FR 3058378 A1 20180511 FR 1601497 A 20161014 1 PROCEDE D'ELABORATION D'UNE CONSIGNE DE SUPERVISION DE PILOTAGE D'UN ORGANE DE CONDUITE D'UN VEHICULE AUTOMOBILE DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne de manière générale les aides à la conduite de véhicules automobiles. Elle concerne plus particulièrement un procédé d'élaboration d'une consigne de supervision de pilotage d'un organe de conduite d'un véhicule automobile, cet organe pouvant par exemple être le système de direction, le 10 système de freinage, ou le moteur. L'invention concerne également un système de pilotage d'un organe de conduite d'un véhicule automobile, comprenant : - un calculateur principal adapté à calculer une première consigne préliminaire de pilotage dudit organe de conduite, 15 - un calculateur auxiliaire adapté à calculer une autre consigne préliminaire de pilotage du organe de conduite, et - un relais adapté à communiquer audit organe de conduite l'une ou l'autre des deux consignes préliminaire de pilotage. L'invention s'applique plus particulièrement aux véhicules dotés d'un 20 mode de conduite autonome. ARRIERE-PLAN TECHNOLOGIQUE Pour faciliter et rendre plus sûre la conduite d'un véhicule automobile, il est connu d'équiper ce dernier de systèmes d'aide à la conduite. Il peut s'agir de systèmes permettant une conduite autonome du véhicule (sans intervention 25 humaine), ou de systèmes permettant une conduite partiellement autonome du véhicule (typiquement de systèmes adaptés à prendre momentanément le contrôle du véhicule par exemple pour opérer un freinage d'urgence ou pour replacer le véhicule au centre de sa voie de circulation). Pour permettre à ces systèmes d'appréhender l'environnement autour du 30 véhicule, on place sur ce dernier de nombreux capteurs tels que des caméras, des capteurs RADAR, LIDAR, SONAR... Chaque capteur présente ses qualités et ses défauts. Afin de réduire au mieux les erreurs de détection de l'environnement, il est alors connu de pratiquer de la « fusion de données », c'est-à-dire de prendre 3058378 2 en compte les données émises par différents capteurs pour en déduire une seule et même donnée d'environnement. Ainsi est-il possible de tirer parti des qualités de chaque capteur. Malheureusement, même ainsi, il arrive encore que le calculateur 5 commette des erreurs, c'est-à-dire qu'il se méprenne sur une situation. A titre d'exemple, il peut considérer à tort un objet anodin comme un obstacle dangereux et donc commander un freinage d'urgence inutile et risqué pour les véhicules qui le suivent. On cherche alors à réduire ces erreurs. OBJET DE L'INVENTION La présente invention propose un nouveau procédé et un nouveau système répondant à un niveau ASIL D tel que défini par la norme IS026262. Plus particulièrement, on propose selon l'invention un procédé tel que défini dans l'introduction, comprenant des étapes de - calcul par le calculateur principal d'une première consigne préliminaire de pilotage dudit organe de conduite, au moyen d'un premier algorithme, compte tenu de signaux émis par une première partie au moins des capteurs, - calcul par le calculateur principal d'une seconde consigne préliminaire de pilotage dudit organe de conduite, au moyen d'un second algorithme distinct du 20 premier algorithme, compte tenu de signaux émis par une seconde partie au moins des capteurs, - calcul par le calculateur auxiliaire d'une troisième consigne préliminaire de pilotage dudit organe de conduite, au moyen d'un troisième algorithme distinct des premier et second algorithmes, compte tenu de signaux émis par une 25 troisième partie au moins des capteurs, - comparaison des première et seconde consignes préliminaires de pilotage, et déduction d'un premier avis quant à la présence d'une erreur de calcul, - détermination de la présence ou de l'absence de danger dans un 30 espace de sécurité autour du véhicule automobile, compte tenu de signaux émis par une partie au moins des capteurs, et déduction d'un second avis quant à la présence d'une erreur de calcul, - confrontation des premier et second avis, et pilotage dudit organe de conduite par le calculateur principal ou par le calculateur auxiliaire en fonction du 3058378 3 résultat de la confrontation. Les première et seconde consignes préliminaires de pilotage sont ainsi comparées. Si elles ne diffèrent pas trop (ou sont conformes), on en conclue que le risque qu'une erreur de calcul ait été commise par le calculateur principal est 5 faible. Cette comparaison offre donc un premier mode