FR 3015663 A1 20150626 FR 1363314 A 20131220 DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne de manière générale les outils d'aide à la navigation, notamment pour la navigation maritime. Elle concerne plus particulièrement un système d'aide à la navigation, conçu pour basculer entre un mode de fonctionnement certifié selon une norme et un mode de fonctionnement non-certifié. La présente invention concerne également un procédé mis en oeuvre dans un tel système. ARRIÈRE-PLAN TECHNOLOGIQUE Certains systèmes d'aide à la navigation maritime sont conçus conformément à des normes de réalisation définies par la convention SOLAS ("Safety of Life at Sea") de l'Organisation Maritime Internationale et identifiées sous l'appellation ECDIS (pour "Electronic Chart Display and Information System"). Ces normes de réalisation spécifiques peuvent toutefois ne pas répondre à certains besoins, en particulier lorsque l'on cherche à ajouter au système d'aide à la navigation des fonctionnalités utiles à certaines applications, par exemple la pêche en mer. On connaît par ailleurs des systèmes basés sur une architecture modulaire dans lesquels le fonctionnement du système repose sur la coopération de différents modules. Lorsque l'utilisation d'un tel système est soumise à certification, il est classiquement nécessaire de procéder à la certification de l'ensemble des modules qui coopèrent afin de garantir le fonctionnement certifié du système. OBJET DE L'INVENTION Dans ce contexte, la présente invention propose un système d'aide à la navigation, conçu pour basculer entre un mode de fonctionnement certifié selon une norme et un mode de fonctionnement non-certifié (eu égard à cette norme), caractérisé en ce qu'il est mis en oeuvre par l'exécution de modules compatibles à la norme ayant un attribut de compatibilité et de modules sans attribut de compatibilité, en ce qu'il comprend un indicateur représentatif du mode de fonctionnement courant, et en ce que les modules compatibles sont conçus pour appeler une fonction d'un autre module seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module a un attribut de compatibilité. Ainsi, lorsque le mode de fonctionnement certifié est actif, seuls des appels de module compatible à module compatible sont mis en oeuvre, et les modules sans attribut de compatibilité (sur lesquels aucune contrainte de conception ne s'applique) ne sont donc pas sollicités. L'architecture modulaire du système, intéressante du fait de la souplesse de conception qu'elle confère, n'est donc pas préjudiciable à la sécurité du mode de fonctionnement certifié. Le basculement d'un mode de fonctionnement à l'autre peut en outre se faire de manière dynamique, par simple modification de l'indicateur précité (par exemple en réponse à une commande de l'utilisateur) et sans arrêt du système, puisque les différents modules n'ont pas besoin d'être modifiés pour tenir compte du changement de mode de fonctionnement. On peut prévoir notamment qu'au moins un module compatible soit conçu pour consulter l'indicateur et pour adapter son fonctionnement en fonction du mode de fonctionnement désigné par l'indicateur. En variante, on peut prévoir que le système (par exemple au moyen d'un élément de gestion du mode de fonctionnement) est conçu pour émettre, à destination d'au moins un module compatible, une notification spécifiant que l'indicateur a une valeur déterminée ; le module compatible peut alors être conçu pour adapter son fonctionnement en fonction du mode de fonctionnement désigné par ladite valeur déterminée. Selon une possibilité de mise en oeuvre, au moins un module compatible peut être conçu pour déterminer si un autre module a un attribut de compatibilité par interrogation dudit autre module. En variante, on pourrait prévoir que le module compatible consulte une table recensant les attributs de compatibilité des différents modules. Un élément de gestion d'interface graphique est par exemple conçu pour appeler une fonction de traçage sur un écran du système, mise en oeuvre par un module graphique, seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque le module graphique a un attribut de compatibilité. Cet élément de gestion d'interface graphique peut être un module principal ou un autre module, qui sera par exemple appelé par le module principal, ou encore, dans une architecture de type composants/conteneur, le conteneur (également dénommé noyau ou structure d'accueil). On peut prévoir également comme expliqué plus loin qu'un élément de gestion du mode de fonctionnement soit conçu pour interroger un module donné sur la disponibilité d'une commande du module donné lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque le module donné a un attribut de compatibilité, et pour désactiver ladite commande dans les autres cas. Comme pour l'élément de gestion d'interface graphique, l'élément de gestion