FR 3071219 A1 20190322 FR 1758567 A 20170915 Procédé d'optimisation d'un paramètre indicateur de vitesse véhicule destiné aux fonctions d'assistance de direction et aux fonctions de sécurisation La présente invention concerne les procédés de gestion des systèmes de direction assistée pour véhicules. Il est connu d'intégrer dans de tels systèmes de direction d'une part des fonctions d'assistance, qui sont destinées à assister un conducteur dans le pilotage du véhicule, soit en fournissant un effort d'assistance au pilotage manuel, soit en assurant un véritable pilotage automatique du véhicule par un asservissement de la trajectoire dudit véhicule (par exemple pour le stationnement automatique, dit « park assist », ou le maintien dans une voie de circulation, dit « lane keeping »), et d'autre part des fonctions de sécurisation, destinées à conférer au système, et plus particulièrement aux fonctions d'assistance, un niveau de sécurité et de fiabilité suffisant. A cet effet, la norme de sécurité IS0-26262 propose de définir, à partir d'une analyse des risques, des niveaux de sécurité « ASIL » (« Automotive Safety Integrity Level »), notés, du plus faible au plus exigeant, «0M » (« Quality Management », c'est-à-dire non pertinent pour la sécurité), puis « A », « B », « C » et enfin « D », et qui sont déterminés en caractérisant chaque situation dangereuse (ou « évènement redouté ») possible par trois paramètres : - sa sévérité, c'est-à-dire le degré de gravité des blessures susceptibles d'être infligées à l'occupant du véhicule (de SO pour l'absence de blessure à S3 pour une blessure critique ou mortelle) ; - son exposition, c'est-à-dire la fréquence prévisible d'apparition de conditions de fonctionnement dans lesquelles une blessure est susceptible de se produire (depuis une probabilité quasi-nulle EO, ou très faible El, selon laquelle la blessure ne se produit que dans de rares conditions de fonctionnement, jusqu'à une probabilité élevée E4, dans laquelle il est quasiment certain qu'une blessure se produise dans la majorité des conditions de fonctionnement), et - sa contrôlabilité, c'est-à-dire la probabilité que le conducteur, ou le système, puisse agir (ou réagir) pour contrôler la situation et éviter la blessure (depuis une situation généralement contrôlable CO à une situation difficilement contrôlable voire totalement incontrôlable C3). Le niveau ASIL dépend de la combinaison (du produit) de ces trois paramètres. 2 Ainsi, à titre d'exemple, un évènement dangereux causant des blessures critiques S3, à forte probabilité d'occurrence E4, et incontrôlable C3, relèvera du niveau ASIL D (le plus élevé). En revanche, le même évènement incontrôlable C3 et causant des 5 blessures critiques S3, mais présentant une probabilité d'occurrence moindre, inférieure d'un ou plusieurs degré(s) au degré maximum, verra son niveau ASIL abaissé d'un ou plusieurs degrés en conséquence. Dans cet exemple, le niveau ASIL sera ainsi ramené à C dans le cas d'une exposition E3, voire à A dans le cas d'une exposition El. 10 En pratique, les fonctions d'assistance et les fonctions de sécurisation utilisent généralement, parmi leurs données d'entrée, une estimation de la vitesse longitudinale instantanée du véhicule. Or, lors des phases dites « dynamiques » d'accélération longitudinale ou de décélération longitudinale (freinage) du véhicule, la vitesse peut parfois être 15 temporairement surestimée ou sous-estimée. Cela peut notamment être le cas lorsque la vitesse est estimée à partir de la vitesse moyenne mesurée de rotation des roues et que l'estimation peut donc être faussée si certaines roues se bloquent ou au contraire patinent et s'emballent lors de telles phases d'accélération brusque ou de freinage brusque. 20 A titre d'exemple, une forte pression sur l'accélérateur peut créer une perte d'adhérence des roues motrices, qui se mettent à patiner et sont donc sujettes à une augmentation importante de leur vitesse de rotation, sans pour autant que la vitesse réelle du véhicule n'augmente significativement. La vitesse réelle du véhicule sera alors bien inférieure à celle estimée à partir de la vitesse de rotation des roues. 25 A l'inverse, si des roues ralentissent fortement ou se bloquent en situation de freinage d'urgence et perdent de l'adhérence, alors le véhicule peut glisser sur la chaussée à une vitesse réelle bien supérieure à celle estimée à partir de la vitesse de rotation desdites roues. Une surestimation de la vitesse du véhicule pourra certes être favorable 30 aux fonctions de sécurisation, en permettant auxdites fonctions de sécurisation de contrôler le véhicule de façon plus stricte, et notamment d'opérer des corrections de braquage plus réactives, ou de restreindre l'amplitude des manoeuvres de braquage, qui sont potentiellement plus dangereuses à grande vitesse qu'a basse vitesse. En revanche, une surestimation de la vitesse pourra également avoir 35 pour effet une réduction inopportune de l'assistance conventionnelle à la conduite, ou bien une restriction de l'effort de rappel qui est généré par l'assistance de direction 3 pour rappeler le volant en position centrale après un virage (fonction dite de « rappel coin de rue »), alors même que le véhicule circule encore à basse vitesse réelle, typiquement en ville, et aurait donc l'utilité de telles fonctions d'assistance et de rappel volant. Il en résultera un inconfort pour le conducteur, qui ressentira une sorte 5 de lourdeur dans le volant et le système de direction. A l'inverse, une sous-estimation aléatoire de la vitesse du véhicule favorisera l'assistance à la manoeuvre du volant, mais pourra être préjudiciable à la fiabilité et à la réactivité des fonctions de sécurisation, et pourra donc présenter un risque pour les occupants du véhicule. 10 Une solution pourrait consister à utiliser deux évaluations différentes de la vitesse du véhicule, d'origines distinctes, à savoir une première évaluation pour les fonctions d'assistance, et l'autre évaluation, éventuellement volontairement surestimée, pour les fonctions de sécurisation, afin de garantir à la fois le confort de l'assistance et la sécurisation des différentes fonctions du système de direction à des 15 niveaux ASIL satisfaisants. Toutefois, une telle solution nécessiterait des équipements redondants, notamment des capteurs et des unités de traitement, ce qui augmenterait le coût et l'encombrement du système de direction. En outre, et surtout, le fait d'utiliser des signaux de vitesse distincts, sans 20 corrélation l'un avec l'autre, peut notamment induire des comportements contradictoires, dits « interférences », des fonctions respectives d'assistance et de sécurisation, si une erreur de surestimation ou de sous-estimation affecte l'un des deux signaux de vitesse et pas le second. Les objets assignés à l'invention visent par conséquent à remédier aux 25 inconvénients susmentionnés et à proposer un nouveau procédé de gestion de système de direction assistée qui permette de gérer de manière simple et fiable l'information de vitesse instantanée et l'exécution conjointe des fonctions d'assistance et des fonctions de sécurisation qui dépendent de cette information de vitesse instantanée. 