un schéma fonctionnel d’un système selon l'invention ; FIG. 2 est un schéma fonctionnel d'un véhicule selon l'invention ; FIG. 3 est un schéma fonctionnel d’une interface de conduite autonome d'un système selon l'invention ; FIG. 4 est un schéma fonctionnel d’un module de sécurité d'un système selon l'invention ; et FIG. 5 est un organigramme des étapes d'un procédé selon l'invention. Description détaillée de l'invention La FIG. 1 illustre un système 100 selon l'invention pour gérer le fonctionnement d'un véhicule automobile pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome. Il s’agit d’un système informatique qui comprend une unité de traitement d’informations, avec un ou plusieurs processeurs, et un support de stockage de données, qui sont configurés pour exécuter conjointement au moins une interface de conduite autonome 102 et un module de sécurité 104, tels que décrits plus bas. La FIG. 2 illustre une architecture d’un véhicule 200 selon l'invention. Celui-ci comprend classiquement une unité de commande électronique primaire 202 et une pluralité d'unités de commande électronique auxiliaires. L'unité de commande électronique primaire 202 interconnecte et transfère des données entre les unités de commande électronique auxiliaires afin de faire fonctionner le véhicule. Les unités de commande électronique auxiliaires incluent une unité de contrôle de châssis 204, une unité de contrôle d’aide à la conduite 206, une unité de contrôle du groupe motopropulseur 208, une unité de contrôle d’équipements multimédia et de communication 210 et une unité de contrôle de la carrosserie 212. Le véhicule comprend en outre une unité de contrôle de conduite autonome 302, illustrée sur la FIG. 3 . L'unité de contrôle de châssis 204 comprend un module de commande de freinage primaire 204A, un module de commande de direction primaire 204B, un module de commande dynamique 204C et un module de commande d'assistance au freinage 204D. L'unité de contrôle de châssis 204 assume la gestion de la dynamique du véhicule. L'unité de contrôle d'aide à la conduite 206 comprend un module de commande d'aide à la conduite 206A, qui est connecté à une pluralité de premiers capteurs 206B. L'unité de contrôle du groupe motopropulseur 208 comprend un module de gestion d’une machine électrique 208A, un module de gestion d’un onduleur 208B et un module de gestion d’une batterie 208C. L'unité de contrôle d’équipements multimédia et de communication 210 comprend un module de gestion multimédia 210A, un module de communication 210B et un module de commande audio 210C. L'unité de contrôle de la carrosserie 212 comprend un module de contrôle de la carrosserie 212A, un module de gestion du combiné d'instruments 212B et un module de gestion d'alimentation 212C. L'unité de contrôle de la carrosserie 212 assume la gestion des composants électriques du véhicule. La FIG. 3 illustre plus en détail les composants de l'interface de conduite autonome 102 du système 100 selon l'invention. Elle comprend un module passerelle 304 qui intègre un module de traitement 306, un module de contrôle de logique 308, un module de réception de données de détection 310, un premier module de détection de conditions de fonctionnement 312 et un premier module de gestion de données 314. La FIG. 4 illustre plus en détail les composants du module de sécurité 104 du système 100 selon l'invention. Le module de sécurité 104 comprend un deuxième module de détection de conditions de fonctionnement 402, un module de gestion d’urgence 404, un module de gestion d’alimentation 406 et un deuxième module de gestion de données 408. Le module de sécurité 104 est placé entre l'unité de contrôle de châssis 204 et l'unité de contrôle d’aide à la conduite 206, comme on le voit sur la FIG. 2 . Cela lui permet de surveiller et contrôler toutes les données qui transitent entre l'unité de contrôle de châssis 204 et l'unité de contrôle d'aide à la conduite 206. En outre, il peut court-circuiter un chemin nominal vers l'unité de commande électronique primaire 202 afin de provoquer l’arrêt du véhicule en fonction d'une condition ou d'une situation. Il fournit en outre une capacité de freinage redondante en cas de défaillance. L'interface de conduite autonome 102 est connectée au module de sécurité 104 via une première interface de communication 324A, par exemple une interface de type Ethernet. Selon l'invention, tous les éléments décrits ci-dessus contribuent pour permettre la mise en œuvre d'un procédé de gestion du fonctionnement d’un véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, tel