du mode de fonctionnement peut être le module principal précité ou un autre module, qui sera par exemple appelé par le module principal, ou encore, dans une architecture de type composants/conteneur, le conteneur. Selon un mode de réalisation envisageable, l'indicateur peut prendre une valeur représentative d'un mode de fonctionnement certifié alternatif, dans lequel par exemple seuls la cartographie et les mobiles (ici les embarcations) sont affichés sur l'écran. Au moins un module compatible peut alors être conçu pour adapter son fonctionnement au mode certifié alternatif lorsque l'indicateur a la valeur représentative du mode de fonctionnement certifié alternatif. Ce module compatible peut par exemple consulter l'indicateur à cet effet ou recevoir une notification signalant la (nouvelle) valeur de l'indicateur, par exemple en provenance de l'élément de gestion du mode de fonctionnement. L'invention propose également un procédé mis en oeuvre dans un système d'aide à la navigation conçu pour basculer entre un mode de fonctionnement certifié selon une norme et un mode de fonctionnement non-certifié, caractérisé en ce que le procédé est mis en oeuvre par l'exécution de modules compatibles à la norme ayant un attribut de compatibilité et de modules sans attribut de compatibilité, et en ce que le procédé comprend les étapes suivantes : - mise à jour d'un indicateur représentatif du mode de fonctionnement courant, - appel d'une fonction d'un autre module seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module a un attribut de compatibilité. Dans un mode de réalisation, le procédé comprend en outre les étapes suivantes : - consultation de l'indicateur par un module compatible ; - adaptation de son fonctionnement par le module compatible en fonction du mode de fonctionnement désigné par l'indicateur. Le procédé peut également comprendre une étape d'interrogation d'un autre module par un module compatible pour déterminer si l'autre module a un attribut de compatibilité. Selon une possibilité de mise en oeuvre, le procédé comprend une étape d'appel, par un élément de gestion d'interface graphique, d'une fonction de traçage sur un écran du système, mise en oeuvre par un module graphique, seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque le module graphique a un attribut de compatibilité. On peut prévoir en outre une étape d'interrogation, par un élément de gestion du mode de fonctionnement, d'un module donné sur la disponibilité d'une commande du module donné lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque le module donné a un attribut de compatibilité, ou de désactivation de ladite commande dans les autres cas. Comme déjà indiqué, l'indicateur peut dans certains modes de réalisation prendre en outre une valeur représentative d'un mode de fonctionnement certifié alternatif. On peut alors prévoir une étape d'adaptation, par au moins un module compatible, de son fonctionnement au mode certifié alternatif lorsque l'indicateur a la valeur représentative du mode de fonctionnement certifié alternatif. DESCRIPTION DÉTAILLÉE D'UN EXEMPLE DE RÉALISATION La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés : - la figure 1 représente schématiquement les éléments principaux d'un exemple de système de navigation conforme aux enseignements de l'invention ; - la figure 2 représente le fonctionnement du système d'aide à la navigation de la figure 1 en mode de fonctionnement non certifié ; - la figure 3 représente le fonctionnement du système d'aide à la navigation de la figure 1 en mode de fonctionnement certifié ; - la figure 4 représente un procédé de traçage d'une représentation graphique dans le cadre du système de navigation de la figures 1 ; - la figure 5 représente la gestion d'une barre d'outils dans le cadre du système de navigation de la figure 1. La figure 1 représente schématiquement un exemple de système de navigation maritime : il s'agit ici d'un système à base de microprocesseur, qui comprend notamment un processeur (en l'occurrence un microprocesseur) P, une mémoire M associée au processeur P, une interface utilisateur I (typiquement un clavier ou une souris), un écran ECR et un moyen de mémorisation S, par exemple un disque dur. Le système comprend également un capteur C de mesure d'un paramètre utile à la navigation. La présente description mentionne un seul capteur C, mais le système d'aide à la navigation décrit pourrait naturellement comporter d'autres capteurs. La mémoire M stocke notamment des programmes d'ordinateurs, réalisés sous forme de modules, dont l'exécution par le processeur P permet la mise en oeuvre d'un procédé d'aide à la navigation, qui comprend notamment des étapes d'affichage d'informations (typiquement des représentations graphiques ou des objets graphiques comme décrit ci-après) sur l'écran ECR, des étapes de capture d'informations en provenance du