30 Les objets assignés à l'invention sont atteints au moyen d'un procédé de gestion d'un système de direction assistée pour véhicule, ledit système de direction assistée comportant une pluralité de fonctions incluant au moins une fonction d'assistance destinée à assister un conducteur dans le pilotage du véhicule et au moins une fonction de sécurisation destinée à conférer à ladite fonction d'assistance 35 un niveau ASIL prédéterminé au sens de la norme IS0-26262, ladite fonction d'assistance et ladite fonction de sécurisation faisant chacune appel à un même 4 paramètre indicateur de vitesse du véhicule qui est considéré comme représentatif de la vitesse longitudinale du véhicule, ledit procédé étant caractérisé en ce qu'il comprend une étape (a) d'estimation de vitesse fonctionnelle, au cours de laquelle on estime une première valeur de vitesse, dite « vitesse fonctionnelle », qui est 5 représentative de la vitesse longitudinale réelle du véhicule à un instant considéré, et qui est utilisée par défaut en tant que paramètre indicateur de vitesse du véhicule, selon un premier mode de fonctionnement dit « mode de fonctionnement normal », une étape (b) d'estimation d'un majorant de vitesse, au cours de laquelle on estime une seconde valeur de vitesse, dite « majorant de vitesse », qui est supérieure à la 10 vitesse fonctionnelle et représentative d'un majorant de la vitesse longitudinale réelle du véhicule audit instant considéré, une étape (c) de calcul d'une vitesse sous-estimée au cours de laquelle on applique au majorant de vitesse une loi de réduction prédéterminée de sorte à obtenir une valeur de vitesse sous-estimée, qui est inférieure au majorant de vitesse d'une valeur de réduction prédéterminée fixée par 15 ladite loi de réduction, une étape (d) de comparaison au cours de laquelle on compare, en valeur absolue, la valeur de vitesse fonctionnelle à la valeur de vitesse sous-estimée, et, si la valeur absolue de la vitesse fonctionnelle est inférieure à la valeur absolue de la vitesse sous-estimée, une étape (e) de commutation au cours de laquelle on commute du mode de fonctionnement normal vers un second mode de 20 fonctionnement dit « mode de sécurité », en substituant à la vitesse fonctionnelle la vitesse sous-estimée en tant que paramètre indicateur de vitesse du véhicule utilisé en entrée de chacune des fonctions d'assistance et de sécurisation. Avantageusement, un tel procédé permet de favoriser l'utilisation, comme paramètre indicateur de la vitesse du véhicule, de la vitesse fonctionnelle, qui 25 représente une estimation très proche de la vitesse réelle du véhicule en conditions normales, et ce afin d'optimiser le comportement de la ou des fonctions d'assistance, et donc afin d'optimiser le confort de conduite, mais à la condition que la valeur de la vitesse fonctionnelle reste acceptable pour garantir le bon fonctionnement des fonctions de sécurisation. 30 Dans le cas contraire, c'est-à-dire si le signal de vitesse fonctionnel descend sous un seuil acceptable, et devient ainsi incompatible avec le bon fonctionnement des fonctions de sécurisation, alors le procédé prévoit un signal de substitution, à savoir un signal de vitesse sous-estimée, qui est déterminé à partir d'un majorant de vitesse, par nature supérieur à la vitesse réelle du véhicule et donc 35 favorable auxdites fonctions de sécurisation. 5 En d'autres termes, le procédé permet de définir, et de recalculer en temps réel, à chaque instant, et quelle que soit la vitesse réelle du véhicule, un « tunnel de sécurité », qui est compris entre une valeur haute correspondant au majorant de vitesse et une valeur basse correspondant à la vitesse sous-estimée, et de 5 s'assurer que le paramètre indicateur de vitesse du véhicule retenu pour l'application des fonctions d'assistance et de sécurisation se trouve en permanence dans ledit tunnel de sécurité, de manière à garantir un fonctionnement fiable des fonctions de sécurisation. Ainsi, tant que le signal de vitesse fonctionnelle, qui donne généralement 10 une estimation précise de la vitesse instantanée réelle du véhicule mais qui est difficile à sécuriser intrinsèquement en raison même de la complexité de l'opération d'estimation, reste à l'intérieur de ce tunnel de sécurité, ledit signal de vitesse fonctionnelle est utilisé comme paramètre indicateur de vitesse du véhicule, afin de favoriser la précision et le confort des fonctions d'assistance, sans pour autant nuire à 15 la fiabilité des fonctions de sécurisation. En revanche, si une erreur affecte ledit signal de vitesse fonctionnel de telle sorte que ledit signal de vitesse fonctionnelle sort (par le bas) du domaine admissible délimité par le tunnel de sécurité, alors ce signal de vitesse fonctionnel est remplacé par le signal sécurisé que constitue la vitesse sous-estimée, laquelle 20 correspond à une limite basse admissible d'applicabilité des fonctions de sécurisation. De cette manière, on assure la continuité de service desdites fonctions de sécurisation. Ainsi, le procédé selon l'invention permet de sélectionner automatiquement le signal indicateur de vitesse de véhicule qui est le plus approprié à 25 la situation à l'instant considéré, tout en garantissant systématiquement le fonctionnement fiable des fonctions de sécurisation. En outre, l'utilisation d'une seule et même information de vitesse sous-estimée comme paramètre indicateur de la vitesse de véhicule, c'est-à-dire d'un signal de vitesse unique, commun aux fonctions d'assistance et aux fonctions de 30 sécurisation, permet avantageusement d'alléger la structure, tant matérielle que logicielle, du système de direction, et de réduire le coût dudit système. D'autres objets, caractéristiques et avantages de l'invention apparaîtront plus en détails à la lecture de la description qui suit, ainsi qu'a l'aide des dessins annexés, fournis à titre purement illustratif et non limitatif, parmi lesquels : 35 La figure 1 illustre une loi de réduction conforme à l'invention. 6 La figure 2 illustre, selon un schéma-bloc, le principe de fonctionnement d'un procédé selon l'invention au sein d'un système de direction assistée. La figure 3 illustre, au moyen d'un graphique représentant une évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, une 5 commutation instantanée du mode de fonctionnement normal au mode de sécurité. La figure 4 illustre, au moyen d'un graphique représentant une évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, une commutation différée du mode de fonctionnement normal au mode de sécurité. Les figures 5A et 5B illustrent, au moyen de graphiques représentant une 10 évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, la mise en oeuvre d'une commutation du mode de sécurité vers un mode de sécurité renforcé, respectivement après une première commutation instantanée selon la figure 3 et après une première commutation différée selon la figure 4. La présente invention concerne un procédé de gestion d'un système de 15 direction assistée 1 pour véhicule. Un tel système de direction assistée 1 comprend de préférence, de façon connue en soi, un volant de conduite, destiné à être manoeuvré par le conducteur du véhicule, et qui commande, de préférence au moyen d'une colonne de direction pourvue d'un pignon, le déplacement d'un mécanisme de direction permettant de 20 modifier l'orientation d'une ou plusieurs roues 2 directrices. Ledit mécanisme de direction comprend de préférence une crémaillère, qui est montée mobile en translation dans un carter de direction fixé au châssis du véhicule, sur laquelle engrène le pignon, et aux extrémités de laquelle sont fixées des biellettes de direction qui permettent de modifier l'orientation en lacet, c'est-à-dire 25 l'angle de braquage, de porte-fusées portant les roues 2. Un moteur d'assistance, de préférence électrique, est également couplé au mécanisme de direction pour fournir un effort d'assistance, typiquement un couple d'assistance, qui facilite la manoeuvre dudit mécanisme de direction et donc la modification de l'angle de braquage. 30 Le système de direction assistée 1 comporte par ailleurs une pluralité de fonctions F1, F2, incluant au moins une fonction d'assistance F1 destinée à assister un conducteur dans le pilotage du véhicule et au moins une fonction de sécurisation F2 destinée à conférer à ladite fonction d'assistance un niveau ASIL prédéterminé au sens de la norme 150-26262. 