FR 3061472 A1 20180706 FR 1670800 A 20161229 1 Sécurité concernant un engin et une personne équipée d'un dispositif médical L'invention est relative à la sécurité concernant un engin et une personne équipée d'un dispositif médical. L'invention a plus spécialement pour objet, en premier lieu, un procédé de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de service en vue de servir l'engin -. L'invention a pour objet, en deuxième lieu, un ensemble de sécurité spécialement destiné à la mise en oeuvre du procédé, comprenant un dispositif médical équipant une personne et un module de sécurité. L'invention a pour objet, en troisième lieu, un tel dispositif médical et un tel module de sécurité spécialement destinés, l'un comme l'autre, à la mise en oeuvre du procédé et, ce faisant, à faire partie de l'ensemble de sécurité. L'invention s'applique au cas d'un engin tel qu'un véhicule terrestre - comme une automobile, un train, un tracteur, un engin de manutention -, marin - comme un bateau -, aérien - comme un aéronef -, ou spatial. L'engin peut aussi être par exemple une grue. Un tel engin comporte de façon connue en soi des moyens d'entraînement comme un groupe de motorisation ou de propulsion auquel sont associés les moyens usuels correspondant au type d'engin concerné, comme notamment des roues et des moyens de transmission pour un véhicule terrestre. Il comporte également un ou plusieurs postes pour une ou plusieurs personnes, dont un poste de service (ou éventuellement plusieurs postes de service) pour une personne (ou éventuellement plusieurs personnes) servant l'engin. Par « poste », il faut comprendre par exemple un siège et les moyens usuels associés. Ainsi, le poste de service comprend des organes de pilotage comme une télécommande, un volant, des manettes, des boutions, des pédales, etc. Par « servant » l'engin, il faut comprendre le commander, comme le piloter. Par convention, la personne se trouvant au poste de service est dénommée « pilote ». L'engin peut comporter également un ou plusieurs éventuels autres postes autres que de service, pour une ou plusieurs personnes que l'on qualifie ici, par convention, de « passagers ». Une personne se trouvant à un poste de l'engin est qualifiée d'«associée » à l'engin. Par exemple, dans le cas d'un véhicule terrestre comme une automobile, pour une période de déplacement, le pilote, ici le conducteur de l'automobile, s'installe puis reste assis sur le siège du conducteur de sorte à pouvoir manoeuvrer les organes de pilotages. Ceci est vrai même dans le cas d'une automobile ayant un certain degré d'autonomie. Entre les périodes de déplacement, lorsque l'automobile est à l'arrêt et n'est pas utilisée, le conducteur quitte l'automobile pour d'autres occupations. Il cesse alors d'être associé à l'automobile, conformément au sens donné en l'espèce au terme « associé », tout en restant éventuellement associable à elle plus tard. Dans certains cas, un conducteur donné peut utiliser des automobiles différentes, pour des périodes plus ou moins espacées, ou bien le conducteur n'a pas d'automobile attitrée, comme dans le cas de la location de véhicule. Ce qui vient d'être exposé pour une automobile peut être transposé et adapté à d'autres types de véhicules ou d'engins. Dans le contexte de l'invention, une personne associable ou associée à l'engin (pour se trouver à un poste de celui-ci) est équipée d'un dispositif médical. Par convention, une telle personne est qualifiée de « personne équipée ». Le cas échéant, il est prévu plusieurs personnes associables ou associées à l'engin équipées de dispositifs médicaux. 3061472 2 Il se peut également qu'une personne associable ou associée soit équipée de plusieurs dispositifs médicaux. En particulier, la personne équipée est celle qui est associable ou associée au poste de service pour servir l'engin, c'est-à-dire le pilote. 5 Dans le contexte de l'invention, un tel dispositif médical est conçu pour fonctionner en réponse à des données physiologiques de la personne équipée et pallier en tout ou partie un état médical problématique de la personne équipée. Selon les cas, un tel dispositif médical est implanté sur la personne équipée ou situé en externe. Et ce dispositif médical peut être à visée thérapeutique et/ou diagnostique. On peut citer comme dispositif médical 10 entrant dans le cadre de l'invention un stimulateur cardiaque, une prothèse, une pompe, un coeur artificiel, un exosquelette, cette liste n'étant pas limitative. Dans le contexte de l'invention, il faut comprendre par « sécurité », une situation aussi objective que possible, reposant sur des conditions d'ordre médical, qui entraîne l'absence ou la minimisation de dangers ou de 15 menaces. Dans le contexte de l'invention, de tels dangers ou menaces concernent tout à la fois la personne équipée du dispositif médical, le dispositif médical en soi, l'engin ou encore des personnes ou des entités matérielles pouvant être impactées par l'engin. 20 Les dangers ou menaces concernant la personne équipée du dispositif médical sont que son état médical soit plus problématique que celui espéré dans des conditions prévisibles maîtrisées dans lesquelles le dispositif médical remplit sa fonction comme il est prévu. Un tel état plus problématique peut en effet être un danger ou une menace pour la vie même de la personne équipée ou bien au regard d'une dégradation grave ou irrémédiable de 25 son état médical. Dans le cas où la personne équipée est le pilote, les dangers ou menaces sont que le pilote cesse d'être en situation de piloter convenablement l'engin, avec toutes les conséquences potentielles inhérentes. Les dangers ou menaces concernant le dispositif médical sont que ses performances ou pire son fonctionnement 30 même soient affectés, par exemple du fait d'un organe défectueux structurellement ou fonctionnellement. Un exemple typique est un état de charge déficient d"une batterie d'alimentation ou une déficience de montage. S'agissant sz l'engin, les dangers ou menaces s'entendent de ceux concernant l'engin en tant que ses moyens d'entraînement fonctionnent. En effet, si l'engin n'est plus piloté convenablement, il existe un sérieux risque 35 d'accident et de détérioration de l'engin. Et en cas d'accident, il existe un sérieux risque que l'engin impacte des personnes ou des entités matérielles se trouvant sur la trajectoire de l'engin. Dans le contexte de l'invention, il faut comprendre par « alerte », un signal représentatif d'un danger ou d'une menace et pouvant être perçu comme tel par une - ou des - personnes et/ou une - ou des - entités matérielles. 