Brevet FR3161770A1 — publié le 20251031

La présente invention concerne un procédé et dispositif de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule. Un premier dispositif du système d’affichage émet (21) une donnée de commande. Un deuxième dispositif de commande vérifie (23) une cohérence de la donnée de commande. Si la cohérence de la donnée de commande est vérifiée, le deuxième dispositif émet (24) à destination du premier dispositif, une donnée représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule et le premier dispositif détermine un rendu de la quatrième donnée qui est affiché sur l’écran tactile. Sinon, le deuxième dispositif émet (25) à destination du premier dispositif, une donnée représentative d’une notification d’erreur et le premier dispositif détermine un rendu de la cinquième donnée qui est affiché sur l’écran tactile. Figure pour l’abrégé : Figure 3 Procédé de sécurisation d’une action sur un organe d’un véhicule suite à un appui d’un utilisateur sur un écran tactile La présente invention concerne la sécurisation d’action sur des organes d’un véhicule suite à des appuis d’un utilisateur sur un écran tactile. Arrière-plan technologique Dans le domaine automobile, il est connu d’utiliser une solution combinant des boutons physiques et des voyants pour mettre en œuvre des fonctions critiques liées à la sécurité de systèmes embarqués dans un véhicule. L’activation d’un bouton déclenche une fonction (ou action) d’un organe du véhicule et un voyant s’allume dès que cette fonction (ou action) est exécutée. La solution combinant des boutons physiques et des voyants garantit que les fonctions critiques, telles que par exemple l'activation de signaux d'urgence ou le réglage de fonctions de sécurité, sont exécutées de manière fiable avec une entrée tangible et directe de l'utilisateur car la nature physique combinée au retour visuel immédiat fournit une interface claire et intuitive. Toutefois, la solution combinant des boutons physiques et des voyants ne correspond plus aux exigences et limitations des nouvelles interfaces mises en œuvre dans les véhicules actuels car le coût de mise en œuvre de cette solution est élevé et son intégration est souvent complexe dans des espaces toujours plus restreints. En effet, la production de boutons physiques, en particulier lorsqu'ils sont combinés avec des voyants, implique des coûts de matériaux et d'assemblage conséquents. Chaque bouton nécessite des composants mécaniques, un câblage et des circuits supplémentaires pour le voyant, augmentant significativement les dépenses globales de fabrication du véhicule. Par ailleurs, l’intégration de boutons physiques dans la conception d’un véhicule nécessite une allocation d'espace et une intégration électrique, ce qui complique la disposition du tableau de bord et les schémas de câblage. Cette complexité augmente les efforts et les coûts d’assemblage et de conception des véhicules. De plus, l’utilisation de boutons physiques induit des limitations de conception et d’ergonomie car les boutons ont des positions et des tailles fixées. Les boutons physiques se voient attribuer des positions spécifiques sur le tableau de bord ou la console centrale, ce qui peut limiter l’optimisation ergonomique des dispositifs de commande et l’attrait esthétique de l’intérieur du véhicule. La mise en œuvre de fonctions critiques par boutons physiques limite également l’adaptabilité de ces fonctions car à mesure que les fonctionnalités du véhicule évoluent, la mise à jour ou l'ajout de nouvelles fonctionnalités de sécurité peuvent s'avérer difficiles. Les commandes physiques ne peuvent pas être facilement reconfigurées ou mises à jour sans modifications significatives du matériel, ce qui rend difficile l'adaptation aux nouvelles technologies de sécurité ou aux préférences des utilisateurs. La mise en œuvre de fonctions critiques par boutons physiques présente également des problèmes d’usure et d’impact sur l’environnement. Au fil du temps, les boutons physiques peuvent souffrir d'usure, entraînant des pannes potentielles ou la nécessité de les remplacer. Cette dégradation peut affecter la fiabilité des fonctions critiques pour la sécurité et entraîner une augmentation des coûts de maintenance. Par ailleurs, la production et l'élimination des composants physiques utilisés dans les boutons et les voyants contribuent à l'empreinte environnementale de la fabrication des véhicules. La réduction de ces composants peut constituer une étape vers une conception et une production de véhicules plus durables. Pour pallier les inconvénients des solutions combinant boutons physiques et voyants, des solutions basées sur des interfaces tactiles et des logiciels peuvent être utilisées pour sécuriser des fonctions critiques. Ces solutions basées sur des interfaces tactiles et des logiciels permettent des contrôles des fonctions critiques de systèmes embarqués de véhicules qui sont plus flexibles, plus adaptables et moins coûteuses. Toutefois, la mise en œuvre de ces solutions basées sur des interfaces tactiles et des logiciels posent quelques problèmes. L’un de ces problèmes est d’assurer la fiabilité et la réactivité de ces solutions. En effet, les commandes logicielles doivent égaler ou dépasser la fiabilité des boutons physiques, ce qui constitue un défi de taille compte tenu de la robustesse inhérente des interfaces mécaniques. De plus, il est important de garantir que les interactions