que décrit ci-dessous en relation avec les figures 2-5. La FIG. 5 illustre un organigramme des étapes du procédé selon l'invention. Selon une première étape 502 du procédé, le module passerelle 304 reçoit des données caractérisant un ensemble de commandes d'aide à la conduite, correspondant à un ensemble de fonctionnalités d'aide à la conduite, qui lui sont transmises par le module de commande d'aide à la conduite 206A. L'interface de conduite autonome 102 est connectée au module de commande d'aide à la conduite 206A via une seconde interface de communication 324B, par exemple une interface du type CAN FD. Les fonctionnalités d'aide à la conduite peuvent comprendre l’aide au stationnement, l’aide au maintien dans la voie, la régulation de vitesse adaptative, etc. Les commandes d'aide à la conduite comprennent des instructions de conduite pour faire fonctionner le véhicule selon les fonctionnalités d'aide à la conduite. Le module de commande d'aide à la conduite 206A détermine l'ensemble des commandes d'aide à la conduite sur la base d'un premier ensemble d'informations de capteurs. Le premier ensemble d'informations de capteur est obtenu à partir d'une pluralité de premiers capteurs 206B qui sont installés dans le véhicule pour faciliter la mise en œuvre de fonctionnalités d'aide à la conduite. Les premiers capteurs 206B comprennent, par exemple, un capteur à ultrasons, une caméra, un radar, un lidar, un capteur GPS, des capteurs de mouvement, des capteurs d'angle de braquage, etc. Par exemple, les informations d’un capteur à ultrasons peuvent être utilisées pour déterminer une commande d'aide à la conduite correspondant à une fonctionnalité d’aide au stationnement. De même, les informations provenant d'une caméra frontale ou d'un radar peuvent être utilisées pour déterminer une commande d'aide à la conduite correspondant à une fonctionnalité d’aide au freinage d'urgence. Selon une deuxième étape 504 du procédé, le module de traitement 306 détermine une première fonctionnalité d'aide à la conduite qui doit rester active et, en correspondance, des données caractérisant une première commande d'aide à la conduite. Après avoir déterminé quelle fonctionnalité d'aide à la conduite doit rester active, le module de traitement 306 envoie des données caractérisant une commande de désactivation pour désactiver une ou plusieurs autres fonctionnalités d'aide à la conduite. Par exemple, le module de traitement 306 détermine qu’une fonctionnalité d’aide au freinage d'urgence doit rester active. Alternativement, le module de traitement 306 détermine plusieurs fonctionnalités d'aide à la conduite qui doivent rester actives. Selon une variante avantageuse, le module de traitement 306 obtient en temps réel des données caractérisant une saisie qu’il utilise pour déterminer la ou les fonctionnalités d’aide à la conduite qui doivent rester actives. En d’autres termes, le module de traitement 306 peut être mis à jour ou modifié par un utilisateur opérant une interface de saisie connectée au véhicule. Selon une troisième étape 506, le premier module de gestion de données 314 détermine des données caractérisant un premier ensemble d'informations. Le premier ensemble d'informations comprend les données caractérisant une première commande d'aide à la conduite, des données caractérisant une première commande de contrôle de conduite autonome et des données caractérisant un état dudit module de sécurité 104. Pour cela, le premier module de gestion de données 314 reçoit du module de traitement 306 les données caractérisant une première commande d'aide à la conduite et il reçoit des données caractérisant une première commande de contrôle de conduite autonome de l'unité de contrôle de conduite autonome 302. L'unité de contrôle de conduite autonome 302 est connectée à l'interface de conduite autonome 102 via une troisième interface de communication 324C, par exemple une interface de type CAN FD. L'unité de contrôle de conduite autonome 302 détermine la première commande de contrôle de conduite autonome correspondant à une première fonctionnalité d’aide à la conduite sur la base d'un deuxième ensemble d'informations de capteurs. Par exemple, la première fonctionnalité d’aide à la conduite est une fonctionnalité de guidage autonome, une fonctionnalité d’aide au stationnement ou une fonctionnalité de régulation de vitesse. L'unité de contrôle de conduite autonome 302 est en communication avec les systèmes de positionnement, les systèmes de perception et le système de navigation afin d’assurer la conduite autonome. Le deuxième ensemble