FR 3119147 A1 20220729 FR 2100613 A 20210122 Contrôleur embarqué à bord d’un véhicule automobile autonome et véhicule automobile autonome correspondant Le contrôleur (10) comporte une interface de communication aval (20), destinée à être reliée à au moins un actionneur électromécanique de traction/freinage (22, 26) ou de direction (21, 25), une interface de communication amont (30) destinée à être reliée à un dispositif de pilotage automatique (32), et un connecteur électrique (40) destiné à être connecté à des moyens de pilotage manuel (42). Le contrôleur (10) intègre un module orchestrateur (15) propre à détecter que des consignes manuelles de pilotage sont reçues des moyens de pilotage manuel (42) et à basculer d’un mode de fonctionnement autonome, dans lequel les commandes transmises à l’actionneur électromécanique correspondent à des consignes reçues du dispositif de pilotage automatique (32), vers un mode de fonctionnement manuel, dans lequel les commandes transmises à l’actionneur électromécanique correspondent aux consignes manuelles reçues des moyens de pilotage manuel (42). Figure pour l'abrégé : Figure 1 Contrôleur embarqué à bord d’un véhicule automobile autonome et véhicule automobile autonome correspondant L’invention a pour domaine celui des véhicules automobiles autonomes et, plus particulièrement, celui des systèmes de contrôle/commande pour le pilotage d’un véhicule automobile autonome. Pour minimiser les coûts de fabrication d’un véhicule automobile autonome, il est souhaitable d’opter pour une approche modulaire, selon laquelle le système de contrôle/commande du véhicule est réalisé par l’association de composants standards, disponibles sur le marché et développés en série par différents fournisseurs. On parle de composants COTS pour « commercial off-the-shelf ». Cependant, le cas d’un véhicule automobile autonome est spécifique dans la mesure où ce véhicule est destiné à transporter des voyageurs. Il s’en suit que le système de contrôle-commande doit atteindre un niveau de sécurité élevé. L’invention a donc pour but de résoudre ce problème, en proposant un système de contrôle/commande conciliant ces deux contraintes. Pour cela, l’invention a pour objet un contrôleur embarqué à bord d’un véhicule automobile autonome, ledit contrôleur comportant : - une interface de communication aval, destinée à être reliée à au moins un actionneur électromécanique pour transmettre des commandes et recevoir des mesures de rétroaction, l’actionneur électromécanique étant un actionneur de traction/freinage ou un actionneur de direction ; - une interface de communication amont, destinée à être reliée à un dispositif de pilotage automatique pour recevoir des consignes de pilotage ; et, - un connecteur électrique, destiné à être connecté à des moyens de pilotage manuel du véhicule pour recevoir des consignes manuelles de pilotage, les moyens de pilotage manuel étant des moyens propres à générer des signaux électriques, le contrôleur intégrant un module orchestrateur, propre à détecter que des consignes manuelles de pilotage sont reçues des moyens de pilotage manuel et à basculer un mode de fonctionnement du véhicule d’un mode de fonctionnement autonome, dans lequel les commandes transmises à l’actionneur électromécanique correspondent aux consignes reçues du dispositif de pilotage automatique, vers un mode de fonctionnement manuel, dans lequel les commandes transmises à l’actionneur électromécanique correspondent aux consignes manuelles reçues des moyens de pilotage manuel. Suivant des modes particuliers de réalisation, le contrôleur comporte une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - il comporte une unité de diagnostic de l’actionneur électromécanique, l’unité de diagnostic de l’actionneur électromécanique étant propre à détecter une défaillance de l’actionneur électromécanique à partir des commandes transmises à l’actionneur électromécanique et de mesures de rétroaction reçues de l’actionneur électromécanique et/ou des organes couplés à l’actionneur électromécanique, et, en cas de survenue d’une défaillance de l’actionneur électromécanique, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique ; - il comporte une unité de diagnostic du dispositif de pilotage automatique, l’unité de diagnostic du dispositif de pilotage automatique étant propre à détecter une défaillance du dispositif de pilotage automatique à partir des consignes reçues du dispositif de pilotage automatique, et, en cas de survenue d’une défaillance du dispositif de pilotage