capteur C et des étapes de réception d'instructions de l'utilisateur grâce à l'interface utilisateur I. On pourrait prévoir en variante que chaque module mentionné ci-après soit exécuté (c'est-à-dire mis en oeuvre) au moyen d'un circuit intégré dédié, par exemple un circuit intégré à application spécifique (ou ASIC selon l'appellation anglo-saxonne). La mémoire stocke également des données et paramètres utiles à la mise en oeuvre du procédé d'aide à la navigation. La figure 2 représente divers modules MODE, MOD,, MOD2, MOD3, MOD4 impliqués dans la mise en oeuvre du système d'aide à la navigation maritime. Ces modules comprennent un module principal MODE dont l'exécution est lancée à l'initialisation du système, des modules MOD,, MOD2 compatibles à une norme, ici la norme ECDIS, et ayant de ce fait un attribut de compatibilité, et des modules MOD3, MOD4 sans attribut de compatibilité, conçus sans prendre en considération les règles de conception dictées par la norme concernée. Les modules compatibles sont conçus de sorte que leur mise en oeuvre au sein du système d'aide à la navigation soit conforme à la norme concernée, ici la norme ECDIS, et que le système d'aide à la navigation puisse ainsi revendiquer la certification à la norme concernée. On vise dans la présente description la norme ECDIS en tant qu'exemple de norme de certification ; d'autres types de certification sont toutefois envisageables dans le cadre de la présente invention, par exemple conformément à la norme ARPA (pour "Automatic Radar Plotting Aid'). Chaque module est par exemple conçu pour recevoir une requête d'interrogation de la présence d'un attribut de compatibilité et pour répondre positivement dans le cas où le module concerné a effectivement un attribut de compatibilité, comme expliqué ci-après. Le module principal MODE est lui aussi compatible à la norme mais ne possède pas d'attribut de compatibilité (du fait qu'il n'est pas lui-même appelé par un autre module et qu'il n'est donc pas nécessaire de déterminer si ce module est compatible à la norme ECDIS avant son appel). Le module principal MODE gère un indicateur IND du mode de fonctionnement. Cet indicateur est par exemple mémorisé dans la mémoire M associée au processeur P et peut prendre une valeur représentative du fonctionnement en mode non-certifié (ici un mode nonECDIS) ou une valeur représentative du fonctionnement en mode certifié (ici un mode ECDIS). Cet indicateur IND est seulement modifiable par le module (ou plus généralement l'élément) chargé de la gestion du mode de fonctionnement certifié, ici le module principal MODE ; l'indicateur est par exemple modifié du fait d'un choix de l'utilisateur, typiquement par sélection interactive (au moyen de l'interface utilisateur I) du mode de fonctionnement désiré dans un menu affiché sur l'écran ECR. L'indicateur IND peut en revanche être consulté par les autres modules MOD,, MOD2, MOD3, MODO, en particulier par les modules compatibles MOD,, MOD2 afin de déterminer le mode de fonctionnement actif et d'adapter éventuellement leur fonctionnement au mode actif, comme expliqué ci-après. Dans la présente description, on considère la certification par rapport à une norme particulière, ici la norme ECDIS. Ainsi, le mode de fonctionnement non-certifié ne vise pas le respect de la norme concernée ; ce mode de fonctionnement pourrait toutefois être compatible à une autre norme de certification sans sortir du cadre de l'invention. Dans l'état de fonctionnement présenté en figure 2, le mode non-certifié est actif et l'indicateur IND est donc représentatif du mode de fonctionnement non-certifié (ici non-ECDIS). Le module principal MODE peut commander l'exécution d'une pluralité de commandes CMD1, CM2, CMD3 en faisant appel à une fonction associée à la commande concernée au sein d'un module qui comprend cette fonction. Par exemple, le module principal MODE est apte à commander l'exécution de la commande CMD, en faisant appel à une fonction FN, du module MOD, ; de même, le module principal MODE peut commander l'exécution d'une commande CMD2 en faisant appel à une fonction FN2 du module MOD2 ; enfin, le module principal MODE peut commander l'exécution d'une commande CMD3 en faisant appel à une fonction FN3 du module MOD3. L'exécution d'une des commandes précitées CMD1, CMD2, CMD3 est par exemple réalisée sur commande de l'utilisateur, par sélection interactive de la commande dans un menu affiché sur l'écran ECR. Dans l'exemple décrit ici, le module principal MODE gère également l'affichage sur l'écran ECR, en particulier l'affichage des menus mentionnés ci-dessus et l'affichage des représentations ou objets graphiques (par exemple des icônes) liées au fonctionnement des autres modules. Dans ce but, le module principal MODE fait notamment appel à des fonctions de traçage AFF2, AFF3 (mises en oeuvres respectivement par des modules