de détection d'erreur, par redondance des calculs. L'espace de sécurité autour du véhicule automobile (ou « cocon ») est utilisé pour déterminer si un danger se présente. Tant qu'aucun danger n'est détecté, on en conclue que le risque qu'une erreur de calcul ait été commise par le 10 calculateur principal est faible (ou si erreur il y a, que cette erreur n'est pas préjudiciable à la sécurité du véhicule). Le cocon offre donc un autre mode de détection d'erreurs. La confrontation des données issues de ces deux modes de détection d'erreurs (afin de choisir l'un ou l'autre des calculateurs pour piloter le véhicule) 15 permet alors de minimiser encore les erreurs de pilotage du véhicule. Cette confrontation offre en outre un avantage substantiel, qui sera mieux compris à la lecture de la suite de cet exposé, et qui consiste, lorsqu'il y a un doute contrôlé quant à la présence d'une erreur de calcul, à privilégier le calculateur principal pour piloter le véhicule afin de profiter la plupart du temps des fonctions offertes par ce calculateur principal (le calculateur auxiliaire, dit de secours, présente moins de possibilités). D'autres caractéristiques avantageuses et non limitatives du procédé conforme à l'invention sont les suivantes : - chaque algorithme comporte une première opération de fusion des 25 signaux reçus des capteurs pour déterminer au moins une donnée relative à l'environnement autour du véhicule automobile, et une seconde opération de calcul de la consigne préliminaire de pilotage en fonction de ladite au moins une donnée ; - lorsque l'organe de conduite est piloté par le calculateur principal, il est 30 piloté selon la première consigne préliminaire de pilotage, et le second avis est élaboré en fonction de ladite au moins une donnée relative à l'environnement qui est déterminée par la première opération du second algorithme ; - à l'étape de détermination, ledit espace de sécurité autour du véhicule automobile est déterminé en fonction de la dynamique du véhicule automobile 3058378 4 (vitesse, direction, accélération longitudinale, accélération latérale, ...) ; - à l'étape de détermination, si un danger est détecté, la présence ou l'absence de danger dans ledit espace de sécurité est déterminé en fonction de la dynamique dudit danger ; 5 - à l'étape de confrontation, si les premier et second avis sont identiques et ne détectent aucune erreur de calcul, ledit organe de conduite est piloté par le calculateur principal, si les premier et second avis sont identiques et détectent une erreur de calcul, ledit organe de conduite est piloté par le calculateur auxiliaire, et si les premier et second avis divergent, ledit organe de conduite est piloté par le 10 calculateur principal ou par le calculateur auxiliaire, compte tenu d'un ensemble de lois de pilotage prédéterminées ; - pour calculer la troisième consigne préliminaire de pilotage, le calculateur auxiliaire utilise les signaux émis par un nombre de capteurs qui est plus faible que le nombre de capteurs utilisés par le calculateur principal pour 15 calculer la première consigne préliminaire de pilotage ; et - les étapes de comparaison, de détermination et de confrontation sont mises en oeuvre par le calculateur principal. L'invention propose également un système de pilotage tel que défini en introduction, qui est adapté à mettre en oeuvre un procédé d'élaboration tel que 20 précité. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION La description qui va suivre en regard des dessins annexés, donné à titre d'exemple non limitatif, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés, la figure 1 est un schéma illustrant un système de pilotage conforme à l'invention, et la figure 2 un véhicule équipé d'un tel système de pilotage. L'invention porte sur un véhicule automobile équipé d'un système de pilotage permettant une conduite autonome du véhicule, sans intervention 30 humaine. Elle porte plus précisément sur un système de pilotage d'au moins un organe de conduite 71. Dans l'exemple représenté seul un organe de conduite 71 est considéré, mais un nombre plus élevé d'organes de conduite 71 pourra être piloté de la 3058378 5 même manière. Cet organe de conduite 71 pourra par exemple être formé par le moteur du véhicule, ou par le dispositif de direction. Dans la suite de cet exposé, on considérera plutôt que l'organe de conduite 71 est constitué par le système de 5 freinage du véhicule. Le système de pilotage représenté sur une partie de la figure 1 est alors connecté, en sortie, à