FR 2911409 A1 20080718 FR 0700284 A 20070116 PROCEDES ET SYSTEME ASSURANT UNE COMMANDE SECURISEE A PARTIR D'UN ECRAN TACTILE La présente invention concerne le domaine des Interfaces homme-machine, appelées IHM qui requièrent la validation d'une action 5 critique. L'invention se situe dans les contextes industriels où la mise en oeuvre de systèmes peut avoir des conséquences graves et ne doit être faite qu'en toute connaissance de cause. On citera, par exemple, les domaines aéronautiques ou nucléaires. Elle est appliquée, plus particulièrement ici, io da.ns un environnement cockpit. Dans les cockpits d'aéronefs civils et militaires, on rencontre différents moyens d'interaction parmi lesquels des dispositifs de commande de type contacteur, boutons poussoirs ou encore interrupteurs, par exemple. 15 Selon la criticité de l'action ou de la tâche à effectuer ces dispositifs doivent permettre d'éviter toute commande involontaire de l'équipage. Pour ce faire, les aéronefs sont, en général, équipés de contacteurs sous cache, appelé dans la terminologie anglo-saxonne Guarded Switch 20 Dans cette configuration, une mauvaise manipulation ne peut pas activer une commande critique puisque l'action sur le bouton doit être précédée d'une action volontaire et consciente consistant à soulever un cache ou un capot. 25 Actuellement, les contacteurs sous cache ou avec capot sont couramment utilisés pour assurer une commande sécurisée. Les contacteurs sont, généralement, des boutons mécaniques avec protection, du type poussoir, par exemple. L'action critique dans le cockpit s'effectue en deux étapes. Dans 30 un premier temps, le pilote soulève le capot protecteur, celui-ci est maintenu par un/des ressort(s) à l'état nominal et se referme donc tout seul. Dans un second temps, le pilote appuie sur le bouton et déclenche de ce fait l'action souhaitée. Les boutons, fonctionnant sous ce principe et possédant un capot, sont appelés boutons gardés. La figure 1 représente un cas d'exemple d'un bouton gardé 2 fixé sur le tableau de bord 1. Un capot 3 doit être soulevé manuellement pour accéder au bouton. Généralement, une inscription sur le bouton avertit le pilote de la nature de l'action. L'évolution des interfaces homme-système des nouveaux cockpits consiste, notamment, à déporter les zones de contrôles situées en plafond vers les surfaces latérales ou centrales du cockpit. Généralement, ces surfaces font appel à des écrans de visualisation dont certaines comprennent des surfaces tactiles. Les commandes sécurisées peuvent être assurées par les surfaces tactiles seules comprenant une zone d'interaction, mais les procédés associés ne sont généralement pas simples à mettre en oeuvre. Concernant les commandes tactiles, une activation est possible sur une zone d'interaction. Dans ce cas, la zone d'interaction est, en général, inhibée au départ. Un appui sur la surface tactile couplé à l'utilisation d'un moyen annexe active la commande. Une autre méthode consiste à appuyer de façon prolongée sur la surface tactile pour valider l'action. Ce dernier mode présente un risque de commandes erronées. L'inconvénient de ce type de commandes sécurisées combinées à un écran tactile, compte tenu de la criticité de l'action, réside : • d'une part dans la complexité à mettre en oeuvre la commande par le biais d'un moyen annexe ou ; • d'autre par sur l'ambiguïté relative d'une commande mis en oeuvre par un procédé dédié non fiable. Un but de l'invention est, notamment, de pallier les inconvénients précités. A cet effet, le procédé selon invention a pour objet de ;3 réaliser n'importe quelle commande sécurisée sur un écran tactile de manière fiable. Un exemple détaille, dans la description, le cas de la reproduction du fonctionnement d'un bouton gardé. Le but de cette invention est de mettre à disposition de l'opérateur un mode d'interaction et de commande analogue à celui réalisé par les moyens traditionnels, tel que les commandes électromécaniques, Pour ce faire le procédé selon l'invention utilise une interface multimodale favorisant plusieurs sens, tels que le toucher, la vue et fouie. A l'aide de cette interface, le procédé selon l'invention reproduit fidèlement la logique complexe des boutons