35 De préférence, la fonction d'assistance F1 est choisie parmi : 7 - une fonction d'assistance au pilotage manuel, destinée à fournir, au moyen du moteur d'assistance, un effort d'assistance pour faciliter le déplacement du mécanisme de direction et/ou du volant, ladite fonction d'assistance au pilotage manuel pouvant notamment être 5 une fonction d'assistance conventionnelle, destinée à fournir un effort d'assistance permettant d'amplifier l'effort manuel fourni par le conducteur afin d'aider le conducteur à tourner le volant, ou bien encore une fonction de rappel destinée à rappeler le volant vers sa position centrale, qui correspond à une trajectoire en ligne droite, 10 après un virage ; - une fonction de pilotage automatique, réalisant un asservissement automatique de la trajectoire du véhicule, telle qu'une fonction de maintien dans une voie de circulation (« lane keeping »), une fonction d'évitement automatique d'obstacle, ou une fonction de 15 stationnement automatique (« park assist »). La fonction de sécurisation F2, distincte de la fonction d'assistance F1, pourra par exemple être conçue pour restreindre, lorsque la vitesse longitudinale du véhicule augmente et/ou dépasse un certain seuil, l'intensité de l'effort d'assistance déterminé par la fonction d'assistance F1, et ce afin d'éviter que la fonction 20 d'assistance F1 ne cause, notamment lorsque le véhicule circule à vitesse élevée (typiquement au-delà de 50 km/h, de 90 km/h ou de 120 km/h), des mouvements brusques de la direction qui seraient susceptibles de causer une embardée du véhicule à de telles vitesses. De préférence, la fonction de sécurisation F2 garantit un niveau ASIL au 25 moins égal à B, de préférence au moins égal à C, voire égal à D au sens de la norme 150-26262. Ainsi, on peut satisfaire aux exigences de plus en plus sévères imposées par l'entrée en vigueur de la norme 150-26262 qui interdit désormais l'absence de sécurité ASIL, c'est-à-dire qui exclut le niveau « Quality Management » et impose un 30 niveau ASIL supérieur. La fonction d'assistance F1 et la fonction de sécurisation F2 font chacune appel à un même paramètre indicateur de vitesse du véhicule V_param qui est considéré comme représentatif de la vitesse longitudinale du véhicule, tel que cela est visible sur la figure 2. 35 En d'autres termes, chacune desdites fonctions F1, F2 requiert, pour son exécution propre, la connaissance d'une information de vitesse, représentative de la 8 vitesse longitudinale du véhicule, ladite information de vitesse étant ici fournie en entrée de chacune desdites fonctions F1, F2 sous la forme d'un signal dit « paramètre indicateur de vitesse » V_param. Selon l'invention, le procédé comprend donc une étape (a) d'estimation 5 de vitesse fonctionnelle, au cours de laquelle on estime une première valeur de vitesse, dite « vitesse fonctionnelle » V_func, qui est représentative de la vitesse longitudinale réelle du véhicule à un instant considéré. Cette vitesse fonctionnelle V_func est utilisée par défaut en tant que paramètre indicateur de vitesse du véhicule V_param, selon un premier mode de 10 fonctionnement dit « mode de fonctionnement normal ». En pratique, cette vitesse fonctionnelle V_func sera, en fonctionnement normal, c'est-à-dire en l'absence de patinage des roues et en l'absence de défaillance matérielle d'un capteur ou d'un calculateur chargé d'estimer ladite fonctionnelle V_func, égale à la vitesse réelle du véhicule à +/- 10%, voire à +/- 5%, c'est-à-dire 15 possédera une très bonne précision. Ce signal de vitesse fonctionnelle V_func sera donc idéal pour l'application des fonctions d'assistance F1. En revanche, le signal de vitesse fonctionnelle V_func pourra être relativement sensible aux perturbations ou aux défaillances qui affectent le véhicule 20 ou le calcul dudit signal, si bien que son niveau ASIL (garanti) pourra être faible. En particulier, cette vitesse fonctionnelle V_func pourra avoir tendance à être légèrement sous-estimée, ce qui n'est, dans certaines situations, pas acceptable pour les fonctions de sécurisation F2. Selon une possibilité de mise en oeuvre, l'information de vitesse 25 fonctionnelle V_func peut provenir d'un système tiers, qui est embarqué sur le véhicule mais qui est distinct du système de direction assistée 1, tel que par exemple un programme électronique de stabilité (« Electronic Stability Program ») ou d'antiblocage des freins (« AntiBlocking System »). La vitesse fonctionnelle V_func fera alors partie des informations disponibles sur le réseau de bord 20, de type CAN 30 (« Controller Area Network ») ou FlexRay (bus informatique), et pourra être récupérée par le système de direction assistée 1 lors de l'étape (a). Selon une autre possibilité de mise en oeuvre, l'estimation de la vitesse fonctionnelle V_func pourra être réalisée par le système de direction assistée 1 lui-même, par exemple à partir de mesures de la vitesse de rotation V_roue d'une ou 35 plusieurs roues 2 du véhicule, tel que cela est illustré sur la figure 2. 9 Par exemple, on pourra considérer comme vitesse fonctionnelle V_func la moyenne de la vitesse de rotation de roues 2 du véhicule, typiquement la moyenne de vitesse de rotation de deux roues 2 ou de quatre roues 2, convertie en vitesse linéaire en tenant compte notamment du diamètre desdites roues (incluant les 5 pneumatiques). Plus particulièrement, on pourra éventuellement considérer la moyenne de la vitesse de rotation des roues non motrices dudit véhicule (lorsque le véhicule ne fonctionne pas avec une transmission intégrale), afin notamment de limiter les erreurs d'estimation liées à d'éventuelles pertes d'adhérence des roues motrices dues à 10 l'accélération ou au freinage. En variante, on pourrait bien entendu considérer la moyenne des vitesses de rotation de l'ensemble des roues, motrices et/ou non motrices, du véhicule. Selon l'invention, le procédé comprend également une étape (b) d'estimation d'un majorant de vitesse, au cours de laquelle on estime une seconde 15 valeur de vitesse, dite « majorant de vitesse» V_upper, qui est distincte de, et supérieure à, la vitesse fonctionnelle V_func et qui est représentative d'un majorant de la vitesse longitudinale réelle du véhicule audit instant considéré. Ce majorant de vitesse V_upper représente une borne supérieure de vitesse, c'est-à-dire une valeur de vitesse longitudinale dont on sait qu'elle ne peut 20 pas être inférieure à la valeur de la vitesse longitudinale réelle du véhicule à l'instant considéré. En d'autres termes, on évalue le majorant de vitesse V_upper de telle sorte que l'on soit assuré, compte-tenu de la situation de vie du véhicule, que, matériellement, à l'instant considéré, la vitesse longitudinale réelle du véhicule est au 25 plus égale, et potentiellement inférieure, audit majorant de vitesse V_upper estimé, si bien qu'il est donc impossible que le véhicule aille effectivement plus vite que cette valeur de majorant de vitesse V_upper. A titre indicatif, le majorant de vitesse V_upper sera de préférence supérieur (en valeur absolue) à la vitesse longitudinale réelle du véhicule d'une valeur 30 comprise entre 0 km/h et 30 km/h. En outre, le signal de majorant de vitesse V_upper sera intrinsèquement « sécurisé », en ceci qu'il possédera un niveau ASIL supérieur à celui du signal de vitesse fonctionnelle V_func. De même que l'information de vitesse fonctionnelle V_func, l'information 35 de majorant de vitesse V_upper pourra être récupérée sur le réseau de bord 20, en 10 provenance de systèmes embarqués tiers tels que l'ESP ou l'ABS, ou bien être déterminée par le système de direction assistée 1 lui-même. A ce titre, on pourra par exemple évaluer le majorant de vitesse V_upper à partir de la vitesse de rotation V_roue maximale observée parmi l'ensemble de 5 chacune des vitesses de rotation des roues 2 motrices du véhicule. Ainsi, on privilégie une estimation « haute », voire une surestimation, de la vitesse instantanée réelle du véhicule, et ce afin de disposer d'un majorant de vitesse V_upper qui écartera tout risque d'utiliser comme paramètre indicateur de vitesse V_param une valeur par trop sous-estimée qui pourrait fausser l'exécution de 10 la fonction de sécurisation F2. On notera à ce titre que le fait de prendre en considération la vitesse de rotation V_roue maximale de la roue 2 qui tourne le plus vite, et de fonder l'estimation du majorant de vitesse V_upper sur ladite vitesse de rotation maximale de roue, permet de s'assurer que l'on détermine effectivement un tel majorant. 