FR 3069665 A1 20190201 FR 1700807 A 20170731 I Dispositif de contrôle pour véhicule sans pilote humain embarqué, procédé de contrôle de pilotage d'un véhicule sans pilote humain embarqué, véhicule sans pilote humain embarqué comportant un tel dispositif et programme d'ordinateur associé. La présente invention concerne le domaine des véhicules sans pilote humain embarqué comprenant : - un ensemble d'actionneur(s) adapté(s) pour recevoir des commandes de pilotage et pour opérer en fonction desdites commandes reçues ; - un premier bloc de pilotage adapté pour délivrer au moins une commande de pilotage. Les actionneurs peuvent être de tout type, par exemple électriques, thermiques L'invention concerne plus particulièrement un dispositif de contrôle pour un tel véhicule sans pilote humain embarqué et comprenant : - une première interface adaptée pour être interfacée audit ensemble d'actionneur(s); - une deuxième interface adaptée pour être interfacée au premier bloc de pilotage. De tels véhicules sont par exemple de type aérien, dits UAV (en anglais « Unmanned Aerial Vehicle ») encore appelés drones, de type terrestre, dits UTV (en anglais « Unmanned Transport/Terrestrial Vehicle ») ou de type maritime, dits UMV (en anglais « Unmanned Maritime Vehicle »). L'utilisation de ces véhicules va croissant, notamment pour des applications de sécurité et de surveillance : on comptait 90 opérateurs déclarés en 2012, en décembre 2016, ils étaient environ 3200. Les risques de chute, de collisions avec des obstacles (terrain, personnes ou véhicules), voire les risques d'une utilisation à des fins terroristes, augmentent donc également. Il est souhaitable aussi de garantir au maximum que ces véhicules ne pénètrent pas dans des zones qui leur sont interdites (par exemple des villes dont le survol est interdit, des aires protégées). Il est ainsi de plus en plus nécessaire de disposer de solutions permettant de limiter les risques inhérents à l'utilisation de tels véhicules et de garantir que leur utilisation est conforme à des spécifications fixées par exemple de façon réglementaire. A cet effet, suivant un premier aspect, l'invention propose un dispositif de contrôle pour véhicule sans pilote humain embarqué du type précité, caractérisé en ce qu'il comporte en outre un deuxième bloc de pilotage et en ce que ledit deuxième bloc de pilotage est adapté pour recevoir, via la deuxième interface, les commandes de pilotage 2 du premier bloc de pilotage, et pour, en fonction de la vérification d'au moins une condition, sélectivement bloquer la fourniture à l'ensemble d'actionneur(s) de ladite commande de pilotage de l'actionneur ou fournir ladite commande de pilotage à la première interface à destination dudit ensemble d'actionneurs. 5 L'invention permet ainsi de fournir une solution permettant de garantir qu'un véhicule sans pilote humain embarqué fonctionne en respectant des règles minimales de sécurité notamment vis-à-vis des personnes et des lieux. Dans des modes de réalisation, le dispositif de contrôle suivant l'invention comporte en outre une ou plusieurs des caractéristiques suivantes : 10 ledit deuxième bloc de pilotage est adapté pour, après avoir bloqué la fourniture de ladite commande du premier bloc de pilotage, déterminer au moins une autre commande de pilotage d'un actionneur et pour la fournir à la première interface à destination dudit actionneur ; le deuxième bloc de pilotage comprend un pilote automatique et ladite autre 15 commande de pilotage est une commande de pilotage de moteur élaborée par ledit pilote automatique pour un moteur du véhicule sans pilote humain ; l'autre commande est établie par le deuxième bloc de pilotage en fonction d'une trajectoire de vol dudit véhicule jusqu'à un point d'atterrissage, ladite trajectoire étant déterminée par ledit deuxième bloc de pilotage ; 20 le dispositif de contrôle est adapté pour localiser des éléments extérieurs audit véhicule et ledit deuxième bloc de pilotage est adapté pour déterminer ladite trajectoire de vol en fonction de la localisation d'au moins un élément extérieur ; le dispositif de contrôle est adapté pour localiser des éléments extérieurs audit véhicule et ledit deuxième bloc de pilotage est adapté pour sélectivement bloquer 25 la fourniture de ladite commande ou la fournir en fonction