FR 3117256 A1 20220610 FR 2012686 A 20201204 Procédé de sécurisation d’un véhicule comprenant un afficheur, dispositif électronique de sécurisation et produit programme d’ordinateur associé L’objet de l’invention est un procédé de sécurisation d’un véhicule comprenant un système critique comportant un afficheur, le procédé comprenant les étapes suivantes : - acquisition (110) d’au moins un flux vidéo à diffuser sur l’afficheur ; - calcul (120) d’un niveau de luminosité du ou de chaque flux vidéo ; - si le niveau de luminosité du ou de l’un des flux vidéo respecte un critère prédéfini, alors affichage (160) sur l’afficheur du flux vidéo ; - sinon, inhibition d’un affichage (160) du flux vidéo. Figure pour l'abrégé : Figure 2 Procédé de sécurisation d’un véhicule comprenant un afficheur, dispositif électronique de sécurisation et produit programme d’ordinateur associé La présente invention concerne un procédé de sécurisation d’un véhicule comprenant un système critique comportant un afficheur. La présente invention concerne également un dispositif électronique de sécurisation et un produit programme d’ordinateur associés à ce procédé. De manière connue en soi, un véhicule comprend un système d’aide au pilotage muni d’un écran d’affichage d’images destinées à informer au moins un opérateur du véhicule, tel qu’un pilote, un copilote, un navigateur ou un opérateur de surveillance. Un tel système permet notamment de diffuser un flux vidéo, généré via des caméras ou des capteurs, et relatif à un environnement dans lequel le véhicule évolue. Dans le domaine automobile, des écrans d’affichage sont par exemple installés dans l’habitacle et sont propres à diffuser des images en lien avec un système de positionnement par satellites ou issues d’une caméra de recul du véhicule. Dans le domaine aéronautique, de tels systèmes existent dans le cockpit d’un aéronef ou dans tout autre centre de pilotage, sous forme d’écran ou sous forme de casques comprenant un afficheur et portés par le pilote. Ces systèmes permettent notamment de diffuser au pilote ou à tout autre utilisateur du contenu informationnel sur l’environnement de l’aéronef. Cependant, lorsque le flux vidéo est altéré lors de sa génération ou lors de sa communication vers les écrans d’affichage, son affichage est susceptible de gêner l’utilisateur et de le perturber dans son pilotage. Ainsi, dans le cas d’une manœuvre critique, de tels altérations de flux risquent d’engendrer de lourdes conséquences matérielles et/ou humaines. Un but de l’invention est donc de fournir un procédé de sécurisation d’un véhicule comprenant un système critique comportant un afficheur, par le contrôle de la luminosité de ce dernier. À cet effet, l’objet de l’invention est un procédé de sécurisation d’un véhicule comprenant un système critique comportant un afficheur, le procédé comprenant les étapes suivantes : - acquisition d’au moins un flux vidéo à diffuser sur l’afficheur; - calcul d’un niveau de luminosité du ou de chaque flux vidéo ; - si le niveau de luminosité du ou de l’un des flux vidéo respecte un critère prédéfini, alors affichage sur l’afficheur du flux vidéo ; - sinon, inhibition d’un affichage du flux vidéo. Suivant d’autres aspects avantageux de l’invention, le procédé de sécurisation comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - l’inhibition de l’étape d’affichage du flux vidéo comprend le remplacement du flux vidéo par un message d’erreur, un icône d’erreur ou un écran noir, ou la coupure de l’afficheur, - l’étape d’acquisition comprend l’acquisition d’un premier flux vidéo et d’un deuxième flux vidéo, le procédé comprenant en outre une étape de mixage du premier et du deuxième flux vidéo avant affichage sur l’afficheur, - l’inhibition de l’affichage du flux vidéo est propre à chaque flux vidéo, si l’un des flux vidéo ne respecte pas le critère, alors le procédé comprend, préalablement à l’étape de mixage, une inhibition du flux vidéo, - le ou au moins l’un des flux vidéo est généré par le système critique à partir d’un contenu à diffuser, le niveau de luminosité de ce flux vidéo respectant le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo, le seuil associé ce flux vidéo étant déterminé à partir du contenu, le seuil associé à ce flux vidéo étant de