cet organe de conduite 71 de telle manière qu'il peut lui transmettre une consigne de pilotage C4. Dans la suite de cet exposé, on considérera que cette consigne de pilotage pourra être formée par une consigne 10 de réduction de vitesse à imposer au véhicule automobile dans une durée prédéterminée. Afin de pouvoir élaborer cette consigne de pilotage C4, le système de pilotage est connecté, en entrée, à plusieurs capteurs 11, 12, 13, 14. Il peut s'agir de tout type de capteur. A titre d'exemple; le véhicule 15 automobile pourra être équipé de quatre caméras respectivement orientées vers les quatre côtés du véhicule. Il pourra également comporter des capteurs RADAR et/ou LIDAR et/ou SONAR, orientés dans différentes directions de l'espace. Chaque capteur présente ses qualités et ses défauts. A titre d'exemple, une caméra permettra une meilleure détection d'obstacle à courte portée tandis 20 qu'un capteur RADAR permettra une meilleure détection d'obstacle à longue portée. La consigne de pilotage C4 transmise à l'organe de conduite 71 sera donc élaborée en fonction des signaux reçus de plusieurs capteurs 11, 12, 13, 14, en fusionnant les données fournies par ces signaux. 25 Par « fusion de données », on entend une méthode mathématique qui est appliquée à plusieurs données issues de capteurs hétérogènes et qui permet de créer ou affiner une donnée relative à l'environnement autour du véhicule automobile. A titre d'exemple, on peut fusionner les données issues des images 30 acquises par la caméra frontale avec les données issues des autres capteurs orientés vers l'avant du véhicule, afin de détecter un éventuel obstacle et de déterminer sa position exacte. Ici, comme le montre la figure 1, pour élaborer la consigne de pilotage C4, le système de pilotage comprend deux calculateurs connectés aux capteurs 3058378 6 11, 12, 13, 14 (un calculateur principal 1 et un calculateur auxiliaire 2) et un relais 61 connecté aux deux calculateurs (et qui répond à un niveau ASIL-D). Ici, et de manière préférentielle, le calculateur principal 1 est plus fiable que le calculateur auxiliaire 2. Il répond à un niveau ASIL-D alors que le 5 calculateur auxiliaire 2 répond ici seulement à un niveau ASIL-B. Il est également plus puissant que ce dernier. Le calculateur auxiliaire 2 est donc moins onéreux et est ici conçu pour réaliser des opérations plus simples que celles opérées par le calculateur principal 1. Dans la pratique, le calculateur principal 1 est conçu pour réaliser des 10 opérations complexes permettant au véhicule automobile d'évoluer de manière autonome sur une durée prolongée, sans intervention aucune du conducteur. Le calculateur auxiliaire 2 est quant à lui seulement conçu pour réaliser des opérations simples permettant au véhicule automobile d'évoluer de manière autonome pendant une durée réduite (ici inférieure à 10 secondes), afin de laisser 15 le temps au conducteur de reprendre la main et/ou afin de réaliser un freinage d'urgence. Tandis que le calculateur principal 1 prend en compte les données issues de capteurs de toutes catégories, le capteur secondaire 2 prend en compte les données issues d'un nombre plus restreint de capteurs, qui sont tous issus de 20 la première catégorie (les capteurs fiables et éprouvés). La manière selon laquelle la consigne de pilotage C4 de l'organe de conduite 71 est élaborée peut maintenant être décrite en détail. Au cours d'une première étape, le calculateur principal 1 calcule une première consigne préliminaire de pilotage Cl de l'organe de conduite 71, au 25 moyen d'un premier algorithme. Il considère pour cela les signaux émis par un premier ensemble de capteurs 11, 12, 13, 14. Au cours de cette première étape, le calculateur principal 1 calcule également une seconde consigne préliminaire de pilotage C2 de l'organe de conduite 71, au moyen d'un second algorithme qui est distinct du premier algorithme. Il considère pour cela les signaux émis par un second ensemble de capteurs 11, 12, 13, 14. Enfin, au cours de cette première étape, le calculateur auxiliaire 2 calcule une troisième consigne préliminaire de pilotage C3 de l'organe de conduite 71, au moyen d'un troisième algorithme qui est distinct des premier et second 3058378 7 algorithmes. Il considère pour cela les signaux émis par un troisième ensemble de capteurs 11, 12, 13, 14. Si les trois algorithmes sont différents, ils sont en revanche tous trois séquencés en deux opérations successives. 