d'au moins la localisation d'un élément extérieur ; le dispositif de contrôle comprend une base de données, ledit élément extérieur étant une zone géographique et ledit dispositif est adapté pour localiser ladite zone géographique à l'aide de coordonnées géographiques définissant ladite zone 30 géographique dans la base de données, ledit dispositif étant adapté en outre pour obtenir la localisation courante du véhicule ; et le deuxième bloc de pilotage est adapté pour autoriser ou empêcher la fourniture à l'actionneur de ladite commande de pilotage de l'actionneur en fonction de la détermination de si le véhicule est situé à l'intérieur de la zone 35 géographique ; 3 le dispositif de contrôle comprend au moins un capteur fournissant des données représentant l'environnement du véhicule et un détecteur d'obstacles adapté pour détecter la proximité d'un obstacle autour du véhicule en fonction des données fournies par le capteur, dans lequel, ledit élément extérieur étant un obstacle, la 5 localisation de l'élément extérieur comprend la détection dudit obstacle dans l'environnement du véhicule par ledit détecteur. Suivant un deuxième aspect, la présente invention propose un véhicule sans pilote humain embarqué comprenant : - un ensemble d'actionneur(s) adapté(s) pour recevoir des commandes de pilotage et 10 pour opérer en fonctionner desdites commandes reçues ; - un premier bloc de pilotage adapté pour délivrer des commandes de pilotage d'un actionneur dudit ensemble d'actionneur(s) ; et - un dispositif de contrôle suivant le premier aspect de l'invention. Suivant un troisième aspect, la présente invention propose un procédé de contrôle 15 de pilotage d'un véhicule sans pilote humain embarqué comprenant un ensemble d'actionneur(s) adapté(s) pour recevoir des commandes de pilotage et pour opérer en fonction desdites commandes reçues et un premier bloc de pilotage adapté pour délivrer des commandes de pilotage, ledit procédé étant mise en oeuvre via des moyens de calcul d'un dispositif de contrôle comprenant une première interface adaptée pour être 20 interfacée audit ensemble d'actionneur(s) et une deuxième interface adaptée pour être interfacée au premier bloc de pilotage et comprenant les étapes consistant à: - recevoir les commandes de pilotage du premier bloc de pilotage ; - en fonction de la vérification d'au moins une condition, sélectivement bloquer la fourniture à l'ensemble d'actionneur(s) de ladite commande de pilotage de l'actionneur ou 25 fournir ladite commande de pilotage à la première interface à destination dudit ensemble d'actionneurs. Suivant un quatrième aspect, la présente invention propose un programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé suivant le troisième aspect de l'invention. 30 Ces caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et faite en référence aux dessins annexés, sur lesquels : la figure 1 représente une vue d'un drone dans un mode de réalisation de l'invention ; 35 la figure 2 est un organigramme d'étapes mises en oeuvre dans un mode de réalisation de l'invention. 4 La figure 1 représente une plate-forme de pilotage sécurisé de drone 1 dans un mode de réalisation de l'invention. Cette plate-forme 1 comporte un drone 2 et un système déporté 3. Le système déporté 3, par exemple au sol, comprend une interface homme- 5 machine, par exemple avec un opérateur du drone, et un module de télécommunication avec le drone. Le drone 2 comporte un étage primaire 4 et un dispositif de contrôle de pilotage 5. L'étage primaire 4 comprend un bloc 6 de géolocalisation du drone 2, par exemple comprenant un module de type GPS (en anglais « Global Positioning System ») et/ou un 10 module de type Galileo et/ou un module de type à caméra unique, un bloc 7 de pilotage et un ensemble 8 d'actionneurs. Dans le cas particulier décrit, le bloc 6 de géolocalisation est par exemple un bloc GPS. L'ensemble 8 d'actionneurs comprend dans le cas présent 4 moteurs entraînant chacun une hélice respective et permettant la mise en mouvement et la stabilisation du 15 drone 2. Il est adapté pour recevoir des commandes de pilotage destinées aux actionneurs et pour les leur fournir. Lors de la réception d'une commande de pilotage qui lui est destinée, un actionneur modifie ses paramètres de fonctionnement pour se conformer à la commande