tactiles soient aussi immédiates et réactives que les boutons physiques. Des retards ou des décalages pourraient conduire à des situations dangereuses ou à la frustration des utilisateurs. Un autre de ces problèmes est de fournir des retours d’informations clairs et concis. En effet, il n’est pas simple de reproduire un retour tactile d'une pression physique sur un bouton dans un environnement à écran tactile. Par ailleurs, bien que les interfaces logicielles puissent utiliser des signaux visuels et auditifs pour confirmer des actions sur des organes d’un véhicule, la conception de ces signaux doit être soignée pour qu'ils soient aussi intuitifs que la rétroaction des boutons physiques. Les utilisateurs habitués aux boutons physiques avec retour par voyant peuvent avoir besoin de temps pour s'adapter aux interfaces tactiles, en particulier pour les fonctions de sécurité critiques. Garantir une conception intuitive et des conseils clairs est important pour une transition et une acceptation de ces interfaces tactiles par les utilisateurs. De plus, les systèmes basés sur des logiciels doivent subir des tests rigoureux pour répondre aux normes et certifications de sécurité, telles que la conformité aux niveaux d'intégrité de la sécurité automobile (ASIL de l’anglais Automotive Safety Integrity Levels). Les solutions basées sur des interfaces tactiles peuvent demander des mises en œuvre complexes et gourmandes en ressources pour être conformes à un de ces niveaux ASIL. En effet, il peut s’avérer complexe de détecter et de gérer des erreurs de logiciels de manière à maintenir un niveau de sécurité donné. Un autre problème pour la mise en œuvre de solutions basées sur des interfaces tactiles et des logiciels concerne la gestion de l’espace d’un écran tactile utilisé pour lancer une commande. En effet, allouer un espace dédié sur un écran tactile pour les commandes liées à la mise en œuvre de fonctions critiques tout en équilibrant les autres besoins d'infodivertissement par exemple nécessite une conception et une priorisation minutieuses. Un autre problème pour la mise en œuvre de solutions basées sur des interfaces tactiles et des logiciels concerne la protection contre les dysfonctionnements et la falsification. En effet, les systèmes logiciels introduisent des vulnérabilités aux problèmes, bogues ou failles de sécurité potentielles. La mise en œuvre de mesures de sécurité robustes pour se protéger contre ces risques est également un point à considérer. La transition vers des solutions basées sur des interfaces tactiles et des logiciels pour sécuriser de fonctions critiques représente donc un changement important dans la conception d’une interface utilisateur d’un véhicule. Tout en offrant des avantages potentiels en termes de flexibilité et de coût, il est important de surmonter les différents problèmes exposés ci-dessus qui sont liés à la fiabilité, à l'expérience utilisateur, à la conformité en matière de sécurité et à l'intégration de ces solutions. Résumé de la présente invention Un objet de la présente invention est de résoudre au moins l’un des problèmes de l’arrière-plan technologique décrit précédemment. Selon un premier aspect, la présente invention concerne un procédé de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, le procédé comprenant les étapes suivantes : - émission, par un premier dispositif du système d’affichage et à destination d’un deuxième dispositif du système d’affichage, d’une première donnée de commande comprenant une première donnée représentative d’une information définissant une région d’intérêt sur l’écran tactile correspondante à l’appui de l’utilisateur et associée à l’action sur l’organe du véhicule, une deuxième donnée représentative d’une description de l’appui sur la région d’intérêt associée à l’action sur l’organe du véhicule et une troisième donnée représentative d’une valeur d’un compteur associé à la région d’intérêt et incrémenté à chaque nouvel appui sur la région d’intérêt, le compteur associé à chaque région d’intérêt étant présent sur le premier dispositif et un autre compteur synchronisé audit compteur du premier dispositif étant présent sur le deuxième dispositif ; - émission, par le deuxième dispositif, d’une deuxième donnée de commande à destination de l’organe du véhicule devant exécuter l’action indiquée par l’appui de l’utilisateur sur la région d’intérêt ; - vérification, par le deuxième dispositif, d’une cohérence de la première donnée de commande en vérifiant que la première, deuxième et troisième donnée sont reçues et qu’elles sont prises en compte par le deuxième dispositif, que la deuxième donnée décrive un appui qui déclenche l’action associée à la région d’intérêt définie par l’information représentée par la première donnée et que la valeur du compteur représentée par la troisième donnée soit égale à une valeur courante associée à la région d’intérêt définie ; - si la cohérence de la première donnée de commande est vérifiée, émission, par le deuxième dispositif à destination du premier dispositif, d’une quatrième donnée représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule ; et le premier dispositif détermine un rendu de la quatrième donnée qui est affiché sur l’écran tactile ; - si la cohérence de la première donnée de commande n’est pas vérifiée, émission, par le deuxième dispositif à destination du premier dispositif, d’une cinquième donnée représentative d’une notification d’erreur ; et le premier dispositif détermine un rendu de la cinquième donnée qui est affiché sur l’écran tactile. Le procédé utilise des interactions tactiles pour lancer des commandes liées à la mise en œuvre de fonctions critiques. En particulier, le procédé utilise des régions d'intérêt qui sont synchronisées sur une interface à écran tactile et associées à un mécanisme de compteur incrémentiel pour chaque région d’intérêt afin de garantir la fiabilité et la réactivité de ces commandes. Le mécanisme de compteur synchronisé garantit que chaque donnée de commande est vérifiée du lancement à l'exécution, améliorant ainsi la fiabilité et la sécurité des fonctions critiques. Le procédé offre une alternative rentable, flexible et conviviale sans compromettre les aspects critiques de sécurité et de retour d'information nécessaires au fonctionnement du véhicule. Ce procédé répond au besoin de retour tactile, de confirmation claire de l'utilisateur et de normes de sécurité rigoureuses. Le procédé vérifie la sécurité de bout en bout pour les commandes tactiles, uniquement dans le domaine logiciel. Ce procédé garantit que les commandes sont non seulement envoyées mais également reçues et exécutées comme prévu, fournissant ainsi un mécanisme robuste pour détecter et compenser toute défaillance en temps réel. En évitant le besoin de matériel supplémentaire pour la vérification de la sécurité, le procédé présente une solution permettant d’atteindre la conformité ASIL A pour les interactions tactiles. Cette approche centrée sur le logiciel minimise les coûts des matériaux et simplifie le processus de fabrication, offrant ainsi des avantages économiques significatifs. En obtenant la conformité ASIL A pour les commandes tactiles dans les systèmes d'infodivertissement, l'invention établit une nouvelle norme en matière de sécurité dans les commandes des véhicules. Il relève le défi du maintien de normes de sécurité rigoureuses dans des environnements automobiles de plus en plus pilotés par logiciel. Le procédé permet des interactions utilisateur plus intuitives et plus engageantes avec les systèmes de sécurité du véhicule, en tirant parti des interfaces tactiles et du retour dynamique pour améliorer l'expérience de conduite globale. Le procédé reconnaît les vulnérabilités et les variabilités inhérentes aux systèmes logiciels, notamment dans la gestion des fonctions critiques. Il compense ces faiblesses potentielles en améliorant la capacité à détecter et exécuter de manière fiable les commandes tactiles. La procédé permet une adaptabilité aux mises à jour pour s'adapter aux nouvelles fonctionnalités de sécurité ou aux préférences de l'utilisateur sans modifications physiques du design intérieur du véhicule. Le procédé centré sur le logiciel garantit que le système peut facilement s'adapter aux nouvelles technologies et aux paradigmes d'interaction des utilisateurs, tels que les affichages de réalité augmentée ou le retour haptique avancé, gardant les véhicules à la pointe des avancées technologiques. Selon une variante, le rendu de la quatrième donnée est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Selon une variante, le rendu de la cinquième donnée est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Selon une variante, la cinquième donnée est en outre représentative d’une cause d’erreur. Selon un deuxième aspect, la présente invention concerne un dispositif de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, le système comprenant une mémoire associée à un processeur configuré pour la mise en œuvre des étapes du procédé selon le premier aspect de la présente invention. Selon un troisième aspect, la présente invention concerne un système d’affichage embarqué d’un véhicule comprenant un dispositif selon le deuxième aspect de la présente invention. Selon un quatrième aspect, la présente invention concerne un véhicule comprenant un système d’affichage selon le troisième aspect de la présente invention. Selon une variante, le système d’affichage est un système d’infodivertissement du véhicule. Le procédé s’intègre de manière transparente avec les systèmes d'infodivertissement existants, en utilisant l'écran comme interface principale pour la saisie et le retour d’informations. Cette intégration facilite une expérience utilisateur unifiée et simplifie la mise en œuvre de fonctions critiques, évitant ainsi la complexité et les coûts associés à l'intégration de modules de sécurité séparés. Les systèmes d'infodivertissement actuels, de plus en plus dépendants des interfaces tactiles, ont du mal à prendre en charge les commandes liées à la sécurité sans compromettre la flexibilité et l'expérience utilisateur. Le procédé propose une solution qui intègre ces commandes de manière transparente, conservant la fonctionnalité globale et l'attrait esthétique du système d'infodivertissement. Le procédé garantit la fiabilité des commandes tactiles pour les fonctions critiques pour la sécurité dans l'environnement variable et à forte intensité logicielle des systèmes d'infodivertissement. En se concentrant sur une solution de bout en bout uniquement logicielle avec l'écran tactile, le procédé contourne les faiblesses inhérentes aux systèmes d'infodivertissement, améliorant ainsi la sécurité sans encourir de coûts importants. Selon un cinquième aspect, la présente invention concerne un programme d’ordinateur qui comporte des instructions adaptées pour l’exécution des étapes du procédé