FR 3132364 A1 20230804 FR 2200845 A 20220131 Procédé de contrôle d’un système cible (SC) comportant les étapes : - d’obtention (E1) de données d’entrée (DM) relatives à au moins un état courant du système cible (SC), - d’obtention (E10) d’au moins une contrainte de fonctionnement (CT) du système cible (SC), - de calcul (E20) par une commande prédictive (MPC) d’une séquence de commandes de contrôle envisagée (CCE) du système cible, à partir desdites données d’entrée (DM), d’au moins un état cible dudit système cible, et de ladite contrainte (CT) ; - de calcul (E30), par une fonction (F) lisible par un équipement électronique, d’une valeur (S) de fiabilité de ladite séquence de commandes de contrôle envisagée (CCE), selon au moins un critère de sécurité, à partir de ladite séquence de commandes de contrôle envisagée (CCE), et de ladite contrainte (CT) ; - de génération (E40), à partir de ladite valeur de fiabilité (S) et d’une politique de sécurité, d’au moins une commande de sécurité (CS) ; - de génération (E50) d’une commande de contrôle (CC) à partir de ladite séquence de commandes de contrôle envisagée (CCE) et de ladite commande de sécurité (CS), et d’application de cette commande de contrôle (CC) au système cible (SC). Choix de la figure pour l’abrégé : figure 3. Procédé de contrôle d’un système comportant un post-traitement d’une commande prédictive Arrière-plan de l’invention L’invention se situe dans le domaine général des procédés de contrôle d’un système. Ce système peut être d’un type quelconque. Il peut s’agir par exemple d’un véhicule ou d’un four. L’invention se situe plus particulièrement dans le contexte des procédés de contrôle utilisant une commande prédictive. Une commande prédictive (« model predictive control » ou MPC en anglais) est une méthode de contrôle d’un système, qui permet notamment au système d’atteindre un certain état cible du système, tout en prenant en compte des contraintes auxquelles est soumis ce système. Dans la présente demande, on désignera la commande prédictive par les initiales « MPC ». A cette fin, le MPC fournit, à chaque pas de calcul, un ensemble de commandes de contrôle du système. En suivant le principe de l’horizon fuyant, seule la première commande est appliquée au système puis le calcul est relancé de façon itérative. Ces commandes sont choisies de manière à faire évoluer le système vers cet état cible. En théorie, les données calculées par le MPC obéissent aux contraintes. En pratique, notamment à cause de limitations de temps de calcul, les données en sortie du MPC peuvent ne pas obéir aux contraintes, et présenter des écarts plus ou moins importants par rapport à la valeur que devraient avoir ces données de sortie si le MPC obéissait parfaitement à ces contraintes. Certains de ces écarts sont sans conséquence significative tandis que d’autres peuvent mener à une défaillance ou un accident du système. Dans un objectif de sécuriser le fonctionnement du système, une solution peut consister à arrêter le système dès qu’un tel écart est détecté. Mais cette solution peut entraîner un nombre important d’arrêts du système au détriment de sa disponibilité. La présente invention vise à augmenter la disponibilité d’un système contrôlé par un MPC. Objet et résumé de l’invention A cette fin, et selon un premier aspect, l’invention concerne un procédé de contrôle d’un système cible, ce procédé comportant les étapes : - d’obtention de données d’entrée relatives à au moins un état courant du système cible, - d’obtention d’au moins une contrainte de fonctionnement du système cible, - de calcul par une commande prédictive d’une séquence de commandes de contrôle envisagée du système cible, à partir desdites données d’entrée, d’au moins un état cible dudit système cible, et de ladite contrainte ; - de calcul, par une fonction lisible par un équipement électronique, d’une valeur de fiabilité de ladite séquence de commandes de contrôle envisagée, selon au moins un critère de sécurité, à partir de ladite séquence de commandes de contrôle envisagée, et de ladite au moins une contrainte ; - de génération, à partir de ladite valeur de fiabilité et d’une politique de sécurité, d’au moins une commande de sécurité ; et - de génération d’une commande de contrôle à partir de ladite séquence de commandes de contrôle envisagée et de ladite commande de sécurité, et d’application de cette commande de contrôle au système cible. Corrélativement l’invention propose un dispositif de contrôle d’un système cible comportant : - un module d’obtention de données d’entrée relatives à au moins un état courant du système cible, - un module d’obtention d’au moins une contrainte de fonctionnement du système cible, - un module de calcul par une commande prédictive d’une séquence de commandes de contrôle envisagée du système cible, à partir desdites données d’entrée, d’au moins un état cible dudit système cible, et de ladite au moins une contrainte ; - un module de calcul, par une fonction lisible par un équipement électronique, d’une valeur de fiabilité de ladite séquence de commandes de contrôle envisagée, selon au moins un critère de sécurité, à partir de ladite séquence de commandes de contrôle envisagée, et de ladite contrainte ; - un module de génération, à