gardés tout en lui donnant une valeur intuitive. L'invention a notamment pour principaux avantages de simuler un bouton sécurisé mis en oeuvre par un procédé d'affichage et d'activation assurant une commande sécurisée d'un équipement mis en oeuvre par un système électronique comprenant au moins : • des moyens de génération de symboles ; • un écran de visualisation ; • des moyens de détection de toucher de l'écran. Avantageusement, le procédé comprend : • une première étape d'affichage sur l'écran de visualisation d'un 25 premier symbole représentant la commande dans un état nominal verrouillé ; • une seconde étape, après un premier toucher sur l'écran tactile, d'affichage sur l'écran de visualisation d'un second symbole représentant la commande dans un état déverrouillé ; 30 • une troisième étape, après un second toucher sur l'écran tactile, d'affichage sur l'écran de visualisation d'un troisième symbole représentant la commande dans un état activé. Avantageusement, le premier symbole représente un bouton 35 recouvert d'un capot fermé, le second symbole représente un bouton surmonté d'un capot ouvert et le troisième symbole représente un bouton dont l'apparence est modifiée et un capot ouvert. Avantageusement, les moyens de détection de toucher de l'écran 5 sont un écran tactile superposé et intégré à l'écran d'affichage. Avantageusement, les moyens de détection de toucher de l'écran sont un dispositif de détection optique de proximité superposé et/ou intégré à l'écran d'affichage. 10 Avantageusement, le système électronique comprend un système haptique comprenant des capteurs et un contrôleur de retour d'effort permettant de retourner des stimuli sur l'écran tactile suite à un toucher sur ledit écran tactile. Avantageusement, le premier toucher est une pression du doigt 15 sur l'écran tactile. Avantageusement, le second toucher est une pression du doigt sur l'écran tactile. Avantageusement, le second toucher est un mouvement du doigt par pression sur l'écran tactile. 20 Avantageusement, le mouvement est une rotation du doigt. Avantageusement, le premier et le second symboles possèdent une même inscription et le troisième symbole une inscription différente du premier symbole. 25 Avantageusement, le système électronique comprend un système sonore et la seconde étape restitue un premier son à la suite du premier toucher. Avantageusement, la troisième étape restitue un second son à la suite du second toucher. 30 Avantageusement, le son reproduit un son proche de celui d'une ouverture d'un capot mécanique. Avantageusement, le système sonore est un haut-parleur. Avantageusement, l'écran d'affichage affiche le premier symbole 35 suite à l'affichage du second symbole pendant une durée pré-définie. Avantageusement, le système électronique pour aéronef comprend : • des moyens de générations de symboles ; • un écran de visualisation permettant d'afficher des symboles 5 relatifs à une commande sécurisée ; • un écran tactile superposé ou intégré à l'écran d'affichage ; • un système haptique comprenant des capteurs et un contrôleur de retour d'effort permettant de retourner des efforts sur l'écran tactile, suite à un toucher dudit écran tactile ; 10 • un système sonore associé à l'écran tactile permettant d'émettre des sons de natures différentes, II est caractérisé en ce qu'une commande sécurisée est activée selon les procédés précédemment énoncés. 15 D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit faite en regard des dessins annexés qui représentent : • la figure 1 : un bouton gardé selon l'art antérieur ; 20 • la figure 2 : un dispositif selon le procédé de l'invention ; • la figure 3 : les états du bouton dans les étapes du procédé. Les interfaces haptiques communément appelées interfaces 25 tactiles à retour d'effort sont une solution pour introduire des claviers et moyens de commande(s) multifonction(s). Elles permettent de reproduire sur l'écran les sensations physiques liées à l'action en cours. Un système haptique peut, par exemple, utiliser des moteurs s'opposant à l'action de l'utilisateur à cette fin. D'autres systèmes haptiques reproduisent des 30 vibrations. Diverses technologies haptiques sont disponibles. A titre d'exemple non limitatif, le