selon le premier aspect de la présente invention, ceci notamment lorsque le programme d’ordinateur est exécuté par au moins un processeur. Un tel programme d’ordinateur peut utiliser n’importe quel langage de programmation, et être sous la forme d’un code source, d’un code objet, ou d’un code intermédiaire entre un code source et un code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. Selon un sixième aspect, la présente invention concerne un support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur comprenant des instructions pour l’exécution des étapes du procédé selon le premier aspect de la présente invention. D’une part, le support d’enregistrement peut être n'importe quel entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une mémoire ROM, une mémoire RAM, un CD-ROM ou une mémoire ROM de type circuit microélectronique, ou encore un moyen d'enregistrement magnétique ou un disque dur. D'autre part, ce support d’enregistrement peut également être un support transmissible tel qu'un signal électrique ou optique, un tel signal pouvant être acheminé via un câble électrique ou optique, par radio classique ou hertzienne ou par faisceau laser autodirigé ou par d'autres moyens. Le programme d’ordinateur selon la présente invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le programme d’ordinateur est incorporé, le circuit intégré étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Brève description des figures D’autres caractéristiques et avantages de la présente invention ressortiront de la description des exemples de réalisation particuliers et non limitatifs de la présente invention ci-après, en référence aux figures 1 à 4 annexées, sur lesquelles : FIG. 1 illustre schématiquement une partie d’habitacle d’un véhicule électrique, selon un exemple. FIG. 2 illustre schématiquement un système d’affichage 1 d’un véhicule (non représenté) selon un exemple de réalisation particulier et non limitatif de la présente invention. FIG. 3 illustre un organigramme des différentes étapes d’un procédé de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. FIG. 4 illustre un dispositif de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Description des exemples de réalisation Un procédé et un dispositif de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un dispositif d’affichage du véhicule vont maintenant être décrits dans ce qui va suivre en référence conjointement aux figures 1 à 4. Des mêmes éléments sont identifiés avec des mêmes signes de référence tout au long de la description qui va suivre. Les termes « premier(s) », « deuxième(s) » (ou « première(s) », « deuxième(s) »), etc. sont utilisés dans ce document par convention arbitraire pour permettre d’identifier et de distinguer différents éléments (tels que des opérations, des moyens, etc.) mis en œuvre dans les modes de réalisation décrits ci-après. De tels éléments peuvent être distincts ou correspondre à un seul et unique élément, selon le mode de réalisation. Selon un exemple particulier et non limitatif de réalisation de la présente invention, un premier dispositif d’un système d’affichage d’un véhicule émet à destination d’un deuxième dispositif du système d’affichage, une première donnée de commande comprenant une première donnée représentative d’une information définissant une région d’intérêt sur un écran tactile du véhicule correspondante à un appui d’un utilisateur du véhicule et associée à une action sur un organe du véhicule, une deuxième donnée représentative d’une description de l’appui sur la région d’intérêt associée à l’action sur l’organe du véhicule et une troisième donnée représentative d’une valeur d’un compteur associé à la région d’intérêt et incrémenté à chaque nouvel appui sur la région d’intérêt. Le compteur associé à chaque région d’intérêt est présent sur le premier dispositif et un autre compteur synchronisé audit compteur du premier dispositif est présent sur le deuxième dispositif. Le deuxième dispositif émet une deuxième donnée de commande à destination de l’organe du véhicule devant exécuter l’action indiquée par l’appui de l’utilisateur sur la région d’intérêt. Le deuxième dispositif vérifie une cohérence de la première donnée de commande en vérifiant que la première, deuxième et troisième donnée sont reçues et qu’elles sont prises en compte par le deuxième dispositif, que la deuxième donnée décrive un appui qui déclenche l’action associée à la région d’intérêt définie par l’information représentée par la première donnée et que la valeur du compteur représentée par la troisième donnée soit égale à une valeur courante associée à la région d’intérêt définie. Si la cohérence de la première donnée de commande est vérifiée, le deuxième dispositif émet à destination du premier dispositif une quatrième donnée représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule et le premier dispositif détermine un rendu de la quatrième donnée qui est affiché sur l’écran tactile. Si la cohérence de la première donnée de commande n’est pas vérifiée, le deuxième dispositif émet à destination du premier dispositif une cinquième donnée représentative d’une notification d’erreur et le premier dispositif détermine un rendu de la cinquième donnée qui est affiché sur l’écran tactile. La FIG. 1 illustre schématiquement une partie d’habitacle d’un véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Le véhicule correspond par exemple à un véhicule terrestre, par exemple une