d'informations de capteurs est obtenu à partir des premiers capteurs 206B et de plusieurs seconds capteurs intégrés au véhicule pour faciliter la mise en œuvre des fonctionnalités de conduite autonome. Le module de réception de données de détection 310 reçoit le premier ensemble d'informations de capteurs provenant des premiers capteurs 206B et les transmet à l'unité de contrôle de conduite autonome 302. Les premiers capteurs 206B transmettent des données via une quatrième interface de communication 324D, par exemple une interface de type Ethernet, au module de réception de données de détection 310. Le premier ensemble d'informations de capteurs comprend, par exemple, des informations relatives à l’odométrie du véhicule ou une valeur d'angle de braquage. L'unité de contrôle de conduite autonome 302 envoie les données caractérisant une première commande de contrôle de conduite autonome au module de contrôle de logique de commande 308 via la troisième interface de communication 324C. Le module de contrôle de logique de commande 308 met en forme les données caractérisant la première commande de contrôle de conduite autonome avant de les transmettre au premier module de gestion de données 314. Cette mise en forme assure que les données caractérisant la première commande d’aide à la conduite transmises par le module de traitement 306 et les données caractérisant la première commande de contrôle de conduite autonome sont dans un format similaire qui permet leur comparaison. Ainsi, le premier ensemble d’informations est en lien avec la première commande d'aide à la conduite, celle qui correspond à la fonctionnalité d’aide à la conduite active. Par ailleurs, le premier module de gestion de données 314 reçoit des données caractérisant un état du module de sécurité 104 à partir du premier module de détection de conditions de fonctionnement 312. L'état du module de sécurité 104 stipule un état opérationnel ou un état non opérationnel. Le premier module de détection de conditions de fonctionnement 312 reçoit les données caractérisant un état de fonctionnement actuel du module de sécurité 104 et détermine l'état du module de sécurité 104 sur la base de l'état de fonctionnement actuel du module de sécurité 104. Selon une quatrième étape 508 du procédé, le deuxième module de gestion de données 408 détermine les données caractérisant un deuxième ensemble d'informations, qui comprend des commandes d'aide à la conduite et des données caractérisant un état de l'interface de conduite autonome 102. Le deuxième module de gestion de données 408 est connecté au module de commande d'aide à la conduite 206A via une cinquième interface de communication 410A, par exemple de type CAN FD, ce qui lui permet de recevoir des commandes d'aide à la conduite qui sont transmises par le module de commande d'aide à la conduite 206A. Le deuxième module de gestion de données 408 reçoit des données caractérisant un état de l'interface de conduite autonome 102 du deuxième module de détection de conditions de fonctionnement 402. Le deuxième module de détection de conditions de fonctionnement 402 reçoit des données caractérisant l'état de fonctionnement actuel de l'interface de conduite autonome 102 et détermine l'état de l'interface de conduite autonome 102 en fonction de l'état de fonctionnement actuel de l'interface de conduite autonome 102. L'état de l'interface de conduite autonome 102 est préférentiellement un état opérationnel ou un état non opérationnel. Selon une cinquième étape 510 du procédé, le deuxième module de gestion de données 408 détermine des données caractérisant un niveau de cohérence entre la première commande d'aide à la conduite et la première commande de contrôle de conduite autonome. La première commande d'aide à la conduite et la première commande de contrôle de conduite autonome correspondent à une première opération de conduite. La première opération de conduite correspond, par exemple, à une opération de direction ou de freinage. Pour déterminer le niveau de cohérence, le deuxième module de gestion de données 408 reçoit la première commande d’aide à la conduite du module de commande d'aide à la conduite 206A via la cinquième interface de communication 410A et il reçoit la première commande de conduite autonome de l’interface de conduite autonome 102 via une sixième interface de communication 410B, qui est, par exemple, une interface de type CAN FD. Le deuxième module de gestion de données 408 établit le niveau de cohérence en établissant si les données reçues de l’interface d’aide à la conduite 102 diffèrent de celles