automatique, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès d’un dispositif de pilotage automatique auxiliaire, le contrôleur comportant une interface de communication amont auxiliaire, destinée à être reliée au dispositif de pilotage automatique auxiliaire pour recevoir des consignes auxiliaires de pilotage ; - le module orchestrateur est propre à détecter que des consignes auxiliaires de pilotage sont reçues du dispositif de pilotage automatique auxiliaire, indiquant ainsi que le dispositif de pilotage automatique auxiliaire a détecté une défaillance du dispositif de pilotage automatique, le module orchestrateur étant propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique auxiliaire ; - il comporte une unité de diagnostic du dispositif de pilotage automatique auxiliaire, propre à détecter une défaillance du dispositif de pilotage automatique auxiliaire à partir des consignes de pilotage auxiliaires reçues du dispositif de pilotage automatique auxiliaire, et, en cas de détection d’une défaillance du dispositif de pilotage automatique auxiliaire, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique ; - il comportant une unité de diagnostic des moyens de pilotage manuel propre à détecter une défaillance des moyens de pilotage manuel à partir des signaux électriques reçus des moyens de pilotage manuel, et, en cas de détection d’une défaillance des moyens de pilotage manuel, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique ; - il comporte un autre connecteur électrique destiné à être connecté à un interrupteur de sécurité, l’interrupteur de sécurité étant un moyen propre à générer des signaux électriques et, qui, lorsqu’il est enclenché, conduit le module orchestrateur à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique auxiliaire, le contrôleur comportant une unité de diagnostic de l’interrupteur de sécurité, propre à détecter une défaillance de l’interrupteur de sécurité à partir des signaux électriques reçus de l’interrupteur de sécurité, et, en cas de détection d’une défaillance de l’interrupteur de sécurité, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique ; - il comporte, pour être utilisé en tant que contrôleur auxiliaire en redondance d’un contrôleur principal, une unité de diagnostic du contrôleur principal, propre à détecter une défaillance du contrôleur principal à partir de données collectées par des dispositifs adaptés et reçues sur un port du contrôleur, et, en cas de détection d’une défaillance du contrôleur principal, le module orchestrateur est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique ; - la mise en sécurité du véhicule consiste à basculer d’un état nominal vers un état de repli, consistant de préférence en un freinage d’urgence. L’invention a également pour objet un véhicule automobile autonome intégrant le contrôleur précédent. En particulier, l’invention a également pour objet un véhicule automobile autonome embarquant au moins un actionneur électromécanique du type traction/freinage ou du type un actionneur de direction, un dispositif de pilotage automatique et des moyens électriques de pilotage manuel du véhicule, et un contrôleur tel que défini ci-dessus, connecté à l’actionneur électromécanique, au dispositif de pilotage automatique et aux moyens électriques de pilotage manuel. L’invention et ses avantages seront mieux compris à la lecture de la description détaillée qui va suivre, d’un mode de réalisation particulier, donné uniquement à titre d’exemple illustratif et non limitatif, cette description étant faite en se référant au dessin annexé sur lequel : la est une représentation schématique d’un système de contrôle /commande pour le pilotage d’un véhicule automobile, ce système intégrant un contrôleur selon l’invention. La représente un système de contrôle/commande pour le pilotage en autonomie d’un véhicule automobile. Le système 1 est construit autour d’un contrôleur 10. En amont, le contrôleur 10 est interfacé entre un dispositif de pilotage automatique 32 qui, lorsque le véhicule fonctionne dans un mode autonome, est propre à piloter le véhicule, c’est-à-dire à émettre des consignes de pilotage permettant un déplacement du véhicule en sécurité. Le dispositif de pilotage 32 est redondé par un dispositif de pilotage automatique auxiliaire 52, aussi dénommé système de surveillance. Le dispositif auxiliaire 52 est propre à se substituer au dispositif de pilotage 32 pour piloter le véhicule. Lorsqu’il prend la main, le dispositif auxiliaire 52 génère des consignes de pilotage