automobile, un camion, un car, un véhicule utilitaire. Le véhicule embarque un système d’affichage comprenant un ou plusieurs écrans, par exemple un écran 101 à interface tactile 102 intégré dans la planche de bord 11 et un calculateur configuré pour contrôler l’affichage de contenu(s) sur l’écran tactile 101. Le calculateur correspond par exemple au calculateur du système d’infodivertissement, dit calculateur IVI (de l’anglais « In-Vehicle Infotainment » ou en français « Infodivertissement embarqué ») du véhicule. L’écran tactile 101 correspond par exemple à un écran de type LCD (de l’anglais « Liquid Crystal Display » ou en français « Affichage à cristaux liquides »), par exemple de type de type TFT (de l’anglais « Thin-Film Transistor » ou en français « Transistor en film mince »), ou OLED (de l’anglais « Organic Light-Emitting Diode » ou en français « Diode électroluminescente organique »). L’écran tactile 101 est configuré pour afficher des contenus à destination du conducteur et des passagers du véhicule. L’écran tactile 101 est également configuré pour permettre au conducteur et/ou aux passagers du véhicule d’interagir avec un ou plusieurs systèmes embarqués dans le véhicule via une interface homme machine (IHM) affichée sur l’écran tactile 101. Par exemple, l’écran tactile 101 est configuré pour interagir avec le système IVI. Selon un mode de réalisation particulier, le véhicule embarque un ou plusieurs systèmes embarqués chacun contrôlé par un ou plusieurs calculateurs. Ces calculateurs, avec le calculateur IVI, forment par exemple une architecture multiplexée pour la réalisation de différents services utiles pour le bon fonctionnement du véhicule et pour assister le conducteur et/ou les passagers du véhicule dans le contrôle du véhicule via le contrôle du ou des systèmes embarqués dans le véhicule. Les calculateurs communiquent et échangent des données entre eux par l’intermédiaire d’un ou plusieurs bus informatiques, par exemple un bus de communication de type bus de données CAN (de l’anglais « Controller Area Network » ou en français « Réseau de contrôleurs »), CAN FD (de l’anglais « Controller Area Network Flexible Data-Rate » ou en français « Réseau de contrôleurs à débit de données flexible »), FlexRay (selon la norme ISO 17458), LIN (de l’anglais « Local Interconnect Network » ou en français « Réseau interconnecté local ») ou Ethernet (selon la norme ISO/IEC 802-3). La FIG. 2 illustre schématiquement un système d’affichage 1 du véhicule dela FIG. 1 selon un exemple de réalisation particulier et non limitatif de la présente invention. Le système d’affichage 1 comprend un premier dispositif 10 et un deuxième dispositif 11. Par exemple, le premier dispositif 10 peut-être un dispositif d’affichage du véhicule. Selon un exemple de réalisation particulier de la présente invention, le système d’affichage peut-être un système d'infodivertissement embarqué du véhicule de la FIG. 1 et le deuxième dispositif 11 peut-être une unité centrale de traitement qui gère ce système d'infodivertissement (IVI), y compris l'exécution de commandes tactiles et la communication avec les systèmes de sécurité du véhicule. Le premier dispositif 10 comprend un microcontrôleur 103 et l’écran tactile 101 configuré pour interagir avec l’interface tactile 102. L’interface tactile 102 est configurée pour définir au moins une région d’intérêt sur l’écran tactile 101 et pour associer un compteur à chaque région d’intérêt définie. Chaque région d’intérêt est également associée à une action sur un organe du véhicule. Cette action met en œuvre une fonction critique qui est sécurisée par le procédé décrit en relation avec la FIG. 3 . Chaque compteur est initialisé à une valeur, par exemple 0. L’interface tactile 102 est également configurée pour incrémenter un compteur associé à une région d’intérêt dès qu’un utilisateur appui sur cette région d’intérêt. L’interface tactile 102 est également configurée pour détecter un appui sur une région d’intérêt et pour fournir au microcontrôleur 103 une information définissant une région d’intérêt sur l’écran tactile 101 suite à un appui d’un utilisateur sur cette région d’intérêt et pour fournir une valeur du compteur incrémenté associé à cette région d’intérêt. Le microcontrôleur 103 est configuré pour émettre une première donnée de commande C1 à destination du premier microcontrôleur 111. La première donnée de commande comprend une première donnée D1 représentative d’une information définissant une région d’intérêt sur l’écran tactile suite à un appui d’un utilisateur sur cette région d’intérêt, une deuxième donnée D2 représentative d’une description de l’appui sur la région d’intérêt associée à l’action sur l’organe du véhicule et une troisième donnée D3 représentative d’une valeur d’un compteur associé à la région d’intérêt et incrémenté à chaque nouvel appui sur la région d’intérêt. Le deuxième dispositif 11 est également configuré pour mettre en œuvre, sous forme logicielle, un mécanisme de vérification de l’exécution de commandes via un mécanisme de compteur synchronisé pour chaque région d’intérêt, garantissant ainsi la conformité de sécurité de bout en bout. Le deuxième dispositif 11 comprend un premier microcontrôleur 111, une première unité de pilotage 112, une deuxième unité de pilotage 113, une unité de sécurisation 114 et un deuxième microcontrôleur 115. Le premier microcontrôleur 111 et le microcontrôleur 103 sont configurés pour