reçues du module de commande d’aide à la conduite 206A. Le deuxième module de gestion de données 408 transmet le niveau de cohérence ainsi déterminé au premier module de gestion de données 314. En outre, s’il établit que le niveau de cohérence est faible, le deuxième module de gestions de données 408 provoque l’arrêt du véhicule en contrôlant le module de commande de freinage primaire 204A, le module de commande de direction primaire 204B et/ou l'unité de contrôle du groupe motopropulseur 208 via une septième interface de communication 410C, une huitième interface de communication 410D et une neuvième interface de communication 410E, qui sont, par exemple, des interfaces de type CAN FD. Selon une sixième étape 512 du procédé, le premier module de gestion de données 314 transmet les données caractérisant une première commande d’aide à la conduite ou les données caractérisant une première commande de contrôle de conduite autonome à l’unité de commande électronique primaire 202 en fonction du niveau de cohérence déterminé par le deuxième module de gestion de données 408 à l’étape précédente. Si la première commande d'aide à la conduite et la première commande de contrôle de conduite autonome comprennent une même instruction de conduite correspondant à une première opération de conduite, le niveau de cohérence est élevé. C’est le cas, par exemple, lorsque la première commande d'aide à la conduite et la première commande de contrôle de conduite autonome comprennent une instruction de freinage. Au contraire, si la première commande d'aide à la conduite et la première commande de contrôle de conduite autonome comprennent des instructions de conduite différentes en regard d’une même opération de conduite, le niveau de cohérence est faible. Par exemple, la première commande d'aide à la conduite comprend une instruction de freinage car les premiers capteurs 206B ont détecté un obstacle sur la trajectoire du véhicule, tandis que la première commande de contrôle de conduite autonome ne comprend aucune instruction de freinage car les seconds capteurs n’ont pas détecté l'obstacle sur la trajectoire. Dans ce cas, le niveau de cohérence entre la commande d'aide à la conduite et la commande de contrôle de conduite autonome est faible. Si le niveau de cohérence est élevé, le premier module de gestion 314 transmet les données caractérisant une première commande de contrôle de conduite autonome à l'unité de commande électronique primaire 202 via une dixième interface de communication 324E. La dixième interface de communication 324E est, par exemple, une interface de type CAN FD. Ensuite, l'unité de commande électronique primaire 202 transmet la première commande de contrôle de conduite autonome aux unités de commande électronique auxiliaires qui, à leur tour, transmettent la première commande de contrôle de conduite autonome au module de commande de freinage primaire 204A, au module de commande de direction primaire 204B et à l'unité de contrôle du groupe motopropulseur 208. Ces modules contrôlent alors le fonctionnement du véhicule en exécutant la première opération de conduite sur la base de la première commande de contrôle de conduite autonome. Par exemple, ils dirigent ou freinent le véhicule en fonction de la première commande de conduite autonome. Si le niveau de cohérence est faible, le premier module de gestion de données 314 court-circuite le chemin nominal vers l'unité de commande électronique primaire 202 en remplaçant la première commande de contrôle de conduite autonome par la première commande d'aide à la conduite. Ainsi, c’est dans ce cas les données caractérisant une première commande d'aide à la conduite qui sont transmises au module de commande de freinage primaire 204A, au module de commande de direction primaire 204B et/ou à l'unité de contrôle du groupe motopropulseur 208. Les modules de commande correspondants des unités de commande électroniques auxiliaires contrôlent alors le fonctionnement du véhicule en exécutant la première opération de conduite sur la base de la première commande d'aide à la conduite. Par exemple, ils dirigent ou freinent le véhicule en fonction de la première commande d'aide à la conduite. Du point de vue de la sécurité et de la redondance, le premier module de gestion de données 314 active des modules de commande électronique secondaires du véhicule si le module de sécurité 104 n'est pas opérationnel. Il s'agit d'une mesure de sécurité visant à arrêter le véhicule puisque la redondance n'est plus disponible. Les modules de commande électronique secondaires comprennent un module