FR 2948472 A1 20110128 FR 0955071 A 20090721 Dispositif de vérification de l'intégrité d'une donnée affichée et procédé associé L'invention a pour domaine celui des dispositifs de vérification de l'intégrité d'une donnée affichée, sous la forme d'une image, sur un dispositif d'affichage. Dans un matériel roulant ferroviaire, diverses informations sont affichées en cabine, en vue de leur surveillance par le conducteur. Parmi les différentes données affichées, certaines sont plus particulièrement sensibles car elles induisent des actions de régulation de la part du conducteur. C'est par exemple le cas de l'affichage de la vitesse instantanée du véhicule. En effet, le conducteur prend régulièrement en compte cette information affichée pour corriger la vitesse du véhicule de manière à respecter les limites de vitesse imposées le long de la voie de circulation. Il est donc primordial d'assurer un affichage fiable de ces données sensibles. De manière générale, les dispositifs d'affichage présents en cabine présentent l'information sous la forme d'une image affichée sur un écran. Dans ce cas, le dispositif d'affichage est commandé par un contrôleur vidéo. Ce dernier reçoit, d'un calculateur principal, une série d'ordres graphiques correspondant à l'image à afficher ; le contrôleur vidéo traite cette série d'ordres graphiques pour générer une � bit-map �, qui est une représentation point par point de l'image à afficher ; il stocke cette bit-map dans une mémoire vidéo dédiée ; et, il code de manière adaptée cette bit-map pour la transmettre au dispositif d'affichage en vue de l'affichage proprement dit de l'image à l'écran. Le document FR 2 868 193 divulgue une architecture d'affichage comportant un moyen de vérification de l'intégrité de l'affichage, apte à lire le contenu de la mémoire vidéo du contrôleur vidéo et à comparer le contenu lu à une valeur de consigne. Selon cette architecture, la vérification permet de détecter d'éventuels dysfonctionnements en amont de la mémoire vidéo du contrôleur vidéo. Mais, de nombreux risques d'erreur peuvent affecter le contrôleur vidéo lui-même, en particulier sa manière de coder la bit-map pour la transmettre au dispositif d'affichage, ainsi que l'intégrité de la connexion entre l'interface de sortie du contrôleur vidéo et l'interface d'entrée du dispositif d'affichage. On notera que dans certains agencements, le contrôleur vidéo et le dispositif d'affichage peuvent être à distance l'un de l'autre, par exemple 10 mètres ou plus. De plus, les fabricants de contrôleur vidéo ne décrivent pas volontiers l'architecture interne de leur matériel et la manière d'accéder au contenu de la mémoire. L'invention a donc pour but de pallier aux problèmes précités, en proposant un dispositif permettant de vérifier l'intégrité de l'image à afficher sur la totalité de la voie d'affichage, tout en permettant l'utilisation de composants � prêts à utiliser � tels que fournis par les fabricants. L'invention a donc pour objet un dispositif de vérification de l'intégrité d'une donnée affichée sous la forme d'une image affichée sur un dispositif d'affichage piloté par un contrôleur vidéo, le contrôleur vidéo étant connecté au dispositif d'affichage par une liaison adaptée et lui transmettant un signal vidéo dans un format prédéterminé, caractérisé en ce qu'il comporte : une interface d'entrée permettant de connecter le dispositif de vérification en dérivation de la liaison entre le contrôleur vidéo et le dispositif d'affichage ; un moyen de reconstruction apte, à partir du signal vidéo appliqué sur l'interface d'entrée du dispositif, à reconstruire une image correspondant à l'image affichée sur le dispositif d'affichage ; et un moyen d'analyse apte, à partir de l'image reconstruite, à extraire une donnée reconstruite. Suivant des modes particuliers de réalisation, le dispositif comporte une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toutes les combinaisons techniquement possibles : - le dispositif comporte, en outre un comparateur apte à comparer la donnée reconstruite avec une valeur de consigne de la donnée à afficher, et un moyen d'alarme apte à déclencher une alarme de dysfonctionnement en fonction du résultat en sortie du comparateur. - le moyen d'alarme est adapté pour commander un moyen d'interruption permettant de rendre illisible le dispositif d'affichage, de préférence un interrupteur (60) disposé sur une ligne d'alimentation électrique du dispositif d'affichage. - le dispositif d'affichage comporte une dalle TFT. - le signal vidéo est un signal numérique, de préférence du type LVDS. - le moyen d'analyse de l'image reconstruite