15 Le procédé comprend ensuite une étape (c) de calcul d'une vitesse sous- estimée au cours de laquelle on applique au majorant de vitesse V_upper une loi de réduction LR prédéterminée de sorte à obtenir une valeur de vitesse sous-estimée V_under, qui est inférieure au majorant de vitesse V_upper d'une valeur de réduction V_reduc prédéterminée fixée par ladite loi de réduction LR: 20 I V_under I = I V_upper I - I V_reduc I . On notera que le concept de « réduction », ou de « sous-estimation » de la vitesse du véhicule consiste à amoindrir, en valeur absolue, le majorant de vitesse V_upper initialement estimé pour obtenir une vitesse sous-estimée V_under qui est, en valeur absolue, plus proche de zéro (plus proche d'une vitesse nulle) que ledit 25 majorant de vitesse V_under. Comme cela sera détaillé plus bas, et tel que cela est illustré sur les figures 3 et 4, la valeur de réduction V_under est choisie de telle sorte qu'elle définisse, par rapport au majorant de vitesse V_upper, la largeur d'un « tunnel de sécurité » ST, qui est compris entre une valeur haute correspondant au majorant de 30 vitesse V_upper et une valeur basse correspondant à la vitesse sous-estimée V_under, et où ladite vitesse sous-estimée correspond à une valeur minimale admissible pour garantir le bon fonctionnement de la fonction de sécurisation F2. La valeur de réduction (valeur de sous-estimation) V_réduc qui résulte de l'application de la loi de réduction LR est avantageusement suffisante pour permettre, 35 voire favoriser, une exécution appropriée de la fonction d'assistance F1, de sorte à ne pas être source d'inconfort pour le conducteur, mais néanmoins suffisamment faible 11 pour ne pas trop réduire l'estimation de vitesse utilisée comme paramètre indicateur de la vitesse de véhicule V_param, et donc pour ne pas compromettre l'exécution fiable de la fonction de sécurisation F2, et donc garantir que ladite fonction de sécurisation F2 et le système de direction assistée 1 fonctionnent au niveau ASIL 5 souhaité. Ainsi, aussi longtemps que la valeur prise par le paramètre indicateur de vitesse du véhicule V_param retenu pour l'application des fonctions d'assistance F1 et de sécurisation F2 se trouvera à l'intérieur dudit tunnel de sécurité ST, on garantira un fonctionnement acceptable des deux types de fonctions, et en particulier un 10 fonctionnement acceptable de la fonction de sécurisation F2. Le procédé comprend ensuite une étape (d) de comparaison au cours de laquelle on compare, en valeur absolue, la valeur de vitesse fonctionnelle V_func à la valeur de vitesse sous-estimée V_under, et, si la valeur absolue de la vitesse fonctionnelle I V_func I est inférieure à la valeur absolue de la vitesse sous-estimée 15 I V_under I, une étape (e) de commutation au cours de laquelle on commute du mode de fonctionnement normal vers un second mode de fonctionnement dit « mode de sécurité », en substituant à la vitesse fonctionnelle V_func la vitesse sous-estimée V_under en tant que paramètre indicateur de vitesse du véhicule V_param utilisé en entrée de chacune des fonctions d'assistance F1 et de sécurisation F2. 20 Cette commutation corrective permet d'affecter sélectivement au paramètre indicateur de vitesse du véhicule V_param tantôt la valeur de vitesse fonctionnelle V_func, tant que ladite valeur de vitesse fonctionnelle est, en valeur absolue, supérieure ou égale à la vitesse sous-estimée V_under, c'est-à-dire tant que ladite valeur de vitesse fonctionnelle reste dans le tunnel de sécurité ST acceptable 25 pour la fonction de sécurisation F2, et tantôt la valeur de vitesse sous-estimée, c'est-à- dire la limite basse acceptable du tunnel de sécurité ST, lorsque la valeur de la vitesse fonctionnelle chute sous ladite limite basse acceptable V_under. Ainsi, le paramètre indicateur de vitesse du véhicule V_param est maintenu en permanence (ou en quasi-permanence) au-dessus de la limite inférieure 30 basse V_under du tunnel de sécurité, ce qui garantit le bon fonctionnement de la fonction de sécurisation F2. En outre, la commutation intervient uniquement lorsque la vitesse fonctionnelle V_func est trop basse et franchit la limite inférieure fixée par la vitesse sous-estimée V_under, c'est-à-dire uniquement en cas d'erreur d'estimation ou de 35 défaillance, de sorte à privilégier, en l'absence d'erreur ou de défaillance, le signal de vitesse fonctionnelle V_func qui est donne une estimation plus précise et plus réaliste 12 de la vitesse longitudinale réelle du véhicule que le majorant de vitesse V_upper et/ou que la vitesse sous-estimée V_under, et ce de manière à favoriser, en fonctionnement normal, la fiabilité et le confort de la fonction d'assistance Fi. Par défaut, c'est-à-dire tant que la vitesse fonctionnelle V_func se trouve 5 dans le tunnel de sécurité ST, ou respectivement lorsque la vitesse fonctionnelle V_func revient dans le tunnel de sécurité ST, on reste, respectivement on rebascule, dans le mode de fonctionnement normal. Bien entendu, le procédé comprend également une étape d'utilisation partagée au cours de laquelle on utilise le même paramètre indicateur de la vitesse du 10 véhicule V_param, égal soit à la vitesse fonctionnelle V_func, soit à la valeur de vitesse sous-estimée V_under, comme entrée de chacune des fonctions d'assistance Fi et de sécurisation F2 susmentionnées. La loi de réduction LR est de préférence établie préalablement, par des essais et/ou des simulations au cours desquels, à une vitesse longitudinale réelle 15 donnée, non nulle, du véhicule, on abaisse progressivement, et artificiellement, en valeur absolue, le paramètre indicateur de vitesse du véhicule V_param qui est pris en considération par les fonctions d'assistance Fi et de sécurisation F2, et l'on observe les réactions correspondantes de la fonction de sécurisation F2 et/ou du véhicule, jusqu'à identifier un seuil bas de paramètre indicateur de vitesse 20 V_param_thresh_low à partir duquel on constate que la fonction de sécurisation F2 ne parvient plus à assurer une sécurité conforme au niveau ASIL souhaité à la vitesse longitudinale réelle donnée, puis l'on fixe, à partir de ce seuil bas de paramètre indicateur de vitesse V_param_thresh_low, une valeur de réduction V_reduc retenue pour la loi de réduction LR. 25 Plus particulièrement, on pourra déterminer la valeur de réduction V_reduc à partir de la différence, dite « valeur de réduction maximale admissible» V_reduc_max, entre d'une part la vitesse fonctionnelle V_func, ou plus préférentiellement le majorant de vitesse V_upper, au moment où l'on atteint le seuil bas de paramètre indicateur de vitesse V_param_thresh_low, et d'autre part ledit 30 seuil bas de paramètre indicateur de vitesse V_param_thresh_low, c'est-à-dire : V_reduc = f(V_reduc_max) avec IV_reduc_max I = IV_funcl - IV_param_thresh_low I ou, éventuellement, avec IV_reduc_max I = IV_upper I - IV_param_thresh_low