partir de ladite valeur de fiabilité et d’une politique de sécurité, d’au moins une commande de sécurité ; - un module de génération d’une commande de contrôle à partir de ladite séquence de commandes de contrôle envisagée et de ladite commande de sécurité, et d’application de cette commande de contrôle au système cible. Ainsi, et d’une façon générale, l’invention propose un procédé de contrôle d’un système cible, par exemple un four dont l’état est caractérisé par la température de ses différents composants ou de son contenu, ou un véhicule dont l’état est caractérisé par sa vitesse et sa position. Il peut être considéré que le procédé de contrôle proposé par l’invention comporte deux phases. La première phase aboutit à l’obtention d’une séquence de commandes de contrôle envisagée afin que le système cible atteigne un ou plusieurs état(s) cible(s). Ces commandes sont calculées par le MPC à partir de l’état cible et des données d’entrées, par exemple des mesures de l’état courant du système cible. Le MPC prend également en compte une ou plusieurs contraintes de fonctionnement du système cible. Toutes ou certaines de ces contraintes peuvent notamment concerner l’état du système cible ou certaines commandes de contrôle de ce système. Par exemple, si le système est un four, une politique de sécurité peut prévoir que certains composants ne dépassent pas une température limite. Dans ce cas, une contrainte de fonctionnement est la température limite de ces composants. Dans un autre exemple dans lequel le système est une voiture autonome dont le MPC contrôle la direction, une politique de sécurité peut prévoir que la commande de direction ne change pas trop brusquement pour éviter de faire déraper la voiture. Dans ce cas, la contrainte est une limite sur le changement de direction de la voiture. Malgré le fait que le calcul effectué par le MPC prenne en compte les contraintes de fonctionnement du système cible, des données calculées par le MPC ne respectent pas systématiquement ces contraintes. La séquence de commandes déterminée par le MPC peut correspondre à un comportement prédit ne respectant pas les contraintes. On parle alors d’écart entre les contraintes et la grandeur prédite. Cela peut entraîner ou ne pas entraîner un important dysfonctionnement du système cible. L’évaluation de l’impact d’un tel écart sur la sécurité ou sur un dysfonctionnement ultérieur du système cible n’est pas facile dans le cas général. Par ailleurs, décider d’arrêter le fonctionnement du système cible dès qu’un tel écart est constaté peut entraîner un nombre important d’arrêts non justifiés. Ceci n’est pas satisfaisant dans un objectif de bonne disponibilité du système cible. Pour résoudre ce problème, la présente invention propose d’utiliser, dans une deuxième phase du procédé de contrôle, une fonction lisible par un équipement électronique qui effectue un post-traitement des données en sortie du MPC. Un équipement électronique peut par exemple désigner un processeur, un circuit logique programmable, un dispositif analogique, un ordinateur etc. Ainsi, la seconde phase du procédé de contrôle détermine, avec cette fonction, la fiabilité des commandes calculées par le MPC, à partir de ces commandes, des contraintes de fonctionnement, des critères de sécurité, et éventuellement de toutes autres données soumises aux contraintes, par exemple des mesures de l’état du système cible ou des prédictions par le MPC de l’état du système cible. Egalement, une erreur correspondant à un écart entre les données calculées par le MPC et les contraintes de fonctionnement du système cible peut être obtenue et donnée en entrée de la fonction. Un exemple de calcul d’une telle erreur est le suivant. Pour un véhicule autonome qui est soumis à la contrainte d’avoir son centre de gravité situé à une ordonnée d’au moins un mètre dans un repère prédéfini, si la prédiction de l’ordonnée future du centre de gravité du véhicule est 0.99 mètre, alors l’erreur est la différence entre l’ordonnée minimale imposée par la contrainte (un mètre dans ce cas) et l’ordonnée prédite (0.99 mètre dans ce cas), c’est-à-dire 0.01 mètre. La fonction de post-traitement fournit une valeur de fiabilité de la séquence de commandes de contrôles envisagée fournie par le MPC. Cette valeur peut par exemple correspondre à une probabilité d’occurrence d’un accident futur sur le système cible, ou à un écart entre un état du système résultant de ces commandes et des contraintes sur le système. L’invention permet donc d’améliorer la sécurité du système cible, mais également d’améliorer sa disponibilité, notamment par rapport à un procédé de contrôle où le moindre écart par rapport aux contraintes dans les prédictions du MPC mènerait à l’arrêt du fonctionnement du système cible. Suite à l’obtention de la valeur de fiabilité, une commande de sécurité est générée selon une politique de sécurité. Par exemple, la commande de sécurité générée est une commande d’arrêt du système cible si la valeur de fiabilité dépasse un seuil, ou une commande de prolongement du fonctionnement du système cible si la valeur de fiabilité est en-dessous de ce seuil. Suite à l’obtention de la séquence de commandes de contrôle envisagée par le MPC et de la commande de