comporte des moyens de reconnaissance de forme. - le moyen de reconstruction est adapté pour reconstruire une portion de l'image affichée. - le dispositif comporte une interface d'entrée/sortie apte à recevoir un signal correspondant à une valeur de consigne de la donnée à afficher. - l'interface d'entrée/sortie est propre à permettre une connexion en un réseau local, de préférence supportant le protocole Ethernet. - le moyen de reconstruction est adapté pour effectuer un traitement du signal vidéo sensiblement inverse au codage effectué par un moyen de pilotage dont est muni le contrôleur vidéo pour piloter le dispositif d'affichage. L'invention a également pour objet un procédé de vérification de l'intégrité d'une donnée à afficher sous la forme d'une image sur un dispositif d'affichage piloté par un contrôleur vidéo, le contrôleur vidéo étant connecté au dispositif d'affichage par une liaison adaptée et lui transmettant un signal vidéo dans un format prédéterminé, caractérisé en ce qu'il comporte les étapes consistant à : acquérir le signal vidéo transmis le long de la liaison reliant le contrôleur vidéo au dispositif d'affichage ; reconstruire à partir dudit signal vidéo, une image reconstruite correspondant à l'image affichée par le dispositif d'affichage ; et analyser l'image reconstruite pour en extraire une donnée reconstruite. De préférence, le procédé comporte, en outre, les étapes consistant à : comparer la donnée reconstruite avec une consigne de la donnée à afficher ; et déclencher une alarme adaptée en fonction du résultat de l'étape de comparaison. D'autres caractéristiques et avantages de l'invention ressortiront plus clairement de la description détaillée qui va suivre, donnée à titre indicatif et nullement limitatif, et faite en se référant aux dessins annexés, sur lesquels : - la Figure 1 est un schéma bloc d'une architecture d'affichage d'une donnée, comportant un dispositif de vérification de l'intégrité de l'affichage selon l'invention ; et, - la Figure 2 est un algorithme représentant les différentes étapes du procédé de vérification de l'intégrité de l'affichage, mis en oeuvre par l'architecture de la Figure 1. L'architecture d'affichage d'une donnée sensible, telle que la vitesse d'un véhicule ferroviaire, comporte une voie d'affichage et une voie de vérification de l'intégrité de l'affichage. De manière connue en soi, la voie d'affichage comporte un calculateur principal 10, un contrôleur vidéo 12 et un dispositif d'affichage 14. Le calculateur principal 10 est connecté à un capteur 16 permettant l'acquisition d'une donnée correspondant à la valeur instantanée de la vitesse. Le calculateur principal 10 comporte des moyens aptes, à partir de la valeur instantanée de la vitesse, à élaborer, à chaque période d'échantillonnage de l'architecture, une série d'ordres graphiques représentatifs de cette valeur en vue de son affichage sous la forme d'une image sur un écran. Ces ordres graphiques peuvent être plus ou moins élaborés : ils peuvent, par exemple, comporter des références à des objets élémentaires, tels que des lignes, des triangles, des cercles, des images, etc., associées respectivement à une liste d'attributs, tels que la position des sommets, la couleur, etc. En sortie, le calculateur principal 10 émet un signal correspondant à cette série d'ordres graphiques représentatifs de la vitesse instantanée sur un bus 18 dédié reliant le contrôleur principal 10 et le contrôleur vidéo. Le contrôleur vidéo 12 comporte une interface entrée/sortie 20 permettant de connecter le contrôleur vidéo sur le bus 18, un microprocesseur 22, une mémoire vidéo 24, des moyens de pilotage 26 du dispositif d'affichage 14 et une interface de sortie 28 permettant la connexion entre le contrôleur vidéo 12 et le dispositif d'affichage 14 via une liaison 30 dédiée. La série d'ordres graphiques, reçue en entrée du contrôleur vidéo 12, est traitée par le microprocesseur 22 pour générer une bit-map représentant point par point l'image à afficher. Par exemple, le microprocesseur interprète l'ordre graphique désignant l'objet élémentaire � ligne � et créer la bit-map de manière à ce que l'image correspondante comporte effectivement une ligne. La bit-map construite est stockée dans la mémoire 24 du contrôleur vidéo. Pour l'affichage de la bit-map en tant qu'image affichée, le processeur 22 extrait la bit-map de la mémoire 24 et l'adresse aux moyens de pilotage 26. Ces moyens de pilotage 26 traitent les informations de la bit-map de manière à générer un signal vidéo. Ce signal vidéo est émis en sortie du contrôleur 12, sur la liaison 30, à destination du dispositif