reçue. Le bloc 7 de pilotage du drone est dans le cas considéré un pilote automatique 20 nommé PA1, adapté pour déterminer des commandes pour les actionneurs 8. Ces commandes sont élaborées et fournies par le pilote automatique 7, nommé PA1, tout au long d'un vol, en fonction d'un plan de vol mémorisé dans le PA1 1 et préparé préalablement au vol par l'opérateur du drone. Le plan de vol liste les coordonnées géographiques des points successifs de la trajectoire prévisionnelle à suivre par le drone 25 2. Le dispositif de contrôle de pilotage 5 comprend un étage fonctionnel 9, un étage de base de données 10, un étage de capteurs 11 et un étage de télécommunication 12. L'étage fonctionnel 9 comprend un module de localisation avancée 13, un module anticollision 14 et un pilote automatique 15, nommé PA2. Le pilote automatique PA2 30 comprend au moins une première interface (non représentée) pour être interfacé avec l'ensemble 8 d'actionneurs et une deuxième interface (non représentée) pour être interfacé avec le pilote automatique PA1 7. Dans le cas considéré, le pilote automatique PA2 est dissimilaire (au niveau hardware et software) du pilote PA1. L'étage de base de données 10 comprend une première base de données 16, 35 nommée BDD1 et une deuxième base de données 17, nommée BDD2. La base de données BDD1 16 stocke des données définissant les coordonnées géographiques 5 délimitant des zones géographiques particulières, dans le cas présent des zones dont le survol est interdit (par exemple des zones militaires, des villes...). Dans un mode de réalisation, ces données dont de type géorepérage ou encore en anglais « geofencing ». La base de données BDD2 17 comporte par exemple un ou des points 5 géographiques de repli, prédéfini(s) lors de la préparation du vol par l'opérateur du drone et des données de configuration du dispositif de contrôle de pilotage 5. L'étage de capteurs 11 comprend des capteurs : par exemple un module d'odométrie visuelle 18, avec caméras et centrale inertielle, et des sonars 19. L'étage de télécommunication 12 comprend un transpondeur 20 et une interface 10 de télécommunication 21 adaptée pour établir une liaison de télécommunication avec le système déporté 3. Le transpondeur 20 est adapté pour émettre des informations de position vers les autres véhicules à proximité également équipés et aussi vers le système déporté 3. D'autres paramètres intrinsèques au drone (statuts de ses systèmes) ou extérieurs dynamiques (notamment mesurés par des équipements du drone par 15 exemple relatifs aux vents, températures) peuvent également être envoyés par le drone vers le système déporté 3 pour les collecter, les analyser et les rendre disponibles à d'autres utilisations (« data mining »). L'étage primaire 4 et le dispositif 2 de contrôle de pilotage sont adaptés, dans le mode de réalisation considéré, pour réaliser les étapes décrites ci-dessous en référence 20 aux figures 1 et 2. Les étapes mises en oeuvre notamment par le pilote automatique PA1 7 et par l'étage fonctionnel 9 du dispositif 2 de contrôle de pilotage sont, dans des modes de réalisation, mises en oeuvre pour tout ou partie, suite à l'exécution sur des calculateurs d'instructions logicielles stockées dans des mémoires. 25 Tout d'abord le fonctionnement « nominal » du drone 2 est décrit ci-dessous, conformément à l'ensemble d'étapes 100 de la figure 2. Lors d'un vol réalisé par le drone 2 le long d'une trajectoire préparée par l'opérateur correspondant à un plan de vol prévisionnel stocké dans le pilote automatique PA1 7, le GPS 6 détermine régulièrement la position géographique courante du drone 2 et 30 la transmet au module de localisation avancée 13. Les modules d'odométrie 18 et sonars 19 de l'étage de capteurs 11 transmettent également régulièrement au module de localisation avancée 13 les données issues de leurs mesures courantes. Ce module de localisation avancée 13 combine ces différentes données issues de l'étage primaire 4 et du dispositif de contrôle 2 et les fusionne, par exemple à l'aide de filtres de Kalman, pour 35 en déterminer des données consolidées de position courante du drone 2. Le module de localisation avancée détermine en outre des données relatives à l'environnement du 6 drone (identifiant et caractérisant par exemple la présence éventuelle sous (devant, ou à côté du) le drone, d'obstacles. Ces informations déterminées sont ensuite fournies par le module de localisation avancée 13 au pilote automatique PA1 7, au module anticollision 14 et au transpondeur 20. 