auxiliaires permettant de piloter le véhicule. En aval, le contrôleur 10 est interfacé avec un ou plusieurs actionneurs. Ces actionneurs sont à commandes électriques. Ils sont propres à générer des forces mécaniques sur les organes qu’ils déplacent. Ils sont donc dits actionneurs électromécaniques. Par exemple, les actionneurs sont au nombre de quatre : - un actionneur de direction 21, propre à modifier l’angle de braquage des roues directrices du véhicule. Cet actionneur de direction 21 est avantageusement redondé par un actionneur de direction auxiliaire 25 qui, en cas de défaillance de l’actionneur 21, est propre à agir sur la direction du véhicule. - un actionneur de traction/freinage 22 propre à modifier le couple fournie par le moteur à des roues motrices du véhicule et/ou la force de serrage de freins équipant les roues du véhicule. Cet actionneur de traction/freinage 22 est avantageusement redondé par un actionneur de traction/freinage auxiliaire 26, qui, en cas de défaillance de l’actionneur 22, est propre à agir sur la vitesse du véhicule. Le véhicule est équipé d’un interrupteur de sécurité 62 qui, lorsqu’il est actionné par un individu à bord du véhicule, permet de placer le véhicule dans un état de repli correspondant à un état de sécurité. Il s’agit par exemple de déclencher un freinage d’urgence amenant le véhicule à l’arrêt sur la distance la plus courte possible. Par ailleurs, pour qu’un opérateur à bord puisse piloter le véhicule automobile manuellement, soit pour reprendre la main dans des phases de test du véhicule fonctionnant en mode autonome soit dans un mode de fonctionnement manuel du véhicule, des moyens de conduite manuelle 42 sont prévus. Il s’agit par exemple d’un ensemble volant/pédales ou d’un manche à balai. Avantageusement, ces moyens sont amovibles de manière à être retiré du véhicule dans les phases d’utilisation de ce dernier, le véhicule fonctionnant alors en mode autonome. Enfin, le contrôleur 10 est avantageusement redondé par ou redonde un autre contrôleur 110. Les contrôleurs 10 et 110 sont identiques entre eux. La structure du contrôleur 10 va maintenant être présentée en détails. Le contrôleur 10 est un calculateur, de préférence un ordinateur comportant des moyens de calcul, tels qu’un processeur, et des moyens de mémorisation, tels qu’une mémoire. La mémoire permet de stocker les instructions de programmes d’ordinateur, qui, lorsqu’elles sont exécutées par le processeur, permettent la mise en œuvre de différents procédés. Le contrôleur 10 comporte différents ports d’entrée/sortie qui sont connectés aux différents composants du système de contrôle/commande. Plus précisément, le contrôleur 10 comporte une interface de communication aval 20, qui est reliée aux différents actionneurs 21, 22, 25 et 26. Par exemple, une communication par bus est prévue, qui respecte préférentiellement le protocole CANBus. Les actionneurs principaux et auxiliaires sont préférentiellement sur deux CANbus différents. Le contrôleur 10 comporte une interface de communication amont 30, destinée à être reliée au dispositif de pilotage automatique 32. De manière similaire, le contrôleur 10 comporte une interface de communication amont auxiliaire 50, destinée à être reliée au dispositif de pilotage automatique auxiliaire 52. La liaison entre les interfaces 30, 50 et les dispositifs 32, 52 est par exemple réalisée par une connexion Ethernet ou par CAN, cette connexion pouvant être redondée par une connexion relevant de la même technologie ou d’une technologie différente (c’est-à-dire double connexion CAN, double connexion Ethernet ou connexion CAN et connexion Ethernet). Le contrôleur 10 comporte un premier connecteur électrique 60, connecté par un câble électrique à l’interrupteur de sécurité 62. Le contrôleur 10 comporte un second connecteur électrique 40, connecté par un câble électrique aux moyens de pilotage manuel 42. Le contrôleur 10 comporte un module orchestrateur 15 intégrant une unité d’orchestration 11 et une unité de sélection 12. L’unité d’orchestration 11 est en communication avec l’interface de communication amont 30 de manière à recevoir les consignes de pilotage du dispositif 32, avec l’interface amont auxiliaire 50 de manière à recevoir les consignes de pilotage auxiliaires du dispositif auxiliaire 52, avec le premier connecteur 60 pour recevoir le signal électrique généré par l’interrupteur de sécurité 62, et avec le second connecteur 40 pour recevoir le signal électrique généré par les moyens de pilotage manuel 42. L’unité