sécurité, une commande de contrôle est générée et appliquée au système cible. Cette commande de contrôle est destinée à l’atteinte de l’état cible (ou des états cibles) par le système cible à condition que la sécurité soit respectée. Il est à préciser que le fait qu’une commande de contrôle est destinée à atteindre un ou des états cibles ne signifie pas que ce(s) état(s) cible(s) seront forcément atteints, mais que la commande de contrôle fait tendre le système cible vers ce(s) état(s) cible(s) Dans un mode de réalisation du procédé de contrôle, si la commande de sécurité est d’arrêter le système, la commande de contrôle à appliquer au système cible sera également d’arrêter le système. Dans un mode de réalisation du procédé de contrôle, si, dans ce même exemple, la commande de sécurité est de prolonger le fonctionnement du système, la commande de contrôle à appliquer au système sera identique à la première commande de la séquence de commandes de contrôle envisagée. La présente invention permet donc de contrôler un système avec un MPC en prenant en compte une évaluation précise de la fiabilité des commandes calculées par le MPC, et apporte ainsi les avantages conjoints de sécurité et de disponibilité du système. Selon un mode de mise en œuvre de l’invention, la commande de sécurité est une commande : - d’arrêter ou non le fonctionnement dudit système cible , - de génération d’une donnée destinée à améliorer une occurrence ultérieure de l’étape de calcul par ladite commande prédictive, en utilisant cette commande de sécurité en entrée de la commande prédictive, ou - de génération d’une donnée destinée à améliorer une occurrence ultérieure de l’étape de génération d’une moins une commande de sécurité, en prenant en compte cette donnée dans l’application de ladite politique de sécurité. La commande de sécurité peut être destinée à être utilisée au cours de la même itération. Notamment dans le cas où un futur danger ou dysfonctionnement est détecté, la commande de sécurité peut être une commande d’arrêt du système, comme mentionné ci-avant. Le terme d’itération désigne une réalisation de l’ensemble des étapes d’un procédé. Dans le mode de réalisation du procédé de contrôle décrit ici, cet ensemble comprend toutes les étapes entre l’obtention des données d’entrée relatives à au moins un état courant du système cible et l’application des commandes de contrôle au système cible. Dans un autre exemple, la commande de sécurité est une commande de modification du MPC pour éviter un dysfonctionnement du système cible. Par exemple, si le système cible est une voiture et que le MPC calcule, à partir de données d’entrée, une commande d’accélération trop importante au vu de la politique de sécurité, les paramètres du MPC intervenant dans le calcul de cette commande d’accélération peuvent être modifiés de telle sorte que, pour de mêmes données d’entrée, le MPC calcule une commande d’accélération plus faible en accord avec cette politique de sécurité. Une telle modification des paramètres peut correspondre à une incrémentation des valeurs des paramètres responsables du calcul d’une commande d’accélération trop importante. Une telle incrémentation peut être le résultat d’une descente de gradient de l’accélération selon ces paramètres. Dans un autre exemple, la commande de sécurité peut être à nouveau utilisée, dans une occurrence ultérieure de l’étape de génération d’une commande de sécurité, notamment lors de l’application de la politique de sécurité. Par exemple, la valeur de fiabilité peut être proche d’un seuil et indiquer ainsi un potentiel danger ou dysfonctionnement qui ne nécessite pas un arrêt immédiat du système cible. Dans cet exemple, une première commande de sécurité indiquant ce potentiel dysfonctionnement est générée. Ensuite, la commande de contrôle générée à partir de cette première commande de sécurité peut ne pas commander l’arrêt du système. Dans ce même exemple, si dans une étape ultérieure de génération d’une commande de sécurité, la valeur de fiabilité est à nouveau proche du seuil, la politique de sécurité prend en compte la première commande de sécurité qui a été générée antérieurement, pour que soit cette fois générée une commande de sécurité d’arrêt du système cible. Autrement dit, dans cet exemple, une politique de sécurité peut, à partir de deux valeurs de fiabilité égales, générer deux commandes de sécurité différentes, si une ou plusieurs commandes de sécurité générées antérieurement sont, dans un cas, prises en compte dans l’application de la politique de sécurité, mais ne sont pas prises en compte dans l’autre cas. Ainsi, selon un mode de mise en œuvre particulier du procédé de contrôle, l’étape de génération de la commande de sécurité comporte les sous-étapes : - de comptage d’un nombre de commandes de sécurité générées antérieurement et indiquant un danger, - de comparaison de ce nombre avec un seuil supplémentaire défini par la politique de sécurité, et la commande de sécurité est une commande d’arrêt d’urgence du système cible si le seuil supplémentaire est dépassé. Une valeur de fiabilité ou toute autre sortie de la fonction de post-traitement peut également, dans un mode particulier de l’invention, être réutilisée lors d’une itération ultérieure