de commande de freinage secondaire 320 et un module de commande de direction secondaire 322. L'interface de conduite autonome 102 est connectée au module de commande de freinage secondaire 320 via une onzième interface de communication 324F, et elle est connectée au module de commande de direction secondaire 322 via une douzième interface de communication 324G. La onzième interface de communication 324F et la douzième interface de communication 324G sont, par exemple, de type CAN FD. Les modules de commande électronique secondaires arrêtent le véhicule en maintenant le volant dans une position courante et en appliquant une puissance de freinage maximale en fonction d’une commande d’arrêt du véhicule transmise par le premier module de gestion de données 314. De plus, le module de sécurité 104 désactive l'interface de conduite autonome 102 dès lors que celle-ci est dans un état non opérationnel. Pour cela, le second module de détection de conditions de fonctionnement 402 transmet les données caractérisant un état non opérationnel de l'interface de conduite autonome 102 au module de gestion d’urgence 404 qui, à son tour, informe le module de gestion d'alimentation 406 de l'état non opérationnel de l'interface de conduite autonome 102. Le module de gestion d'alimentation 406 contrôle un interrupteur 316 qui permet de désactiver l'interface de conduite autonome 102. En effet, l'interface de conduite autonome 102 est alimentée par un bloc d'alimentation 318, et l'interrupteur 316 permet de couper l'alimentation de l'interface de conduite autonome 102 en réponse à une commande du module de gestion de l'alimentation 406. En outre, le deuxième module de gestion de données 408 détermine des données caractérisant une commande de contrôle d'urgence si l'interface de conduite autonome 102 est dans un état non opérationnel. Il s'agit d'une mesure de sécurité visant à assurer un double contrôle pour garantir la sécurité. Le deuxième module de gestion de données 408 arrête le mouvement du véhicule en activant le module de commande de freinage primaire 204A et le module de commande de direction primaire 204B qui mettent en œuvre une manœuvre d'arrêt sur la base de la commande de contrôle d'urgence. Le module de commande de freinage primaire 204A actionnent les freins pour arrêter le véhicule. Le module de commande de direction primaire 204B fige le volant dans sa position actuelle. En outre, le couple du groupe motopropulseur est réduit en fonction de la commande d'urgence afin d'éviter l'accélération du véhicule lorsqu'une manœuvre d'arrêt de sécurité est lancée. Le deuxième module de gestion de données 408 envoie la commande de contrôle d'urgence via les interfaces de communication 410C, 410D et 410E. Ainsi, l'interface de conduite autonome 102 et le module de sécurité 104 se surveillent mutuellement pour améliorer la sécurité de la conduite autonome. En fonctionnement nominal, le système 100 selon l'invention sélectionne le mode de conduite autonome et le fonctionnement du véhicule est déterminé sur la base des commandes de l'interface de conduite autonome 102. Toutefois, en cas de défaillance de l'interface de conduite autonome 102 ou si le niveau de cohérence entre une commande d'aide à la conduite et une commande de contrôle de la conduite autonome correspondante est faible, le module de sécurité 104 court-circuite le chemin nominal vers l'unité de commande électronique primaire 202 afin de provoquer l’arrêt du véhicule. Ainsi, la procédé et le système 100 selon l'invention fournissent une solution pour permettre le fonctionnement sûr d’un véhicule en cas de défaillance de la conduite autonome. Le procédé et le système selon l’invention permettent notamment le fonctionnement d’un véhicule en fonction d’éventuelles incohérences de commandes qui se produisent lorsque le mode de conduite autonome est activé. L'invention fournit par ailleurs une capacité de contrôle du fonctionnement du véhicule redondante qui détecte et réagit à toute défaillance matérielle. De cette manière, l'invention améliore la sécurité des véhicules autonomes. Procédé de gestion, par un système informatique (100) embarqué à bord d'un véhicule automobile (200), du fonctionnement du véhicule, ledit véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comprenant une unité de commande électronique primaire (202) et plusieurs unités de commande électronique auxiliaires, dont une unité de contrôle de châssis (204) ayant un module de commande de freinage primaire (204A) et un module de commande de direction primaire (204B), une unité de contrôle du