d’orchestration 11 est propre à transmettre des commandes vers les actionneurs. L’unité d’orchestration 11 détermine la manière d’élaborer les commandes à partir de règles sur la manière de prendre en compte les informations provenant des ports 30, 50, 60 et 40. La règle appliquée par l’unité d’orchestration 11 dépend d’informations de diagnostic provenant de différentes unités de diagnostic dont est équipé le contrôleur 10. Ces unités de diagnostic sont décrites plus bas. L’unité de sélection 12 prend en entrée les commandes élaborées par l’unité d’orchestration 11 sur une première entrée, et le signal électrique généré par les moyens de pilotage manuel 42 sur une seconde entrée. L’unité de sélection 12 est propre à détecter qu’un signal électrique est effectivement reçu des moyens de pilotage manuel 42 et, dans ce cas, à basculer le mode de fonctionnement du véhicule d’un mode de fonctionnement autonome (dans lequel les commandes transmises aux actionneurs électromécaniques correspondent aux commandes reçues de l’unité 11) vers un mode de fonctionnement manuel (dans lequel les commandes transmises aux actionneurs correspondent au signal reçu des moyens de pilotage manuel 42). Les sorties de l’unité de sélection 12 sont appliquées à l’interface aval 20 afin d’être transmises aux différents actionneurs. Le contrôleur 10 comporte de préférence une unité de diagnostic associé à chaque port. L’unité de diagnostic 24 est ainsi propre à détecter une défaillance de l’un ou l’autre des actionneurs. Pour cela, les actionneurs ou les organes que ces actionneurs déplaçent sont équipés de différents capteurs. Ces capteurs remontent des mesures de rétroaction vers l’interface aval 20. L’unité 24 est propre à collecter ces mesures de rétroaction et à déterminer si l’un ou l’autre des actionneurs connaît une défaillance. Par exemple, l’unité 24 peut comparer la consigne d’angle de braquage transmise à l’actionneur de direction 21. Un capteur d’angle équipant l’actionneur de direction 21 remonte une mesure de l’angle de braquage instantané des roues. En comparant la consigne et la mesure de rétroaction, l’unité 24 est propre à détecter un dysfonctionnement de l’actionneur de direction 21. En cas de détection d’une défaillance d’un actionneur, l’unité 24 est propre à émettre une alerte de dysfonctionnement d’un actionneur à destination du module orchestrateur 15, plus particulièrement à destination de l’unité d’orchestration 11 du module 15. L’unité de diagnostic 34 est propre à détecter une défaillance du dispositif de pilotage 32 en analysant les consignes reçues sur l’interface de communication amont 30. Par exemple, l’unité 34 vérifie que les consignes reçues appartiennent à un intervalle prédéfini de valeurs autorisées. En cas de dépassement de ces limites imposées, l’unité 34 est propre à émettre une alerte de dysfonctionnement du dispositif 32 à destination de l’unité d’orchestration 11. Dans ce cas, ce sont les consignes de pilotage provenant du dispositif de pilotage automatique auxiliaire 52 qui sont utilisées, et une mise en sécurité du véhicule est réalisée. L’unité 34 peut par exemple encore vérifier que l’interface 30 reçoit périodiquement un « bit de vie » du dispositif de pilotage automatique 32. En cas de non réception de ce message pendant une durée prédéterminée, l’unité 34 émet une alerte indiquant que le dispositif 32 a cessé d’émettre ou que la liaison entre le dispositif 32 et l’interface 30 est rompue. De manière similaire, l’unité de diagnostic 54 est propre à détecter une défaillance du dispositif de pilotage automatique auxiliaire 52 en analysant les consignes auxiliaires reçues sur l’interface de communication amont auxiliaire 50. Par exemple, l’unité 54 vérifie que les consignes auxiliaires reçues appartiennent à un intervalle prédéfini de valeurs autorisées. En cas de dépassement de ces limites imposées, l’unité 54 est propre à émettre une alerte de dysfonctionnement du dispositif auxiliaire 52 à destination de l’unité d’orchestration 11. Dans ce cas, l’unité 11 limite la valeur de la consigne reçue à la plage préconisée, et une mise en sécurité du véhicule est réalisée. L’unité 54 peut par exemple encore vérifier que l’interface 50 reçoit périodiquement un bit de vie du dispositif de pilotage automatique auxiliaire 52. En cas de non-réception de ce message pendant une durée prédéterminée, l’unité 54 émet une alerte indiquant que le dispositif auxiliaire 52 a cessé d’émettre ou que la liaison entre le dispositif auxiliaire 52 et l’interface auxiliaire 