40 Dans le contexte de l'invention, il peut être envisagé non pas une alerte unique, mais une pluralité d'alertes correspondant à des dangers ou menaces plus ou moins élevés. Dans ce cas, à une telle alerte est associé un indice de niveau d'alerte. 45 Un dysfonctionnement ou un problème source de danger ou de menace peut être avéré et effectif. Il peut n'être que seulement probable et à venir, étant alors le plus souvent précédé de signes annonciateurs qui doivent également être considérés comme cause d'alerte. 3061472 3 Si la question de la sécurité se pose avec l'acuité la plus grande pour la pilote de l'engin, elle se pose également pour un passager. En effet, l'état médical problématique d'un passager peut, à l'instar de celui du pilote, être un 5 danger ou une menace pour sa vie même ou bien au regard d'une dégradation grave ou irrémédiable de son état médical. De plus, il ne fait pas de doute que ce qui affecte un passager est de nature à affecter le pilote. Aussi, la question de la sécurité se pose in fine pour toutes les personnes associées à l'engin. De toutes les raisons qui viennent d'être exposées, il ressort que la sécurité concernant un engin et une personne 10 équipée d'un dispositif médical est un problème crucial. Ce problème est d'autant plus crucial que le nombre de personnes équipées d'un dispositif médical ira croissant, mais également parce qu'il est souhaitable que les interdictions ou limitations d'usage d'un engin s'appliquant à des personne associables à lui du fait qu'elles sont équipée d'un dispositif médical, soient fixées à bon escient. 15 Des interdictions ou limitations d'usage trop strictes et fréquentes seraient excessives dès lors que la survenance d'un danger ou d'une menace serait a priori exceptionnelle et que les dispositifs médicaux sont de plus en plus performants et adaptés à chaque personne équipée. Inversement, des interdictions ou limitations d'usage pas assez strictes seraient inacceptables dès lors que la sécurité préventive est considérée comme un besoin essentiel et normal. 20 Le document US8423205 décrit un système de sécurité comprenant un implant, un appareil de commande et un véhicule. Le véhicule présente une unité de commande qui est une partie de son électronique de commande. Cette unité de commande est conçue pour permettre le fonctionnement d'un véhicule uniquement en cas de réception d'une identification unique et pour régler un mode de fonctionnement du véhicule en fonction d'un 25 indice d'aptitude reçu, qui décrit l'aptitude d'un porteur d'implant à se servir d'un véhicule. L'implant est conçu pour saisir des données physiologiques d'un porteur d'implant. L'appareil de commande comprend une première interface pour une communication sans fil avec l'implant et une seconde interface pour une communication sans fil avec l'unité de commande du véhicule. L'appareil de commande comprend aussi une mémoire pour une identification unique. Dans une première réalisation, l'implant est conçu pour générer un indice d'aptitude à partir 30 des données physiologiques saisies et pour transmettre l'indice d'aptitude à l'appareil de commande, tandis que la première interface est conçue pour recevoir l'indice d'aptitude et la seconde interface est conçue pour transmettre à l'unité de commande l'indice d'aptitude avec l'identification unique. Dans une seconde réalisation, l'implant est conçu pour transmettre les données physiologiques et l'appareil de commande comporte une unité de classification destinée à classer les données physiologiques dans une ou plusieurs classes d'aptitude. 35 Le système de sécurité décrit dans le document US8423205 présente nombre d'inconvénients et de limites. Tout d'abord, ce système a pour seul but d'adapter la commande du véhicule à l'état du pilote. Par suite, ce système s'intéresse essentiellement au véhicule et ensuite aux personnes ou aux entités matérielles se trouvant 40 sur la trajectoire du véhicule. En revanche, ce système ne s'intéresse pas directement au pilote équipé du dispositif médical. D'autre part, il ne s'intéresse pas aux passagers du véhicule. Enfin, il ne s'intéresse pas non plus au dysfonctionnement du dispositif médical en soi. Ensuite, ce système est fondé sur l'existence d'une identification unique, laquelle soit être enregistrée dans le 45 véhicule auquel le système est totalement intégré. Par suite, le véhicule est forcément dédié à une seule personne, pour autant qu'elle ait chargé le système associé au véhicule avec l'identification unique. Ce faisant, ce système n'est pas adapté aux cas où le conducteur a vocation à utiliser des automobiles différentes, pour des 3061472 4 périodes plus ou moins espacées, ou bien où le conducteur n'a pas d'automobile attitrée, comme dans le cas de la location de véhicule. De plus, une telle identification unique peut être piratée avec toutes les conséquences qui en résultent. 5 Ensuite, si, dans une première réalisation de ce système, il est prévu que l'implant génère un indice d'aptitude à partir des données physiologiques saisies et transmette cet indice d'aptitude à l'appareil de commande, dans une seconde réalisation, il est prévu que l'implant transmette en clair les données physiologiques alors que l'appareil de commande comporte une unité de classification destinée à classer les données physiologiques dans une ou 10 plusieurs classes d'aptitude, ce qui est très problématique. En effet, ces données physiologiques sont des données personnelles sensibles qui peuvent être piratées et leur confidentialité n'est pas assurée. Les documents US 9 144 389 et US 9 332 910 décrivent des systèmes de sécurité comprenant un implant, un appareil de commande et un véhicule, dans lequel on transmet au véhicule des données physiologiques sur le 15 conducteur. Les documents EP 0 560 351, WO 2015/160272 décrivent des systèmes de sécurité fondés sur la détection de la présence ou de la fatigue du conducteur. 20 Le document WO 201 5/1 3841 6 décrit un système de sécurité fondé sur une détection intégrée au siège du conducteur. Et les documents US 2010/0222687 et US 2005/0148894 sur une détection intégrée à la ceinture de sécurité du conducteur. L'état de la technique comporte également les documents US 7 894 476 et US 6 480 744. 