FR 3049733 A1 20171006 FR 1600545 A 20160401 1 Procédé de commande sécurisée d'une fonction au moyen d'une dalle tactile Le domaine de l'invention est celui des interfaces tactiles sécurisées, utilisées notamment dans le domaine avionique comme interfaces homme-système. Une des spécificités du monde aéronautique est que chaque paramètre d'affichage et chaque interaction que peut réaliser un pilote avec le système avionique est définie par un niveau de criticité « safety » définissant les critères d'intégrité et de disponibilité du matériel. Par exemple, le niveau dit « Hazardous » en intégrité requiert une probabilité d'erronée inférieure à 10-7 par heure de vol. Les interactions critiques sont effectuées, jusqu'à maintenant, avec des postes de commande ou « control panels » dédiés ayant le bon niveau d'intégrité. Pour des raisons de coûts de fabrication et de maintenance, mais également pour des raisons d'encombrement, de poids et de consommation électrique, les avionneurs cherchent à diminuer le nombre de boitiers de contrôle et à les remplacer par des équivalents virtuels affichés sur les grands écrans de visualisation à surface tactile des cockpits. Cependant, la condition essentielle pour qu'un boitier de contrôle puisse être « virtualisé » au sein d'un écran principal est que cet écran dispose au moins du même niveau de criticité que le boitier de contrôle qu'il remplace. La fiabilité propre des composants d'un écran de visualisation fait que celui-ci ne permet pas de générer de façon directe des commandes hautement critiques. Ainsi, on ne peut pas remplacer simplement l'action sur un ou plusieurs boutons de commande critique par une action similaire sur une surface tactile. Les moyens d'interaction tactiles notamment capacitifs offre la possibilité de réaliser un geste ou « gesture » complexe et identifiable par l'écran tactile là où un simple bouton ne permet que l'application de fonctions d'appui et de relâcher. Ainsi, le document US 8 046 721 intitulé "Unlocking a device by performing gestures on an unlock image" propose de déverrouiller un appareil électronique en réalisant une « gesture » particulière. 3049733 2 Cependant, un geste quelconque ne permet pas d'assurer la fiabilité requise. En effet, certaines pannes simples de la surface tactile peuvent avoir le même effet qu'un geste simple. Il en est ainsi d'appuis dits « intempestifs ». La dalle tactile envoie une information sans aucun appui de 5 l'utilisateur. Cette information peut correspondre à un appui isolé ou une succession d'appuis sur une ligne ou une colonne. Il en est également des appuis dits « erronés ». Lors d'un appui sur la dalle, celle-ci envoie de mauvaises coordonnées ne correspondant pas à l'emplacement réel de l'appui. Ainsi, la panne de la dalle tactile peut simuler des gestes simples 10 comme un simple appui, un appui long, un appui le long d'une ligne ou d'une colonne et générer ainsi de fausses commandes, ce qui n'est pas acceptable. Pour résoudre ce problème, dans les systèmes interactifs existants, lorsque l'on veut s'assurer que l'interaction est bien demandée par 15 un utilisateur et n'est pas le fruit d'une panne, on utilise le principe dit de « garde ». Ce principe est mis en oeuvre sur des boutons de commande mécaniques exigeant un haut degré de sécurisation. Il consiste à protéger le bouton de commande par un capot. Le bouton ne peut être mis en oeuvre qu'après la levée du capot. Ce principe peut être transposé aux commandes 20 tactiles. Comme illustré en figure 1, ce principe consiste à demander à l'utilisateur d'effectuer deux actions sur une surface tactile 1 pour valider son interaction. Dans un premier temps illustré sur le dessin de gauche de la figure 1, l'utilisateur réalise un premier appui sur un bouton virtuel 2. Le dispositif demande alors une confirmation. Cette demande peut être réalisée 25 par un changement d'aspect du bouton virtuel. L'utilisateur réalise alors un second appui comme illustré sur le dessin central. Le dispositif confirme le second appui et réalise l'action. Cette confirmation peut également être réalisée par un second changement d'aspect du bouton virtuel comme illustré sur le dessin de droite. Néanmoins, ce mécanisme ne garantit pas 30 une totale intégrité de la surface tactile. Si l'utilisateur lève la garde et est interrompu dans sa tâche, une panne simple de la dalle tactile peut valider l'activation. Le procédé de commande sécurisée d'une fonction au moyen 35 d'une dalle tactile selon l'invention ne présente pas ces inconvénients. Plus 3049733 3 précisément, l'invention a pour objet un procédé de commande sécurisé d'un appareil au moyen d'un système comprenant un dispositif de visualisation comportant