50 est rompue. Si cela arrive pendant que le pilotage du véhicule est assuré par le dispositif de pilotage 32, alors une mise en sécurité du véhicule est demandée au dispositif 32. Si le pilotage du véhicule est déjà assuré par le dispositif auxiliaire 52, une mise en sécurité du véhicule est demandée au dispositif auxiliaire 52. L’unité de diagnostic 64 permet de détecter la survenue d’une défaillance de l’interrupteur de sécurité 62. Par exemple, l’unité 64 mesure l’intensité et/ou la tension des signaux électriques sur le premier connecteur 60. Lorsque les valeurs mesurées sont supérieures à des seuils prédéfinies, l’unité 64 est propre à émettre une alerte de dysfonctionnement de l’interrupteur de sécurité vers l’unité d’orchestration 11. De manière similaire, l’unité de diagnostic 44 permet de détecter la survenue d’une défaillance des moyens de pilotage manuel. Par exemple, l’unité 44 mesure l’intensité et/ou la tension des signaux électriques sur le second connecteur 40. Lorsque les valeurs mesurées sont supérieures à des seuils prédéfinies, l’unité 44 est propre à émettre une alerte de dysfonctionnement des moyens de pilotage manuel vers l’unité d’orchestration 11. Dans ce cas, la consigne reçue par les moyens de pilotage manuel 42 est limitée aux valeurs seuils, et une mise en sécurité du véhicule est réalisée (basculement sur le dispositif de pilotage 32 ou auxiliaire 52 par ordre préférentiel, suivant la disponibilité de l’un ou l’autre de ces dispositifs). Enfin, pour la redondance entre le contrôleur 10 agissant comme contrôleur auxiliaire et le contrôleur 110 agissant en tant que contrôleur principal, l’unité de diagnostic 74 est propre à déterminer si le contrôleur 110 est défaillant. Par exemple, le contrôleur 110 est muni de différents capteurs, tels que par exemple un capteur de température 72. Le capteur 72 est connecté au contrôleur 10 via une interface 70. L’unité de diagnostic 74 est propre à collecter, sur l’interface 70, les mesures effectuées par le capteur 72. Lorsque la température relevée par le capteur 72 est hors d’une plage de valeurs possibles, l’unité 74 est propre à émettre un message d’alerte vers l’unité d’orchestration 11. En variante, le diagnostic mis en œuvre par l’unité 74 porte sur l’émission d’un bit de vie par le contrôleur surveillé et la réception périodique de ce bit de vie par le contrôleur de redondance. En variante, le diagnostic mis en œuvre par l’unité 74 porte sur la comparaison des signaux de sortie de contrôleurs 10 et 110, de sorte que si un écart est détecté, une mise en sécurité du véhicule est réalisée. Afin de déterminer quel contrôleur prend la main, chacun de ces contrôleurs comporte deux ECU, réalisant chacun les calculs, de sorte que l’on dispose de quatre calculs en sortie (deux calculs par contrôleur). Le contrôleur ayant émis un calcul différent des trois autres calculs est alors déclaré en défaut, et le véhicule est mis en sécurité avec le contrôleur restant. Le véhicule automobile peut fonctionner en mode manuel. Dans un état nominal, le véhicule est alors piloté par un opérateur à bord via les moyens de pilotage manuel 42. Plus précisément, le module orchestrateur 15 applique les consignes reçues des moyens de pilotage manuel 42 en tant que commandes des actionneurs 21, 22, 25, 26. Le véhicule automobile peut alternativement fonctionner en mode autonome. Dans l’état nominal, le véhicule est alors piloté par le dispositif de pilotage automatique 32. Plus précisément, le module orchestrateur 15 applique les consignes reçues du dispositif de pilotage automatique 32 en tant que commandes des actionneurs 21, 22, 25, 26. En mode autonome, l’unité de sélection 12 du module orchestrateur 15 surveille, à chaque pas de temps, qu’aucune consigne (sous la forme d’un signal électrique) n’est reçue des moyens de pilotage manuel 42. Dès qu’elle détecte de telles consignes, l’unité de sélection 12 bascule du mode de fonctionnement autonome vers un mode de fonctionnement manuel. Cela permet, par exemple en mode de test, alors qu’un opérateur à bord surveille le bon comportement du véhicule, de reprendre immédiatement en main le pilotage du véhicule si la trajectoire de ce dernier déterminée en autonomie est manifestement erronée. Que le véhicule fonctionne en mode autonome ou en mode manuel, à chaque pas de temps, l’unité d’orchestration 11 du module orchestrateur 15 analyse la cohérence des flux de données qui transitent par le contrôleur 10. Elle est programmée pour, en cas de détection d’une défaillance