d'affichage 14. De préférence, le signal vidéo respecte le protocole LVDS (�Low Voltage Differential Signaling� en anglais). Le dispositif d'affichage 14 comporte une dalle 32 composée de pixels sans rémanence. De préférence, la dalle 32 est une dalle à cristaux liquides selon la technologie TFT (�Thin Film Transistor�). Dans ce cas, elle est équipée d'un système de rétroéclairage 34. Par ailleurs, le dispositif d'affichage 14 comporte une interface d'entrée 35 permettant la connexion du dispositif d'affichage 14 au contrôleur vidéo 12 via la liaison 30. Le dispositif d'affichage 14 comporte également des moyens de commande 36 permettant de modifier l'état de chacun des pixels de la dalle, en fonction du signal vidéo reçu. La voie de vérification de l'intégrité de l'affichage comporte un dispositif dédié 40. Le dispositif de vérification de l'intégrité de l'affichage 40 comporte un microprocesseur 42 et une mémoire 44. Le dispositif 40 comporte une interface d'entrée/sortie réseau 56 permettant de connecter le dispositif 40 sur un réseau local 58 respectant par exemple le protocole ETHERNET. Le dispositif de vérification 40 comporte une interface d'entrée 46. La liaison 30 comporte une dérivation 30', réalisée à proximité du dispositif d'affichage 14 et connectée à l'entrée 46 du dispositif 40. Ce montage permet de prélever, sans le perturber, le signal vidéo appliqué en entrée du dispositif d'affichage 14, pour l'appliquer également en entrée du dispositif de vérification 40. Le dispositif de vérification 40 comporte un moyen de reconstruction 48 permettant, à partir du signal vidéo appliqué sur l'entrée 46, de reconstruire une image correspondant à l'image affichée. Dans le mode de réalisation actuellement préféré, le moyen de reconstruction 48 est mis en oeuvre sous forme d'un circuit électronique. Le moyen de reconstruction 48 est adapté pour produire, à partir du signal vidéo au format LVDS, une bit-map reconstruite. Le format de la bit-map reconstruite peut être différent du format de la bit-map contenue dans la mémoire 24 du contrôleur vidéo. Le moyen de reconstruction 48 effectue un traitement sensiblement inverse au codage effectué par le moyen de pilotage 26 du contrôleur vidéo. Le dispositif de vérification 40 comporte, en outre, un moyen d'analyse d'images 50, un moyen de comparaison 52 et un moyen d'alarme 54. Dans le mode de réalisation actuellement préféré, les moyens d'analyse 50, de comparaison 52 et d'alarme 54 sont respectivement mis en oeuvre par l'exécution de programmes informatiques, dont les instructions sont stockées dans la mémoire 44 du dispositif de vérification 40. Le moyen d'analyse d'images 50 permet d'extraire de la bit-map reconstruite par le moyen de reconstruction 48, une donnée reconstruite. Entre autres informations, le contrôleur principal 10 transmet au dispositif de vérification 40 une valeur de consigne de la vitesse instantanée. Cette valeur de consigne peut être la valeur de la vitesse instantanée à partir de laquelle l'image affichée a été élaborée, c'est-à-dire la valeur mesurée par le capteur 16. De préférence, la valeur de consigne est la valeur de la vitesse instantanée mesurée au moyen d'autres moyens d'acquisition de la vitesse, de manière à offrir une vérification non seulement de l'intégrité de l'affichage de la donnée, mais encore de l'acquisition de cette donnée. Dans ce cas, la valeur de consigne est transmise sur le réseau local 58 respectant par exemple le protocole ETHERNET, par un autre calculateur que le calculateur principal 10. Le moyen de comparaison 52 du dispositif 40 compare la donnée reconstruite avec la valeur de consigne de cette donnée. Le moyen d'alarme 54 génère une alarme en fonction du résultat obtenu en sortie du moyen de comparaison 52. Le dispositif 40 comporte un interrupteur commandé 60 disposé en série sur une ligne d'alimentation 62 du système d'affichage 14, par exemple le système de rétroéclairage 34 de la dalle 32. Le moyen d'alarme 54 est apte à commander en ouverture l'interrupteur 60 en cas d'écart entre la donnée reconstruite et la valeur de consigne. Le système de rétroéclairage 34 de la dalle est alors totalement ou partiellement hors tension, de manière à rendre les informations affichées illisibles pour le conducteur. Le procédé de vérification de l'intégrité de l'affichage mis en oeuvre par le dispositif de vérification 40 va maintenant être décrit par référence à la Figure 2. Sur cette figure, une donnée sensible Data est à afficher, en cabine, en temps réel. Il s'agit par exemple de la vitesse instantanée du véhicule ferroviaire. Cette donnée est mesurée par une