25 Aucun des systèmes précédemment mentionné ne pallie les inconvénients et limites du système de sécurité décrit dans le document US8423205, bien au contraire, et satisfait les exigences que l'on peut souhaiter pour une sécurité efficace et adaptée à l'époque concernant un engin et une personne équipée d'un dispositif médical. 30 Par suite, il existe le besoin, d'une part, d'un procédé de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de service en vue de servir l'engin -, d'autre part, d'un ensemble de sécurité 35 spécialement destiné à la mise en oeuvre d'un tel procédé, qui satisfassent les exigences que l'on peut souhaiter pour une sécurité efficace et adaptée à l'époque. Ces exigences sont notamment : La polyvalence d'application en ce qui concerne l'engin qui peut être aussi bien un véhicule terrestre - comme 40 une automobile, un train, un tracteur, un engin de manutention -, marin - comme un bateau -, aérien - comme un aéronef -, ou spatial, ou encore, par exemple une grue. La polyvalence d'application en ce qui concerne la personne équipée, celle-ci pouvant être aussi bien le pilote de l'engin qu'un passager, selon les définitions données de ces deux termes. La flexibilité en ce qui concerne l'engin qui peut n'être pas dédié à la personne équipée, laquelle peut utiliser 45 des engins différents, pour des périodes plus ou moins espacées, ou bien ne pas avoir d'engin dédié. La polyvalence d'application en ce que la sécurité envisagée peut concerner une ou plusieurs personnes, une personne pouvant être équipée d'un ou de plusieurs dispositifs médicaux. 3061472 5 La polyvalence concernant les dispositifs médicaux qui peuvent être implantés ou situés en externe, être à visée thérapeutique et/ou diagnostique. La polyvalence en ce qui concerne les dangers ou menaces qui concernent tout à la fois la personne équipée 5 du dispositif médical, le dispositif médical en soi, l'engin ou encore des personnes ou des entités matérielles pouvant être impactées par l'engin. La flexibilité en ce sens qu'il peut être envisagé, selon les cas, une alerte unique ou bien une pluralité d'alertes correspondant à des dangers ou menaces plus ou moins élevés. La complétude, en ce sens que le problème source de danger ou de menace peut être soit avéré et effectif 10 soit n'être que seulement probable et à venir. La prévention du piratage de données sensibles ou physiologiques. - La prévention d'un transfert massif de données et de leur stockage. Ci-après, un exposé de l'invention. 15 Selon un premier aspect, l'invention a pour objet un procédé de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un 20 poste de l'engin - notamment au poste de service en vue de servir l'engin -, dans lequel : on dispose d'un dispositif médical conçu pour fonctionner en réponse à des données physiologiques de la personne équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, 25 on dispose d'un module de sécurité conçu pour être associé structurellement à l'engin, pour recevoir des données générées par le dispositif médical alors que la personne équipée est associée à l'engin, et pour générer des informations en correspondance avec les données qu'il reçoit, alors que la personne équipée est associée à l'engin et qu'à l'engin est associé le module de sécurité, une communication cryptée est établie entre le dispositif médical et le module de sécurité, de sorte que le 30 dispositif médical génère - lorsque justifié - un signal d'alerte de dysfonctionnement et/ou un signal d'alerte de problème médical effectif ou déductif et que le module de sécurité génère au moins une information d'alerte en correspondance avec un signal d'alerte, on transmet la au moins une information d'alerte à un opérateur. 35 Selon une réalisation, on dispose d'un dispositif médical conçu pour générer, en fonction de l'occurrence, le - parmi plusieurs - signal d'alerte de dysfonctionnement du dispositif médical et/ou le - parmi plusieurs - signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, et dans lequel, à un signal d'alerte parmi plusieurs, est associé un indice du niveau d'alerte. 40 Selon une réalisation, on dispose d'un dispositif médical qui soit est implanté soit est externe à la personne équipée, à visée thérapeutique et/ou diagnostique. Selon une réalisation, soit la personne équipée occupe un poste de service de l'engin soit on dispose d'un engin comportant au moins un poste autre que de service, et dans lequel la personne équipée occupe un poste autre 45 que de service. 3061472 6 Selon une réalisation, on dispose d'un dispositif médical et d'un module de sécurité tels que le module de sécurité ne reçoit pas ou ne stocke pas les données physiologiques de la personne équipée. 5 Selon une réalisation, on dispose d'un dispositif médical et d'un module de sécurité tels que la transmission entre le dispositif médical et le module de sécurité s'établit automatiquement, du seul fait de la présence de la personne équipée à un poste de l'engin et, le cas échéant, de l'activation du module de sécurité. Selon une réalisation, on dispose d'un dispositif médical et d'un module de sécurité tels que la transmission entre 10 le dispositif médical et le module de sécurité s'établit automatiquement, le cas échéant sans la nécessité d'une opération d'appariement ou le transfert d'un identificateur unique, le cas échéant moyennant un contrôle de la cohérence entre le dispositif médical de la personne équipée et le dispositif médical tel que perçu par le module de sécurité. 15 Selon une réalisation, on dispose d'un module de sécurité conçu sans mémoire ou sans mémoire durable pour traiter, d'une part, les données physiologiques de la personne équipée, ou pour un identificateur unique destiné à une opération d'appariement, d'autre part, un quelconque signal d'alerte de dysfonctionnement du dispositif médical per se ou un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée. 20 Selon une réalisation, on dispose soit d'un module de sécurité portatif, associé structurellement à l'engin de façon amovible, on dissocie structurellement le module de sécurité de l'engin lorsque la personne équipée n'est pas à un poste de l'engin et on associe structurellement le module de sécurité à l'engin temporairement lorsque la personne équipée est à un poste de l'engin soit d'un module de sécurité associé structurellement à l'engin à 25 demeure, de façon permanente. Selon une réalisation, on transmet la au moins une information d'alerte à un opérateur étant choisi comme étant l'un ou plusieurs de : une unité de commande du fonctionnement des moyens d'entraînement de l'engin, une personne se trouvant à un poste de l'engin, un système d'alerte distant de l'engin. 