associés MOD2, MOD3) qui provoquent le traçage de représentations graphiques sur l'écran ECR, lorsqu'ils reçoivent un appel pour ce faire du module principal MODE, comme expliqué plus en détail ci-après. Le module MOD, est conçu pour recevoir des informations de mesure du capteur C et, lors du fonctionnement en mode non-certifié, pour faire appel à une fonction SRV du module MOD4, par exemple de sorte que le module MOD4 traite les données mesurées par le capteur C et mémorise les données traitées dans le moyen de mémorisation S. Le module MOD2 contient comme déjà indiqué une fonction FN2, qui correspond à une commande CMD2 déclenchable par l'utilisateur, et une fonction AFF2 de traçage d'une pluralité d'icônes ICON, non compatibles au mode de fonctionnement certifié (ici non compatibles aux normes ECDIS). Le module MOD3 contient une fonction FN3 déclenchable par l'utilisateur et une fonction de traçage AFF3 qui génère sur l'écran ECR une représentation graphique associée au fonctionnement de la commande CMD3. La figure 3 représente schématiquement le fonctionnement du système après basculement en mode de fonctionnement certifié (ici le mode ECDIS). Comme déjà indiqué, le passage du mode non-certifié au mode certifié est par exemple effectué lorsque l'utilisateur sélectionne le mode certifié dans un menu affiché sur l'écran ECR, ce qui a pour conséquence de modifier l'indicateur IND du mode de fonctionnement courant. Au moment du basculement (et éventuellement à d'autres instants de fonctionnement du système), le module principal MODE émet une notification à destination de tous les modules MOD1, MOD2, MOD3, SRV (ou éventuellement des seuls modules compatibles MOD1, MOD2). Cette notification contient par exemple l'indicateur IND afin de spécifier le nouveau mode de fonctionnement courant. Les modules compatibles MOD1, MOD2 adaptent alors leur fonctionnement au nouveau mode de fonctionnement (ici le mode ECDIS), comme expliqué ci-après. Par ailleurs, le module principal MODE inhibe le fonctionnement des modules sans attribut de compatibilité MOD3, SRV, par exemple en émettant une requête de terminaison (c'est-à-dire de fin d'exécution) à chacun des ces modules MOD3, SRV. Lorsque le mode certifié est activé, comme représenté à la figure 3, la liste des commandes accessibles à l'utilisateur est en outre mise à jour, par exemple du fait de la mise en oeuvre périodique du procédé décrit plus loin en référence à la figure 5. Précisément, après avoir détecté la sélection interactive du mode certifié par l'utilisateur, le module principal MODE désactive notamment les commandes utilisant une fonction d'un module sans attribut de compatibilité, comme décrit en référence à la figure 5, et affiche un menu mis à jour, qui comprend la liste mise à jour des commandes disponibles, ainsi par exemple que les commandes non disponibles avec une représentation graphique différente, par exemple en grisé pour indiquer à l'utilisateur que ces commandes sont inactives. L'utilisateur ne peut ainsi déclencher que des commandes qui sont mises en oeuvre par l'exécution d'une fonction d'un module compatible à la norme concernée (ici la norme ECDIS), ce qui garantit le fonctionnement certifié du dispositif, malgré la présence des modules sans attribut de compatibilité MOD3, MOD4. En effet, les modules compatibles doivent répondre à des requêtes spécifiques, qui peuvent être émises par le module principal MODE, telles qu'une requête en changement de mode couleur (mode jour, mode nuit, mode crépuscule) pour l'affichage ou une demande de vérification de danger. De même, le module compatible MOD, est conçu pour tester lors de son exécution la valeur de l'indicateur IND du mode de fonctionnement courant et pour fonctionner en conformité avec la norme requise (ici la norme ECDIS) lorsque l'indicateur IND est représentatif d'un fonctionnement en mode certifié. Par exemple, le module MOD, ne fait plus appel au module MOD4 (qui n'a pas d'attribut de compatibilité) comme c'était le cas dans le mode de fonctionnement non-certifié représenté en figure 1. Pour ce faire, le module MOD, interroge par exemple le module MOD4 sur la présence dans ce module d'un attribut de compatibilité et, en l'absence de réponse positive, inhibe tous ses appels au module concerné MOD4. De même, lorsque le module principal MODE fait appel au module MOD2 pour l'exécution de la commande CMD2, la fonction FN2 du module MOD2 est exécutée de manière adaptée au mode certifié, ici par exemple en prévoyant l'affichage d'icônes certifiées (c'est-à- dire conformes à la norme, ici ECDIS) ICON2, différentes des icônes ICON, affichées dans le mode de fonctionnement non-certifié. Le module MOD3 n'ayant pas d'attribut de compatibilité, le module principal MODE ne fait pas appel à ses fonctions (la fonction FN3 mettant en oeuvre la commande CMD3). Comme déjà indiqué, le