préférence déterminé à partir d’un pire cas dans lequel le niveau de luminosité associé à ce contenu est le plus élevé, - le niveau de luminosité du ou d’au moins un des flux vidéo respecte le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo, le seuil associé à ce flux vidéo étant déterminé préalablement au procédé, le seuil étant de préférence lié à un maximum acceptable pour un utilisateur, - le niveau de luminosité du ou de chaque flux vidéo respecte le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo et déterminé à partir d’un niveau maximum de luminosité prédéfinie, le seuil étant avantageusement déterminé en outre à partir de données issues d’un capteur relatif à au moins un angle de l’afficheur dans un repère prédéfini, - le seuil associé au ou au moins à l’un des flux vidéo est déterminé comme étant un pourcentage du niveau maximum de luminosité, - les étapes du procédé sont réitérées à une fréquence prédéterminée, et - le niveau de luminosité propre à chaque flux vidéo est calculé comme étant un niveau de gris de ce flux. L’invention a également pour objet un produit programme d’ordinateur comportant des instructions logicielles qui, lorsque mises en œuvre par un équipement informatique, mettent en œuvre le procédé de sécurisation, tel que défini ci-dessus. L’invention concerne également un dispositif de sécurisation comprenant des moyens techniques adaptés pour implémenter le procédé de sécurisation, tel que défini ci-dessus. Ces caractéristiques et avantages de l’invention apparaîtront à la lecture de la description qui va suivre, donnée à titre d’exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : la est une vue schématique d’un dispositif électronique de sécurisation, dans un système critique, selon l’invention ; la est un organigramme d’un procédé de sécurisation mis en œuvre par le dispositif de sécurisation de la . En référence à la , un véhicule 5 est mobile dans un environnement. Le véhicule 5 est par exemple un aéronef, un véhicule ferroviaire, un véhicule maritime ou un véhicule routier. Le véhicule 5 est piloté par un utilisateur 10 à bord de celui-ci (par exemple à partir d’un cockpit dans la cas d’un avion ou d’un hélicoptère) ou à distance de ce dernier (par exemple à partir d’un centre de pilotage terrestre dans le cas par exemple d’un drone). Le véhicule 5 comprend un système critique 15 configuré pour communiquer de l’information à l’utilisateur 10. Lorsque le système critique 15 est à bord du véhicule 5, il est dit embarqué. Lorsque le système critique 15 est à l’extérieur dudit véhicule 5, il est dit déporté. Un tel système critique 15 déporté est notamment utile dans le cas où le véhicule 5 est un drone. Selon un mode de réalisation préférentiel, le système critique 15 est embarqué à bord du véhicule 5. Le système critique 15 comprend une caméra 20, un afficheur 25, un module de génération 28 et un dispositif 30 de sécurisation du véhicule 5. Si le système critique 15 est déporté du véhicule 5, alors il ne comprend par la caméra 20 mais est apte à communiquer avec une caméra 20 respective embarqué à bord du véhicule 5. Le système critique 15 est par exemple connecté, via son module de génération, à des capteurs non représentés, ou à un ordinateur de bord non représenté, propres à transmettre des données au système critique 15 sur le véhicule 5 ainsi que sur l’environnement dans lequel il évolue. Les données sont par exemple relatives à la pression extérieure, à une quantité de carburant dans le véhicule 5, à une température extérieure, ou à une vitesse du véhicule 5. La caméra 20 par exemple localisée à l’extérieur du véhicule 5. La caméra 20 est configurée pour capter des images de l’environnement du véhicule 5, formant un premier flux vidéo. La caméra 20 est par exemple située en amont du véhicule 5, dans le sens de déplacement du véhicule 5, pour capter des images de l’environnement que le véhicule 5 rencontrera prochainement. La caméra définit un axe optique selon lequel elle pointe. Alternativement, au lieu de la caméra 20, le système 15 comprend tout autres dispositif apte à fournir des images formant le premier flux vidéo. L’afficheur 25 est par exemple un casque muni d’écrans d’affichage (non représentés) et de moyens de diffusion d’images (non représentés) tels