30 Selon une réalisation, on dispose d'un engin comportant une unité de commande du fonctionnement de ses moyens d'entraînement associée fonctionnellement au module se sécurité, on transmet la au moins une information d'alerte à l'unité de commande, et on programme l'unité de commande de sorte qu'elle commande les moyens d'entraînement en fonction de la survenance d'un signal d'alerte de dysfonctionnement du dispositif 35 médical et/ou d'un signal d'alerte de problème médical effectif ou déductif et de l'indice du niveau d'alerte dans le cas d'un signal d'alerte parmi plusieurs. Selon une réalisation, on dispose d'une unité de commande qui soit est programmable et on programme préalablement l'unité de commande selon un scénario ou des scenarii fonction du signal d'alerte soit est 40 préprogrammée selon un scénario ou des scenarii fonction du signal d'alerte. Selon une réalisation, on dispose d'un moyen sensoriel d'alerte, associé fonctionnellement au module se sécurité, conçu pour générer un signal d'alerte perceptible par une personne se trouvant à un poste de l'engin, comme un moyen visuel, sonore, vibratile ou analogue. 45 3061472 7 Selon une réalisation, on dispose d'un système d'alerte distant de l'engin, on transmet à distance au système d'alerte la au moins une information d'alerte, on génère une donnée de géolocalisation de l'engin et on transmet à distance au système d'alerte la donnée de géolocalisation. 5 Selon une réalisation, on détecte la présence d'une personne à un poste de l'engin. Selon un deuxième aspect, l'invention a pour objet un ensemble de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour une personne, dont au moins un poste de service pour une 10 personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de service en vue de servir l'engin -, pour la mise en oeuvre du procédé qui vient d'être décrit, tel que : - le dispositif médical est conçu pour fonctionner en réponse à des données physiologiques de la personne 15 équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, il comporte un module de sécurité conçu pour être associé structurellement à l'engin, pour recevoir des données générées par le dispositif médical alors que la personne équipée est associée à l'engin, et pour 20 générer des informations en correspondance avec les données qu'il reçoit, de sorte que le dispositif médical génère - lorsque justifié - un signal d'alerte de dysfonctionnement et/ou un signal d'alerte de problème médical effectif ou déductif et que le module de sécurité génère au moins une information d'alerte en correspondance avec un signal d'alerte, il comporte des moyens de cryptage de la communication entre le dispositif médical et le module de sécurité, 25 il comporte des moyens de transmission de la au moins une information d'alerte à un opérateur. Selon une réalisation, le dispositif médical est conçu pour générer, en fonction de l'occurrence, le - parmi plusieurs - signal d'alerte de dysfonctionnement du dispositif médical et/ou le - parmi plusieurs - signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, et dans lequel, à un signal 30 d'alerte parmi plusieurs, est associé un indice du niveau d'alerte. Selon une réalisation, le module de sécurité est conçu sans mémoire ou sans mémoire durable pour, d'une part, traiter les données physiologiques de la personne équipée, d'autre part, un quelconque signal d'alerte de dysfonctionnement du dispositif médical per se ou un signal d'alerte de problème effectif ou déductif concernant 35 l'état médical de la personne équipée. Selon une réalisation, le module de sécurité est conçu sans mémoire ou sans mémoire durable pour un identificateur unique et/ou conçu avec un moyen de contrôle de la cohérence entre le dispositif médical de la personne équipée et le dispositif médical tel que perçu par le module de sécurité. 40 Selon les réalisations, soit le module de sécurité est portatif, associé structurellement à l'engin de façon amovible soit associé structurellement à l'engin à demeure, de façon permanente. Selon une réalisation, l'ensemble comprend un opérateur choisi comme étant l'un ou plusieurs de : une unité de 45 commande du fonctionnement des moyens d'entraînement de l'engin, une personne se trouvant à un poste de l'engin, système d'alerte distant de l'engin. 3061472 8 Selon une réalisation, l'engin comporte une unité de commande du fonctionnement de ses moyens d'entraînement associée fonctionnellement au module se sécurité, ladite unité de commande étant soit programmable soit préprogrammée. 5 Selon une réalisation, l'ensemble de sécurité comporte un moyen sensoriel d'alerte, associé fonctionnellement au module se sécurité, conçu pour générer un signal d'alerte perceptible par une personne se trouvant à un poste de l'engin, comme un moyen visuel, sonore, vibratile ou analogue. 10 Selon une réalisation, l'ensemble de sécurité comporte un système d'alerte distant de l'engin et des moyens de géolocalisations de l'engin. Selon une réalisation, les moyens de transmissions entre le dispositif médical, le module de sécurité et les moyens de transmission à un opérateur sont de type sans fil, ou de type filaire. 15 Selon une réalisation, l'ensemble de sécurité comporte en outre des moyens de détection de la présence d'une personne à un poste de l'engin, associés fonctionnellement au module de sécurité. Selon les réalisations, l'engin est un véhicule terrestre - comme une automobile, un train, un tracteur, un engin de 20 manutention -, marin - comme un bateau -, aérien - comme un aéronef -, ou spatial. Selon un troisième aspect, l'invention a pour objet un dispositif médical spécialement destiné à la mise en oeuvre du procédé qui vient d'être décrit, conçu pour fonctionner en réponse à des données physiologiques de la personne équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du 25 dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, le cas échéant parmi plusieurs signaux d'alerte, le dispositif médical étant destiné à être soit implanté soit externe, à visée thérapeutique et/ou diagnostique. Selon un quatrième aspect, l'invention a pour objet un module de sécurité spécialement destiné à la mise en 30 oeuvre du procédé de sécurité qui vient d'être décrit, conçu pour recevoir des données générées par un dispositif médical et pour générer des informations en correspondance avec les données qu'il reçoit. La figure 1 - unique - est une vue purement schématique illustrant l'invention. 