première chaîne d'acquisition. La valeur mesurée à un instant donné par cette première chaîne est dénommée Datai . La voie d'affichage est représentée sur la partie droite de la Figure 2. Elle permet d'afficher la valeur mesurée Datai sous la forme d'une image affichée Image sur la dalle du dispositif d'affichage 14. Pour ce faire, à l'étape 100, une série d'ordres graphiques G-Image est générée par le calculateur principal 10, à partir de la valeur mesurée Datai . La série d'ordres graphiques G-Image est transmise au contrôleur vidéo 12. A l'étape 110, le contrôleur vidéo 12 traite la série d'ordres graphiques G-Image pour générer une bit-map Bit-Map qu'il stocke dans ses moyens de mémorisation 24. En utilisant les moyens de pilotage 26 adaptés, le contrôleur vidéo 12 génère (étape 115) un signal vidéo Signal-Video LVDS à partir de la bit-map Bit-Map. Il transmet ce signal le long de la liaison 30, en direction du dispositif d'affichage 14. Enfin, à l'étape 125, le dispositif d'affichage 14 affiche l'image sur la dalle 32 en fonction du signal Signal-Video reçu. Sur la partie gauche de la figure 1, la voie de vérification de l'intégrité de l'affichage consiste d'abord à acquérir le signal vidéo Signal-Video, en le prélevant par dérivation de la liaison 30 entre le contrôleur vidéo 12 et le dispositif d'affichage 14 (étape 120). La première étape 130 consiste, grâce aux moyens de reconstruction 46, à reconstruire, à partir du signal vidéo Signal-Video prélevé, une bit-map reconstruite, Bit-Map-Reco, qui est stockée dans la mémoire 44 du dispositif 40. Puis, à l'étape 140, en exécutant le moyen d'analyse 50 qui met en oeuvre, par exemple, des programmes de reconnaissance de formes, la bit-map reconstruite Bit-Map-Reco est analysée de manière à en extraire une donnée reconstruite Data-Reco, correspondant à la donnée contenue dans l'image affichée Image. A l'issue de l'étape d'analyse, l'étape 150 de comparaison permet de comparer un écarte par rapport à un écart seuil eo. L'écart e est obtenu par différence entre la donnée reconstruite Data-Reco et une valeur de consigne Data2, à l'instant considéré. Comme précédemment indiqué, la valeur de consigne provient, de préférence, d'une seconde chaîne d'acquisition permettant de mesurer la valeur instantanée Data2 de la donnée Data de manière totalement indépendante de la première chaîne d'acquisition. Lorsque l'écart e instantané reste inférieur à l'écart seuil eo, cela signifie qu'aucun dysfonctionnement n'existe le long de la voie d'affichage de l'information. En revanche, lorsque l'écart e instantané est supérieur à l'écart seuil eo, une alarme est déclenchée (étape 160). Dans le mode de réalisation actuellement envisagé, cette alarme consiste à actionner l'interrupteur commandé 60 pour qu'il bascule de la position fermée à la position ouverte, de manière à mettre hors tension le système de rétroéclairage 34 de la dalle 32. D'autres algorithmes plus complexes qu'une simple comparaison d'un écart avec un seuil peuvent être envisagés pour décider du déclenchement d'une alarme. En variante, le dispositif et le procédé qui viennent d'être décrits sont adaptés au traitement d'un signal vidéo respectant d'autres protocoles numériques que le protocole LVDS. Il est également envisagé que le signal vidéo soit analogique et non pas numérique. En variante, le moyen de reconstruction ne reconstruit qu'une portion de l'image affichée, correspondant à la portion significative de cette image. Le dispositif de vérification de l'intégrité de l'affichage évite de lire le contenu de la mémoire du contrôleur vidéo. Il permet de vérifier l'intégrité de l'affichage en aval du contrôleur vidéo, jusqu'à proximité immédiate du dispositif d'affichage. Puisque le dispositif d'affichage comporte des pixels sans rémanence, si un dysfonctionnement affecte le dispositif d'affichage en tant que tel, l'image erronée affichée à un moment donné, ne sera plus affichée à l'instant suivant. Il n'y a pas par conséquent à craindre un dysfonctionnement du type conduisant à un figeage de l'image affichée. Par conséquent, le dispositif selon l'invention, en vérifiant le signal vidéo appliqué en entrée du dispositif d'affichage, permet une vérification de l'intégrité de l'affichage sur la totalité de la voie d'affichage. Le dispositif selon l'invention augmente ainsi significativement le niveau de sécurité de l'affichage. Par ailleurs, dans l'architecture proposée, chaque moyen appartient soit à la voie d'affichage, soit à la voie de vérification. Il n'y a pas de moyens communs à ces deux voies, contrairement à l'art antérieur où la mémoire vidéo était lue à la fois par le processeur du contrôleur vidéo et par le processeur utilisé pour la vérification. De ce fait, l'homologation de l'architecture proposée, et plus particulièrement du dispositif de vérification, est plus simple à obtenir. Avantageusement, le dispositif de vérification qui vient d'être présenté est intégré dans le dispositif d'affichage, la dérivation du signal vidéo se faisant immédiatement derrière une interface d'entrée commune aux dispositifs d'affichage et de vérification. D'autres variantes sont envisageables, comme déporter les fonctions de comparaison et d'alarme à distance des fonctions de reconstruction de l'image. REVENDICATIONS1.