du procédé de contrôle, notamment lors d’une occurrence ultérieure de l’étape de calcul d’une valeur de fiabilité. Ainsi, dans un mode de mise en œuvre du procédé de contrôle, le calcul, par la fonction de la valeur de fiabilité prend en entrée au moins une donnée calculée antérieurement par ladite fonction (F). Selon un mode de mise en œuvre particulier du procédé de contrôle, ladite fonction appartient à au moins une des catégories suivantes : - un réseau de neurones artificiels, - une mise en œuvre d’un modèle d’apprentissage machine, - un système expert. L’utilisation d’un réseau de neurones artificiels peut aboutir à une analyse plus performante des données prédites par le MPC. Notamment, puisque les données calculées par le MPC sont dans la plupart des cas sous formes de séquences (notamment des séquences de commandes de contrôles), l’utilisation d’un réseau de neurones de convolution est avantageuse. L’utilisation d’un réseau de neurone est également avantageuse quand l’analyse des données calculées par le MPC nécessite des critères de sécurité complexes. De tels critères ne peuvent pas toujours être établis par l’utilisateur lui-même. Par ailleurs, lors de son entraînement, un réseau de neurones établit implicitement de tels critères, et peut par conséquent fournir une analyse suffisamment fine des données calculées par le MPC. De la même façon, une fonction mettant en œuvre un modèle d’apprentissage machine (par exemple : régression logistique, machine à vecteurs de support, arbres de décision) permet une évaluation des données calculées par le MPC selon des critères de sécurité complexes. Notamment dans le cas où des critères de sécurité peuvent être établis explicitement, par exemple par l’utilisateur, il peut être avantageux d’utiliser un système expert. Etant donné qu’un système expert comporte des critères explicites, il permet facilement d’expliquer les causes de l’obtention d’une valeur de fiabilité particulière. Par exemple, cela permet d’expliquer quelle erreur dans les commandes calculées par le MPC nécessite l’arrêt du fonctionnement du système cible. Selon un mode de mise en œuvre de l’invention, le procédé de contrôle comporte une étape de mise à jour de la fonction de calcul de la valeur de fiabilité. Dans ce mode de réalisation, l’invention propose ainsi d’adapter cette fonction au système cible en optimisant le calcul de la valeur de fiabilité par cette fonction. Cela est notamment avantageux dans un cas où la fonction a été déterminée à partir d’un système évoluant dans un environnement différent de celui du système cible. C’est par exemple le cas si le système cible évolue dans un environnement réel, par exemple une voiture autonome sur une route, mais que la fonction a été déterminée à partir d’un système de référence évoluant dans un environnement simulé, par exemple une voiture autonome simulée sur ordinateur. Une mise à jour de la fonction peut être également avantageuse lorsque l’utilisateur choisit ou que l’environnement impose un changement de contraintes. Une mise à jour permet alors d’adapter la fonction aux nouvelles contraintes. Une mise-à-jour des paramètres de la fonction peut par exemple survenir si la valeur de fiabilité calculée par cette fonction ne correspond pas à des mesures de l’état du système cible faites ultérieurement à ce calcul. Par exemple, si la valeur de fiabilité indique que les commandes calculées par le MPC sont fiables, selon la politique de sécurité, mais les mesures suivantes de l’état du système cible n’obéissent pas aux contraintes de fonctionnement de ce système cible, les paramètres de la fonction peuvent être modifiées de telle sorte à ce que ce cas de figure ne se reproduise pas. Autrement dit, les paramètres de la fonction sont modifiées pour éviter que la valeur de fiabilité de commandes de contrôle ne soit pas cohérente avec des mesures de l’état du système cible résultant de l’application de ces commandes. La mise-à-jour de la fonction peut par exemple se faire par une technique de descente de gradient, notamment si cette fonction est un réseau de neurones. Dans un mode de réalisation du procédé de contrôle, la mise-à-jour de la fonction peut également être effectuée par un utilisateur. Selon un mode de mise en œuvre particulier du procédé de contrôle, ladite fonction est entraînée selon un algorithme d’apprentissage par renforcement. Un apprentissage par renforcement permet notamment de prendre en compte des conséquences à plus long terme du calcul de la valeur de fiabilité. En effet, un apprentissage par renforcement est conçu pour apprendre à la fonction à calculer une valeur de fiabilité qui maximise la sécurité du système cible sur plusieurs boucles de contrôle ultérieures. Un apprentissage par renforcement de la fonction de post-traitement peut être réalisé en amont de la mise en œuvre du procédé de contrôle du système cible, et également au cours de la mise en œuvre du procédé. Selon un deuxième aspect, l’invention comprend un procédé de génération d’une fonction lisible par un équipement électronique et destinée à calculer une valeur fiabilité d’au moins une séquence de commandes de contrôle envisagée d’un système cible calculée par une commande prédictive, le procédé comportant