groupe motopropulseur (208), une unité de contrôle d'aide à la conduite (206) comportant un module de commande d’aide à la conduite (206A) et une unité de contrôle de conduite autonome (302), ledit système (100) comprenant au moins une unité de traitement d'informations, avec un ou plusieurs processeurs, et un support de stockage de données, qui sont configurés pour exécuter conjointement au moins une interface de conduite autonome (102) et un module de sécurité (104), caractérisé en ce que ledit procédé comprend les étapes de : recevoir, par un module passerelle (304) de ladite interface de conduite autonome (102), des données caractérisant un ensemble de commandes d’aide à la conduite correspondant à un ensemble de fonctionnalités d’aide à la conduite ; déterminer, par un module de traitement (306) dudit module passerelle (304), une première fonctionnalité d'aide à la conduite qui doit rester active et des données caractérisant une première commande d'aide à la conduite correspondant à cette première fonctionnalité d'aide à la conduite ; déterminer, par un premier module de gestion de données (314) de ladite interface de conduite autonome (102), des données caractérisant un premier ensemble d'informations comprenant lesdites données caractérisant une première commande d'aide à la conduite, des données caractérisant une première commande de contrôle de conduite autonome, reçues de ladite unité de contrôle de conduite autonome (302), et des données caractérisant un état dudit module de sécurité (104), ladite première commande de contrôle de conduite autonome correspondant à ladite première fonctionnalité d’aide à la conduite, ladite première commande d'aide à la conduite et ladite première commande de contrôle de conduite autonome correspondant à une première opération de conduite ; déterminer, par un deuxième module de gestion de données (408) dudit module de sécurité (104), des données caractérisant un deuxième ensemble d'informations, ledit deuxième ensemble d'informations incluant des commandes d'aide à la conduite et des données caractérisant un état de ladite interface de conduite autonome (102) ; déterminer, par ledit deuxième module de gestion de données (408), des données caractérisant un niveau de cohérence entre ladite première commande d'aide à la conduite et ladite première commande de contrôle de conduite autonome ; et transmettre, par ledit premier module de gestion de données (314), lesdites données caractérisant une première commande d’aide à la conduite ou lesdites données caractérisant une première commande de contrôle de conduite autonome à ladite unité de commande électronique primaire (202) en fonction du niveau de cohérence. Procédé selon la revendication 1, caractérisé en ce que le procédé comprend en outre les étapes de : activer, par ledit premier module de gestion de données (314), des modules de commande électronique secondaires dudit véhicule si ledit module de sécurité (104) est dans un état non opérationnel, lesdits modules de commande électronique secondaires comprenant un module de commande de freinage secondaire (320) et un module de commande de direction secondaire (322) ; et provoquer, par lesdits modules de commande électronique secondaires, l’arrêt dudit véhicule en maintenant le volant dans une position courante et en appliquant une puissance de freinage maximale. Procédé selon l'une des revendications précédentes, caractérisé en ce que le procédé comprend en outre les étapes de : transmettre, par un module de gestion d’urgence (404) dudit module de sécurité (104), des données caractérisant un état non opérationnel de ladite interface de conduite autonome (102) à un module de gestion d'alimentation (406) dudit module de sécurité (104) ; et désactiver, par ledit module de gestion d’alimentation (406), ladite interface de conduite autonome (102) à l'aide d'un interrupteur (316) commandé par ledit module de gestion d’alimentation (406). Procédé selon la revendication 3, caractérisé en ce que l’étape iv) comprend les étapes de : déterminer, par ledit deuxième module de gestion de données (408), des données caractérisant une commande de contrôle d'urgence, si ladite interface de conduite autonome (102) est dans un état non opérationnel ; et provoquer, par ledit deuxième module de gestion de données (408), l’arrêt dudit véhicule en activant ledit module de commande de freinage primaire (204A) et ledit module de commande de direction primaire (204B) afin de réaliser une manœuvre d'arrêt sur la base de ladite commande de contrôle d'urgence. Procédé selon l'une des