I 35 On notera que, en pratique, on peut réaliser les essais destinés à déterminer la loi de réduction LR dans des conditions stabilisées, dans lesquelles il est 13 possible d'accorder confiance à la valeur de vitesse fonctionnelle V_func. On peut donc sereinement utiliser la première formule ci-dessus : I V_reduc_max I = IV Junc I - I V_param_thresh_low I Ceci étant, dans des conditions stabilisées, la valeur de vitesse 5 fonctionnelle V_func est généralement très proche du majorant de vitesse V_upper, si bien que les deux méthodes (correspondant à chacune des deux formules précisées ci-dessus) donnent, en première approximation, des résultats sensiblement identiques. On pourra ensuite choisir V_reduc = V_reduc_max, 10 ou, de préférence, afin de conserver une marge de sécurité supplémentaire, définir la valeur de réduction V_reduc comme une fraction de la valeur de réduction maximale admissible V_reduc_max, par exemple : 0,70* I V_reduc_max I I V_reduc I I V_reduc_max I . ladite fraction étant de façon encore plus préférentielle comprise (en 15 valeur absolue) entre 70 % et 90 % de la valeur de réduction maximale admissible V_reduc_max : 0,70* I V_reduc_max I I V_reduc I 0,90* I V_reduc_max I . En d'autres termes, on construit empiriquement la loi de réduction LR en faisant fonctionner le système de direction assistée 1, et plus globalement le véhicule, 20 à une vitesse réelle donnée, et donc à un majorant de vitesse V_upper donné, et en testant successivement plusieurs valeurs décroissantes du paramètre indicateur de vitesse V_param (en valeur absolue), c'est-à-dire en faussant intentionnellement le paramètre indicateur de vitesse V_param, afin de simuler des défauts croissants dans l'estimation de la vitesse fonctionnelle V_func qui, en l'absence de commutation 25 corrective propre à l'invention, induiraient une sous-estimation de plus en plus importante de ladite vitesse fonctionnelle V_func et donc du paramètre indicateur V_param, jusqu'à parvenir à un seuil bas de paramètre indicateur de vitesse V_param_thresh_low qui provoque une défaillance de la fonction de sécurisation F2, par exemple en rendant la fonction de sécurisation inopérante ou incapable de 30 compenser à temps un évènement dangereux (évènement redouté). Ainsi, pour chaque vitesse longitudinale réelle, et donc pour chaque majorant de vitesse V_upper correspondant, on identifie une valeur de réduction maximale admissible V_reduc_max à partir de laquelle, si ladite valeur de réduction maximale admissible V_reduc_max est déduite dudit majorant de vitesse V_upper, 35 pour calculer le paramètre indicateur de vitesse V_param utilisé par la fonction de sécurisation F2, le défaut induit dégrade suffisamment la performance de la fonction 14 de sécurisation F2 pour que ladite fonction se trouve « rétrogradée » à un niveau ASIL inférieur au niveau ASIL requis par le cahier des charges. Le seuil bas de paramètre indicateur de vitesse V_param_thresh_low, c'est-à-dire la limite de sous-estimation qui provoque la défaillance de la fonction de 5 sécurisation F2, correspond donc empiriquement à la valeur de réduction maximale acceptable qu'il convient de ne pas outrepasser (en valeur absolue), à un majorant de vitesse V_upper donné, et donc en pratique lorsque l'on se trouve à une vitesse réelle donnée, pour conserver une sécurisation fiable au niveau ASIL souhaité. Le test est répété pour plusieurs valeurs (croissantes) de vitesse 10 longitudinale réelle du véhicule, et donc pour plusieurs valeurs de majorant de vitesse V_upper (respectivement pour plusieurs valeurs de vitesse fonctionnelle V_func), de manière à couvrir de préférence toute la plage d'utilisation prévisible du véhicule, typiquement de 0 km/h à au moins 130 km/h, 150 km/h, 200 km/h voire 250 km/h. L'ensemble de la série de données qui associe à chaque valeur de vitesse 15 réelle, ou, plus préférentiellement, à chaque valeur de majorant de vitesse V_upper, dans la plage de vitesses susmentionnée (ici de 0 km/h à 250 km/h sur la figure 1), une valeur de réduction V_reduc (maximale acceptable), et donc un minimum acceptable (valeur la plus basse acceptable, en valeur absolue) de vitesse sous-estimée V_under, forme la loi de réduction LR. 20 Le paramètre indicateur de vitesse V_param pourra donc prendre, sans risque pour la fonction de sécurisation F2, toute valeur qui sera comprise dans la plage définie entre d'une part une valeur limite haute égale au majorant de vitesse V_upper, et d'autre part, et surtout, une valeur limite basse égale à la vitesse sous-estimée V_under, c'est-à-dire égale au majorant de vitesse V_upper (considéré à l'instant 25 considéré) diminué de la valeur de réduction V_reduc applicable à l'instant considéré. Dans l'absolu, on pourrait envisager, selon un mode de réalisation, d'utiliser une même valeur de réduction V_reduc constante quelle que soit la vitesse réelle instantané, et donc quelle que soit la valeur du majorant de vitesse V_upper. On pourra notamment utiliser une telle valeur de réduction V_reduc 30 constante en rattrapage (« retrofit ») au sein de systèmes de direction assistée 1 d'ancienne génération, dont les fonctions de sécurisation F2 sont relativement peu sensibles à la sous-estimation de vitesse. A titre d'exemple, ladite valeur de réduction V_reduc constante pourra être alors égale à une valeur constante choisie dans la plage comprise entre 30 km/h 35 et 40 km/h. 15 Toutefois, selon un autre mode de réalisation particulièrement préférentiel, la loi de réduction LR ajuste la valeur de réduction V_reduc en fonction du majorant de vitesse V_upper estimé. Avantageusement, le fait de modifier la valeur de réduction V_reduc en 5 fonction de la vitesse permet une utilisation particulièrement fine du principe de sous-estimation selon l'invention, qui permet notamment d'appliquer le procédé à des fonctions de sécurisation F2 de nouvelle génération, qui sont plus performantes mais plus exigeantes, car plus sensibles aux défauts de sous-estimation de vitesse que les fonctions de sécurisation de précédente génération. 10 La sécurité du véhicule et de ses occupants s'en trouve donc améliorée. De façon encore plus préférentielle, la loi de réduction LR est globalement une fonction croissante, de sorte à augmenter, en valeur absolue, la valeur de réduction V_reduc lorsque lorsque le majorant de vitesse V_upper augmente en valeur absolue, tel que cela est illustré sur la figure 1. 15 Ainsi, on peut sous-estimer davantage la vitesse du véhicule lorsque le véhicule roule à des vitesses élevées que lorsque le véhicule roule à faible vitesse, ou, autrement formulé, on peut appliquer à faible vitesse une sous-estimation (valeur de réduction V_reduc) qui est moindre que la sous-estimation appliquée à haute vitesse. On notera que la forme d'évolution de la valeur de réduction V_reduc 20 proposée sur la figure 1 n'est qu'une variante parmi d'autres, ladite évolution étant principalement définie en fonction du comportement de la ou des fonctions de sécurisation F2 concernées. Dans l'exemple de la figure 1, les fonctions de sécurisation F2 peuvent se comporter très différemment entre une situation de parking (ou une situation de très 25 basse vitesse, typiquement inférieure à 10 km/h voire à 5 km/h), dans laquelle lesdites fonctions de sécurisation F2 sont relativement « lâches » et peu contraignantes, et une situation de début de roulage (typiquement entre 5 km/ et 30 km/h), dans laquelle lesdites fonctions de sécurisation F2 deviennent plus contraignantes et donc plus sensibles aux variations du paramètre indicateur de vitesse V_param. 