qu’un écran ou une surface de projection et un projecteur. En variante, l’afficheur 25 est un écran localisé dans un habitacle du véhicule 5, dans lequel l’utilisateur 10 est positionné. En variante non-représentée, lorsque l’afficheur 25 est un casque, le système critique 15 comprend en outre un capteur de posture de l’utilisateur 10. Le capteur de posture est configuré pour fournir au dispositif de sécurisation 30, des données relatives à la posture de la tête de l’utilisateur 10. Ces données permettent notamment de définir un angle dans un repère prédéfini. Plus particulièrement ces données définissent notamment un angle entre un plan de l’afficheur 25 et l’axe optique selon lequel la caméra 20 pointe. Le module de génération 28 est configuré pour générer un deuxième flux vidéo. Le deuxième flux vidéo comporte par exemple de la symbologie représentant les données issues des capteurs ou de l’ordinateur de bord, auxquels le module de génération 28 est connecté. En variante non-représentée et dans le cas où le deuxième flux est composé de symbologie, le module de génération 28 est compris dans le dispositif de sécurisation 30. Ainsi le module de génération 28 est également configuré pour communiquer au dispositif de sécurisation 30 des données relatives aux symboles qu’il est apte à générer dans le deuxième flux. Plus particulièrement, le module de génération 28 est configuré pour communiquer au dispositif de sécurisation 30 l’état du deuxième flux dans le cas où il comprendrait l’ensemble des symboles que le module de génération 28 est propre à générer. Un tel état du deuxième flux est nommé ci-après « pire cas » (de l’anglais worst case ) dans la suite de la description. Le dispositif de sécurisation 30 est configuré pour transmettre un flux vidéo, appelé ci-après flux vidéo mixé, à l’afficheur 25. Le dispositif de sécurisation 30 comprend un module d’acquisition 35, un module de traitement 40 et un module de sortie 45. Le module d’acquisition 35 est configuré pour acquérir une pluralité de flux vidéo. Ce module d’acquisition est par exemple configuré pour acquérir le premier flux vidéo issu de la caméra 20 et un deuxième flux vidéo issu du module de génération 28. En complément facultatif, le module d’acquisition 35 est configuré pour acquérir en outre une information relative à un contenu du deuxième flux vidéo issu du module de génération 28. Selon la variante dans laquelle le système critique 15 comprend le capteur de posture, le module d’acquisition 35 est également configuré pour recevoir les données relatives à la posture de l’utilisateur 10. Le module de traitement 40 est configuré pour traiter les flux vidéo acquis par le module d’acquisition 35 et pour produire le flux vidéo mixé. Le module de sortie 45 est configuré pour communiquer le flux vidéo mixé, issu du module de traitement 40, à l’afficheur 25. Selon un mode de réalisation, le module d’acquisition 35, le module de traitement 40 et le module de sortie 45 sont réalisés chacun sous la forme d’un logiciel stocké dans un ou plusieurs moyens de stockage (tels qu’un disque dur ou un disque flash) et implémenté par un ou plusieurs processeurs, mémoire (RAM) et autres composants d’ordinateurs connus en soi. Ces composants sont alors inclus dans un même ordinateur ou dans différents ordinateurs/serveurs. Dans ce dernier cas, les ordinateurs/serveurs sont connectés par un réseau local ou global. En outre, ou de manière alternative, au moins une partie de ces modules 35, 40 et 45 prend la forme, au moins partiellement, d’un composant électronique indépendant, tel que par exemple un circuit logique programmable du type FPGA (de l’anglais Field Programmable Gate Array ) ou autre. Le procédé de sécurisation mis en œuvre par le dispositif électronique de sécurisation 30 selon l’invention sera désormais expliqué en référence à la présentant un organigramme de ses étapes. Initialement, le véhicule 5 évolue dans l’environnement, piloté par l’utilisateur 10. La caméra 20 acquiert alors des images de l’environnement, générant un premier flux vidéo, et le module de génération 28 génère un deuxième flux vidéo à partir de données issues de capteurs et/ou d’un ordinateur de bord. Lors d’une première étape d’acquisition 110, le module d’acquisition 35 acquiert