échanger entre eux des données via un canal de communication par exemple de type CAN. Le premier microcontrôleur 111 est configuré pour fournir la première donnée de commande C1 à l’unité de sécurisation 114. L’unité de sécurisation 114 est configurée pour recevoir la première donnée de commande C1 et pour émettre à destination d’un organe du véhicule une deuxième donnée de commande C2 définissant une action sur l’organe du véhicule. Le premier microcontrôleur 111 est également configuré pour fournir la première donnée D1 à la première unité de pilotage 112 et pour fournir la deuxième donnée D2 à la deuxième unité de pilotage 113. La première unité de pilotage 112 est configurée pour vérifier si la première donnée D1 est reçue par le premier microcontrôleur 111 et pour fournir la première donnée D1 reçue à l’unité de sécurisation 114. La deuxième unité de pilotage 113 est configurée pour vérifier si la deuxième donnée D2 est reçue par le premier microcontrôleur 111 et pour fournir la deuxième donnée D2 reçue à l’unité de sécurisation 114. L’unité de sécurisation 114 est également configurée pour vérifier la cohérence de la première donnée de commande C1 en vérifiant que la première (D1), deuxième (D2) et troisième (D3) données sont reçues et qu’elles sont prises en compte par le deuxième dispositif 11, que la deuxième donnée D2 décrive un appui qui déclenche l’action associée à la région d’intérêt définie par l’information représentée par la première donnée D1 et que la valeur du compteur représentée par la troisième donnée D3 soit égale à une valeur courante associée à la région d’intérêt définie. Le premier microcontrôleur 111 est également configuré pour émettre une quatrième donnée D4 et une cinquième donnée D5 à destination du microcontrôleur 103. La quatrième donnée D4 est représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule et la cinquième donnée D5 est représentative d’une notification d’erreur et, en variante, d’une cause d’une erreur de vérification. Le microcontrôleur 103 est également configurée pour déterminer un rendu de la quatrième (D4) et de la cinquième (D5) donnée et pour piloter l’affichage du rendu sur l’écran tactile 101. La FIG. 3 illustre un organigramme des différentes étapes d’un procédé de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Dans une étape 21, le premier dispositif 10 émet à destination du deuxième dispositif 11, la première donnée de commande C1 comprenant la première donnée D1 représentative d’une information définissant une région d’intérêt sur l’écran tactile 101 correspondante à l’appui de l’utilisateur et associée à l’action sur l’organe du véhicule, la deuxième donnée D2 représentative d’une description de l’appui sur la région d’intérêt associée à l’action sur l’organe du véhicule et la troisième donnée D3 représentative d’une valeur d’un compteur associé à la région d’intérêt et incrémenté à chaque nouvel appui sur la région d’intérêt. Le compteur associé à chaque région d’intérêt est présent sur le premier dispositif 10 et un autre compteur synchronisé audit compteur du premier dispositif 10 est présent sur le deuxième dispositif 11. Ainsi, lorsque le compteur du premier dispositif 10 est incrémenté, le compteur du deuxième dispositif 11 est également incrémenté. Le mécanisme de synchronisation des compteurs permet d’assurer que la donnée de commande à vérifiée correspond bien à la dernière commande émise par l’utilisateur. Dans une étape 22, le deuxième dispositif 11 émet la deuxième donnée de commande C2 à destination de l’organe du véhicule devant exécuter l’action indiquée par l’appui de l’utilisateur sur la région d’intérêt. Dans une étape 23, le deuxième dispositif 11 vérifie une cohérence de la première donnée de commande C1 en vérifiant que la première (D1), deuxième (D2) et troisième (D3) donnée sont reçues et qu’elles sont prises en compte par le deuxième dispositif 11, que la deuxième donnée D2 décrive un appui qui déclenche l’action associée à la région d’intérêt définie par l’information représentée par la première donnée D1 et que la valeur du compteur représentée par la troisième donnée D3 soit égale à une valeur courante associée à la région d’intérêt définie. Si la cohérence de la première donnée de commande C1 est vérifiée, dans une étape 24, le deuxième dispositif 11 émet à destination du premier dispositif 10, la quatrième donnée D4 représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule et le premier dispositif 10 détermine un rendu de la quatrième donnée D4 qui est affiché sur l’écran tactile 101. Si la cohérence de la première donnée de commande C1 n’est pas vérifiée, le deuxième dispositif 11 émet à destination du premier dispositif 10, une cinquième donnée D5 représentative d’une notification d’erreur et le premier dispositif 10 détermine un rendu de la cinquième donnée D5 qui est affiché sur l’écran tactile 101. Selon un exemple de réalisation particulier et non limitatif de la présente invention, le rendu de la quatrième donnée D4 est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Selon un exemple de réalisation particulier et non limitatif de la présente invention, le rendu de la cinquième donnée D5 est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Selon un exemple de réalisation particulier et non limitatif de la présente invention, la cinquième donnée D5 est en outre représentative d’une cause de l’erreur. Selon une variante, les échanges de données