procédé selon l'invention sera détaillé dans la présente description au moyen d'un dispositif comprenant un système haptique permettant un retour d'effort. Ce procédé pourrait tout aussi bien être mis en oeuvre par un système comprenant d'autres types de retours. Cet exemple n'est pas unique et d'autres réalisations, comportant les trois états de commande décrits dans la description ci-après, sont 5 d'autres modes de réalisation. Afin de simuler le fonctionnement d'un bouton gardé, le procédé selon l'invention propose de reproduire ou de simuler au plus proche les sensations d'effort, les différents états visuels d'un tel bouton ainsi que les 10 sons de ce type de bouton, tout en préservant la sécurité à l'aide de l'image d'un capot reproduit sur l'écran. La mise en oeuvre du procédé selon l'invention se fait à partir de moyens électroniques, auditifs, haptiques et visuels. Le couplage d'une surface tactile avec un écran, un système 15 haptique, c'est à dire avec un retour de force, et un système auditif permet, par exemple, de reproduire la logique de fonctionnement des boutons mécaniques. La figure 2 représente un cas de réalisation d'un tel bouton à 20 commande tactile sécurisée. Un biseau 16, fixé à une surface de type tableau de bord, permet de fixer un écran tactile 15 et son cadre 14. Des déclencheurs ou capteurs 13 sont fixés, d'une part au cadre 14 de l'écran tactile et d'autre part au châssis 11. Un écran LCD 12 est enfiché dans le châssis et permet de visualiser une commande propre à l'action du bouton. 25 Un contrôleur de retour d'effort 10 est placé derrière le châssis permettant de délecter un enfoncement de l'écran et de commander le retour d'effort nécessaire pour qu'il soit ressenti au toucher par le pilote. Dans un cas de réalisation, un système auditif, du type haut-parleur, peut être superposé ou intégré au dispositif de manière à émettre 30 des sons en fonction des actions menées sur l'écran tactile. Un but du dispositif est de reproduire sur l'écran LCD la symbologie ou le graphisme d'un bouton classique avec celle de son capot. Lorsqu'il ne se passe rien, c'est à dire quand aucune action n'est entreprise 35 sur l'écran LCD, la représentation du bouton est dite nominale. La représentation nominale du bouton et de son capot correspond à un capot fermé sur le bouton, tous deux affichés sur l'écran LCD. La figure 3 représente ll'image d'un bouton numérique 22 représenté sur le fond d'un écran tactile 20. L'image d'un capot fermé est 5 représentée sur l'image du bouton 22. Le procédé selon l'invention comprend deux étapes relatives au fonctionnement d'une telle commande tactile sécurisée. La première étape, dite de soulèvement du capot protecteur, est io déclenchée dès lors qu'un pilote ou un opérateur déplace son doigt sur l'écran tactile 20. Avant le toucher de l'écran, l'image d'un bouton, simulant un bouton sécurisé mécanique, y est affichée dans un état nominal 25. Un effet de retour de force reproduisant un soulèvement de capot est renvoyé à l'utilisateur. Ce retour de force s'effectue à partir d'un 15 détecteur de pression sur l'écran tactile. L'effet de retour de force simule un soulèvement du capot, l'écran affiche alors l'image d'un bouton et celle d'un capot ouvert placé au-dessus du bouton. Dans ce cas, la représentation est dans un état intermédiaire 26. Ainsi, l'action manuelle du soulèvement d'un capot mécanique 20 classique est, ici, remplacée dans cette première étape par un simple toucher de l'écran LCD. Dans une variante de réalisation, il est possible, à l'aide d'une commande numérique s'exécutant à partir d'un toucher de l'écran LCD, que le dispositif émette un premier son caractéristique 23 propre à l'ouverture du 25 capot, tel qu'un click approprié. Le pilote peut, ainsi, avoir une confirmation de la prise en compte de son action par un son émis. Cette première étape aboutie sur un état intermédiaire, représenté à l'écran, qui peut être suivi d'une confirmation par l'opérateur par un second 30 toucher ou bien d'un abandon de l'initiative de la commande par l'absence d'action sur l'écran. Dans ce dernier cas, c'est à dire dans le cas de l'abandon de la cormande, l'opérateur ne poursuit pas son action. L'image du