5 Ainsi, chaque algorithme met en oeuvre une première opération 21, 22, 24 de fusion des signaux reçus des capteurs 11, 12, 13, 14 considérés. Cette première opération permet de déterminer au moins une donnée relative à l'environnement autour du véhicule automobile. Il peut par exemple s'agir d'une distance à un obstacle, d'une direction d'obstacle, d'une position de voie de 10 circulation, ... Chaque algorithme met ensuite en oeuvre une seconde opération 31, 32, 34 de calcul de la consigne préliminaire de pilotage C1, C2, C3 en fonction de chaque donnée issue de la première opération 21, 22, 24. Ces deux opérations étant bien connues de l'homme du métier, elles ne 15 seront pas ici décrites en détail. On pourra seulement préciser qu'à titre d'exemple, les algorithmes pourront respectivement utiliser une logique statistique, une logique floue, et une logique de Dempster-Shafer (théorie des évidences). On pourra également préciser que les premier, second et troisième 20 ensemble de capteurs pourront être identiques, disjoints ou sécants. De manière préférentielle, le troisième ensemble de capteurs sera le plus réduit. Les premier et second ensembles de capteurs seront de préférence sécants. A l'issue de cette étape, trois consignes préliminaires de pilotage Cl, C2, C3 ont été calculées. 25 On pourra noter à ce stade que seules deux d'entre elles seront susceptibles d'être utilisées pour piloter l'organe de conduite 71 (en l'espèce les première et troisième consignes préliminaires de pilotage C1, C3). La seconde consigne préliminaire de pilotage C2 sera quant à elle uniquement utilisée afin de déterminer si une erreur de calcul a été commise. 30 En effet, l'objectif majeur de l'invention est de vérifier que le calculateur principal n'a pas commis d'erreur majeure et que la première consigne de pilotage Cl peut être utilisée. Dans le cas contraire, la troisième consigne de pilotage C3 sera utilisée, ce qui impliquera un mode de fonctionnement dégradé de la conduite du véhicule, ce que l'on souhaite éviter au maximum. 3058378 8 Pour détecter une telle erreur, au cours d'une seconde étape, un comparateur 41 compare les première et seconde consignes préliminaires de pilotage Cl, C2. Les premier et second algorithmes sont en effet redondants en ce sens 5 qu'ils sont prévus pour fournir des résultats de même nature (consigne de freinage, ...) et qu'en l'absence d'erreur de calcul, ils sont sensés fournir des résultats proches ou identiques. A ce stade, on observera d'ailleurs que le choix qui a été fait est de comparer les résultats finaux fournis par les algorithmes (à savoir les consignes 10 de pilotage), et non les résultats intermédiaires (à savoir les données relatives à l'environnement du véhicule) puisque ces résultats intermédiaires sont plus difficilement comparables (ils ne sont pas nécessairement de même nature et de même dynamique - l'un des signaux est obtenu en boucle fermé alors que l'autre est obtenu en boucle ouverte comme cela sera bien décrit dans la suite). Surtout, 15 si on comparait les résultats intermédiaires, on ne couvrirait pas les erreurs effectuées par les secondes opérations 31, 32. En pratique, la seconde étape peut par exemple consister à comparer la différence entre les première et seconde consignes préliminaires de pilotage Cl, C2 avec un seuil prédéterminé. 20 Si la différence est inférieure au seuil prédéterminé, ce qui signifie qu'a priori aucune erreur de calcul n'a été constatée, le comparateur 41 peut émettre un premier avis Al qui est que le calculateur principal 1 est apte à piloter l'organe de conduite 71 de manière sûre. En revanche, si la différence est supérieure au seuil prédéterminé, ce qui 25 signifie qu'a priori, une erreur de calcul a été constatée, le comparateur 41 peut émettre un premier avis Al qui est que le calculateur principal 1 n'est pas apte à piloter l'organe de conduite 71 de manière sûre. Ce premier avis Al pourra être une variable dans un intervalle [0, 1] (i.e. la valeur 0 étant affectée au premier avis Al lorsque la réponse est identique, et la 30 valeur 1 étant affectée sinon). La seconde étape telle qu'elle a été exposée pourra toutefois être complexifiée en vue de fiabiliser le calcul du premier avis Al. Ainsi pourrait-on par exemple considérer non pas uniquement les dernières valeurs des première et seconde consignes préliminaires de pilotage Cl, C2, mais au contraire plusieurs 3058378 9 des dernières valeurs de ces consignes préliminaires de pilotage Cl, C2 (on parle de « fenêtre glissante ») afin de les comparer via une analyse statistique. Au cours