le premier flux vidéo issu de la caméra 20 ou de tout autre dispositif analogue et le deuxième flux vidéo issu du module de génération 28. Lors de cette étape d’acquisition 110, le module d’acquisition 35 acquiert également l’information relative au contenu du deuxième flux vidéo, depuis le module de génération 28. En complément facultatif, lorsque l’afficheur 25 est un casque et lorsque le système critique 30 comprend le capteur, le module d’acquisition 110 acquiert en outre, lors de l’étape d’acquisition 110, les données relatives à la posture de l’utilisateur 10. Lors d’une étape de calcul 120, le module de traitement 40 calcule un niveau de luminosité de chaque flux vidéo. Pour cela, le module de traitement 40 calcule, pour chaque flux, un niveau de gris de ce flux. Le calcul du niveau de gris est par exemple effectué selon une technique connue en soi, par moyenne pondérée sur l’ensemble des pixels, des coefficients rouge, bleu, et vert (RGB, de l’anglais Red, Green, Blue ) et avantageusement d’un coefficient de transparence, dit coefficient alpha. En complément facultatif, lorsque l’afficheur 25 est un casque et lorsque le système critique 15 comprend le capteur, lors de l’étape de calcul 120, le module de traitement 40 traite le premier flux à partir des données relatives à la posture de l’utilisateur 10. A l’issue de l’étape de calcul 120, chaque image du premier flux vidéo comprend soit entièrement une image du premier flux vidéo acquis, soit une première partie correspondant à l’image du premier flux vidéo acquis et une deuxième partie noire. Dans ce complément facultatif, lors de l’étape de calcul 120, le module de traitement 40 calcule le niveau moyen de gris du premier flux vidéo seulement à partir de la première partie correspondant au premier flux vidéo acquis. Lors d’une étape de détection 130, le module de traitement 40 détecte, pour chaque flux vidéo, si son niveau de luminosité est supérieur à un seuil correspondant. Plus précisément, le module de traitement 40 détecte si le niveau de luminosité du premier flux, dit premier niveau de luminosité, est supérieur à un premier seuil et/ou, si le niveau de luminosité du deuxième flux, dit deuxième niveau de luminosité, est supérieur à un deuxième seuil. Pour cela, lors d’une sous-étape de détermination 135 le module de traitement 40 détermine le premier seuil à partir d’un niveau maximum de luminosité prédéfini. Par exemple, le module de traitement 40 détermine le premier seuil comme étant un pourcentage du niveau maximum de luminosité. Le premier seuil est par exemple compris entre 60% et 80 % du niveau maximum de luminosité et de préférence égal à 70% du niveau maximum de luminosité. En variante, le premier seuil est déterminé, préalablement au procédé de sécurisation, comme étant un pourcentage du niveau maximum de luminosité. En variante encore, si la caméra 20 est configurée pour communiquer en outre une information relative à ses réglages maxima, au dispositif de sécurisation 30, tel que son rehaussement de contraste maximum, alors le premier seuil est égal à cette information relative aux réglages de la camera 20. En variante encore, lorsque le système critique comprend le capteur de posture, le module de traitement 40 détermine le premier seuil en fonction des données issues du capteur de posture. Toujours lors de la sous-étape de détermination 135, le module de traitement 40 détermine le deuxième seuil à partir du niveau maximum de luminosité et des informations acquises sur le contenu du deuxième flux vidéo. Plus précisément, le module de traitement 40 détermine alors le deuxième seuil comme étant un pourcentage du maximum de luminosité dépendant du contenu du deuxième flux vidéo. Par exemple, si le contenu du deuxième flux vidéo est de la symbologie sensiblement discrète dans un coin de l’écran d’affichage, le deuxième seuil est plus faible que si le contenu du deuxième flux vidéo est composé d’une multitude de symboles remplissant l’entièreté de l’écran d’affichage. Avantageusement, le deuxième seuil évolue dynamiquement avec le contenu, entre 30% et 50% du niveau maximum de luminosité. En variante, lorsque le module de génération 28 fait partie du dispositif de sécurisation 30, le module de traitement 40 détermine le deuxième seuil