les étapes : - d’obtention d’au moins un scénario de référence associé à un système de référence, ledit scénario de référence comportant : (i) au moins une contrainte de fonctionnement du système de référence, (ii) au moins une séquence de commandes de contrôle envisagée calculée par la commande prédictive à partir de données relatives à au moins un état du système de référence, de ladite au moins une contrainte et d’au moins un état cible du système de référence ; (iii) au moins une valeur cible caractérisant une fiabilité de ladite au moins une séquence de commandes de contrôle envisagées de ce scénario de référence ; - de détermination de valeurs de paramètres de ladite fonction pour minimiser au moins une erreur entre ladite au moins une valeur cible du au moins un scénario de référence et d’au moins une valeur calculée par ladite fonction à partir de ladite au moins une séquence de commandes de contrôle envisagée et de ladite au moins une contrainte de ce au moins un scénario de référence. - d’enregistrement, sur un support lisible par un équipement électronique, de ladite fonction prenant les valeurs de paramètres obtenues au cours de l’étape de détermination. Corrélativement l’invention propose un dispositif de génération d’une fonction lisible par un équipement électronique et destinée à calculer une valeur de fiabilité d’au moins une séquence de commandes de contrôle envisagée d’un système cible calculées par une commande prédictive, le procédé comportant : - un module d’obtention d’au moins un scénario de référence associé à un système de référence, ledit scénario de référence comportant : (i) au moins une contrainte de fonctionnement du système de référence, (ii) au moins une séquence de commandes de contrôle envisagée calculée par la commande prédictive à partir de données relatives à au moins un état du système de référence, de ladite au moins une contrainte et d’au moins un état cible du système de référence ; (iii) au moins une valeur cible caractérisant une fiabilité de ladite au moins une séquence de commandes de contrôle envisagée de ce scénario de référence ; - un module de détermination de valeurs de paramètres de ladite fonction pour minimiser au moins une erreur entre ladite au moins une valeur cible du au moins un scénario de référence et au moins une valeur calculée par ladite fonction à partir de ladite au moins une séquence de commandes de contrôle envisagée et de ladite au moins une contrainte de ce au moins un scénario de référence. - un module d’enregistrement, sur un support lisible par un équipement électronique, de ladite fonction prenant les valeurs de paramètres obtenues par le module de détermination. D’une façon générale, ce procédé permet de générer une fonction qui permettra, grâce à la mise en œuvre d’un procédé de contrôle tel que décrit ci-avant, d’évaluer la fiabilité de données calculées par MPC pour le contrôle d’un système cible. À titre d’exemple, l’invention sous ces deux aspects peut être utilisée pour contrôler pour contrôler une chaîne de production d’une usine. Dans un premier temps, un système de référence, par exemple la chaîne de production, est contrôlée par un MPC qui prend en compte des contraintes sur les états de la chaîne (par exemple : les produits assemblés le long de la chaîne ne peuvent pas occuper certaines positions sous peine de risquer une défaillance ou un accident du système de référence) et des contraintes sur les commandes calculées par le MPC (par exemple : un tapis roulant sur lesquels circulent des produits ne doit pas accélérer brutalement). De façon générale, ces contraintes sont définies par rapport à une politique de sécurité. Des scénarios de référence sont alors obtenus au cours du fonctionnement du système de référence. Pour cela, des séquences de commandes de contrôle calculées par le MPC, des contraintes de fonctionnement du système de référence, et des valeurs cibles associées à chacune de ces séquences de commandes, sont enregistrées. Pour un scénario de référence donnée, il y a donc une commande de contrôle ou une séquence de commandes de contrôle associée à ce scénario, ainsi qu’une ou des contraintes associées, et une valeur cible associée. Une valeur cible associée à un scénario de référence au sens de l’invention est une valeur caractérisant la commande de contrôle ou la séquence de contrôle associée à ce scénario de référence. En particulier, cette valeur cible correspond à une valeur de fiabilité objective des commandes de contrôle calculées par le MPC associées à ce scénario de référence. Par exemple, une telle valeur cible indique si la séquence de commandes à laquelle elle est associée a mené ou non à un dysfonctionnement important de la chaîne de production, selon une politique de sécurité. Dans un deuxième temps, une fonction est générée à partir de ces scénarios de référence, conformément au procédé de génération de l’invention. Ainsi les valeurs des paramètres de la fonction sont adaptées de telle sorte à ce que la fonction calcule, à partir d’une séquence de commandes de contrôle et d’une contrainte associée, une valeur qui soit identique ou la plus proche possible de la valeur cible associée à cette séquence. Dans le présent exemple, les valeurs des paramètres