troisième étape concomitante avec la seconde étape, le calculateur principal 1 détermine un espace de sécurité autour du véhicule 5 automobile. La fonction du calculateur principal 1 qui opère cette troisième étape sera ci-après appelée contrôleur 33. Cet espace de sécurité, ci-après appelé « cocon », est déterminé en fonction de la dynamique du véhicule automobile (vitesse, direction, accélération...). Il s'agit en pratique d'un espace dans lequel le véhicule est 10 susceptible d'entrer au cours d'une durée D déterminée. Ce cocon englobe donc le véhicule ainsi que, en général, une partie de la route située à l'avant du véhicule. La durée D considérée pour définir ce cocon peut varier en fonction de la dynamique du véhicule, notamment en fonction de la vitesse du véhicule. 15 La zone dans laquelle s'étend ce cocon peut également varier en fonction de la dynamique du véhicule, notamment en fonction de l'angle de braquage des roues directrices du véhicule. Une fois ce cocon défini, le calculateur principal 1 détermine si un quelconque danger est situé dans le cocon ou risque d'y entrer. 20 Il commence pour cela par acquérir les positions des éventuels dangers, en lisant le résultat de l'opération de fusion réalisée par le second algorithme. A ce stade, on peut noter qu'on utilise les résultats du second algorithme pour identifier les obstacles et non ceux du premier algorithme pour la raison suivante. Le premier algorithme génère la première consigne préalable de pilotage 25 C1, laquelle est généralement utilisée pour piloter l'organe de conduite 71. Ainsi, cette première consigne préalable de pilotage Cl est élaborée en boucle fermée puisque le véhicule réagit en fonction de cette consigne et que cette consigne est déterminée en fonction des résultats des capteurs, lesquels résultats varient en fonction des réactions du véhicule. Il n'en va pas de même avec la seconde 30 consigne préalable de pilotage C2 qui n'est jamais utilisée pour piloter l'organe de conduite 71. Cette seconde consigne est donc déterminée en boucle ouverte et n'est donc pas affectée par un fonctionnement en boucle fermée. On peut également noter que les dangers considérés peuvent être des obstacles ou des contraintes. 3058378 10 Les « obstacles » sont définis comme des objets potentiellement dangereux pour le véhicule (un autre véhicule, un équipement routier, un élément de végétation, ...). Les « contraintes » sont quant à elles définies comme un potentiel 5 danger pour le véhicule. Il peut par exemple s'agir d'une ligne continue entre deux voies de circulation, d'une ligne de marquage de stop, d'un panneau « Stop », Une fois les obstacles et contraintes identifiés, le calculateur principal 1 détermine si un obstacle ou une contrainte est situé dans le cocon ou risque d'y entrer, compte tenu de sa dynamique. 10 Si aucun danger n'est détecté, ce qui signifie qu'a priori aucune erreur de calcul n'a été constatée, le contrôleur 33 peut émettre un second avis A2 qui est que le calculateur principal 1 est apte à piloter l'organe de conduite 71 sans danger. En revanche, si un danger est détecté, ce qui signifie qu'une erreur de 15 calcul a peut-être eu lieu, le contrôleur 33 peut émettre un second avis A2 qui est que le calculateur principal 1 n'est pas apte à piloter l'organe de conduite 71. Ce second avis A2 pourra être représenté sous forme d'une variable codée dans un intervalle [0, 1], la valeur 0 étant affectée au second avis A2 lorsqu'aucune erreur de calcul n'a été constatée et la valeur 1 lui étant affectée 20 sinon. Lors d'une quatrième étape, le calculateur principal 1 confronte les premier et second avis A1, A2, afin de vérifier si une erreur potentiellement dangereuse a effectivement été commise par le calculateur principal 1, de manière à en déduire par quel calculateur l'organe de conduite 71 doit être commandé. La 25 fonction du calculateur principal 1 qui opère cette quatrième étape sera ci-après appelée superviseur 51. Cette confrontation ne consiste pas en une simple comparaison des deux avis Al, A2. Elle est au contraire régie par des lois permettant de privilégier l'autonomie de la conduite du véhicule automobile tout en assurant à ce véhicule 30 automobile une grande sécurité. Plus précisément, cette confrontation est réalisée de la manière suivante : - si Al = A2 = 0, ce qui signifie qu'aucune erreur de calcul n'a été commise, le superviseur 51 envoie au relais 61 l'ordre de considérer la première 3058378 11 consigne préalable de pilotage Cl afin de commander