une surface tactile composée d'une matrice de lignes et de colonnes conductrices, un écran de visualisation et une unité de traitement et 5 de commande dudit appareil, ladite unité de traitement comportant un premier ensemble de traitement des informations de positionnement issues de la surface tactile et un second ensemble d'affichage de symboles graphiques sur le dispositif de visualisation, ledit procédé de commande sécurisé comportant au moins les étapes suivantes : 10 Affichage d'un premier symbole correspondant à un premier état initial de l'appareil ; Affichage d'un second symbole correspondant à un second état de l'appareil ; Mise en oeuvre du second état de l'appareil au moyen d'un seul 15 appui continu sur la surface tactile débutant sur le premier symbole, passant par un premier point de passage situé au niveau du premier symbole, suivant un gabarit comportant une partie traversant en diagonale une pluralité de lignes et de colonnes de la matrice, passant par un second point de passage situé au 20 niveau du second symbole et finissant sur le second symbole. Avantageusement, le gabarit est en forme de V ou de V inversé. Avantageusement, un chemin, compris dans le gabarit, est représenté par un troisième symbole reliant le premier symbole au second symbole. 25 Avantageusement, le second symbole n'est affiché que sur sollicitation tactile du premier symbole. Avantageusement, le premier symbole et le second symbole ont des représentations différentes selon que l'appareil est dans le premier état ou le second état. 30 L'invention sera mieux comprise et d'autres avantages apparaîtront à la lecture de la description qui va suivre donnée à titre non limitatif et grâce aux figures annexées parmi lesquelles : La figure 1 déjà commentée représente le principe du bouton gardé ; 3049733 4 La figure 2 représente un système de commande d'un appareil selon l'invention ; La figure 3 représente les différents symboles graphiques affichés lors de la mise en oeuvre du procédé de commande sécurisé selon 5 l'invention ; Les figures 4 à 6 représentent les différentes étapes du procédé selon l'invention. A titre d'exemple non limitatif, la figure 2 représente un système 10 de commande 10 d'un appareil ou d'un système 20 selon l'invention. Il comporte essentiellement une interface ou un médium tactile 11 transparente disposée sur un écran de visualisation 12. Le procédé selon l'invention peut fonctionner avec tous types de dalles tactiles matricielles. A titre d'exemple, la réalisation de la dalle tactile peut utiliser la détection capacitive dite 15 « projetée » qui consiste à réaliser une matrice de détection composée de lignes et de colonnes conductrices agencées de façon à détecter les variations locales de capacité introduites par la proximité des doigts de l'utilisateur ou de tout autre objet de désignation à condition qu'il soit électriquement conducteur. La dalle tactile comprend un contrôleur tactile 20 dont le rôle est de décoder les informations issues de la dalle tactile. L'écran de visualisation est généralement un écran plat à cristaux liquides. Cet ensemble médium tactile-écran de visualisation est connecté à une unité de calcul 13 qui réalise les fonctions suivantes : - Génération des différentes représentations graphiques des 25 symboles pour le dispositif de visualisation ; - Comparaison des informations issues du contrôleur tactile avec un mécanisme de commande préenregistré ; - Génération des informations de commande du système 20. Comme il a été dit, la fiabilité des systèmes tactiles, bien 30 qu'excellente, peut, pour certaines applications hautement sécurisées, se révéler insuffisante, en particulier dans le cas d'appuis intempestifs ou erronés. A titre d'exemple, dans le domaine aéronautique, lorsque la fiabilité de la commande correspond à un niveau de perte d'intégrité inférieur à 10-7 par heure de vol, un procédé de commande simple ne suffit plus. 35 3049733 5 Pour pallier ces inconvénients, le procédé de commande sécurisé selon l'invention comporte plusieurs étapes illustrées sur les figures 3 à 6. La figure 3 représente les différents symboles graphiques affichés lors de la mise en oeuvre du procédé de commande sécurisé selon l'invention et les 5 figures 4 à 6 représentent les différentes étapes du procédé selon l'invention qui sont détaillées ci-dessous. Le procédé selon l'invention peut être utilisé pour tout changement d'état d'un appareil. A titre d'exemple, les figures 3 à 6 illustrent la mise en marche ou l'arrêt d'un appareil. - Affichage d'un premier symbole 30 correspondant à l'arrêt de 10 l'appareil et d'un second symbole 31 correspondant à la mise en service de l'appareil, l'appareil étant initialement