de l’un ou l’autre des composants auxquels le contrôleur 10 est connecté, réaliser une action prédéfinie associée à un basculement de l’état nominal vers un état de repli du fonctionnement du véhicule. Ainsi, par exemple et de préférence, l’unité d’orchestration 11 est programmée pour appliquer les règles suivantes : (a) si une défaillance de l’un des actionneurs 21, 22, 25, 26 est détectée, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique 32, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (b) si une défaillance du dispositif de pilotage automatique 32 est détectée, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique auxiliaire 52, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (c) si l’unité d’orchestration détecte que le dispositif auxiliaire 52 émet des consignes auxiliaires, indiquant ainsi que le dispositif auxiliaire 52 a détecté une défaillance du dispositif 32, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage auxiliaire, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (d) si une défaillance du dispositif de pilotage automatique auxiliaire 52 est détectée, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique 32, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (e) si une défaillance des moyens de pilotage manuel 42 est détectée, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique 32, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (f) si une défaillance de l’interrupteur de sécurité 62 est détectée, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique 32, ce dernier assurant le pilotage du véhicule dans l’état de repli ; (g) si une défaillance du contrôleur principal 110 est détectée par le contrôleur auxiliaire 10, requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique 32, ce dernier assurant le pilotage du véhicule à travers le contrôleur auxiliaire 10 dans l’état de repli. En cas de double défaillance, c’est-à-dire lorsque deux défaillances sont rapportées au même instant par deux unités de diagnostic différentes, le fonctionnement du véhicule est reconfiguré suivant les règles précédentes. En cas de double défaillance du dispositif de pilotage automatique et du dispositif de pilotage auxiliaire, alors la dernière consigne reçue est réalisée jusqu’à l’arrêt du véhicule, sachant qu’il est toujours possible de reprendre la main via les moyens de pilotage manuel 42, à moins que ceux-ci ne soient défaillants. Ainsi, le module orchestrateur, en combinaison avec les différentes unités de de diagnostic, permet de sécuriser le fonctionnement du véhicule. Il est propre à appliquer différentes règles permettant, en cas de détection d’une défaillance, de modifier l’état du véhicule pour passer d’un état nominal (que ce soit en mode autonome ou manuel) vers un état de repli garantissant la sécurité. Contrôleur (10) embarqué à bord d’un véhicule automobile autonome, ledit contrôleur (10) comportant : - une interface de communication aval (20), destinée à être reliée à au moins un actionneur électromécanique pour transmettre des commandes et recevoir des mesures de rétroaction, l’actionneur électromécanique étant un actionneur de traction/freinage (22, 26) ou un actionneur de direction (21, 25) ; - une interface de communication amont (30), destinée à être reliée à un dispositif de pilotage automatique (32) pour recevoir des consignes de pilotage ; et, - un connecteur électrique (40), destiné à être connecté à des moyens de pilotage manuel (42) du véhicule pour recevoir des consignes manuelles de pilotage, les moyens de pilotage manuel étant des moyens propres à générer des signaux électriques, le contrôleur (10) intégrant un module orchestrateur (15), propre à détecter que des consignes manuelles de pilotage sont reçues des moyens de pilotage manuel (42) et à basculer un mode de fonctionnement du véhicule d’un mode de fonctionnement autonome, dans lequel les commandes transmises à l’actionneur électromécanique correspondent aux consignes reçues du dispositif de pilotage automatique (32), vers un mode de fonctionnement manuel, dans lequel les commandes transmises à l’actionneur électromécanique correspondent aux consignes manuelles reçues des moyens de pilotage manuel (42). Contrôleur (10) selon la revendication 1, comportant une unité (24) de diagnostic de l’actionneur électromécanique (21, 22, 25, 26), l’unité (24) de diagnostic de l’actionneur électromécanique étant propre à détecter une défaillance de l’actionneur électromécanique à partir des commandes transmises à l’actionneur électromécanique et de