entre le premier microcontrôleur 111, la première unité de pilotage 112, la deuxième unité de pilotage 113, l’unité de sécurisation 114 et le deuxième microcontrôleur 115 peuvent s’appuyer sur des chemins de traitement redondants au sein du deuxième dispositif 11 améliorant ainsi la détection des erreurs et fournissant des options de basculement en cas de défaillance du chemin principal. Selon une variante, la définition des régions d’intérêt peut s’adapter en fonction d’un contexte du système d’affichage ou de préférences utilisateur, couplées à des mécanismes de retour dynamique (visuel, auditif et haptique) qui peuvent s’ajuster en fonction de l'urgence ou de l'importance de la première donnée de commande. Cette variante établit un équilibre optimal entre la flexibilité du système d’affichage, l'expérience utilisateur et le respect de la sécurité. En permettant aux régions d’intérêt de s'adapter à différents contextes et en fournissant un retour multimodal à l'utilisateur, cette variante répond aux principaux défis liés à l'interaction de l'utilisateur avec les commandes liées à la sécurité. Il rend les commandes tactiles plus intuitives et plus fiables, sans compromettre les normes de sécurité requises pour la conformité ASIL A. L'accent mis par cette variante sur l'adaptation dynamique et les mécanismes de rétroaction complets s'aligne bien avec les tendances actuelles vers des systèmes d'infodivertissement de véhicule plus interactifs et centrés sur l'utilisateur. Il fournit un cadre solide pour les améliorations futures, y compris l'intégration potentielle de fonctionnalités prédictives plus avancées basées sur l’intelligence artificielle, ce qui en fait une solution d'avenir dans l'évolution des systèmes de contrôle des véhicules. La FIG. 4 illustre schématiquement un dispositif 3 configuré pour le contrôle d’un système d’affichage d’un véhicule électrique, par exemple le véhicule électrique 10, et/ou pour le contrôle de fonctions mises en œuvre par un système de navigation associé à un système d’alerte et à un module de planification de trajet du véhicule électrique 10, selon des exemples de réalisation particuliers et non limitatifs de la présente invention. Le dispositif 3 correspond par exemple à un dispositif embarqué dans le véhicule électrique 10, par exemple un calculateur. Le dispositif 3 est par exemple configuré pour la mise en œuvre des étapes 22 à 25 du procédé décrit en regard de la FIG. 3 . Des exemples d’un tel dispositif 3 comprennent, sans y être limités, un équipement électronique embarqué tel qu’un ordinateur de bord d’un véhicule ou un calculateur électronique tel qu’une UCE (« Unité de Commande Electronique »). Les éléments du dispositif 3, individuellement ou en combinaison, peuvent être intégrés dans un unique circuit intégré, dans plusieurs circuits intégrés, et/ou dans des composants discrets. Le dispositif 3 peut être réalisé sous la forme de circuits électroniques ou de modules logiciels (ou informatiques) ou encore d’une combinaison de circuits électroniques et de modules logiciels. Le dispositif 3 comprend un (ou plusieurs) processeur(s) 30 configurés pour exécuter des instructions pour la réalisation des étapes du procédé et/ou pour l’exécution des instructions du ou des logiciels embarqués dans le dispositif 3. Le processeur 30 peut inclure de la mémoire intégrée, une interface d’entrée/sortie, et différents circuits connus de l’homme du métier. Le dispositif 3 comprend en outre au moins une mémoire 31 correspondant par exemple à une mémoire volatile et/ou non volatile et/ou comprend un dispositif de stockage mémoire qui peut comprendre de la mémoire volatile et/ou non volatile, telle que EEPROM, ROM, PROM, RAM, DRAM, SRAM, flash, disque magnétique ou optique. Le code informatique du ou des logiciels embarqués comprenant les instructions à charger et exécuter par le processeur est par exemple stocké sur la mémoire 31. Selon différents exemples de réalisation particuliers et non limitatifs, le dispositif 3 est couplé en communication avec d’autres dispositifs ou systèmes similaires et/ou avec des dispositifs de communication, par exemple une TCU (de l’anglais « Telematic Control Unit » ou en français « Unité de Contrôle Télématique »), par exemple par l’intermédiaire d’un bus de communication ou au travers de ports d’entrée / sortie dédiés. Selon un exemple de réalisation particulier et non limitatif, le dispositif 3 comprend un bloc 32 d’éléments d’interface pour communiquer avec des dispositifs externes. Les éléments d’interface du bloc 32 comprennent une ou plusieurs des interfaces suivantes : - interface radiofréquence RF, par exemple de type Wi-Fi® (selon IEEE 802.11), par exemple dans les bandes de fréquence à 2,4 ou 5 GHz, ou de type Bluetooth® (selon IEEE 802.15.1), dans la bande de fréquence à 2,4 GHz, ou de type Sigfox utilisant une technologie radio UBN (de l’anglais Ultra Narrow Band, en français bande ultra étroite), ou LoRa dans la bande de fréquence 868 MHz, LTE (de l’anglais « Long-Term Evolution » ou en français « Evolution à long terme »), LTE-Advanced (ou en français LTE-avancé) ; - interface USB (de l’anglais « Universal Serial Bus » ou « Bus Universel en Série » en français) ; - interface HDMI (de l’anglais « High Definition Multimedia Interface », ou « Interface Multimedia Haute Definition » en français) ; - interface LIN (de l’anglais « Local Interconnect Network », ou en français « Réseau