l'organe de conduite 71, - si Al = A2 = 1, ce qui signifie qu'une erreur de calcul a très probablement été commise, le superviseur 51 envoie au relais 61 l'ordre de considérer la troisième consigne préalable de pilotage C3 afin de commander l'organe de conduite 71, - si Al # A2, ce qui signifie qu'une erreur de calcul a peut-être été commise, on utilise les lois de commande précitées afin de déterminer laquelle des deux consignes préalables de pilotage Cl, C3 doit être utilisée. La levée d'une décision indéterminée (Al #A2) est réalisée par un 10 algorithme dit de consensus. Pour ce faire, on associe à chacune des décisions Al et A2 une mémoire. Cette mémoire est alimentée par la sortie des blocs Al et A2 et par un terme supplémentaire dont l'objectif est d'influencer la mémoire de Al par la mémoire de A2 et inversement. Par exemple si la mémoire de Al est légèrement au-dessus du seuil qui impliquerait une décision de passage sur le 15 calculateur auxiliaire (car cela fait quelque temps que la sortie de Al mentionne un problème) mais si la mémoire de A2 est certaine qu'il faut continuer de rester sur le calculateur principal (car cela fait quelque temps que la sortie de A2 indique qu'il n'y a pas de problème) alors la mémoire liée à Al va passer en dessous du seuil qui impliquerait un passage au calculateur auxiliaire. 20 L'objectif de ces lois de commande est de permettre d'utiliser prioritairement le calculateur principal 1, afin d'éviter de rentrer dans un mode dégradé (demandant au conducteur de reprendre le contrôle du véhicule). Ainsi, si Al # A2, on tente de déterminer qui du comparateur 41 ou du contrôleur 33 a raison, afin de ne pas basculer nécessairement dans un mode 25 dégradé. Autrement formulé, si la différence calculée par le comparateur 41 est seulement très légèrement supérieure au seuil qui a été fixé, mais que le contrôleur 33 indique avec un haut niveau de confiance qu'aucun danger ne se présente, on peut choisir de piloter l'organe de conduite 71 avec le calculateur 30 principal 1 puisqu'on peut considérer que dans cette situation, le calculateur principal 1 ne commet probablement pas d'erreur ou que si il en commet une, celle-ci reste restreinte et sans danger. On peut maintenant considérer quelques exemples d'application relativement simples pour bien illustrer le fonctionnement de l'invention. 3058378 12 Dans un premier exemple, on peut considérer que : - l'opération de fusion 21 du premier algorithme relève la présence d'un obstacle à 10 mètres, si bien que la première consigne préliminaire de pilotage Cl demande une réduction de la vitesse du véhicule de 20 km/h dans la prochaine 5 seconde, et que - l'opération de fusion 22 du second algorithme relève la présence d'un obstacle à 30 mètres, si bien que (i) la seconde consigne préliminaire de pilotage C2 demande une réduction de la vitesse du véhicule de 5 km/h dans la prochaine seconde et que (ii) le contrôleur 33 considère qu'il y a absence de tout danger 10 imminent. Dans ce premier exemple, le comparateur 41 considère qu'il y a une grande différence entre les première et seconde consignes préliminaires de pilotage Cl, C2. Il émet donc un premier avis Al égal à 1, ce qui signifie qu'il considère qu'il est en présence d'une erreur. 15 Le contrôleur 33 émet quant à lui un second avis A2 égal à 0 (pas de danger immédiat détecté), ce qui signifie qu'il considère qu'il est en présence d'aucune erreur. Dans cette situation où les avis Al et A2 divergent, on considère la différence entre les première et seconde consignes préliminaires de pilotage Cl, 20 C2. Celle-ci est tellement grande que par sécurité, le superviseur 51 envoie au relais 61 une instruction qui est de considérer la troisième consigne préliminaire de pilotage C3 pour commander l'organe de conduite 71. Dans un second exemple, on peut considérer que - l'opération de fusion 21 du premier algorithme relève la présence d'un 25 obstacle à 25 mètres, si bien que la première consigne préliminaire de pilotage Cl demande une réduction de la vitesse du véhicule de 7 km/h dans la prochaine seconde, et que - l'opération de fusion 22 du second algorithme relève la présence d'un obstacle à 30 mètres, si bien que (i) la seconde consigne préliminaire de pilotage 30 C2 demande une réduction de la vitesse du véhicule de 5 km/h dans la prochaine seconde et que (ii) le contrôleur 33 considère qu'il y a absence de tout danger imminent. Dans ce second exemple, le comparateur 41 considère qu'il y a une différence infime entre les première et seconde consignes préliminaires de 3058378 13 pilotage Cl, C2. Il émet donc un premier avis Al égal à 0, ce qui signifie qu'il considère qu'il n'est en présence d'aucune erreur. Le contrôleur 33 émet quant à lui un second avis A2 égal à 0 (pas de danger immédiat détecté), ce qui signifie qu'il considère qu'il n'est en présence 5 d'aucune erreur. Dans cette situation où les avis Al et A2 sont identiques et égaux à 1, le superviseur 51 envoie au relais 61 une instruction qui est de considérer la première consigne préliminaire de pilotage Cl pour commander l'organe de conduite 71. 