5 Le transpondeur 20 communique tout ou partie de ces données à destination du système déporté 3. Le pilote automatique PA1 7 détermine régulièrement au cours du vol des commandes actualisées d'actionneurs, en fonction des données de position courante du drone 2 (et éventuellement des données relatives à l'environnement du drone) et de la 10 trajectoire à suivre conformément au plan de vol, puis il fournit ces commandes au pilote automatique PA2 15 du dispositif 2 de contrôle de pilotage via la deuxième interface. Le module anticollision 14 vérifie, régulièrement en cours de vol, en fonction des données de position courante du drone 2 et des données de la BDD1 16: si le drone se trouve localisé hors de toute zone listée dans la BDD1 16 ; et si 15 non, le module anticollision 14 identifie la zone dans laquelle le drone se trouve (fonction de « geofencing » basique) ; si le drone se trouve localisé au-delà d'une distance minimale prédéfinie (associée à toutes ou certaines zones de la liste, la valeur, pouvant être différente selon les zones et étant mémorisée par exemple dans la BDD2 17 et 20 pouvant par exemple être modifiée à distance par l'opérateur du système déporté 3) des zones listées dans la BDD1 16; et sinon le module anticollision 14 identifie la zone ou les zones concernées (fonction de « smart geofencing »). Le module anticollision 14 détermine s'il y a un risque de collision avec un 25 obstacle, en fonction des données de position courante du drone 2, et des données relatives à l'environnement du drone déterminées par le module de localisation avancée 13 à l'aide des mesures des sonars 19 et du module d'odométrie 18. Puis le module anticollision 14 fournit le cas échéant au pilote automatique PA2 15 les indications des zones au sein desquelles le drone 2 se trouve couramment ou situées 30 à moins de la distance minimale du drone, ainsi que les éléments relatifs aux risques de collision déterminés. Le pilote automatique PA2 15, dès réception de commandes fournies par le pilote automatique PA1 7, vérifie un ensemble de conditions CONDI. Si et seulement si ces conditions COND 1 sont remplies : 35 le pilote automatique PA2 15 fait suivre, via la première interface, à l'ensemble d'actionneurs 8 les commandes reçues du pilote automatique PA1 7; et 7 l'ensemble d'actionneurs 8 adapte le fonctionnement des actionneurs en fonction de ces commandes ; en outre, le pilote automatique PA2 15, dès réception de commandes fournies par le pilote automatique PA1 7, vérifie un ensemble de conditions COND2. 5 La vérification des conditions CONDI comprend par exemple la vérification, en fonction des données fournies par le module anticollision 14, que le drone 2 dans sa position courante est bien localisé en-dehors de toutes les zones particulières listées dans la BDD1 16 (ou en-dehors de certaines de ces zones définies par exemple dans la BDD2 17, et/ou en prenant en outre d'autres critères supplémentaires définis dans la BDD2 17, 10 par exemple en comparant l'heure courante avec des heures de survol autorisées etc., que l'opérateur du système déporté 3 peut mettre à jour par télécommunication). La vérification des conditions CONDI comprend par exemple la vérification qu'il n'existe pas de risque de collision entre le drone 2 et un obstacle, en fonction des éléments relatifs aux risques de collision dernièrement fournis par le module anticollision 15 14. La vérification des conditions CONDI comprend par exemple également la vérification que la trajectoire réelle du drone 2, enregistrée par le système de contrôle 2 suit bien, à une marge d'erreur près définie dans la BDD2 17, la trajectoire telle que prévue dans le plan de vol (par exemple stockée dans le dispositif de contrôle 2 20 préalablement au vol ou alors après télécommunication depuis le système déporté 3). La vérification des conditions CONDI comprend par exemple la vérification qu'aucune défaillance majeure n'affecte l'ensemble 8 d'actionneurs ou le pilote automatique PA1 7 ou le GPS 6, en fonction de données fournies au pilote automatique PA2 15 issues d'une fonction de surveillance réalisée par l'étage fonctionnel 9. 