capot reste dans l'état intermédiaire un temps prédéfini puis revient automatiquement à 35 l'état précédent, si aucune action n'est entreprise. Après l'écoulement de ce temps, l'écran présente le capot refermé sur le bouton. Un son caractéristique de la fermeture du capot peut alors être émis. Cette fermeture automatique simule l'effet d'un ressort rappelant le capot sur le bouton. La durée de l'état intermédiaire est réglable. L'ajustement se fait en considérant le temps minimum nécessaire au pilote ou à l'opérateur pour effectuer un second toucher. Une durée trop longue conduirait, par ailleurs, à penser qu'un blocage de l'état de l'écran a eu lieu. io Dans le cas où l'action est poursuivie, le pilote appuie sur l'image du bouton avec le capot ouvert sur l'écran tactile dans le temps imparti. Un effet de retour de force reproduisant un appui sur bouton est renvoyé à l'utilisateur et l'écran affiche le bouton avec une symbologie différente de l'étape précédente. Par exemple, un changement de couleur de 15 l'image du bouton peut visuellement informer le pilote de la prise en compte de son action ou encore un changement d'inscription peut l'en avertir. La représentation du bouton et de son capot se trouve, alors, clans un état activé 27. Par ailleurs, dans un mode de réalisation, un second son 20 caractéristique 24 du déclenchement de l'action correspondant à l'enfoncement de l'écran peut être émis. Le pilote ou l'opérateur peut, ainsi, entendre un signal sonore l'avertissant de la prise en compte de son action. Dans un autre mode de réalisation, il est possible de privilégier un 25 type de retour par rapport aux autres, par exemple le retour sonore ou la combinaison de deux retours. Dans un autre cas de réalisation, il est possible de déclencher un signal olfactif ou gustatif selon l'action sur le bouton. Ce type de dispositifs peut être mis en oeuvre dès lors qu'ils sont combinés, par exemple, avec un 30 contrôleur de retour d'effort 10 de la figure 2. Ces signaux permettent de combiner des retours pour stimuler plusieurs sens humains. Par ailleurs, le procédé selon l'invention ne s'applique pas 35 seulement à la simulation d'un bouton avec un capot mécanique possédant des ressorts de rappel, mais à tous les systèmes ayant une logique de commande sécurisée s'effectuant en deux temps et répondant aux étapes suivantes : • une étape nominale, correspondant à une non-utilisation, présente 5 la commande verrouillée ; • une seconde étape de déverrouillage ; • une troisième étape d'activation. Les commandes électromécanique et hydraulique sont des exemples qui peuvent nécessiter un dispositif comprenant un écran tactile à 10 retour d'effort s'effectuant selon le procédé de l'invention. Un cas de réalisation est, par exemple, l'ouverture d'une bouteille de produit toxique comportant les deux étapes adaptées suivantes : Une première étape d'appui sur la surface tactile permet de libérer 15 le bouchon, il s'agit d'une étape de déverrouillage. Une seconde étape, s'effectue le doigt maintenu sur l'écran, par une rotation ou un pivotement du doigt sur l'écran tactile. L'ouverture est alors signalée par un signal sonore ou visuel ou encore tactile tel qu'un retour d'effort. 20 Ce dispositif peut être utilisé dans des cas d'utilisation de commande critique qui nécessite un verrouillage ou une confirmation d'un opérateur ou d'un pilote. Une autre variante de réalisation selon le procédé de l'invention, 25 consiste à intégrer des moyens de détection optique de proximité sur l'écran de visualisation. Un premier exemple consiste à détecter les ombres portées sur l'écran par variation d'intensité lumineuse. Un second exemple consiste à intégrer des émetteurs et des capteurs de faisceaux lumineux sur le bord de l'écran de visualisation. Cette dernière solution permet après interruption 30 d'un ou de plusieurs faisceaux par le doigt d'un pilote selon le procédé de l'invention de prendre en compte la consigne. Les différentes étapes du procédé selon l'invention sont alors identifiables dans chacun des deux précédents exemples. Les moyens de 35 détection du toucher pouvant dans ces cas être la détection de l'interruption d'au moins un faisceau lumineux ou la détection d'une