30 Pour éviter de gros écarts de comportement desdites fonctions de sécurisation F2 à basse vitesse, on fait donc décroître la valeur de réduction V_reduc admissible lorsque la vitesse du véhicule s'approche de zéro. Ensuite, typiquement entre 30 km/h et 160 km/h, le comportement des fonctions de sécurisation F2 évolue de préférence de manière plus progressive, ce qui 35 explique que l'on puisse prévoir une valeur de réduction V_reduc quasiment constante. 16 Pour les vitesses très élevées (au-delà de 160 km/h, voire au-delà de 200 km/h), le comportement, et notamment les seuils de déclenchement, des fonctions de sécurisation F2 n'évoluent de préférence quasiment plus, ce qui explique que l'on puisse tolérer une sous-estimation assez importante de la vitesse, et donc des valeurs 5 de réduction V_reduc, relativement élevées. De la sorte, la sous-estimation éventuelle du paramètre indicateur de vitesse V_param ne fausse pas la perception, par le système de direction assistée 1, de la vitesse réelle du véhicule, et l'on conserve donc une exécution des fonctions, tant de la fonction d'assistance F1 que de la fonction de sécurisation F2, parfaitement 10 adaptée à la vitesse réelle du véhicule. Avantageusement, la valeur de réduction V_reduc sera choisie de sorte d'une part à ménager la sensibilité des fonctions de sécurisation F2, afin d'éviter un comportement erratique de ces dernières, mais également, d'autre part, de sorte à, lorsque le paramètre indicateur de vitesse du véhicule V_param commute à la valeur 15 sous-estimée V_under alors que le véhicule circule à basse vitesse, ne pas désactiver ou ne pas restreindre trop tôt certaines fonctions d'assistance F1 qui sont particulièrement utiles lorsque le véhicule circule à basse vitesse en agglomération, et notamment lorsque le véhicule emprunte des voies de circulation présentant des intersections et des virages serrés (de type « coins de rue »). 20 Plus particulièrement, on peut ainsi conserver, par exemple, malgré le passage en mode sécurisé, une fonction d'assistance au rappel au centre du volant qui reste effectivement active sur toute la plage de vitesse réelle concernée, ici de préférence comprise entre 0 km/h et 50 km/h, et par conséquent qui reste active aussi longtemps que le véhicule circule en ville et nécessite des manoeuvres amples du 25 volant pour tourner aux coins de rues. Selon un exemple de mise en oeuvre, purement indicatif et non limitatif, la loi de réduction LR pourra comprendre plusieurs domaines, tel que cela est illustré sur la figure 1 : - un premier domaine D1 de basse vitesse, compris entre 0 km/h et 30 une limite V1 de basse vitesse comprise entre 20 km/h et 50 km/h, et de préférence égale à 30 km/h, ce domaine D1 correspondant ainsi aux situations d'accès au stationnement et de circulation en ville. Dans ledit premier domaine D1, la loi de réduction LR sera de préférence continûment croissante, de sorte à augmenter 35 progressivement la valeur de réduction V_reduc applicable avec le majorant de vitesse V_upper ; la valeur de réduction V_reduc 17 applicable pourra y être typiquement comprise entre 0 km/h et 8 km/h à 10 km/h (valeur atteinte à la limite de vitesse V1); - un second domaine D2 de moyenne vitesse, compris entre la limite de basse vitesse V1 susmentionnée (30 km/h sur la figure 1) et une 5 limite de haute vitesse V2 comprise de préférence entre 130 km/h et 180 km/h, et par exemple égale à 160 km/h sur la figure 1, ledit second domaine D2 correspondant ainsi typiquement à la circulation hors agglomération et sur autoroute. Dans ce second domaine D2, la valeur de réduction V_reduc suivra une évolution sensiblement en 10 plateau, et sera donc de préférence constante, voire légèrement croissante, et par exemple comprise entre 8 km/h à 10 km/h et 15 km/h, voire égale à 10 km/h ; - un troisième domaine D3 de haute vitesse, compris entre la limite de haute vitesse V2 susmentionnée (160 km/h sur la figure 1) et une 15 limite de très haute vitesse V3 comprise de préférence entre 180 km/h et 250 km/h, et par exemple égale à 200 km/h sur la figure 1, troisième domaine D3 dans lequel la valeur de réduction V_reduc augmente continûment avec le majorant de vitesse V_upper, selon une fonction de préférence plus fortement croissante que dans le 20 premier domaine D1, pour atteindre une valeur comprise entre 20 km/h ou 25 km/h et 40 km/h, et par exemple égale ici à 30 km/h ; - éventuellement un quatrième domaine D4 de très haute vitesse, compris entre la limite de très haute vitesse V3 susmentionnée (200 km/h sur la figure 1) et la vitesse maximale V4 du véhicule (par 25 exemple 240 km/h ou 250 km/h), dans lequel la sous-estimation sera de préférence constante, ou faiblement croissante, par exemple ici égale à 30 km/h. La loi de réduction LR pourra bien entendu adopter une forme très différente en fonction de la nature des fonctions de sécurisation F2 concernées. 30 De préférence, la loi de réduction LR est stockée dans une mémoire non volatile sous forme d'un abaque prédéterminé qui, comme cela est illustré sur la figure 1, associe à chaque valeur de majorant de vitesse V_upper une valeur de réduction V_reduc que l'on retranche ensuite au majorant de vitesse V_upper pour obtenir la vitesse sous-estimée V_under comme cela est illustré sur la figure 2. 35 Selon une variante équivalente dans sa finalité, la loi de réduction LR peut être stockée dans une mémoire non volatile sous forme d'un abaque qui associe 18 directement à chaque valeur de majorant de vitesse V_upper une valeur de vitesse sous-estimée V_under qui prend (implicitement) en considération la valeur de réduction V_reduc applicable au majorant de vitesse V_upper considéré. De préférence, lors de l'étape (b) d'estimation d'un majorant de vitesse, 5 à un instant t_n considéré correspondant à une itération n en cours, on évalue le majorant de vitesse V_upper(t_n) à partir d'au moins une mesure de vitesse d'entrée V_roue, telle qu'une mesure de vitesse de rotation V_roue d'une roue 2 du véhicule, et plus préférentiellement à partir de la vitesse de rotation maximale relevée parmi les vitesses de plusieurs roues voire de l'ensemble des roues du véhicule, puis, selon 10 une caractéristique préférentielle qui peut constituer une invention à part entière, l'on compare ledit majorant de vitesse V_upper(t_n) au majorant de vitesse V_upper(t_n-1) qui a été évaluée lors de l'itération précédente n-1 (à un instant t_n1), afin d'évaluer la variation correspondante du majorant de vitesse V_upper par unité de temps, ou, respectivement, on compare la mesure de vitesse d'entrée de 15 l'itération en cours V_roue(t_n) à la mesure de vitesse d'entrée de l'itération précédente V_roue(t_n-1) afin d'évaluer la variation correspondante de mesure de vitesse d'entrée par unité de temps, ladite variation de majorant de vitesse V_upper par unité de temps, respectivement ladite variation de mesure de vitesse d'entrée par unité de temps, étant dite « gradient de vitesse observé » noté Grad(V). 20 Ensuite, l'on compare ledit gradient de vitesse observé Grad(V) à un premier gradient de référence dit premier « gradient maximal plausible » Grad_ref_1, prédéterminé au préalable par des essais d'accélération et de freinage du véhicule, et, si le gradient de vitesse observé Grad(V) est, en valeur absolue, supérieur audit premier gradient maximal plausible Grad_ref_1, l'on corrige le majorant de vitesse de 25 l'itération en cours V_upper(t_n) par écrêtage, en appliquant au majorant de vitesse de l'itération précédente V_upper(t_n-1), ou respectivement à la mesure de vitesse d'entrée de l'itération précédente V_roue(t_n-1), le premier gradient maximal plausible Grad_ref_1 en lieu et place du gradient de vitesse observé Grad(V). En d'autres termes : 30 On calcule la variation de vitesse instantanée par unité de temps : Grad(V) = [V_upper(t_n) - V_ upper(t_n-1)] / [(t_n)- (t_n-1)] ou, de manière équivalente, la variation de vitesse d'entrée par unité de temps : Grad(V) = [V_roue(t_n) - V_roue(t_n-1)] / [(t_n)- (t_n-1)] 35 On compare ensuite Grad(V) à Grad_ref_1. 