- Dispositif (40) de vérification de l'intégrité d'une donnée affichée sous la forme d'une image (Image), sur un dispositif d'affichage (14) piloté par un contrôleur vidéo (12), le contrôleur vidéo étant connecté au dispositif d'affichage par une liaison (30) adaptée et lui transmettant un signal vidéo (Signal-Video) dans un format prédéterminé, caractérisé en ce qu'il comporte : - une interface d'entrée (46) permettant de connecter le dispositif de vérification en dérivation de la liaison entre le contrôleur vidéo et le dispositif d'affichage ; - un moyen de reconstruction (48) apte, à partir du signal vidéo appliqué sur l'interface d'entrée du dispositif de vérification, à reconstruire une image (Bit-Map-Reco) correspondant à l'image affichée sur le dispositif d'affichage ; et, - un moyen d'analyse (50) apte, à partir de l'image reconstruite, à extraire une donnée reconstruite (Data-Reco). 2.- Dispositif selon la revendication 1, caractérisé en ce qu'il comporte, en outre : - un comparateur (52) apte à comparer la donnée reconstruite (Data-Reco) avec une valeur de consigne (Data2) de la donnée à afficher (Data) ; et, - un moyen d'alarme (54) apte à déclencher une alarme de dysfonctionnement en fonction du résultat en sortie du comparateur. 3.- Dispositif selon la revendication 2, caractérisé en ce que ledit moyen d'alarme (54) est adapté pour commander un moyen d'interruption permettant de rendre illisible le dispositif d'affichage (14), de préférence un interrupteur (60) disposé sur une ligne d'alimentation électrique du dispositif d'affichage. 4.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit dispositif d'affichage (14) comporte une dalle TFT (12). 5.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que le signal vidéo (Signal-Video) est un signal numérique, de préférence du type LVDS. 6.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que le moyen d'analyse (52) de l'image reconstruite (Bit-Map-Reco) comporte des moyens de reconnaissance de formes. 7.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit moyen de reconstruction (48) est adapté pour reconstruire une portion de l'image affichée. 8.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte une interface d'entrée/sortie (56) apte à recevoir un signal correspondant à une valeur de consigne (Data2) de la donnée à afficher (Data). 9.- Dispositif selon la revendication 8, caractérisé en ce que ladite interface d'entrée/sortie (56) est propre à permettre une connexion à un réseau local (18), de préférence supportant le protocole Ethernet. 10.- Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit moyen de reconstruction (48) est adapté pour effectuer un traitement du signal vidéo sensiblement inverse au codage effectué par un moyen de pilotage (26) dont est muni le contrôleur vidéo (12) pour piloter le dispositif d'affichage (14). 11.- Procédé de vérification de l'intégrité d'une donnée affichée sous la forme d'une image (Image) par un dispositif d'affichage (14) piloté par un contrôleur vidéo (12), le contrôleur vidéo étant connecté au dispositif d'affichage par une liaison (30) adaptée et lui transmettant un signal vidéo (Signal-Video) dans un format prédéterminé, caractérisé en ce qu'il comporte les étapes consistant à : - acquérir (125) le signal vidéo (Signal-Video) transmis le long de la liaison reliant le contrôleur vidéo au dispositif d'affichage ; - reconstruire (130), à partir dudit signal vidéo, une image reconstruite (Bit- Map-Reco) correspondant à l'image affichée (Image) par le dispositif d'affichage ; et, - analyser (140) l'image reconstruite pour en extraire une donnée reconstruite (Data-Reco). 12.- Procédé selon la revendication 11, caractérisé en ce qu'il comporte, en outre, les étapes consistant à : - comparer (150) la donnée reconstruite (Data-Reco) avec une valeur de consigne (Data2) de la donnée à afficher (Data) ; et,- déclencher une alarme (160) adaptée en fonction du résultat de l'étape de comparaison.