module principal MODE gère également l'affichage, par exemple conformément au procédé décrit plus loin en référence à la figure 4. Le module principal MODE ne fait appel aux fonctions de traçage AFF2, AFF3 que pour les fonctions de traçage relatives à des modules compatibles (ici le module MOD2), conformément à ce qu'indique l'attribut de compatibilité du module concerné, par exemple en réponse à une requête du module principal MODE dans ce but. Le module principal MODE appelle ainsi notamment la fonction de traçage AFF2 du module MOD2, ce qui provoque le traçage sur l'écran ECR des icônes certifiées ICON2, générées lors de l'exécution de la fonction FN2 comme indiqué ci-dessus. On obtient ainsi un fonctionnement conforme à la norme ECDIS par le simple changement de valeur de l'indicateur IND du mode de fonctionnement courant, par exemple sur commande de l'utilisateur La fonction de traçage AFF3 étant en revanche contenue dans un module sans attribut de compatibilité, le module principal MODE ne fera pas appel à cette fonction de traçage AFF3 lorsque l'indicateur IND du mode de fonctionnement courant est représentatif du mode de fonctionnement certifié. Il ressort de l'exemple qui vient d'être décrit que les modules compatibles MODE, MOD,, MOD2 sont conçus pour appeler une fonction d'un autre module seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module a un attribut de compatibilité (comme d'ailleurs expliqué également ci-dessous en référence aux figures 4 et 5). Ainsi, lorsque l'indicateur est représentatif du mode de fonctionnement certifié, ni le module principal MODE ni les autres modules compatibles MOD1, MOD2 ne feront appel à un module sans attribut de compatibilité MOD3, MODO. L'inhibition des appels aux modules sans attribut de compatibilité lors du fonctionnement en mode certifié se propage donc dans les modules compatibles : dès lors que l'exécution du procédé d'aide à la navigation débute dans le module principal MODE (compatible), seul des appels vers des modules compatibles pourront être effectués en mode certifié, modules compatibles qui eux même n'appelleront que des modules compatibles en mode de fonctionnement certifié. On s'assure ainsi par récursivité qu'aucun module sans attribut de compatibilité ne pourra être appelé lors du fonctionnement en mode certifié. La caractéristique prévue ci-dessus pour les modules compatibles (appel d'une fonction d'un module seulement en mode de fonctionnement non-certifié ou lorsque le module a un attribut de compatibilité) peut être vérifiée lors de la certification ; les modules sans attribut de compatibilité peuvent en revanche être conçus indépendamment de toute certification : du fait de la conception proposée, ils pourront être appelés en mode de fonctionnement non- certifié (ici non ECDIS), mais ne seront pas appelés en mode de fonctionnement certifié (ici ECDIS) et ne risqueront donc pas de perturber le fonctionnement de ce mode certifié. La figure 4 représente un exemple de procédé d'affichage de représentations graphiques sur l'écran ECR. On considère par exemple dans l'exemple décrit que l'affichage est formé de la superposition de plusieurs couches graphiques, chaque module pouvant tracer un ou plusieurs objets graphiques (tels que des icônes) dans chaque couche graphique. Le procédé de la figure 4 commence à l'étape E2 par l'initialisation de la couche graphique, c'est-à-dire par la prise en compte d'une première couche graphique comme la couche graphique courante. On procède alors à l'étape E4 au nettoyage de la couche graphique courante afin de pouvoir mettre à jour l'ensemble des éléments graphiques de cette couche. On procède alors à l'étape E6 à l'initialisation du module traité, c'est-à-dire à la prise en compte d'un premier module comme le module courant. On détermine alors à l'étape E8 si le module courant est un module compatible, ici à la norme ECDIS, par exemple en interrogeant le module courant sur la présence d'un attribut de compatibilité pour ce module. Si le module est déterminé comme compatible (par exemple du fait de la présence d'un attribut de compatibilité pour ce module), on procède directement à l'étape E12 décrite plus bas. En revanche, lorsque le module n'est pas compatible au fonctionnement en mode certifié, c'est-à-dire par exemple lorsque le module courant ne retourne pas une réponse positive à une requête de présence d'attribut de compatibilité, on procède à l'étape E10 à laquelle on vérifie si le mode de fonctionnement courant, tel que représenté par l'indicateur IND, est le mode de fonctionnement certifié. Dans la négative, on procède à l'étape E12 à laquelle on appelle la fonction de traçage du module courant. On procède ensuite à l'étape E14 décrite plus bas. Si l'indicateur du mode de fonctionnement IND est au contraire représentatif du mode de fonctionnement certifié (test de l'étape