19 Concrètement, le gradient maximal plausible Grad_ref_1 représente l'accélération maximale, ou respectivement la décélération maximale, que le véhicule peut réaliser matériellement, compte-tenu notamment de la puissance du moteur chargé de mouvoir le véhicule, de l'efficacité du circuit de freinage, et de l'adhérence 5 des pneumatiques. Ces capacités d'accélération maximale, respectivement de décélération maximale, sont déterminées empiriquement par des essais d'accélération et des essais de décélération (par exemple de freinage d'urgence) menés sur le véhicule, au cours desquels on amène le véhicule à ses limites d'adhérence en situation 10 d'accélération/décélération. Le cas échéant, des essais menés sur un véhicule permettent d'établir un gradient maximal plausible général, qui sera applicable à tous les véhicules de même modèle possédant une même configuration. Si, en valeur absolue, le gradient de vitesse observé Grad(V) est supérieur 15 au gradient maximal de vitesse plausible, c'est-à-dire si I Grad(V) I > I Grad_ref_1 I, cela signifie que la variation mesurée de la vitesse du véhicule, c'est-à-dire l'accélération mesurée, ou respectivement la décélération mesurée, du véhicule, représentée par Grad(V), est supérieure à l'accélération maximale, respectivement au 20 freinage maximal, que le véhicule peut matériellement fournir, ce qui est bien entendu impossible. On en conclut donc que l'estimation du majorant de vitesse V_upper est erronée, en l'occurrence surévaluée dans le cas d'une accélération, sous-évaluée dans le cas d'un freinage. Cette situation d'erreur peut notamment se produire lorsqu'une 25 roue perd de l'adhérence et, selon le cas, soit accélère fortement en patinant sur la chaussée, soit freine jusqu'à se bloquer et à glisser sur la chaussée. En pareille situation, on décide alors de substituer le gradient maximal plausible Grad_ref_1 au gradient observé Grad(V), de manière à remplacer le majorant de vitesse V_upper (t_n) erroné, estimé lors de l'itération en cours n, par un 30 majorant de vitesse V_upper calculé plus plausible, c'est-à-dire qui correspond de façon plus réaliste aux performances réelles possibles du véhicule, et qui est obtenu en ajoutant à la précédente valeur de majorant de vitesse V_upper(t_n-1), mesuré lors de l'itération précédente n-1 et jugé fiable, le gradient maximal plausible Grad_ref_1 multiplié par la durée écoulée entre les deux itérations : 35 V_upper(t_n) = V_upper(t_n-1) + Grad_ref_1*[(t_n) - (t_n-1)] 20 En d'autres termes, si le majorant de vitesse V_upper estimé (ou recueilli via le réseau de bord CAN) lors de l'itération t_n en cours n'est pas réaliste, car incompatible avec les performances du véhicule, on considère arbitrairement que la vitesse instantanée, et donc le majorant de vitesse V_upper, n'a pu varier, par rapport 5 à la vitesse instantanée, respectivement par rapport au majorant de vitesse V_upper, évalué(e) lors de l'itération précédente, au plus que d'une valeur égale à celle définie par la capacité maximale d'accélération, ou respectivement par la capacité maximale de décélération, du véhicule. Ainsi, on s'assure que le majorant de vitesse V_upper considéré pour 10 appliquer le procédé, et plus particulièrement pour mettre en oeuvre les étapes (c) de calcul de vitesse sous-estimée V_under, et (d) de comparaison puis, s'il y a lieu, (e) de commutation, reste toujours cohérent avec les capacités matérielles du véhicule, soit en utilisant directement l'estimation dudit majorant de vitesse V_upper, si ladite estimation est conforme à la limite de variation posée par le gradient maximal 15 possible Grad_ref_1, soit, si tel n'est pas le cas, en recalculant ledit majorant de vitesse V_upper dans la limite de variation posée par le gradient maximal plausible Grad_ref_1, pour rendre ledit majorant de vitesse V_upper conforme à ladite limite, et donc cohérent avec les capacités effectives du véhicule. En pratique, l'écrêtage revient à appliquer un (premier) limiteur de 20 gradient 3, dont la valeur de saturation SAT+, SAT- correspond au gradient maximal plausible Grad_ref_1. Un tel limiteur de gradient 3 laissera passer telle quelle toute variation de majorant de vitesse V_upper qui est inférieure ou égale au gradient maximal plausible Grad_ref_1, c'est-à-dire qui est comprise entre une valeur nulle et la valeur de 25 saturation SAT+, SAT- (valeur d'écrêtage) définie par ledit gradient maximal plausible, et qui est donc conforme aux capacités d'accélération/décélération effectives du véhicule. En revanche, ce limiteur de gradient 3 limitera automatiquement toute variation de majorant de vitesse V_upper qui dépasse ledit gradient maximal plausible 30 Grad_ref_1, c'est-à-dire qui dépasse, en valeur absolue, la valeur absolue de la valeur de saturation SAT+, SAT- correspondante, en ramenant (saturant) alors ladite variation de majorant de vitesse à ladite valeur de gradient maximal plausible, c'est-à-dire à la valeur de saturation SAT+, SAT-. On notera que, avantageusement, le limiteur de gradient 3 peut 35 comporter une valeur de saturation en accélération SAT+ qui est distincte, en valeur absolue, de la valeur de saturation en décélération (freinage) SAT-, c'est-à-dire opérer 21 une saturation qui n'est pas symétrique selon que l'on se trouve en situation d'accélération (variation de vitesse, et donc variation de majorant de vitesse, positive) ou de décélération (variation de vitesse, et donc variation de majorant de vitesse, négative). 5 Une telle différenciation permettra notamment de tenir compte du fait que, matériellement, un véhicule peut généralement décélérer, notamment en situation de freinage d'urgence, avec plus d'intensité qu'il ne peut accélérer. De préférence, le (premier) gradient maximal plausible Grad_ref_1, et donc le limiteur de gradient 3, pourra ainsi fixer une valeur de saturation en 10 accélération SAT+ inférieure, en valeur absolue, à la valeur de saturation en décélération SAT- , c'est-à-dire telle que l SAT+ l REVENDICATIONS1. Procédé de gestion d'un système de direction assistée (1) pour véhicule, ledit système de direction assistée comportant une pluralité de fonctions incluant au moins une fonction d'assistance (F1) destinée à assister un conducteur dans le pilotage du véhicule et au moins une fonction de sécurisation (F2) destinée à conférer à ladite fonction d'assistance un niveau ASIL prédéterminé au sens de la norme IS0-26262, ladite fonction d'assistance (F1) et ladite fonction de sécurisation (F2) faisant chacune appel à un même paramètre indicateur de vitesse du véhicule (V_param) qui est considéré comme représentatif de la vitesse longitudinale du véhicule, ledit procédé étant caractérisé en ce qu'il comprend une étape (a) d'estimation de vitesse fonctionnelle, au cours de laquelle on estime une première valeur de vitesse, dite « vitesse fonctionnelle » (V_func), qui est représentative de la vitesse longitudinale réelle du véhicule à un instant considéré, et qui est utilisée par défaut en tant que paramètre indicateur de vitesse du véhicule (V_param), selon un premier mode de fonctionnement dit « mode de fonctionnement normal », une étape (b) d'estimation d'un majorant de vitesse, au cours de laquelle on estime une seconde valeur de vitesse, dite « majorant de vitesse » (V_upper), qui est supérieure à la vitesse fonctionnelle (V_func) et représentative d'un majorant de la vitesse longitudinale réelle du véhicule audit instant considéré, une étape (c) de calcul d'une vitesse sous-estimée au cours de laquelle on applique au majorant de vitesse (V_upper) une loi de réduction (LR) prédéterminée de sorte à obtenir une valeur de vitesse sous-estimée (V_under), qui est inférieure au majorant de vitesse (V_upper) d'une valeur de réduction (V_reduc) prédéterminée fixée par ladite loi de réduction (LR), une étape (d) de comparaison au cours de laquelle on compare, en valeur absolue, la valeur de vitesse fonctionnelle (V_func) à la valeur de vitesse sous-estimée (V_under), et, si la valeur absolue de la vitesse fonctionnelle (V_func) est inférieure à la valeur absolue de la vitesse sous-estimée (V_under), une étape (e) de commutation au cours de laquelle on commute du mode de fonctionnement normal vers un second mode de fonctionnement dit « mode de sécurité », en substituant à la vitesse fonctionnelle (V_func) la vitesse sous-estimée (V_under) en tant que paramètre indicateur de vitesse du véhicule (V_param) utilisé en entrée de chacune des fonctions d'assistance et de sécurisation (F1, F2). 