25 La vérification des conditions CONDI comprend par exemple la vérification, en fonction de données décrivant l'environnement transmis par le module anticollision 14, que lors d'une descente pour atterrir, la zone d'atterrissage prévisionnelle est non obstruée par un obstacle. La vérification des conditions COND2 comprend par exemple la vérification que le 30 drone se trouve localisé en dehors au-delà de la distance minimale prédéfinie requise par rapport aux zones listées dans la BDD1 16, sur la base des éléments fournis par le module anticollision 14. Si une condition COND2 n'est pas remplie, le pilote automatique PA2 15 commande à l'interface de communication 21 la télécommunication d'un message à destination du système déporté 3, indiquant la zone ou les zones concernées par le 35 non-respect de la distance minimale. 8 Si une des conditions COND 1 n'est pas remplie, le drone 2 bascule du mode nominal de fonctionnement décrit ci-dessus à un mode d'urgence, et, en référence à la figure 2, un ensemble d'étapes 101 décrit ci-dessous est alors mis en oeuvre (pendant le mode d'urgence, le module de localisation avancée 13 continue à déterminer la position du drone (le cas échéant sans tenir compte des données GPS si ce dernier a été identifié comme défaillant dans le cadre de la surveillance menée par le PA2 15 - voir ci- dessous) ; de même, les étages de capteurs 11 et de télécommunication 12 continuent à fonctionner). Dans ce mode d'urgence, le pilote automatique PA2 15 bloque les commandes 10 reçues en provenance du pilote automatique PA1 7 et ne les fait pas suivre à l'ensemble d'actionneurs 8. Le pilote automatique PA2 15 génère une trajectoire d'urgence, détermine les commandes de pilotage, dites commandes d'urgence, correspondant à cette trajectoire d'urgence, puis les transmet au système d'actionneurs 8. Par exemple, la trajectoire d'urgence est générée vers une destination d'urgence, dans un mode de 15 réalisation, le plus proche des points de repli mémorisés dans la BDD2 17, en respectant en outre la contrainte de quitter au plus vite la zone particulière dans laquelle le drone se situe couramment et de ne pas approcher au-delà de la distance minimale requise les zones particulières listées dans la BDD1 16. La trajectoire est ensuite adaptée tout au long du vol en fonction des données transmises par le module anticollision 14, pour éviter 20 les collisions avec tout objet détecté par les capteurs et toute approche au-delà de la distance minimale des zones particulières. Dans un mode de réalisation, si le pilote automatique PA2 15 identifie qu'il n'est pas possible d'atteindre une destination d'urgence prédéfinie, il génère une trajectoire d'urgence (et les commandes de pilotage correspondantes qu'il fournit à l'ensemble 25 d'actionneurs) correspondant à un atterrissage en un point quelconque, voire à la verticale si possible, mais où aucun risque de collision n'aura été détecté lors de l'approche. Dans un mode de réalisation, le pilote automatique PA2 15 est adapté pour cycliquement tester les conditions CONDI et COND2, indépendamment du rythme de 30 réception des commandes fournies par le pilote automatique PA1 7 et pour agir ensuite comme indiqué ci-dessus dans l'ensemble d'étapes 100. Dans un mode de réalisation, l'opérateur du drone 2 transmet depuis le système déporté 3, via la liaison de télécommunication qui le relie à l'interface de communication 21, des données qui seront mémorisées dans la BDD2 10, après réception par cette 35 interface 21 : par exemple les coordonnées géographiques d'un nouveau point de repli, 9 remplaçant éventuellement un point de repli précédemment mémorisé, des données actualisées de distance minimale etc. Dans un mode de réalisation, le système de contrôle 2 est en outre adapté pour, au sol, préalablement au vol, vérifier que la trajectoire selon le plan de vol prévisionnel est 5 cohérente avec celles des conditions CONDI testables à ce stade, par exemple que la trajectoire prévisionnelle ne pénètre pas dans les zones particulières de la liste stockée dans la BDD1 16. La présente invention permet ainsi à un drone d'effectuer sa mission de façon nominale, en prenant, dans le mode de réalisation considéré, des données de position 10 consolidées en entrée pour le