de la fonction sont adaptées de façon à prédire un dysfonctionnement important ou un bon fonctionnement de la chaîne de production contrôlée par le MPC, le bon fonctionnement étant défini par rapport à une politique de sécurité. Par exemple, cette politique qualifie de dysfonctionnel tout état de la chaîne de production dans lequel la production ne peut plus être assurée, et de fonctionnel sinon. De façon générale, l’étape de détermination des valeurs des paramètres de la fonction peut être effectuée de différentes manières suivant la nature de la fonction. Si cette fonction est un réseau de neurones ou une mise en œuvre d’un modèle d’apprentissage machine, l’étape de détermination correspond à un entraînement de cette fonction. Dans le cas d’un système expert, l’étape de détermination peut correspondre à un étalonnage des valeurs des paramètres de ce système expert. Par exemple, si la fonction est un réseau de neurones, elle peut être entraînée par une méthode de descente de gradient. Dans ce cas l’entraînement comporte plusieurs itérations à chacune desquelles la fonction calcule des valeurs à partir de scénarios de référence au préalablement obtenues. Une erreur, souvent utilisée comme fonction de coût dans le cas d’une méthode de descente de gradient, est ensuite calculée. Cette erreur correspond à un écart, pour chaque scénario de référence, entre la valeur calculée par l’intelligence artificielle à partir de ce scénario et la valeur cible associée à ce scénario. Cette erreur (ou fonction de coût) permet ensuite d’appliquer l’algorithme de descente de gradient sur les paramètres du réseau de neurones [Une référence sur la descente de gradient est « An overview of gradient descent optimization algorithms », de Sebastian Ruder, arXiv:1609.04747, 2017]. Une fois les valeurs des paramètres de la fonction adaptées, la fonction est enregistrée avec ces valeurs de paramètres, pour pouvoir être utilisée dans un procédé de contrôle d’un système cible tel que décrit ci-avant. Dans le présent exemple, la fonction déterminée et enregistrée peut être utilisée pour la commande prédictive qui contrôle la chaîne de production. Dans un cas où l’enregistrement de scénarios réels est jugé trop dangereux ou trop coûteux, par exemple dans le cas du contrôle d’une voiture autonome, l’invention propose la possibilité de simulation de scénarios de référence. Ainsi, selon un mode de mise en œuvre du procédé de génération, ledit au moins un scénario de référence est simulé par ordinateur. Dans un tel mode de réalisation, un modèle virtuel représentant les caractéristiques d’un système cible est construit, ce modèle virtuel constituant un système de référence. Une fois ce système de référence obtenu, il est possible de mettre en œuvre le procédé d’entraînement de génération tel que décrit précédemment. Notons que dans un tel cas, le MPC doit être intégré à la simulation de scénarios de références de façon à ce que les commandes de contrôle qu’il calcule agissent de façon similaire sur le système de référence virtuel et sur le système cible dans le monde réel. Dans un autre mode de réalisation, le scénario de référence est simulé à partir de maquettes physiques du système de référence et de son environnement représentant le système cible et son environnement. Selon un mode de mise en œuvre du procédé de contrôle, la fonction est générée selon un des modes de mise en œuvre du procédé de génération tel que décrit ci-avant. L’invention propose également un système comprenant : - un appareil de commande comportant au moins un dispositif de contrôle tel que décrit ci-avant ; et - un équipement informatique comportant un dispositif de génération tel que décrit ci-avant. Ce système peut par exemple être un véhicule ou un système relié à distance à un véhicule, permettant de contrôler ce véhicule et/ou de mettre en place un procédé de génération conforme à l’invention, en récupérant des données sur ce véhicule. Dans un mode de réalisation de l’invention, le dispositif de génération est un ordinateur apte à communiquer ces valeurs à un appareil de commande comportant un dispositif de contrôle conforme à l’invention. Dans un autre mode de réalisation de l’invention, le dispositif de contrôle est intégré dans un appareil de commande. Un tel équipement peut notamment obtenir une fonction fournie par un tiers. L’invention propose un programme informatique comportant des instructions pour l’exécution des étapes d’un procédé de contrôle selon l’un quelconque des modes de mise en œuvre décrits ci-avant. L’invention propose également un programme informatique comportant des instructions pour l’exécution des étapes d’un procédé de génération selon l’un quelconque des modes de mise en œuvre décrits ci-avant. Il est à noter que les programmes d’ordinateur mentionnés dans le présent exposé peuvent utiliser n’importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. L’invention propose un support d’enregistrement lisible par un équipement informatique et/ou un appareil de commande, d’un programme informatique comportant des instructions pour l’exécution des étapes d’un procédé de contrôle selon l’un des modes de réalisation décrits ci-avant. L’invention propose également un support d’enregistrement lisible