relativement au pire cas du deuxième flux décrit préalablement. Ainsi, il est assuré que le module de génération puisse générer le deuxième flux comprenant l’ensemble des symboles qu’il est configuré pour générer. Dans une telle situation, le niveau de gris du deuxième flux est supérieur au deuxième seuil seulement si une erreur intervient dans la génération du deuxième flux ou dans la communication entre le module de génération 28 et le module d’acquisition 35. En variante encore, le module de traitement 40 est configuré pour déterminé le deuxième seuil comme étant constant et indépendant du module de génération 28. Le deuxième seuil est alors par exemple égal à 30% du niveau maximum de luminosité de l’afficheur 25. Selon une autre variante, le deuxième seuil est déterminé préalablement au procédé. Le deuxième seuil est alors par exemple déterminé par analyse facteur humain durant le développement de la fonction et est lié au maximum opérationnel acceptable par l’utilisateur 10 en fonction de la typologie du deuxième flux vidéo (symbologie, Image senseur visible, image senseur IR, ou autres). Lors d’une sous-étape de comparaison 138, le module de traitement 40 compare le niveau de luminosité de chaque flux vidéo avec le seuil correspondant. Si le niveau de luminosité d’au moins un des flux vidéos est supérieur au seuil qui lui est associé, le module de traitement 40 passe alors dans une étape de remplacement 140. Un tel flux est qualifié ci-après de flux altéré. Plus particulièrement, le niveau de luminosité du premier flux est propre à dépasser le premier seuil si une erreur intervient entre la captation d’image par la camera 20 et l’acquisition 110 du premier flux par le module d’acquisition 35, conduisant à la production d’une image blanche, ou si la caméra 20 capte des images naturellement trop lumineuses, ou encore si l’utilisateur 10 a effectué un réglage de l’afficheur 25 conduisant à une image trop lumineuse à afficher. De manière similaire, le niveau de luminosité du deuxième flux est propre à dépasser le deuxième seuil en cas d’erreur de communication entre le module de génération 28 et le module d’acquisition 35, ou en cas d’une erreur du module de génération 28 lors de la génération du deuxième flux. Lors de l’étape de remplacement 140, le module de traitement 40 remplace le flux altéré par un message d’erreur qui lui est propre. Ainsi, si le flux altéré est le premier flux, le module 40 remplace le premier flux par un premier message d’erreur. De manière similaire, si le flux altéré est le deuxième flux, alors le module de traitement 40 remplace le deuxième flux par un deuxième message d’erreur. Le premier message d’erreur est par exemple un message indiquant que les images issues de la caméra sont altérées. Selon un autre exemple, le premier message d’erreur est un message indiquant que le niveau de luminosité du premier flux vidéo est supérieur au premier seuil. Le deuxième message d’erreur est par exemple, un message indiquant que le flux vidéo issu du module de génération 28 est altéré. Selon un autre exemple, le deuxième message d’erreur est un message indiquant que le niveau de luminosité du deuxième flux vidéo est supérieur au deuxième seuil. À la suite de l’étape de remplacement 140 ou à l’étape de détection 130 si le niveau de luminosité d’aucun des flux n’est supérieur au seuil correspondant, le module de traitement 40 passe à une étape de mixage 150 dans laquelle il produit le flux vidéo mixé. Lors de cette étape de mixage 150, le module de traitement 40 effectue le mixage du premier et du deuxième flux vidéo selon une technique connue. Si l’un des deux flux vidéo a été remplacé par un message d’erreur lors de l’étape de remplacement 140, alors le module de traitement 40 effectue le mixage de ce message d’erreur et du flux vidéo non-altéré. Lors d’une étape d’affichage 160, le module de sortie 45 transmet le flux vidéo mixé à l’afficheur 25 en vue de son affichage sur l’écran d’affichage. Les étapes de calcul 120, de détection 130, et le cas échéant de remplacement 140 sont réitérées à une fréquence prédéterminée, par exemple égale à 100Hz. Avec le procédé selon l’invention, l’altération d’au moins un flux vidéo est détectée préalablement à son affichage. Ainsi, le procédé de sécurisation