E10), on procède directement à l'étape E14 sans faire appel à la fonction de traçage (comme prévu à l'étape El 2). Ainsi, s'il a été déterminé à l'étape E8 que le module n'était pas compatible à un fonctionnement en mode certifié et que le mode certifié est actif, il n'est pas fait appel à la fonction de traçage du module concerné. On détermine à l'étape El 4 si le module courant est le dernier module à considérer. Dans la négative, on considère le module suivant (étape El 6) et le fonctionnement du programme boucle à l'étape E8 pour traitement du module suivant. S'il est déterminé à l'étape E14 que le module courant est le dernier module à traiter, on procède à l'étape El 8. On détermine à l'étape El 8 si la couche courante est la dernière couche à traiter. Dans la négative, on considère la couche suivante (à l'étape Ee20) et le fonctionnement boucle à l'étape E4 pour traitement de la nouvelle couche graphique courante. S'il est déterminé au contraire à l'étape E18 que la couche graphique traitée précédemment est la dernière couche à traiter, le procédé de gestion de l'affichage se termine à l'étape E22. La figure 5 représente les étapes principales d'un procédé de mise à jour d'un menu interactif, formé d'une pluralité de barres d'outils, qui comprennent chacune une liste de commandes telles que celles mentionnées ci-dessus. Le procédé débute à l'étape E30 à laquelle on initialise la barre d'outils traitée, c'est- à-dire à laquelle on considère la première barre d'outils comme la barre d'outils courante. On procède ensuite à l'étape E32 à laquelle on initialise la commande courante au sein de la barre d'outils courante, c'est-à-dire au cours de laquelle on considère la première commande à traiter parmi les différentes commandes de la barre d'outils courante. On procède ensuite à l'étape E34 à laquelle on détermine si le module qui contient la fonction mettant en oeuvre la commande courante est compatible au fonctionnement en mode certifié (ici compatible à la norme ECDIS). Pour ce faire, le module principal MODE émet par exemple une requête d'interrogation de la présence d'un attribut de compatibilité à destination du module qui contient la fonction mettant en oeuvre la commande courante. S'il est déterminé que ce module est compatible (c'est-à-dire ici si le module principal MODE reçoit en provenance de ce module une confirmation de la présence d'un attribut de compatibilité dans ce module contenant la fonction associée à la commande courante), on procède directement à l'étape E38 décrite plus bas. S'il est au contraire déterminé à l'étape E34 que le module contenant la fonction mettant en oeuvre la commande courante n'est pas compatible au mode de fonctionnement certifié, on procède à l'étape E36 à laquelle on détermine si le mode de fonctionnement courant est certifié, par exemple en consultant l'indicateur IND représentatif du mode de fonctionnement courant. Dans la négative, on procède à l'étape E38 à laquelle le module principal MODE émet une requête d'état de la commande à destination du module contenant la fonction mettant en oeuvre la commande courante. Dans ce cas, la commande est activée ou désactivée en fonction de la réponse émise par le module concerné : il revient au module concerné de déterminer si l'utilisateur peut ou non demander l'exécution de la commande concernée dans le mode courant. On remarque que lorsque le module concerné est compatible (réponse positive au test de l'étape E34), le module concerné consulte l'indicateur IND du mode de fonctionnement courant et détermine, en fonction du mode de fonctionnement courant, si la commande concernée doit ou non être activée. La barre d'outils est alors mise à jour en fonction de la réponse reçue du module concerné : par exemple, la commande est présentée comme déclenchable lorsque le module concerné indique un état activé de la commande concernée, et comme inactive (par exemple sous forme grisée) lorsque le module concerné indique que la commande est inactive. S'il est déterminé à l'étape E36 que le mode de fonctionnement courant est le mode de fonctionnement certifié (par lecture de l'indicateur du mode de fonctionnement courant IND), on procède à l'étape E40 à laquelle la commande courante est désactivée. La barre d'outils est alors mise à jour afin d'indiquer que la commande courante n'est plus active, par exemple en affichant cette commande en grisé et en empêchant la sélection de la fonctionnalité associée par l'utilisateur. Ainsi, lorsque le module contenant la fonction mettant en oeuvre la commande courante n'est pas désigné comme compatible (tel que déterminé par l'absence d'attribut de compatibilité du module concerné) et que le mode de fonctionnement courant est certifié (tel que déterminé par l'indicateur IND), la commande est systématiquement désactivée par le module principal MODE, ce qui permet d'inhiber toute