pilotage, et elle permet en outre de détecter des violations de règles de vol et dans un tel cas, une prise en main du pilotage du drone dans un mode d'urgence permettant de mettre fin aux violations. Dans un mode de réalisation, le basculement du mode nominal au mode d'urgence (prise en main du comportement du drone via la prise en main de ses 15 actionneurs) n'est pas réalisé dès que l'entrée dans la zone particulière est détectée, mais est temporisé. Par exemple, la zone particulière est une zone réglementaire élargie d'un périmètre de sécurité) et un message est d'abord télécommuniqué au système déporté 3 dès détection que le drone se situe à l'intérieur de la zone particulière ; et si le drone pénètre dans la zone réglementaire, dont les coordonnées sont par exemple également 20 mémorisées en BDD1 16, le basculement a alors lieu. Les commandes de pilotage déterminées par le pilote automatique PA2 en mode d'urgence comprennent par exemple, des commandes pour piloter des actionneurs tels que les gouvernes du drone et/ou les moteurs de propulsion du drone ; l'alimentation électrique de ces derniers étant donc maintenue dans ces modes de réalisation. 25 Dans des modes de réalisation, le dispositif de contrôle de pilotage 2 n'assure pas les fonctions, ou en assure seulement certaines, de capteurs, de localisation avancée, d'anti-collision, de respect de zones interdites qui ont été décrites ci-dessus et/ou en assure d'autre(s). De même, les actions effectuées en cas de blocage des commandes du bloc de 30 pilotage PA1 par le dispositif de contrôle et prise en main du pilotage par le pilote automatique PA2 peuvent être diverses et autres que celles décrites plus haut. Dans un mode de réalisation, le dispositif de contrôle de pilotage dans le mode de réalisation prend la forme d'un boîtier adapté pour s'incorporer aisément dans un drone standard du commerce correspondant à l'étage primaire 4. De poids léger de manière à 35 ne pas déséquilibrer le drone, ce boîtier est disposé dans l'axe du drone, et de manière à ne pas obturer le capteur GPS du drone ; il comporte le capteur de caméra verticale sur 10 sa face disposée vers le sol. L'interface de sortie vers l'ensemble d'actionneurs est par exemple de type PWM et ses interfaces d'entrée par exemple de type IP ou mavlink. Les spécifications déterminant les cas où le pilote automatique du dispositif de contrôle de pilotage bloque les commandes du pilote automatique primaire correspondent 5 par exemple aux spécifications d'une réglementation approuvée à un plan national ou international. L'introduction d'un tel dispositif certifié auprès des autorités rendra par exemple certifiable auprès de ces autorités le drone doté d'un tel dispositif. L'invention a été décrite ci-dessus dans le cas d'un drone, mais bien évidemment, elle peut être mise en oeuvre également dans tout véhicule sans pilote humain embarqué, 10 notamment dans le domaine des UTV et UMV. Dans le cas présent, les actionneurs étaient 4 moteurs associés à des hélices. Le nombre des actionneurs dans un dispositif et la nature des actionneurs peuvent être évidemment très divers selon les modes de réalisation de l'invention. Dans un mode de réalisation, le dispositif est configurable par logiciel, pour 15 s'adapter aux différentes possibilités (ex : voilure fixe, voilure tournante, REVENDICATIONS1.- Dispositif de contrôle (5) pour véhicule (2) sans pilote humain embarqué, ledit véhicule comprenant un ensemble d'actionneur(s) (8) adapté(s) pour recevoir des commandes de pilotage et pour opérer en fonction desdites commandes reçues et un premier bloc de pilotage (7) adapté pour délivrer des commandes de pilotage, ledit dispositif comprenant : - une première interface adaptée pour être interfacée audit ensemble d'actionneur(s); - une deuxième interface adaptée pour être interfacée au premier bloc de pilotage ; ledit dispositif étant caractérisé en ce qu'il comporte en outre un deuxième bloc de pilotage (15) et en ce que ledit deuxième bloc de pilotage est adapté pour recevoir, via la deuxième interface, les commandes de pilotage du premier bloc de pilotage, et pour, en fonction de la vérification d'au moins une condition, sélectivement bloquer la fourniture à l'ensemble d'actionneur(s) de ladite commande de pilotage de l'actionneur ou fournir ladite commande de pilotage à la première interface à destination dudit ensemble d'actionneurs. 