par un équipement informatique et/ou un appareil de commande, d’un programme informatique comportant des instructions pour l’exécution des étapes d’un procédé de génération selon l’un des modes de réalisation décrits ci-avant. Les supports d’enregistrement mentionnés dans le présent exposé peuvent être n'importe quelle entité ou dispositif capable de stocker le programme et d’être lu par un appareil de commande ou par tout équipement informatique, notamment un ordinateur. Par exemple, le support peut comporter un moyen de stockage, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur. Alternativement, les supports d’enregistrement peuvent correspondre à un circuit intégré à un ordinateur ou à un appareil de commande, circuit dans lequel le programme est incorporé, et adapté pour exécuter un procédé tel que décrit ci-avant ou pour être utilisé dans l'exécution de ce procédé. Brève description des figures La représente un procédé de génération d’une fonction conforme à un mode particulier de mise en œuvre de l’invention. La représente un dispositif de génération d’une fonction conforme à un mode particulier de mise en œuvre de l’invention. La représente un procédé de contrôle d’un système cible conforme à un mode particulier de mise en œuvre de l’invention. La représente les éléments essentiels d’un apprentissage par renforcement de la fonction conformément à un mode particulier de mise en œuvre de l’invention. La représente un dispositif de contrôle d’un système cible conforme à un mode particulier de mise en œuvre de l’invention. La représente un système selon un mode particulier de mise en œuvre de l’invention. La représente l’architecture matérielle d’un dispositif de génération selon un mode particulier de mise en œuvre de l’invention. La représente l’architecture matérielle d’un dispositif de contrôle selon un mode particulier de mise en œuvre de l’invention. Procédé de contrôle d’un système cible (SC) comportant les étapes : - d’obtention (E1) de données d’entrée (DM) relatives à au moins un état courant du système cible (SC), - d’obtention (E10) d’au moins une contrainte de fonctionnement (CT) du système cible (SC), - de calcul (E20) par une commande prédictive (MPC) d’une séquence de commandes de contrôle envisagée (CCE) du système cible, à partir desdites données d’entrée (DM), d’au moins un état cible dudit système cible, et de ladite contrainte (CT) ; - de calcul (E30), par une fonction (F) lisible par un équipement électronique, d’une valeur (S) de fiabilité de ladite séquence de commandes de contrôle envisagée (CCE), selon au moins un critère de sécurité, à partir de ladite séquence de commandes de contrôle envisagée (CCE), et de ladite au moins une contrainte (CT) ; - de génération (E40), à partir de ladite valeur de fiabilité (S) et d’une politique de sécurité, d’au moins une commande de sécurité (CS) ; - de génération (E50) d’une commande de contrôle (CC) à partir de ladite séquence de commandes de contrôle envisagée (CCE) et de ladite commande de sécurité (CS), et d’application de cette commande de contrôle (CC) au système cible (SC). Procédé de contrôle selon la revendication 1, dans lequel ladite fonction (F) appartient à au moins une des catégories suivantes : - un réseau de neurones artificiels, - une mise en œuvre d’un modèle d’apprentissage machine, - un système expert. Procédé de contrôle selon la revendication 1 ou 2, dans lequel ladite fonction (F) est entraînée selon un algorithme d’apprentissage par renforcement. Procédé de contrôle selon l’une des revendications 1 à 3, comportant une étape (E15) de mise à jour de ladite fonction (F). Procédé de contrôle selon l’une des revendications 1 à 4, dans lequel ladite au moins une commande de sécurité (CS) est une commande : - d’arrêter ou non le fonctionnement dudit système cible (SC), - de génération d’une donnée destinée à améliorer une occurrence ultérieure de l’étape de calcul (E20) par ladite commande prédictive (MPC), en utilisant cette commande de sécurité en entrée de la commande prédictive (MPC), ou - de génération d’une donnée destinée à améliorer une occurrence ultérieure de l’étape de génération (E40) d’une moins une commande de sécurité, en prenant en compte cette donnée dans l’application de ladite politique de sécurité. Procédé de contrôle selon l’une des revendications 1 à 5, dans lequel l’étape de génération (E40) de la au moins une commande de sécurité comporte les sous-étapes : - de comptage d’un nombre de commandes de sécurité générées antérieurement et indiquant un danger, - de comparaison de ce nombre avec un seuil supplémentaire défini par la politique de sécurité, et la commande de sécurité (CS) est une commande d’arrêt d’urgence du système cible (SC) si le seuil supplémentaire est dépassé. Procédé de contrôle selon l’une des revendications 1 à 6 dans lequel ledit calcul (E30), par ladite fonction (F) de ladite valeur (S) de fiabilité prend en entrée au moins une donnée calculée antérieurement par ladite fonction (F). Procédé de génération d’une fonction (F) lisible par un équipement électronique et destinée à calculer une valeur (S) de fiabilité d’au moins une séquence de commandes de contrôle envisagée (CCE) d’un système cible (SC) calculée par la commande