35 On décrit maintenant à titre d'exemple une réalisation particulière possible de l'invention. Cette réalisation n'est pas exclusive d'autres, l'homme du métier pouvant transposer et adapter les enseignements de la description de la réalisation particulière décrite à d'autres réalisations. 40 L'invention a pour objet un procédé de sécurité, un ensemble de sécurité spécialement destiné à la mise en oeuvre du procédé, un dispositif médical et un module de sécurité spécialement destinés, l'un comme l'autre, à la mise en oeuvre du procédé et, ce faisant, à faire partie de l'ensemble de sécurité. Par suite, la description en ce qu'elle porte sur le procédé de sécurité vaut pour l'ensemble de sécurité ainsi que le dispositif médical et le module de sécurité, et inversement, la description en ce qu'elle porte sur l'ensemble de sécurité, le dispositif 45 médical et le module de sécurité vaut pour le procédé de sécurité. 3061472 9 Comme indiqué, par « sécurité » il faut comprendre une situation aussi objective que possible, reposant sur des conditions d'ordre médical, qui entraîne l'absence ou la minimisation de dangers ou de menaces concernant tout à la fois la personne équipée du dispositif médical, le dispositif médical en soi, l'engin ou encore des personnes 5 ou des entités matérielles pouvant être impactées par l'engin. Il est entendu que l'invention porte sur tout moyen mentionné, en tant qu'étape opératoire ou d'entité matérielle, ainsi que tout moyen fonctionnellement équivalent. 10 II est entendu qu'il n'est pas nécessaire de décrire dans le détail tel ou tel moyen dont il est fait état, dans la mesure où l'indication de son utilité ou de sa fonction ou de l'effet qu'il procure ou de sa mise en oeuvre est suffisante pour que l'homme du métier puisse le réaliser. De façon générale, l'invention vise la sécurité concernant un engin comportant des moyens d'entraînement et au 15 moins un poste pour une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de service en vue de servir l'engin -. 20 Un tel engin peut être aussi bien un véhicule terrestre - comme une automobile, un train, un tracteur, un engin de manutention -, marin - comme un bateau -, aérien - comme un aéronef -, ou spatial, ou encore, par exemple une grue. La personne équipée peut être aussi bien le pilote de l'engin qu'un passager, selon les définitions données de 25 ces deux termes. L'engin peut n'être pas dédié à la personne équipée, laquelle peut utiliser des engins différents, pour des périodes plus ou moins espacées, ou bien ne pas avoir d'engin dédié. 30 La sécurité envisagée peut concerner une ou plusieurs personnes, une personne pouvant être équipée d'un ou de plusieurs dispositifs médicaux. Les dispositifs médicaux peuvent être implantés ou situés en externe, être à visée thérapeutique et/ou diagnostique. 35 Les dangers ou menaces visés par la sécurité objet de l'invention concernent tout à la fois la personne équipée du dispositif médical, le dispositif médical en soi, l'engin ou encore des personnes ou des entités matérielles pouvant être impactées par l'engin. 40 Le problème source de danger ou de menace peut être soit avéré et effectif soit n'être que seulement probable et à venir. La réalisation particulière décrite vise le cas spécifique d'un véhicule terrestre comme une automobile 1, le conducteur C équipé d'un dispositif médical 2. 45 3061472 10 L'automobile 1 comporte des moyens d'entraînement 3 comme un moteur 3a auquel sont associés les moyens usuels tels que des roues 3b et des organes de transmission. L'automobile 1 comporte également une unité 4 de commande du fonctionnement de ses moyens d'entraînement 3. 5 L'automobile 1 comporte au moins un poste 5 pour une personne P, dont au moins un poste de service 5a, à savoir en l'espèce un poste de conduite 5a, pour la personne servant l'automobile, à savoir le conducteur C. Un poste 5 comprend typiquement un siège 6 et les moyens usuels associés. Ainsi, le poste de conduite 5a 10 comprend un tel siège 6 et des organes de pilotage 7 comme une télécommande, un volant, des manettes, des boutions, des pédales, etc. Pour une période de déplacement de l'automobile 1, le conducteur C est associé à l'automobile en ce sens qu'il s'installe puis reste assis sur le siège 6 du poste de conduite 5a, de sorte à pouvoir manoeuvrer les organes de 15 pilotages 7. Entre les périodes de déplacement, lorsque l'automobile 1 est à l'arrêt et n'est pas utilisée, le conducteur C quitte l'automobile 1 pour d'autres occupations. Il cesse alors d'être associé à l'automobile 1, conformément au sens donné en l'espèce au terme « associé ». Eventuellement, le conducteur C reste associable à l'automobile 1 plus tard. 20 Le dispositif médical 2 est conçu pour fonctionner en réponse à des données physiologiques du conducteur C et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical 2 per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical du conducteur C. Un tel dispositif médical 2 soit est implanté soit est externe au conducteur C. Il est à visée thérapeutique et/ou 25 diagnostique. Un tel dispositif médical 2 peut être par exemple un stimulateur cardiaque, une prothèse, une pompe, un coeur artificiel, un exosquelette, cette liste n'étant pas limitative. Selon une réalisation, le dispositif médical 2 est conçu pour générer un unique signal d'alerte de dysfonctionnement du dispositif médical et/ou un unique signal d'alerte de problème concernant l'état médical du 30 conducteur C. Selon une autre réalisation, le dispositif médical 2 est conçu pour générer, en fonction de l'occurrence, un - parmi plusieurs - signal d'alerte de dysfonctionnement du dispositif médical et/ou un - parmi plusieurs - signal d'alerte de problème concernant l'état médical du conducteur C. Dans une telle réalisation, à un signal d'alerte parmi 35 plusieurs, est associé un indice du niveau d'alerte. Selon une réalisation, le signal d'alerte de problème concernant l'état médical du conducteur C correspond à un problème avéré et effectif. Selon une autre réalisation, il peut n'être que seulement probable et à venir, étant alors le plus souvent précédé de signes annonciateurs. 