2. Procédé selon la revendication 1 caractérisé en ce que la loi de réduction (LR) est établie préalablement, par des essais et/ou des simulations au cours desquels, à une vitesse longitudinale réelle donnée, non nulle, du véhicule, on abaisse progressivement, et artificiellement, en valeur absolue, le paramètre indicateur de 28 vitesse du véhicule (V_param) qui est pris en considération par les fonctions d'assistance (F1) et de sécurisation (F2), et l'on observe les réactions correspondantes de la fonction de sécurisation (F2) et/ou du véhicule, jusqu'à identifier un seuil bas de paramètre indicateur de vitesse (V_param_thresh_low) à partir duquel on constate 5 que la fonction de sécurisation (F2) ne parvient plus à assurer une sécurité conforme au niveau ASIL souhaité à la vitesse longitudinale réelle donnée, puis l'on fixe, à partir de ce seuil bas de paramètre indicateur de vitesse (V_param_thresh_low), une valeur de réduction (V_reduc) retenue pour la loi de réduction (LR). 3. Procédé selon la revendication 1 ou 2 caractérisé en ce que la loi de 10 réduction (LR) ajuste la valeur de réduction (V_reduc) en fonction du majorant de vitesse (V_upper) estimé, de préférence de sorte à augmenter, en valeur absolue, la valeur de réduction (V_reduc) lorsque le majorant de vitesse (V_upper) augmente en valeur absolue. 4. Procédé selon l'une des revendications précédentes caractérisé en ce 15 que la loi de réduction (LR) est stockée dans une mémoire non volatile sous forme d'un abaque prédéterminé qui associe à chaque valeur de majorant de vitesse (V_upper) une valeur de réduction (V_reduc) que l'on retranche au majorant de vitesse (V_upper) pour obtenir la vitesse sous-estimée (V_under), ou qui associe directement à chaque valeur de majorant de vitesse (V_upper) une valeur de vitesse 20 sous-estimée (V_under) qui prend en considération la valeur de réduction (V_reduc) applicable au majorant de vitesse (V_upper) considéré. 5. Procédé selon l'une des revendications précédentes caractérisé en ce que, lors de l'étape (b) d'estimation d'un majorant de vitesse, à un instant (t_n) considéré correspondant à une itération (n) en cours, on évalue le majorant de vitesse 25 (V_upper(t_n)) à partir d'au moins une mesure de vitesse d'entrée (V_roue), telle qu'une mesure de vitesse de rotation d'une roue du véhicule, puis l'on compare ledit majorant de vitesse (V_upper(t_n)) au majorant de vitesse (V_upper(t_n-1)) qui a été estimé lors de l'itération précédente (n-1), afin d'évaluer la variation correspondante du majorant de vitesse par unité de temps, ou, respectivement, on compare la mesure 30 de vitesse d'entrée de l'itération en cours (V_roue(t_n)) à la mesure de vitesse d'entrée de l'itération précédente (V_roue(t_n-1)) afin d'évaluer la variation correspondante de mesure de vitesse d'entrée par unité de temps, ladite variation de majorant de vitesse par unité de temps, respectivement ladite variation de mesure de vitesse d'entrée par unité de temps, étant dite « gradient de vitesse observé » 35 (Grad(V)), puis l'on compare ledit gradient de vitesse observé (Grad(V)) à un premier gradient de référence dit « gradient maximal plausible » (Grad_ref_1), prédéterminé 29 au préalable par des essais d'accélération et de freinage du véhicule, et, si le gradient de vitesse observé (Grad(V)) est, en valeur absolue, supérieur audit gradient maximal plausible (Grad_ref_1), on corrige le majorant de vitesse (V_upper(t_n)) de l'itération en cours par écrêtage, en appliquant au majorant de vitesse (V_upper(t_n-1)) de 5 l'itération précédente, ou respectivement à la mesure de vitesse d'entrée de l'itération précédente (V_roue(t_n-1)), le gradient maximal plausible amont (Grad_ref_1) en lieu et place du gradient de vitesse observé (Grad(V)). 6. Procédé selon l'une des revendications précédentes caractérisé en ce que l'étape (e) de commutation opère une commutation immédiate du mode de 10 fonctionnement normal au mode de sécurité, en faisant passer immédiatement le paramètre indicateur de vitesse (V_param) de la vitesse fonctionnelle (V_func) à la vitesse sous-estimée (V_under), aussitôt que l'on détecte que, en valeur absolue, la vitesse fonctionnelle (V_func) devient inférieure à la vitesse sous-estimée (V_under). 7. Procédé selon l'une des revendications 1 à 5 caractérisé en ce que 15 l'étape (e) de commutation opère une commutation différée du mode de fonctionnement normal au mode de sécurité, en faisant passer le paramètre indicateur de vitesse (V_param) de la vitesse fonctionnelle (V_func) à la vitesse sous-estimée (V_under) seulement si, en valeur absolue, la vitesse fonctionnelle (V_func) reste inférieure à la vitesse sous-estimée (V_under) pendant une durée non nulle, dite 20 « durée de défaut », qui atteint ou dépasse un seuil de tolérance prédéterminé. 8. Procédé selon l'une des revendications précédentes caractérisé en ce qu'il comporte, après l'étape (e) de commutation, une étape (f) de sécurisation renforcée, au cours de laquelle on mesure la durée, dite « durée de sécurisation », pendant laquelle le mode de sécurité reste actif, et, si ladite durée de sécurisation 25 atteint ou dépasse un seuil d'alerte prédéterminé, on commute du mode de sécurité vers un troisième mode de fonctionnement, dit mode de sécurité renforcée, en faisant passer le paramètre indicateur de vitesse du véhicule (V_param) de la vitesse sous-estimée (V_under) à une valeur dite « vitesse de sécurisation renforcée » (V_enhanced) qui est égale ou supérieure au majorant de vitesse (V_upper). 30 9. Procédé selon l'une des revendications précédentes caractérisé en ce que les modifications de la valeur du paramètre indicateur de vitesse du véhicule (V_param), qui sont opérées lors des commutations d'un mode de fonctionnement à un autre mode de fonctionnement, suivent des lois de transition présentant une classe de continuité au moins CO, telles qu'une rampe, une fonction d'interpolation ou 35 un filtrage. 30 10. Procédé selon la revendication 6 ou la revendication 7 caractérisé en ce que l'étape (e) de commutation comporte une sous-étape d'écrêtage au cours de laquelle on écrête le taux de variation (Grad(V_param)) du paramètre indicateur de vitesse (V_param) au moyen d'un second limiteur de gradient (5) qui utilise un second 5 gradient maximal plausible (Grad_ref_2), représentatif d'une accélération maximale ou d'une décélération maximale que peut fournir le véhicule. 11. Procédé selon l'une de revendications précédentes caractérisé en ce que la fonction de sécurisation (F2) garantit un niveau ASIL au moins égal à B, de préférence au moins égal à C, voire égal à D au sens de la norme 150-26262. 10 12. Système de direction assistée (1) comprenant un contrôleur (10) permettant de mettre en application un procédé selon l'une quelconque des revendications 1 à 11. 15