prédictive (MPC), le procédé comportant les étapes : - d’obtention (E101) d’au moins un scénario de référence (SCR) associé à un système de référence (SR), ledit scénario de référence (SCR) comportant : (i) au moins une contrainte de fonctionnement (CT n ) du système de référence (SR), (ii) au moins une séquence de commandes de contrôle envisagée (CCE n ) calculée par la commande prédictive (MPC) à partir de données relatives à au moins un état du système de référence (SR), de ladite au moins une contrainte (CT n ) et d’au moins un état cible du système de référence (SR) ; (iii) au moins une valeur cible (V n ) caractérisant une fiabilité de ladite au moins une séquence de commandes de contrôle envisagée (CCE n ) de ce scénario de référence (SCR) ; - de détermination (E110) de valeurs de paramètres (PF) de ladite fonction (F) pour minimiser au moins une erreur (Err n IA ) entre ladite au moins une valeur cible (V n ) du au moins un scénario de référence (SCR) et au moins une valeur calculée par ladite fonction (F) à partir de ladite au moins une séquence de commandes de contrôle envisagée (CCE n ) et de ladite au moins une contrainte (CT n ) de ce au moins un scénario de référence (SCR). - d’enregistrement (E120), sur un support lisible par un équipement électronique, de ladite fonction (F) prenant les valeurs de paramètres (PF) obtenues au cours de l’étape de détermination (E110). Procédé de génération selon la revendication 8 dans lequel ledit au moins un scénario de référence (SCR) est simulé par ordinateur. Procédé de contrôle selon l’une des revendications 1 à 7 dans lequel ladite fonction (F) est déterminée selon la revendication 8 ou 9. Dispositif de contrôle (D0) d’un système cible (SC) comportant : - un module d’obtention (D1) de données d’entrée (DM) relatives à au moins un état courant du système cible (SC), - un module d’obtention (D10) d’au moins une contrainte de fonctionnement (CT) du système cible (SC), - un module de calcul (D20) par une commande prédictive (MPC) d’une séquence de commandes de contrôle envisagée (CCE) du système cible, à partir desdites données d’entrée (DM), d’au moins un état cible dudit système cible, et de ladite contrainte (CT) ; - un module de calcul (D30), par une fonction (F) lisible par un équipement électronique, d’une valeur (S) de fiabilité de ladite séquence de commandes de contrôle envisagée (CCE), selon au moins un critère de sécurité, à partir de ladite séquence de commandes de contrôle envisagée (CCE), et de ladite au moins une contrainte (CT) ; - un module de génération (D40), à partir de ladite valeur de fiabilité (S) et d’une politique de sécurité, d’au moins une commande de sécurité (CS) ; - un module de génération (D50) d’une commande de contrôle (CC) à partir de ladite séquence de commandes de contrôle envisagée (CCE) et de ladite commande de sécurité (CS), et d’application de cette commande de contrôle (CC) au système cible (SC). Dispositif de génération d’une fonction (F) lisible par un équipement électronique et destinée à calculer une valeur (S) de fiabilité d’au moins une séquence de commandes de contrôle envisagée (CCE) d’un système cible (SC) calculée par une commande prédictive (MPC), le procédé comportant : - un module d’obtention (D101) d’au moins un scénario de référence (SCR) associé à un système de référence (SR), ledit scénario de référence (SCR) comportant : (i) au moins une contrainte de fonctionnement (CT n ) du système de référence (SR), (ii) au moins une séquence de commandes de contrôle envisagée (CCE n ) calculée par la commande prédictive (MPC) à partir de données relatives à au moins un état du système de référence (SR), de ladite au moins une contrainte (CT n ) et d’au moins un état cible du système de référence (SR) ; (iii) au moins une valeur cible (V n ) caractérisant une fiabilité de ladite au moins une séquence de commandes de contrôle envisagées (CCE n ) de ce scénario de référence (SCR) ; - un module de détermination (D110) de valeurs de paramètres (PF) de ladite fonction (F) pour minimiser au moins une erreur (Err n IA ) entre ladite au moins une valeur cible (V n ) du au moins un scénario de référence (SCR) et au moins une valeur calculée par ladite fonction (F) à partir de ladite au moins une séquence de commandes de contrôle envisagée (CCE n ) et de ladite au moins une contrainte (CT n ) de ce au moins un scénario de référence (SCR). - un module d’enregistrement (D120), sur un support lisible par un équipement électronique, de ladite fonction (F) prenant les valeurs de paramètres (PF) obtenues par le module de détermination (D110). Système (D200) comprenant : - un appareil de commande (EC) comportant au moins un dispositif de contrôle selon la revendication 11 ; et - un équipement informatique (EI) comportant un dispositif de génération selon la revendication 12. Programme informatique (PGP, PGC) comportant des instructions pour l’exécution des étapes d’un procédé selon au moins une des revendications 1 à 10. Support d’enregistrement (D1002, D02), lisible par un équipement informatique (EI) et/ou un appareil de commande (EC), d’un programme informatique (PGP, PGC) comportant des instructions pour l’exécution des étapes d’un procédé selon au moins une des revendications 1 à 10.