40 Dans une réalisation, il est prévu des moyens 8 de détection de la présence du conducteur C au poste de conduite 4a. Par exemple, de tels moyens 8 de détection de présence sont associés au siège du conducteur C. Ce faisant, le procédé de sécurité comporte une détection de la présence du conducteur C au poste de conduite 45 5a. Le procédé met en oeuvre et le système de sécurité comprend également un module de sécurité 9. 3061472 11 Le module de sécurité 9 est conçu pour être associé structurellement à l'automobile 1. 5 Dans le cas où il prévu des moyens 8 de détection de la présence du conducteur C au poste de conduite 5a, il est prévu des moyens de transmission 10 entre les moyens 8 de détection et le module de sécurité 9. Il est ainsi possible d'activer automatiquement le module de sécurité 9, outre que par l'activation par le dispositif médical 2. Selon une réalisation, le module de sécurité 9 est portatif et associé structurellement à l'automobile 1 de façon 10 amovible. On dissocie alors structurellement le module de sécurité 9 de l'automobile 1 lorsque le conducteur C n'est pas au poste de conduite 5a. Inversement, on associe structurellement le module de sécurité 9 à l'automobile 1 temporairement lorsque le conducteur C est au poste de conduite 5a. Selon une autre réalisation, le module de sécurité 9 est associé structurellement à l'automobile 1 à demeure, de 15 façon permanente. Le module de sécurité 9 est conçu pour, d'une part, recevoir des données générées par le dispositif médical 2, alors que le conducteur C est au poste de conduite 5a. 20 Le module de sécurité 9 est conçu pour, d'autre part, générer des informations en correspondance avec les données qu'il reçoit du dispositif médical 2. Il est également prévu des moyens de transmission 11 entre le dispositif médical 2 et le module de sécurité 9 et donc le procédé de sécurité comporte une étape de transmission entre le dispositif médical 2 et le module de 25 sécurité 9. L'ensemble de sécurité comporte également des moyens de cryptage de la communication entre le dispositif médical 2 et le module de sécurité 9. Cette disposition constructive permet d'éviter le piratage des données transmises et assure leur confidentialité. 30 Avec les moyens précédemment décrits, le dispositif médical 2 génère - lorsque justifié - un signal d'alerte de dysfonctionnement et/ou un signal d'alerte de problème. Et le module de sécurité 9 associé fonctionnellement au dispositif médical 2, comme exposé, génère à son tour au moins une information d'alerte en correspondance avec un signal d'alerte. 35 Le procédé de sécurité est tel que l'on transmet alors la au moins une information d'alerte à un opérateur, l'ensemble de sécurité comportant des moyens de transmission de ladite information d'alerte à l'opérateur. L'opérateur dont il est question est choisi comme étant l'un ou plusieurs de : l'unité de commande 4 du 40 fonctionnement des moyens d'entraînement 3 de l'automobile 1, le conducteur C se trouvant au poste de conduite 5a ou un passager de l'automobile 1, ou un système d'alerte 12 distant de l'automobile 1. Et l'ensemble de sécurité comprend un ou plusieurs tels opérateurs 4, Cet 12. Dans le cas où l'opérateur est l'unité de commande 4, l'unité de commande 4 est associée fonctionnellement au 45 module se sécurité 9 par des moyens de transmission 13. Par suite, on transmet l'information d'alerte à l'unité de commande 4. 3061472 12 Dans une réalisation, cette unité de commande 4 est programmable et on la programme préalablement selon un scénario ou des scenarii en fonction de la survenance d'un signal d'alerte de dysfonctionnement du dispositif médical 2 et/ou d'un signal d'alerte de problème médical du conducteur C, le cas échéant en tenant compte de 5 l'indice du niveau d'alerte dans le cas d'un signal d'alerte parmi plusieurs signaux d'alerte. Dans une autre réalisation, cette unité de commande 4 est préprogrammée selon un tel scénario ou de tels scenarii. 10 Dans le cas où l'opérateur est le conducteur C se trouvant au poste de conduite 5a ou un passager de l'automobile 1, l'ensemble comporte un moyen sensoriel d'alerte 14, associé fonctionnellement au module se sécurité 9 par des moyens de transmissions 15. Un tel moyen sensoriel d'alerte 14 est conçu pour générer un signal d'alerte perceptible par une personne se trouvant à un poste 4 de l'automobile 1, notamment le conducteur C. Il peut s'agir par exemple d'un moyen visuel, sonore, vibratile ou plus généralement de tout autre moyen 15 analogue. Le procédé se sécurité est alors tel que, moyennant le moyen sensoriel d'alerte 14, on génère un signal d'alerte perceptible par la personne dont il a été question. Dans le cas où l'opérateur est un système d'alerte distant 12 distant de l'automobile, l'ensemble de sécurité comporte un tel système d'alerte 12. Un tel système d'alerte 12 est associé fonctionnellement au module se sécurité 9 par des moyens de transmissions 16. Un tel système d'alerte 12 est conçu de sorte à ce que lui soit transmis à distance l'information d'alerte. De plus, le module de sécurité est agencé de sorte à pouvoir générer directement une donnée de géolocalisation de l'automobile 1 et à la transmettre à distance au système d'alerte 12. Un tel système d'alerte 12 peut être distant de façon plus ou moins grande de l'automobile 1, par exemple de plusieurs kilomètres ou dizaines de kilomètres. Un tel système d'alerte 12 peut être par exemple un centre de secours comprenant des cartes, des moyens de 30 diagnostic et le cas échéant du personnel de secours. Ainsi, en cas de danger ou menace correspondant à un signal d'alerte, un tel centre de secours peut agir pour retrouver l'automobile et secourir le conducteur C. Dans une réalisation, le dispositif médical 2 et le module de sécurité 9 sont tels que la transmission entre le dispositif médical 2 et le module de sécurité 9 s'établit automatiquement, du seul fait de la présence du 35 conducteur sur le siège du poste de conduite 6, grâce aux moyens de détection 8. Le module de sécurité 9 peut aussi être activé à la suite de la réception d'un signal du dispositif médical 2. Ainsi, en régime courant, le procédé et le système sont tels qu'il n'est pas nécessaire de prévoir une opération 40 d'appariement ou le transfert d'un identificateur unique. Toutefois, le cas échéant il est procédé à un contrôle de la cohérence entre le dispositif médical 2 du conducteur C et le dispositif médical tel que perçu par le module de sécurité 9, le module de sécurité 9 étant conçu avec un moyen de contrôle de cette cohérence. 