10 Dans un troisième exemple, on peut considérer que : - l'opération de fusion 21 du premier algorithme relève la présence d'un obstacle à 20 mètres, si bien que la première consigne préliminaire de pilotage Cl demande une réduction de la vitesse du véhicule de 11 km/h dans la prochaine seconde, et que 15 - l'opération de fusion 22 du second algorithme relève la présence d'un obstacle à 30 mètres, si bien que (i) la seconde consigne préliminaire de pilotage C2 demande une réduction de la vitesse du véhicule de 5 km/h dans la prochaine seconde et que (ii) le contrôleur 33 considère qu'il y a absence de tout danger imminent. 20 Dans ce troisième exemple, le comparateur 41 considère qu'il y a une différence significative entre les première et seconde consignes préliminaires de pilotage Cl, C2. Il émet donc un premier avis Al égal à 1, ce qui signifie qu'il considère qu'il est en présence d'une erreur. Le contrôleur 33 émet quant à lui un second avis A2 égal à 0 (pas de 25 danger immédiat détecté), ce qui signifie qu'il considère qu'il n'est en présence d'aucune erreur. Dans cette situation où les avis Al et A2 divergent, on considère la différence entre les première et seconde consignes préliminaires de pilotage Cl, C2. Celle-ci est ici seulement très légèrement supérieure au seuil prédéterminé 30 (par exemple 5km/h). Or, puisque le contrôleur 33 fournit un second avis A2 avec un haut niveau de confiance (l'obstacle est jugé très éloigné), il est davantage fait confiance à ce second avis A2. De ce fait, le superviseur 51 envoie au relais 61 une instruction qui est de considérer la première consigne préliminaire de pilotage Cl pour commander l'organe de conduite 71. 3058378 14 Dans un quatrième exemple, on peut considérer que : - l'opération de fusion 21 du premier algorithme relève la présence d'un obstacle à 10 mètres, si bien que la première consigne préliminaire de pilotage Cl demande une réduction de la vitesse du véhicule de 18 km/h dans la prochaine 5 seconde, et que - l'opération de fusion 22 du second algorithme relève la présence d'un obstacle à 5 mètres, si bien que (i) la seconde consigne préliminaire de pilotage C2 demande une réduction de la vitesse du véhicule de 20 km/h dans la prochaine seconde et que (ii) le contrôleur 33 considère qu'on est en présence 10 d'un danger imminent. Dans ce quatrième exemple, le comparateur 41 considère qu'il y a une différence minime entre les première et seconde consignes préliminaires de pilotage Cl, C2. Il émet donc un premier avis Al égal à 0, ce qui signifie qu'il considère qu'il n'est en présence d'aucune erreur. 15 Le contrôleur 33 émet quant à lui un second avis A2 égal à 1 (danger immédiat détecté), ce qui signifie qu'il considère qu'il est en présence d'une erreur. Dans cette situation où les avis Al et A2 divergent, on considère les valeurs des première et seconde consignes préliminaires de pilotage Cl, C2. 20 Celles-ci sont très élevées, si bien que le superviseur 51 en déduit que la situation de danger détectée par le contrôleur 33 a déjà bien été prise en compte dans la première consigne préliminaire de pilotage Cl. De ce fait, le superviseur 51 envoie au relais 61 une instruction qui est de considérer la première consigne préliminaire de pilotage Cl pour commander l'organe de conduite 71. 