à l'arrêt. Il est à noter que le second symbole peut n'être affiché que lorsque le premier symbole est sollicité. A titre d'exemple, sur les figures 3 à 6, ces symboles sont des cercles marqués « OFF » ou « ON ». Le premier symbole 30 et le second symbole 31 peuvent 15 avoir des représentations différentes selon que l'appareil est en service ou à l'arrêt comme on le voit sur les différentes figures ; - Mise en service de l'appareil au moyen d'un seul appui continu sur la surface tactile débutant sur le premier symbole 30, passant par un premier point de passage 32 situé au niveau du premier symbole, suivant un 20 gabarit 34, passant par un second point de passage 33 situé au niveau du second symbole 31 et finissant sur le second symbole. Il est à noter que les points de passage et le gabarit ne sont pas affichés. Cette mise en service est représentée sur les figures 4 à 6. A titre d'exemple, sur la figure 3, les points de passage 32 et 33 sont symbolisés par des rectangles allongés. Un 25 chemin 35, compris dans le gabarit, est représenté par un troisième symbole reliant le premier symbole au second symbole. Dans le cas de la figure 3, le gabarit et le chemin 35 sont en forme de V inversé. D'autres formes sont possibles à condition que la forme du gabarit comporte une partie agencée de façon à traverser en diagonale une pluralité de lignes et de colonnes de la 30 matrice de la dalle tactile. Le mouvement de l'appui est symbolisé par des flèches courbes blanches sur les figures 5 et 6 ; - Arrêt de l'appareil par le procédé inverse. L'utilisateur effectue un appui continu sur la surface tactile débutant sur le second symbole 31, passant par le second point de passage 33, suivant le chemin 35, passant 35 par le premier point de passage 32 et finissant sur le premier symbole 30. 3049733 6 Par ce moyen simple, pendant la mise en service, la surface tactile n'envoie au contrôleur tactile que des informations correspondant à des coordonnées tactiles successives correspondant à la fois à des lignes et 5 à des colonnes différentes et des informations d'appui/relâché. La forme du calibre ne peut être reproduite par une panne simple d'un composant de la surface tactile. On évite ainsi l'absence de détection de pannes simples par le système et on augmente la fiabilité du média tactile de façon significative. 10 Ce procédé est particulièrement bien adapté à la mise en service d'appareils nécessitant un haut degré de sécurisation. Dans le domaine avionique, ce procédé permet la réalisation d'interactions de niveau de criticité dit « Hazardous ». REVENDICATIONS1. Procédé de commande sécurisée d'un appareil (20) au moyen d'un système (10) comprenant un dispositif de visualisation comportant une surface tactile (11) composée d'une matrice de lignes et de colonnes conductrices, un écran de visualisation (12) et une unité de traitement et de commande (13) dudit appareil, ladite unité de traitement comportant un premier ensemble de traitement des informations de positionnement issues de la surface tactile et un second ensemble d'affichage de symboles graphiques sur le dispositif de visualisation, caractérisé en ce que ledit procédé de commande sécurisé 10 comporte au moins les étapes suivantes : Affichage d'un premier symbole (30) correspondant à un premier état initial de l'appareil ; Affichage d'un second symbole (31) correspondant à un second état de l'appareil ; 15 Mise en oeuvre du second état de l'appareil au moyen d'un seul appui continu sur la surface tactile débutant sur le premier symbole, passant par un premier point de passage (32) situé au niveau du premier symbole, suivant un gabarit (34) comportant une partie traversant en diagonale une pluralité de lignes et de 20 colonnes de la matrice, passant par un second point de passage (33) situé au niveau du second symbole et finissant sur le second symbole. 2. Procédé de commande sécurisée d'un appareil selon la 25 revendication 1, caractérisé en ce que le gabarit est en forme de V ou de V inversé. 3. Procédé de commande sécurisée d'un appareil selon l'une des revendications précédentes, caractérisé en ce qu'un chemin (35), compris 30 dans le gabarit, est représenté par un troisième symbole reliant le premier symbole au second symbole. 3049733 8 4. Procédé de commande sécurisée d'un appareil selon l'une des revendications précédentes, caractérisé en ce que le second symbole n'est affiché que sur sollicitation tactile du premier symbole. 5. Procédé de commande sécurisée d'un appareil selon l'une des revendications précédentes, caractérisé en ce que le premier symbole et le second symbole ont des représentations différentes selon que l'appareil est dans le premier état ou le second état. 510