variation d'intensité lumineuse, celle-ci étant perçue par les ombres portées sur l'écran de visualisation. Par ailleurs, ces moyens de détection optique peuvent être combinés avec un système haptique et/ ou un dispositif sonore, tels que précédemment décris. REVENDICATIONS 1. Procédé d'affichage et d'activation assurant une commande sécurisée d'un équipement mis en oeuvre par un système électronique comprenant au moins : • des moyens de génération de symboles ; • un écran de visualisation ; • des moyens de détection de toucher de l'écran, caractérisé en ce que le procédé comprend : • une première étape d'affichage sur l'écran de visualisation d'un ~o premier symbole représentant la commande dans un état nominal verrouillé ; • une seconde étape, après un premier toucher sur l'écran tactile, d'affichage sur l'écran de visualisation d'un second symbole représentant la commande dans un état déverrouillé ; 15 • une troisième étape, après un second toucher sur l'écran tactile, d'affichage sur l'écran de visualisation d'un troisième symbole représentant la commande dans un état activé. 2. Procédé selon la revendication 1, caractérisé en ce que : 20 • le premier symbole représente un bouton recouvert d'un capot fermé • le second symbole représente un bouton surmonté d'un capot ouvert et ; • le troisième symbole représente un bouton, dont l'apparence est 25 modifiée, et un capot ouvert. 3. Procédé selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que les moyens de détection de toucher de l'écran sont un écran tactile superposé et intégré à l'écran d'affichage. 4. Procédé selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que les moyens de détection de toucher de l'écran sont un dispositif de détection optique de proximité superposé et intégré à l'écran d'affichage. 30 5. Procédé selon l'une quelconque des revendications 1, 2, 3 ou 4, caractérisé en ce que le systèrne électronique comprend un système haptique comprenant des capteurs et un contrôleur de retour d'effort permettant de retourner des stimuli sur l'écran tactile suite à un toucher sur ledit écran tactile. 6. Procédé selon la revendication 5, caractérisé en ce que le premier toucher est une pression du doigt sur l'écran tactile. 7. Procédé selon la revendication 5, caractérisé en ce que le second toucher est une pression du doigt sur l'écran tactile. 8. Procédé selon la revendication 5, caractérisé en ce que le second toucher est un mouvement du doigt par pression sur l'écran tactile. 9. Procédé selon la revendication 8, caractérisé en ce que le mouvement est une rotation du doigt. 10. Procédé selon la revendication 2, caractérisé en ce que le premier et 20 le second symboles possèdent une même inscription et: le troisième symbole une inscription différente du premier symbole. 11 Procédé selon l'une quelconque des revendications 1, 2, 3, 4 ou 5, caractérisé en ce que le système électronique comprend un système 25 sonore et la seconde étape restitue un premier son à la suite du premier toucher. 12. Procédé selon la revendication 11, caractérisé en ce que la troisième étape restitue un second son à la suite du second toucher. 13. Procédé selon la revendication 12, caractérisé en ce que le son reproduit un son proche de celui d'une ouverture d'un capot mécanique. 3014. Procédé selon la revendication 11, 12 ou 13 caractérisé en ce que le système sonore est un haut-parleur. 15. Procédé selon la revendication 1 ou 2 caractérisé en ce que l'écran d'affichage affiche le premier symbole suite à l'affichage du second symbole pendant une durée pré-définie. 16. Système électronique pour aéronef comprenant : • des moyens de générations de symboles ; • un écran de visualisation permettant d'afficher des symboles relatifs à une commande sécurisée ; • un écran tactile superposé ou intégré à l'écran d'affichage ; • un système haptique comprenant des capteurs et un contrôleur de retour d'effort permettant de retourner des efforts sur l'écran tactile suite à un toucher dudit écran tactile ; • un système sonore associé à l'écran tactile permettant d'émettre des sons de natures différentes, caractérisé en ce qu'une commande sécurisée est activée selon le procédé de l'une quelconque des revendications précédentes.20