25 REVENDICATIONS1. Procédé d'élaboration d'une consigne de supervision de pilotage (C4) d'un organe de conduite (71) d'un véhicule automobile, lequel véhicule automobile comprend une pluralité de capteurs (11, 12, 13, 14), un calculateur principal (1) et un calculateur auxiliaire (2), caractérisé en ce qu'il comprend des étapes de : - calcul par le calculateur principal (1) d'une première consigne préliminaire de pilotage (C1) dudit organe de conduite (71), au moyen d'un 10 premier algorithme, compte tenu de signaux émis par une première partie au moins des capteurs (11, 12, 13, 14), - calcul par le calculateur principal (1) d'une seconde consigne préliminaire de pilotage (C2) dudit organe de conduite (71), au moyen d'un second algorithme distinct du premier algorithme, compte tenu de signaux émis par une 15 seconde partie au moins des capteurs (11, 12, 13, 14), - calcul par le calculateur auxiliaire (2) d'une troisième consigne préliminaire de pilotage (C3) dudit organe de conduite (71), au moyen d'un troisième algorithme distinct des premier et second algorithmes, compte tenu de signaux émis par une troisième partie au moins des capteurs (11, 12, 13, 14), 20 - comparaison des première et seconde consignes préliminaires de pilotage (C1, C2), et déduction d'un premier avis (A1) quant à la présence d'une erreur de calcul, - détermination de la présence ou de l'absence d'un danger dans un espace de sécurité autour du véhicule automobile, compte tenu de signaux émis 25 par une partie au moins des capteurs (11, 12, 13, 14), et déduction d'un second avis (A2) quant à la présence d'une erreur de calcul, - confrontation des premier et second avis (A1, A2), et pilotage dudit organe de conduite (71) par le calculateur principal (1) ou par le calculateur auxiliaire (2) en fonction du résultat de la confrontation. 30 2. Procédé d'élaboration selon la revendication précédente, dans lequel chaque algorithme met en oeuvre : - une première opération (21, 22, 24) de fusion des signaux reçus des capteurs (11, 12, 13, 14) pour déterminer au moins une donnée relative à l'environnement autour du véhicule automobile, et 3058378 16 - une seconde opération (31, 32, 34) de calcul de la consigne préliminaire de pilotage (C1, C2, C3) en fonction de ladite au moins une donnée. 3. Procédé d'élaboration selon la revendication précédente, dans lequel : - lorsque l'organe de conduite (71) est piloté par le calculateur principal (1), il est piloté selon la première consigne préliminaire de pilotage (C1), et dans lequel - le second avis (A2) est élaboré en fonction de ladite au moins une donnée relative à l'environnement qui est déterminée lors de la première opération (22) du second algorithme. 4. Procédé d'élaboration selon l'une des revendications précédentes, dans lequel, à l'étape de détermination, ledit espace de sécurité autour du véhicule automobile est déterminé en fonction de la dynamique du véhicule automobile. 5. Procédé d'élaboration selon la revendication précédente, dans lequel, 15 à l'étape de détermination, si un danger est détecté, la présence ou l'absence de danger dans ledit espace de sécurité est déterminé en fonction de la dynamique dudit danger. 6. Procédé d'élaboration selon l'une des revendications précédentes, dans lequel, à l'étape de confrontation : 20 - si les premier et second avis (A1, A2) sont identiques et ne détectent aucune erreur de calcul, ledit organe de conduite (71) est piloté par le calculateur principal (1), - si les premier et second avis (A1, A2) sont identiques et détectent une erreur de calcul, ledit organe de conduite (71) est piloté par le calculateur auxiliaire 25 (2), - si les premier et second avis (Al, A2) divergent, ledit organe de conduite (71) est piloté par le calculateur principal (1) ou par le calculateur auxiliaire (2), compte tenu d'un ensemble de lois de pilotage prédéterminées. 7. Procédé d'élaboration selon l'une des revendications précédentes, 30 dans lequel, pour calculer la troisième consigne préliminaire de pilotage (C3), le calculateur auxiliaire (2) utilise les signaux émis par un nombre de capteurs (11, 12, 13, 14) qui est plus faible que le nombre de capteurs (11, 12, 13, 14) utilisés par le calculateur principal (1) pour calculer la première consigne préliminaire de pilotage (Cl). 3058378 17 8. Procédé d'élaboration selon l'une des revendications précédentes, dans lequel les étapes de comparaison, de détermination et de confrontation sont mises en oeuvre par le calculateur principal. 9. Système de pilotage d'un organe de conduite (71) d'un véhicule 5 automobile, comprenant : - un calculateur principal (1) adapté à calculer une première consigne préliminaire de pilotage (C1) dudit organe de conduite (71), - un calculateur auxiliaire (2) adapté à calculer une troisième consigne préliminaire de pilotage (C3) du organe de conduite (71), et 10 - un relais (61) adapté à communiquer audit organe de conduite (71) l'une ou l'autre des première et troisième consignes préliminaire de pilotage (C1), caractérisé en ce qu'il est adapté à mettre en oeuvre un procédé d'élaboration conforme à l'une des revendications précédentes.