mesures de rétroaction reçues de l’actionneur électromécanique et/ou des organes couplés à l’actionneur électromécanique, et, en cas de survenue d’une défaillance de l’actionneur électromécanique, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique (32). Contrôleur (10) selon la revendication 1 ou la revendication 2, comportant une unité (34) de diagnostic du dispositif de pilotage automatique (32), l’unité (34) de diagnostic du dispositif de pilotage automatique étant propre à détecter une défaillance du dispositif de pilotage automatique à partir des consignes reçues du dispositif de pilotage automatique (32), et, en cas de survenue d’une défaillance du dispositif de pilotage automatique, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès d’un dispositif de pilotage automatique auxiliaire (52), le contrôleur (10) comportant une interface de communication amont auxiliaire (50), destinée à être reliée au dispositif de pilotage automatique auxiliaire (52) pour recevoir des consignes auxiliaires de pilotage . Contrôleur (10) selon la revendication 3, dans lequel le module orchestrateur (15) est propre à détecter que des consignes auxiliaires de pilotage sont reçues du dispositif de pilotage automatique auxiliaire (52), indiquant ainsi que le dispositif de pilotage automatique auxiliaire a détecté une défaillance du dispositif de pilotage automatique (32), le module orchestrateur (15) étant propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique auxiliaire (52). Contrôleur (10) selon la revendication 3 ou la revendication 4, comportant une unité (54) de diagnostic du dispositif de pilotage automatique auxiliaire, propre à détecter une défaillance du dispositif de pilotage automatique auxiliaire à partir des consignes de pilotage auxiliaires reçues du dispositif de pilotage automatique auxiliaire, et, en cas de détection d’une défaillance du dispositif de pilotage automatique auxiliaire, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique (32). Contrôleur (10) selon l’une quelconque des revendications précédentes, comportant une unité (44) de diagnostic des moyens de pilotage manuel (42) propre à détecter une défaillance des moyens de pilotage manuel (42) à partir des signaux électriques reçus des moyens de pilotage manuel (42), et, en cas de détection d’une défaillance des moyens de pilotage manuel, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique (32). Contrôleur (10) selon l’une quelconque des revendications 3 à 5, comportant un autre connecteur électrique (60) destiné à être connecté à un interrupteur de sécurité (62), l’interrupteur de sécurité (62) étant un moyen propre à générer des signaux électriques et, qui, lorsqu’il est enclenché, conduit le module orchestrateur (15) à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique auxiliaire (52), le contrôleur (10) comportant une unité (44) de diagnostic de l’interrupteur de sécurité, propre à détecter une défaillance de l’interrupteur de sécurité à partir des signaux électriques reçus de l’interrupteur de sécurité, et, en cas de détection d’une défaillance de l’interrupteur de sécurité, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique (32). Contrôleur (10) selon l’une quelconque des revendications précédentes, comportant, pour être utilisé en tant que contrôleur auxiliaire en redondance d’un contrôleur principal, une unité (74) de diagnostic du contrôleur principal, propre à détecter une défaillance du contrôleur principal à partir de données collectées par des dispositifs (72) adaptés et reçues sur un port (70) du contrôleur (10), et, en cas de détection d’une défaillance du contrôleur principal, le module orchestrateur (15) est propre à requérir une mise en sécurité du véhicule auprès du dispositif de pilotage automatique (32). Contrôleur (10) selon l’une quelconque des revendications précédentes, dans lequel la mise en sécurité du véhicule consiste à basculer d’un état nominal vers un état de repli, consistant de préférence en un freinage d’urgence. Véhicule automobile autonome embarquant au moins un actionneur électromécanique du type traction/freinage (22, 26) ou du type un actionneur de direction (21 , 25), un dispositif de pilotage automatique (32) et des moyens électriques de pilotage manuel (42) du véhicule, et un contrôleur, caractérisé en ce que le contrôleur est un contrôleur (10) conforme à l’une quelconque des revendications 1 à 9, connecté à l’actionneur électromécanique, au dispositif de pilotage automatique et aux moyens électriques de pilotage manuel.