exécution d'une fonction dans un module qui ne fonctionnerait pas selon la norme ECDIS. L'étape E38 comme l'étape E40 sont suivies de l'étape E42 à laquelle on détermine si la commande courante est la dernière commande à traiter dans la barre d'outils courante. Dans la négative, on considère la commande suivante dans la barre d'outils pour son traitement (étape E43) et on boucle dans ce but à l'étape E34 précédemment décrite. Si la commande précédemment traitée est la dernière commande à traiter dans la barre d'outils courante, l'étape E42 est suivie de l'étape E44 à laquelle on détermine si la barre d'outils précédemment traitée est la dernière barre d'outils à traiter. Dans la négative, on considère la barre d'outils suivante (étape E46) pour son traitement, en bouclant le fonctionnement à l'étape E32 déjà décrite. Si la barre d'outils précédemment traitée est la dernière barre d'outils à traiter comme déterminé à l'étape E44, le procédé de mise à jour des barres d'outils s'achève à l'étape E48. L'invention n'est pas limitée à l'exemple de réalisation qui vient d'être décrit. En particulier, les barres d'outils sont un exemple de menus interactifs utilisables et les icônes sont un exemple d'éléments graphiques envisageables pour aider l'utilisateur dans le cadre de sa navigation (ici maritime). D'autres types de menus interactifs et d'éléments graphiques, ou représentations graphiques, sont envisageables sans sortir du cadre de l'invention. De même, on peut prévoir d'utiliser, en plus du mode de fonctionnement non-certifié et du mode de fonctionnement certifié, un mode de fonctionnement certifié alternatif, par exemple un mode de fonctionnement du type "Cartes et mobiles seuls" dans lequel tous les objets graphiques, outils de navigation et autres informations distinctes de la cartographie et des mobiles (ici les embarcations) ne sont pas affichés. L'indicateur du mode de fonctionnement courant peut alors prendre (sur commande de l'utilisateur au moyen de l'interface I) une valeur représentative de ce mode de fonctionnement certifié alternatif. Ce mode de fonctionnement certifié alternatif est alors géré comme le mode de fonctionnement certifié décrit ci-dessus : les modules compatibles sont conçus pour appeler une fonction d'un autre module seulement lorsque l'indicateur est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module a un attribut de compatibilité. Ainsi, lors du fonctionnement en mode certifié ou certifié alternatif, seuls des modules compatibles, conçus pour consulter l'indicateur IND et pour fonctionner le cas échéant en mode de fonctionnement certifié alternatif, sont exécutés. En outre, dans l'exemple décrit ci-dessus, le module principal MODE est conçu pour gérer le mode certifié et l'affichage, comme décrit ci-dessus, notamment dans le cadre des procédés représentés aux figures 4 et 5. Selon une variante envisageable, en particulier lorsqu'une architecture de type composants/conteneur est utilisée, la gestion du mode certifié et/ou la gestion de l'affichage pourrait être mis en oeuvre au niveau du conteneur (parfois dénommé noyau ou structure d'accueil). On pourrait de même prévoir selon une autre variante que la gestion du mode certifié (ECDIS dans le cas considéré ici) et/ou la gestion de l'affichage soient mises en oeuvre par un autre module compatible que le module principal MODE ; le module principal pourrait dans ce cas faire appel à cet autre module pour la gestion du mode certifié et de l'affichage, cet autre module étant alors conçu pour faire appel aux modules MOD,, MOD2, MOD3 dans les mêmes conditions qu'exposé ci-dessus à propos du module principal MODE. REVENDICATIONS1. Système d'aide à la navigation, conçu pour basculer entre un mode de fonctionnement certifié selon une norme et un mode de fonctionnement non-certifié, caractérisé en ce qu'il est mis en oeuvre par l'exécution de modules compatibles à la norme (MOD,, MOD2) et ayant un attribut de compatibilité et de modules (MOD3, MOD4) sans attribut de compatibilité, en ce qu'il comprend un indicateur (IND) représentatif du mode de fonctionnement courant, et en ce que les modules compatibles (MOD,, MOD2, MODE) sont conçus pour appeler une fonction (FN1 ; FN2 ; FN3 ; SRV) d'un autre module (MOD, ; MOD2 ; MOD3 ; MOD4) seulement lorsque l'indicateur (IND) est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module (MOD, ; MOD2) a un attribut de compatibilité. 2. Système d'aide à la navigation selon la revendication 1, dans lequel au moins un module compatible (MOD, ; MOD2) est conçu pour consulter l'indicateur (IND) et pour adapter son fonctionnement en fonction du mode de fonctionnement désigné par l'indicateur (IND). 