interconnecté local »). Selon un autre exemple de réalisation particulier et non limitatif, le dispositif 3 comprend une interface de communication 33 qui permet d’établir une communication avec d’autres dispositifs (tels que d’autres calculateurs du système embarqué) via un canal de communication 330. L’interface de communication 33 correspond par exemple à un transmetteur configuré pour transmettre et recevoir des informations et/ou des données via le canal de communication 330. L’interface de communication 33 correspond par exemple à un réseau filaire de type CAN. Selon un exemple de réalisation particulier et non limitatif, le dispositif 3 peut fournir des signaux de sortie à un ou plusieurs dispositifs externes, tels qu’un écran d’affichage 340, tactile ou non, un ou des haut-parleurs 350 et/ou d’autres périphériques 360 (système de projection) via respectivement des interfaces de sortie 34, 35 et 36. Selon une variante, l’un ou l’autre des dispositifs externes est intégré au dispositif 3. Bien entendu, la présente invention ne se limite pas aux exemples de réalisation décrits ci-avant mais s’étend à un procédé de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule qui inclurait des étapes secondaires sans pour cela sortir de la portée de la présente invention. Il en serait de même d’un dispositif configuré pour la mise en œuvre d’un tel procédé. La présente invention concerne également un système d’affichage comprenant le dispositif 3 de la FIG. 4 . La présente invention concerne également un véhicule, par exemple automobile ou plus généralement un véhicule autonome à moteur terrestre, comprenant le système d’affichage 1. Procédé de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, le procédé comprenant les étapes suivantes : - émission (21), par un premier dispositif du système d’affichage et à destination d’un deuxième dispositif du système d’affichage, d’une première donnée de commande comprenant une première donnée représentative d’une information définissant une région d’intérêt sur l’écran tactile correspondante à l’appui de l’utilisateur et associée à l’action sur l’organe du véhicule, une deuxième donnée représentative d’une description de l’appui sur la région d’intérêt associée à l’action sur l’organe du véhicule et une troisième donnée représentative d’une valeur d’un compteur associé à la région d’intérêt et incrémenté à chaque nouvel appui sur la région d’intérêt, le compteur associé à chaque région d’intérêt étant présent sur le premier dispositif et un autre compteur synchronisé audit compteur du premier dispositif étant présent sur le deuxième dispositif ; - émission (22), par le deuxième dispositif, d’une deuxième donnée de commande à destination de l’organe du véhicule devant exécuter l’action indiquée par l’appui de l’utilisateur sur la région d’intérêt ; - vérification (23), par le deuxième dispositif, d’une cohérence de la première donnée de commande en vérifiant que la première, deuxième et troisième donnée sont reçues et qu’elles sont prises en compte par le deuxième dispositif, que la deuxième donnée décrive un appui qui déclenche l’action associée à la région d’intérêt définie par l’information représentée par la première donnée et que la valeur du compteur représentée par la troisième donnée soit égale à une valeur courante associée à la région d’intérêt définie ; - si la cohérence de la première donnée de commande est vérifiée, émission (24), par le deuxième dispositif à destination du premier dispositif, d’une quatrième donnée représentative d’une confirmation de l’exécution de l’action sur l’organe du véhicule ; et le premier dispositif détermine un rendu de la quatrième donnée qui est affiché sur l’écran tactile ; - si la cohérence de la première donnée de commande n’est pas vérifiée, émission (25), par le deuxième dispositif à destination du premier dispositif, d’une cinquième donnée représentative d’une notification d’erreur ; et le premier dispositif détermine un rendu de la cinquième donnée qui est affiché sur l’écran tactile. Procédé selon la revendication 1, pour lequel le rendu de la quatrième donnée est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Procédé selon la revendication 1, pour lequel le rendu de la cinquième donnée est un rendu d’un effet haptique mis en œuvre par un accessoire du véhicule. Procédé selon la revendication 1, pour lequel la cinquième donnée est en outre représentative d’une cause d’erreur. Dispositif de sécurisation qu’une action sur un organe d’un véhicule a été réalisée suite à un appui d’un utilisateur sur un écran tactile d’un système d’affichage du véhicule, ledit dispositif (3) comprenant une mémoire (31) associée à au moins un processeur (30) configuré pour la mise en œuvre des étapes du procédé selon l’une quelconque des revendications 1 à 4. Programme d’ordinateur comportant des instructions pour la mise en œuvre du procédé selon l’une quelconque des revendications 1 à 4, lorsque ces instructions sont exécutées par un processeur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur comprenant des instructions pour l’exécution des étapes du procédé selon l’une quelconque des revendications 1 à 4. Système d’affichage embarqué d’un véhicule comprenant un dispositif selon la revendication 5. Véhicule comprenant un système d’affichage selon la revendication 8. Véhicule selon la revendication 9, pour lequel le système d’affichage est un système d’infodivertissement du véhicule.