du véhicule 5 selon l’invention permet d’éviter que l’utilisateur 10 ne soit gêné par une altération du flux vidéo lors du pilotage. En effet, lorsque le niveau de luminosité de l’un des flux vidéo est trop élevé, le procédé selon l’invention le détecte et affiche un message d’erreur en remplacement de ce flux. En outre, le message d’erreur remplaçant le flux vidéo altéré permet de prévenir l’utilisateur 10 d’un problème lié à l’équipement générant le flux vidéo. De plus, le fait que l’étape de mixage 150 soit postérieure à l’étape de remplacement 140 lorsque l’un des flux vidéo est altéré, permet à l’utilisateur 10 de continuer recevoir les informations issues de l’autre flux vidéo tout en étant informé de l’altération. Procédé de sécurisation d’un véhicule comprenant un système critique (15) comportant un afficheur (25), le procédé comprenant les étapes suivantes : acquisition (110) d’au moins un flux vidéo à diffuser sur l’afficheur (25) ; calcul (120) d’un niveau de luminosité du ou de chaque flux vidéo ; si le niveau de luminosité du ou de l’un des flux vidéo respecte un critère prédéfini, alors affichage (160) sur l’afficheur (25) du flux vidéo ; sinon, inhibition d’un affichage (160) du flux vidéo. Procédé selon la revendication 1, dans lequel l’inhibition de l’étape d’affichage (160) du flux vidéo comprend le remplacement (140) du flux vidéo par un message d’erreur, un icône d’erreur ou un écran noir, ou la coupure de l’afficheur (25). Procédé selon la revendication 1 ou 2, dans lequel l’étape d’acquisition (110) comprend l’acquisition d’un premier flux vidéo et d’un deuxième flux vidéo, le procédé comprenant en outre une étape de mixage (150) du premier et du deuxième flux vidéo avant affichage sur l’afficheur (25). Procédé selon la revendication 3, dans lequel l’inhibition de l’affichage (160) du flux vidéo est propre à chaque flux vidéo, si l’un des flux vidéo ne respecte pas le critère, alors le procédé comprend, préalablement à l’étape de mixage (150), une inhibition du flux vidéo. Procédé selon l’une quelconque des revendications précédentes, dans lequel le ou au moins l’un des flux vidéo est généré par le système critique (15) à partir d’un contenu à diffuser, le niveau de luminosité de ce flux vidéo respectant le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo, le seuil associé ce flux vidéo étant déterminé à partir du contenu, le seuil associé à ce flux vidéo étant de préférence déterminé à partir d’un pire cas dans lequel le niveau de luminosité associé à ce contenu est le plus élevé. Procédé selon l’une quelconque des revendications précédentes, dans lequel le niveau de luminosité du ou d’au moins un des flux vidéo respecte le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo, le seuil associé à ce flux vidéo étant déterminé préalablement au procédé, le seuil étant de préférence lié à un maximum acceptable pour un utilisateur (10). Procédé selon l’une quelconque des revendications 1 à 4, dans lequel le niveau de luminosité du ou de chaque flux vidéo respecte le critère prédéfini si ce niveau de luminosité est inférieur à un seuil associé à ce flux vidéo et déterminé à partir d’un niveau maximum de luminosité prédéfinie, le seuil étant avantageusement déterminé en outre à partir de données issues d’un capteur relatif à au moins un angle de l’afficheur (25) dans un repère prédéfini. Procédé selon l’une quelconque des revendications 5 à 7, dans lequel le seuil associé au ou au moins à l’un des flux vidéo est déterminé comme étant un pourcentage du niveau maximum de luminosité. Procédé selon l’une quelconque des revendications précédentes, dans lequel ses étapes sont réitérées à une fréquence prédéterminée. Procédé selon l’une quelconque des revendications précédentes, dans lequel le niveau de luminosité propre à chaque flux vidéo est calculé comme étant un niveau de gris de ce flux. Produit programme d’ordinateur comportant des instructions logicielles qui, lorsque mises en œuvre par un équipement informatique, mettent en œuvre le procédé de sécurisation selon l’une quelconque des revendications 1 à 10. Dispositif électronique de sécurisation (30) comprenant des moyens techniques adaptés pour implémenter le procédé de sécurisation selon l’une quelconque des revendications 1 à 10.