revendications précédentes, caractérisé en ce que l’étape iii) comprend les étapes de : recevoir, à l'aide d'un premier module de détection de conditions de fonctionnement (312) de ladite interface de conduite autonome (102), des données caractérisant un état de fonctionnement actuel dudit module de sécurité (104) ; et déterminer, à l'aide dudit premier module de détection de conditions de fonctionnement (312), ledit état dudit module de sécurité (104) sur la base dudit état de fonctionnement actuel dudit module de sécurité (104). Procédé selon l'une des revendications précédentes, caractérisé en ce que l’étape iv) comprend les étapes de : recevoir, à l'aide d'un deuxième module de détection de conditions de fonctionnement (402) dudit module de sécurité (104), des données caractérisant un état de fonctionnement actuel de ladite interface de conduite autonome (102) ; et déterminer, à l'aide dudit second module de détection de conditions de fonctionnement (402), ledit état de ladite interface de conduite autonome (102) sur la base de l'état de fonctionnement actuel de ladite interface de conduite autonome (102). Procédé selon l'une des revendications précédentes, caractérisé en ce que l’étape i) comprend les étapes de : recevoir, à l'aide dudit module de commande d'aide à la conduite (206A), des données caractérisant un premier ensemble d'informations de capteurs, ledit premier ensemble d'informations de capteurs étant obtenu à partir d'une pluralité de premiers capteurs (206B) dont est équipé ledit véhicule pour faciliter les fonctionnalités d'aide à la conduite ; et déterminer, à l'aide dudit module de commande d'aide à la conduite (206A), ledit ensemble de commandes d'aide à la conduite correspondant audit ensemble de fonctionnalités d'aide à la conduite sur la base dudit premier ensemble d'informations de capteurs. Procédé selon la revendication 7, caractérisé en ce que l’étape iii) comprend les étapes de : recevoir, à l'aide de l'unité de contrôle de conduite autonome (302), des données caractérisant un deuxième ensemble d'informations de capteurs, ledit deuxième ensemble d'informations de capteurs étant obtenu à partir d'une pluralité de deuxièmes capteurs facilitant les fonctionnalités de conduite autonome et de la pluralité de premiers capteurs (206B) ; et déterminer, à l'aide de l'unité de contrôle de conduite autonome (302), la première commande de contrôle de conduite autonome sur la base du deuxième ensemble d'informations de capteurs. Procédé selon la revendication 8, caractérisé en ce que l’étape iii) comprend une étape consistant à mettre en forme, à l'aide d'un module de contrôle de logique de commande (308) de ladite interface de conduite autonome (102), ladite première commande de contrôle de conduite autonome avant transmission audit premier module de gestion de données (314). Système informatique (100) pour gérer le fonctionnement d'un véhicule automobile (200), ledit véhicule pouvant fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comprenant une unité de commande électronique primaire (202) et plusieurs unités de commande électronique auxiliaires, parmi lesquelles une unité de contrôle de châssis (204) ayant un module de commande de freinage primaire (204A) et un module de commande de direction primaire (204B), une unité de contrôle du groupe motopropulseur (208), une unité de contrôle d'aide à la conduite (206) comportant un module de commande d'aide à la conduite (206A) et une unité de contrôle de conduite autonome (302), caractérisé en ce que ledit système (100) comprend une unité de traitement d’informations, avec un ou plusieurs processeurs, et un support de stockage de données, qui sont configurés pour exécuter conjointement au moins une interface de conduite autonome (102) et un module de sécurité (104) mettant en œuvre un procédé selon l'une des revendications précédentes. Véhicule automobile (200) capable de fonctionner selon un mode de conduite manuelle et un mode de conduite autonome, ledit véhicule comportant une unité de commande électronique primaire (202) et plusieurs unités de commande électronique auxiliaires, dont une unité de contrôle de châssis (204) comportant un module de commande de freinage primaire (204A) et un module de commande de direction primaire (204B), une unité de contrôle du groupe motopropulseur (208), une unité de contrôle d'aide à la conduite (206) comportant un module de commande d'aide à la conduite (206A) et une unité de contrôle de conduite autonome (302), caractérisé en ce que ledit véhicule comporte un système (100) selon la revendication 10.