3. Système d'aide à la navigation selon la revendication 1, dans lequel le système est conçu pour émettre, à destination d'au moins un module compatible (MOD, ; MOD2), une notification spécifiant que l'indicateur (IND) a une valeur déterminée et dans lequel le module compatible (MOD, ; MOD2) est conçu pour adapter son fonctionnement en fonction du mode de fonctionnement désigné par ladite valeur déterminée. 4. Système d'aide à la navigation selon l'une des revendications 1 à 3, dans lequel au moins un module compatible (MOD, ; MODE) est conçu pour déterminer si un autre module (MOD, ; MOD2 ; MOD3 ; MOD4) a un attribut de compatibilité par interrogation dudit autre 25 module (MOD, ; MOD2 ; MOD3 ; MOD4). 5. Système d'aide à la navigation selon l'une des revendications 1 à 4, dans lequel un élément de gestion d'interface graphique (MODE) est conçu pour appeler une fonction de traçage (AFF2 ; AFF3) sur un écran (ECR) du système, mise en oeuvre par un module graphique (MOD2 ; MOD3), seulement lorsque l'indicateur (IND) est représentatif du mode de 30 fonctionnement non-certifié ou lorsque le module graphique (MOD2) a un attribut de compatibilité. 6. Système d'aide à la navigation selon l'une des revendications 1 à 5, dans lequel un élément de gestion du mode de fonctionnement (MODE) est conçu pour interroger un module donné (MOD, ; MOD2 ; MOD3) sur la disponibilité d'une commande (CMD1 ; CMD2 ; CMD3) du 35 module donné (MOD, ; MOD2 ; MOD3) lorsque l'indicateur (IND) est représentatif du mode de fonctionnement non-certifié ou lorsque le module donné (MOD, ; MOD2) a un attribut de compatibilité, et pour désactiver ladite commande dans les autres cas. 7. Système d'aide à la navigation selon l'une des revendications 1 à 6, dans lequel l'indicateur peut prendre une valeur représentative d'un mode de fonctionnement certifié 40 alternatif et dans lequel au moins un module compatible est conçu pour adapter sonfonctionnement au mode certifié alternatif lorsque l'indicateur a la valeur représentative du mode de fonctionnement certifié alternatif. 8. Procédé mis en oeuvre dans un système d'aide à la navigation conçu pour basculer entre un mode de fonctionnement certifié selon une norme et un mode de fonctionnement non-certifié, caractérisé en ce que le procédé est mis en oeuvre par l'exécution de modules compatibles à la norme (MOD,, MOD2) ayant un attribut de compatibilité et de modules (MOD3, MOD4) sans attribut de compatibilité, et en ce que le procédé comprend les étapes suivantes : - mise à jour d'un indicateur (IND) représentatif du mode de fonctionnement courant, - appel d'une fonction (FN1 ; FN2 ; FN3 ; SRV) d'un autre module seulement lorsque l'indicateur (IND) est représentatif du mode de fonctionnement non-certifié ou lorsque l'autre module (MOD, ; MOD2) a un attribut de compatibilité. 9. Procédé selon la revendication 8, comprenant les étapes suivantes : - consultation de l'indicateur (IND) par un module compatible (MOD, ; MOD2) ; - adaptation de son fonctionnement par le module compatible (MOD, ; MOD2) en fonction du mode de fonctionnement désigné par l'indicateur (IND). 10. Procédé selon la revendication 8, comprenant les étapes suivantes : - émission, à destination d'au moins un module compatible (MOD, ; MOD2), d'une notification spécifiant que l'indicateur (IND) a une valeur déterminée ; - adaptation de son fonctionnement par le module compatible (MOD, ; MOD2) en fonction du mode de fonctionnement désigné par ladite valeur déterminée. 11. Procédé selon l'une des revendications 8 à 10, comprenant une étape d'interrogation d'un autre module (MOD, ; MOD2 ; MOD3 ; MOD4) par un module compatible (MOD, ; MODE) pour déterminer si l'autre module (MOD, ; MOD2 ; MOD3 ; MOD4) a un attribut de compatibilité. 12. Procédé selon l'une des revendications 8 à 11, comprenant une étape d'appel, par un élément de gestion d'interface graphique (MODp), d'une fonction de traçage (AFF2 ; AFF3) sur un écran (ECR) du système, mise en oeuvre par un module graphique (MOD2 ; MOD3), seulement lorsque l'indicateur (IND) est représentatif du mode de fonctionnement non-certifié ou lorsque le module graphique (MOD2) a un attribut de compatibilité. 13. Procédé selon l'une des revendications 8 à 12, comprenant une étape d'interrogation, par un élément de gestion du mode de fonctionnement (MODp), d'un module donné (MOD, ; MOD2 ; MOD3) sur la disponibilité d'une commande (CMD1 ; CMD2 ; CMD3) du module donné (MOD, ; MOD2 ; MOD3) lorsque l'indicateur (IND) est représentatif du mode de fonctionnement non-certifié ou lorsque le module donné (MOD, ; MOD2) a un attribut de compatibilité, ou de désactivation de ladite commande dans les autres cas. 14. Procédé selon l'une des revendications 8 à 13, dans lequel l'indicateur peut prendre une valeur représentative d'un mode de fonctionnement certifié alternatif et comprenantune étape d'adaptation, par au moins un module compatible, de son fonctionnement au mode certifié alternatif lorsque l'indicateur a la valeur représentative du mode de fonctionnement certifié alternatif.5