20 25 45 3061472 13 Dans une réalisation, le dispositif médical 2 et le module de sécurité 9 sont tels que le module de sécurité 9 ne reçoit pas ou ne stocke pas les données physiologiques du conducteur C équipé du dispositif médical 2, ce qui assure la confidentialité de ces données. Ainsi, le module de sécurité 9 est conçu sans mémoire ou sans mémoire durable pour, d'une part, traiter les données physiologiques du conducteur C, ou pour un identificateur unique destiné à une opération d'appariement, d'autre part, un quelconque signal d'alerte de dysfonctionnement du dispositif médical per se ou un signal d'alerte de problème concernant l'état médical du conducteur C. Selon les réalisations, les moyens de transmissions10, 11, 13 et 15 sont de type sans fil, ou de type filaire. Le cas échéant, ces moyens de transmissions sont compatibles avec un protocole ou une norme concernant les transmissions dans le domaine médical. 5 10 15 20 REVENDICATIONS1. Procédé de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de service en vue de servir l'engin -, dans lequel : on dispose d'un dispositif médical conçu pour fonctionner en réponse à des données physiologiques de la personne équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, on dispose d'un module de sécurité conçu pour être associé structurellement à l'engin, pour recevoir des données générées par le dispositif médical alors que la personne équipée est associée à l'engin, et pour générer des informations en correspondance avec les données qu'il reçoit, alors que la personne équipée est associée à l'engin et qu'à l'engin est associé le module de sécurité, une communication cryptée est établie entre le dispositif médical et le module de sécurité, de sorte que le dispositif médical génère - lorsque justifié - un signal d'alerte de dysfonctionnement et/ou un signal d'alerte de problème médical effectif ou déductif et que le module de sécurité génère au moins une information d'alerte en correspondance avec un signal d'alerte, on transmet la au moins une information d'alerte à un opérateur. 2. Procédé de sécurité selon la revendication 1, dans lequel on dispose d'un dispositif médical conçu pour générer, en fonction de l'occurrence, le - parmi plusieurs - signal d'alerte de dysfonctionnement du dispositif médical et/ou le - parmi plusieurs - signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, et dans lequel, à un signal d'alerte parmi plusieurs, est associé un indice du niveau d'alerte. 3. Procédé de sécurité selon l'une des revendications 1 et 2, dans lequel on dispose d'un dispositif médical à visée thérapeutique et/ou diagnostique qui soit est implanté soit est externe à la personne équipée. 4. Procédé de sécurité selon l'une des revendications 1 à 3, dans lequel soit la personne équipée occupe un poste de service de l'engin soit on dispose d'un engin comportant au moins un poste autre que de service, et dans lequel la personne équipée occupe un poste autre que de service. 5. Procédé de sécurité selon l'une des revendications 1 à 4, dans lequel on dispose d'un dispositif médical et d'un module de sécurité tels que le module de sécurité ne reçoit pas ou ne stocke pas les données physiologiques de la personne équipée. 6. Procédé de sécurité selon l'une des revendications 1 à 5, dans lequel on dispose d'un dispositif médical et d'un module de sécurité tels que la transmission entre le dispositif médical et le module de sécurité s'établit automatiquement, du seul fait de la présence de la personne équipée à un poste de l'engin et, le cas échéant, de l'activation du module de sécurité. 7. Procédé de sécurité selon l'une des revendications 1 à 6, dans lequel on dispose d'un dispositif médical et d'un module de sécurité tels que la transmission entre le dispositif médical et le module de sécurité s'établit automatiquement, le cas échéant sans la nécessité d'une opération d'appariement ou le transfert d'un 3061472 15 identificateur unique, le cas échéant moyennant un contrôle de la cohérence entre le dispositif médical de la personne équipée et le dispositif médical tel que perçu par le module de sécurité. 5 8. Procédé de sécurité selon l'une des revendications 1 à 7, dans lequel on dispose d'un module de sécurité conçu sans mémoire ou sans mémoire durable pour traiter, d'une part, les données physiologiques de la personne équipée, ou pour un identificateur unique destiné à une opération d'appariement, d'autre part, un quelconque signal d'alerte de dysfonctionnement du dispositif médical per se ou un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée. 10 9. Procédé de sécurité selon l'une des revendications 1 à 8, dans lequel on dispose soit d'un module de sécurité portatif, associé structurellement à l'engin de façon amovible et que l'on dissocie structurellement le module de sécurité de l'engin lorsque la personne équipée n'est pas à un poste de l'engin et que l'on associe structurellement à l'engin temporairement lorsque la personne équipée est à un poste de l'engin, soit d'un module 15 de sécurité associé structurellement à l'engin à demeure, de façon permanente. 10. Procédé de sécurité selon l'une des revendications 1 à 9, dans lequel on transmet la au moins une information d'alerte à un opérateur étant choisi comme étant l'un ou plusieurs de : une unité de commande du fonctionnement des moyens d'entraînement de l'engin, une personne se trouvant à un poste de l'engin, un 20 système d'alerte distant de l'engin. 11. Procédé de sécurité selon la revendication 10, dans lequel on dispose d'un engin comportant une unité de commande du fonctionnement de ses moyens d'entraînement associée fonctionnellement au module de sécurité, on transmet la au moins une information d'alerte à l'unité de commande, et on programme l'unité de commande 25 de sorte qu'elle commande les moyens d'entraînement en fonction de la survenance d'un signal d'alerte de dysfonctionnement du dispositif médical et/ou d'un signal d'alerte de problème médical effectif ou déductif et de l'indice du niveau d'alerte dans le cas d'un signal d'alerte parmi plusieurs. 12. Procédé de sécurité selon la revendication 11, dans lequel on dispose d'une unité de commande qui soit est 30 programmable et que l'on programme préalablement selon un scénario ou des scenarii fonction du signal d'alerte soit est préprogrammée selon un scénario ou des scenarii fonction du signal d'alerte. 