2.- Dispositif de contrôle (5) selon la revendication 1, dans lequel ledit deuxième bloc de pilotage (15) est adapté pour, après avoir bloqué la fourniture de ladite commande du premier bloc de pilotage, déterminer au moins une autre commande de pilotage d'un actionneur et pour la fournir à la première interface à destination dudit actionneur. 3.- Dispositif de contrôle (5) selon la revendication 2, dans lequel le deuxième bloc de pilotage (15) comprend un pilote automatique et ladite autre commande de pilotage est une commande de pilotage de moteur élaborée par ledit pilote automatique pour un moteur du véhicule sans pilote humain. 4.- Dispositif de contrôle (5) selon la revendication 2 ou 3, dans lequel l'autre commande est établie par le deuxième bloc de pilotage (15) en fonction d'une trajectoire de vol dudit véhicule jusqu'à un point d'atterrissage, ladite trajectoire étant déterminée par ledit deuxième bloc de pilotage. 5.- Dispositif de contrôle (5) selon la revendication 4, adapté pour localiser des éléments extérieurs audit véhicule et ledit deuxième bloc de pilotage (15) est adapté pour 12 déterminer ladite trajectoire de vol en fonction de la localisation d'au moins un élément extérieur. 6.- Dispositif de contrôle (5) selon l'une des revendications précédentes, adapté pour 5 localiser des éléments extérieurs audit véhicule et dans lequel ledit deuxième bloc de pilotage (15) est adapté pour sélectivement bloquer la fourniture de ladite commande ou la fournir en fonction d'au moins la localisation d'un élément extérieur. 7.- Dispositif de contrôle (5) selon la revendication 5 ou 6, comprenant une base de 10 données (16), ledit élément extérieur étant une zone géographique et ledit dispositif étant adapté pour localiser ladite zone géographique à l'aide de coordonnées géographiques définissant ladite zone géographique dans la base de données, ledit dispositif étant adapté en outre pour obtenir la localisation courante du véhicule ; et le deuxième bloc de pilotage (15) est adapté pour autoriser ou empêcher la fourniture à 15 l'actionneur de ladite commande de pilotage en fonction de la détermination de si le véhicule est situé à l'intérieur de la zone géographique. 8.- Dispositif de contrôle (5) selon l'une des revendications 5 à 7, ledit dispositif comprenant au moins un capteur (11) fournissant des données représentant 20 l'environnement du véhicule et un détecteur d'obstacles (14) adapté pour détecter la proximité d'un obstacle autour du véhicule en fonction des données fournies par le capteur, dans lequel, ledit élément extérieur étant un obstacle, la localisation de l'élément extérieur comprend la détection dudit obstacle dans l'environnement du véhicule par ledit 25 détecteur. 9.- Véhicule sans pilote humain embarqué (2) comprenant : - un ensemble d'actionneur(s) (8) adapté(s) pour recevoir des commandes de pilotage et pour opérer en fonctionner desdites commandes reçues ; 30 - un premier bloc de pilotage (7) adapté pour délivrer des commandes de pilotage d'un actionneur dudit ensemble d'actionneur(s) ; et - un dispositif de contrôle (5) selon l'une des revendications précédentes. 10.- Procédé de contrôle de pilotage d'un véhicule sans pilote humain (2) embarqué 35 comprenant un ensemble d'actionneur(s) (8) adapté(s) pour recevoir des commandes de pilotage et pour opérer en fonction desdites commandes reçues et un premier bloc de 13 pilotage (7) adapté pour délivrer des commandes de pilotage, ledit procédé étant mise en oeuvre via des moyens de calcul d'un dispositif de contrôle (5) comprenant une première interface adaptée pour être interfacée audit ensemble d'actionneur(s) et une deuxième interface adaptée pour être interfacée au premier bloc de pilotage et comprenant les 5 étapes consistant à: - recevoir les commandes de pilotage du premier bloc de pilotage ; - en fonction de la vérification d'au moins une condition, sélectivement bloquer la fourniture à l'ensemble d'actionneur(s) de ladite commande de pilotage de l'actionneur ou fournir ladite commande de pilotage à la première interface à destination dudit ensemble 10 d'actionneurs. 11.- Programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé selon la revendication 10. 15 20