13. Procédé de sécurité selon la revendication 11, dans lequel on dispose d'un moyen sensoriel d'alerte, associé fonctionnellement au module se sécurité, conçu pour générer un signal d'alerte perceptible par une personne se 35 trouvant à un poste de l'engin, comme un moyen visuel, sonore, vibratile ou analogue. 14. Procédé de sécurité selon la revendication 11, dans lequel on dispose d'un système d'alerte distant de l'engin, on transmet à distance au système d'alerte la au moins une information d'alerte, on génère une donnée de géolocalisation de l'engin et on transmet à distance au système d'alerte la donnée de géolocalisation. 40 15. Procédé de sécurité selon l'une des revendications 1 à 14, dans lequel on détecte la présence d'une personne à un poste de l'engin. 16. Ensemble de sécurité concernant un engin comportant des moyens d'entraînement et au moins un poste pour 45 une personne, dont au moins un poste de service pour une personne servant l'engin - notamment le commandant -, et au moins une personne équipée d'au moins un dispositif médical, l'engin étant conçu pour qu'au moins une personne équipée lui soit associé en se trouvant à un poste de l'engin - notamment au poste de 16 3061472 service en vue de servir l'engin -, pour la mise en oeuvre du procédé selon l'une des revendications 1 à 15, tel que : le dispositif médical est conçu pour fonctionner en réponse à des données physiologiques de la personne 5 équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, il comporte un module de sécurité conçu pour être associé structurellement à l'engin, pour recevoir des données générées par le dispositif médical alors que la personne équipée est associée à l'engin, et pour 10 générer des informations en correspondance avec les données qu'il reçoit, de sorte que le dispositif médical génère - lorsque justifié - un signal d'alerte de dysfonctionnement et/ou un signal d'alerte de problème médical effectif ou déductif et que le module de sécurité génère au moins une information d'alerte en correspondance avec un signal d'alerte, il comporte des moyens de cryptage de la communication entre le dispositif médical et le module de sécurité, 15 il comporte des moyens de transmission de la au moins une information d'alerte à un opérateur. 17. Ensemble de sécurité selon la revendication 16, dans lequel le dispositif médical est conçu pour générer, en fonction de l'occurrence, le - parmi plusieurs - signal d'alerte de dysfonctionnement du dispositif médical et/ou le - parmi plusieurs - signal d'alerte de problème effectif ou déductif concernant l'état médical de la 20 personne équipée, et dans lequel, à un signal d'alerte parmi plusieurs, est associé un indice du niveau d'alerte. 18. Ensemble de sécurité selon l'une des revendications 16 et 17, dans lequel le module de sécurité est conçu sans mémoire ou sans mémoire durable pour traiter, d'une part, les données physiologiques de la personne équipée, d'autre part, un quelconque signal d'alerte de dysfonctionnement du dispositif médical per se ou un 25 signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée. 19. Ensemble de sécurité selon l'une des revendications 16 à 18, dans lequel le module de sécurité est conçu sans mémoire ou sans mémoire durable pour un identificateur unique et/ou conçu avec un moyen de contrôle de la cohérence entre le dispositif médical de la personne équipée et le dispositif médical tel que perçu par le 30 module de sécurité. 20. Ensemble de sécurité selon l'une des revendications 16 à 19, dans lequel soit le module de sécurité est portatif, associé structurellement à l'engin de façon amovible soit associé structurellement à l'engin à demeure, de façon permanente. 35 21. Ensemble selon l'une des revendications 16 à 20, qui comprend un opérateur choisi comme étant l'un ou plusieurs de : une unité de commande du fonctionnement des moyens d'entraînement de l'engin, une personne se trouvant à un poste de l'engin, un système d'alerte distant de l'engin. 40 22. Ensemble de sécurité selon la revendication 21, dans lequel l'engin comporte une unité de commande du fonctionnement de ses moyens d'entraînement associée fonctionnellement au module se sécurité, ladite unité de commande étant soit programmable soit préprogrammée. 23. Ensemble selon la revendication 21, qui comporte un moyen sensoriel d'alerte, associé fonctionnellement 45 au module se sécurité, conçu pour générer un signal d'alerte perceptible par une personne se trouvant à un poste de l'engin, comme un moyen visuel, sonore, vibratile ou analogue. 3061472 17 24. Ensemble de sécurité selon la revendication 21, qui comporte un système d'alerte distant de l'engin et des moyens de géolocalisations de l'engin. 5 25. Ensemble de sécurité selon l'une des revendications 16 à 24, dans lequel les moyens de transmissions entre le dispositif médical et le module de sécurité et les moyens de transmission à un opérateur sont de type sans fil, ou de type filaire. 26. Ensemble de sécurité selon l'une des revendications 16 à 25, qui comporte en outre des moyens de détection 10 de la présence d'une personne à un poste de l'engin, associés fonctionnellement au module de sécurité. 27. Ensemble de sécurité selon l'une des revendications 16 à 26, dans lequel l'engin est un véhicule terrestre comme une automobile, un train, un tracteur, un engin de manutention -, marin - comme un bateau -, aérien comme un aéronef -, ou spatial. 15 28. Dispositif médical spécialement destiné à la mise en oeuvre du procédé de sécurité selon l'une des revendications 1 à 15, conçu pour fonctionner en réponse à des données physiologiques de la personne équipée et pour générer, lorsque l'occurrence se présente, un signal d'alerte de dysfonctionnement du dispositif médical per se et un signal d'alerte de problème effectif ou déductif concernant l'état médical de la personne équipée, le 20 cas échéant parmi plusieurs signaux d'alerte, le dispositif médical étant destiné à être soit implanté soit externe, à visée thérapeutique et/ou diagnostique. 29. Module de sécurité spécialement destiné à la mise en oeuvre du procédé de sécurité selon l'une des revendications 1 à 15, conçu pour recevoir des données générées par un dispositif médical et pour générer des 25 informations en correspondance avec les données qu'il reçoit.