FR 3160941 A1 20251010 FR 2411260 A 20241017 L’invention concerne un procédé de sécurisation de l’accès à une fonction de commande à distance d’un véhicule (1) par un ordiphone (2) comprenant les étapes suivantes : - détermination de la composante verticale (dZ) de la distance (d) entre le véhicule (1) et l’ordiphone (2) par différence entre une altitude barométrique mesurée sur le véhicule (1) et une altitude barométrique mesurée sur l’ordiphone (2), - autorisation de l’accès si la composante verticale (dZ) est sensiblement nulle. L’invention concerne encore un dispositif implémentant un tel procédé. Figure d’abrégé : Figure 1 Sécurisation de l’accès à une fonction de commande à distance d’un véhicule par un ordiphone L’invention concerne un procédé et un dispositif de sécurisation de l’accès à une fonction de commande à distance d’un véhicule par un ordiphone. Une telle fonction est commandée par un utilisateur au moyen de son ordiphone, lorsque l’utilisateur est à une distance de quelques mètres du véhicule. Un exemple d’une telle fonction est une fonction de sortie de parking automatique. L’utilisateur est situé à quelques mètres de son véhicule, typiquement dans un parking public, où le véhicule est garé. Lorsque l’utilisateur commande la fonction, le véhicule sort de manière autonome de sa place de parking pour venir se placer dans la voie attenante, où l’utilisateur peut s’installer au poste de pilotage et reprendre la conduite. Il est connu de mesurer une distance entre deux objets, tels un véhicule et un ordiphone, tous deux équipés d’une unité de communication ULB, par mesure de temps de vol. Il est connu de conditionner une autorisation d’accès à une fonction de commande à distance d’un véhicule par un ordiphone, à une condition de distance entre le véhicule et l’ordiphone comprise dans un intervalle donné. Cette distance doit être typiquement de quelques mètres dans le plan XY, pour s’assurer d’une part que l’utilisateur est à vue de son véhicule (pas trop loin) et d’autre part protéger l’utilisateur lorsque le véhicule se déplace (pas trop près), avec une composante nulle en Z. En effet, il n’est pas souhaité déclencher la fonction si l’utilisateur est au-dessus ou en dessous de son véhicule, mais à un étage différent. Or justement, une mesure par temps de vol ULB s’avère très peu précise selon la direction verticale ou Z pour plusieurs raisons. Une première raison est que les parkings superposés sont très opaques aux ondes radiofréquences, du fait de la construction des planchers en métal, comme au Japon, ou en béton armé. Une autre raison est algorithmique. Pour obtenir une distance en 3D, il est nécessaire d’intersecter au moins trois sphères. Or les unités de communication ULB embarquées dans le véhicule ne sont pas optimisées pour une transmission vers le bas, le châssis métallique du véhicule formant écran à la propagation. Une autre raison est que malgré la présence de plusieurs unités de communication embarquées dans le véhicule, ces unités sont sensiblement dans le même plan, réduisant ainsi la résolution en Z. Aussi, il est recherché une alternative à la seule mesure de distance par temps de vol pour déterminer la position de l’utilisateur et de son ordiphone relativement au véhicule et lui accorder ou non un accès. Pour cela, l’invention a pour objet un procédé de sécurisation de l’accès à une fonction de commande à distance d’un véhicule 1 par un ordiphone 2 comprenant les étapes suivantes : - détermination de la composante verticale de la distance entre le véhicule et l’ordiphone par différence entre une altitude barométrique mesurée sur le véhicule et une altitude barométrique mesurée sur l’ordiphone, - autorisation de l’accès si la composante verticale est sensiblement nulle. Des caractéristiques ou des modes de réalisation particuliers, utilisables seuls ou en combinaison, sont : - la nullité de la composante verticale s’apprécie avec une tolérance de +/- 1,5 m, préférentiellement de +/-0,5 m, - la différence d’altitude barométrique est calibrée lorsque l’ordiphone quitte le véhicule, - le procédé comprend encore les étapes suivantes : - détermination de la composante horizontale de la distance par mesure de temps de vol selon une modulation ULB, - calcul de la distance, - autorisation de l’accès si la distance est située au-dessus d’un seuil minimum et/ou en dessous d’un seuil maximum, - le seuil minimum est sensiblement égal à 4 m et le seuil maximum est sensiblement égal à 6 m, - le procédé comprend encore l’étape suivante : - autorisation de l’accès si l’ordiphone est en mode contrôle, le mode contrôle étant caractérisé par une orientation de l’ordiphone indicative d’une tenue en main, - le procédé comprend encore l’étape suivante : - autorisation de l’accès si la vitesse et/ou l’accélération du véhicule est sensiblement nulle. Selon un autre aspect, un dispositif de sécurisation de l’accès à une fonction de commande à distance d’un véhicule par un ordiphone, comprenant une application, répartie entre le véhicule et l’ordiphone, implémentant le procédé selon l’une quelconque des revendications précédentes. L’invention sera mieux comprise à la lecture de la description qui suit, faite uniquement à titre d’exemple, et en référence aux figures en annexe dans lesquelles : FIG. 1 montre, en vue synoptique l’environnement de l’invention, FIG. 2 montre, en vue schématique, le mode contrôle de l’ordiphone, FIG. 3 montre, en vue synoptique, l’organisation fonctionnelle du traitement. En référence à la FIG. 1 , l’invention concerne une fonction de commande à distance d’un véhicule 1 par un utilisateur au moyen de son ordiphone 2. A titre illustratif, la fonction de commande à distance peut être une fonction parking ou PRK, permettant de stationner ou dé-stationner un véhicule 1 de manière autonome, le conducteur étant à l’extérieur du véhicule 1. Plus particulièrement, l’invention concerne la sécurisation de l’accès à cette fonction de commande à distance. Le procédé de sécurisation de l’accès à la fonction de commande à distance comprend une ou plusieurs conditions qui doivent être cumulativement remplies avant de pouvoir accéder à la fonction et la déclencher. L’ordre dans lequel les différentes conditions sont testées peut être quelconque. Il peut encore être optimisé, pour, par exemple, tester les conditions dans l’ordre croissant de leur probabilité de réalisation, soit de la condition la moins fréquemment réalisée vers la condition la plus fréquemment réalisée, de manière à diminuer au maximum le temps de calcul. Alternativement, les conditions peuvent être testées en parallèle, ou toute autre combinaison parallèle et série. Selon une première caractéristique, il est vérifié que l’utilisateur est sensiblement à la même altitude que le véhicule 1. Pour cela, hypothèse est faite que l’utilisateur se confond avec son ordiphone 2, en termes de localisation. Autrement dit, il est supposé que l’ordiphone 2 est porté, dans la poche ou dans la main, par l’utilisateur. La vérification de l’altitude est réalisée au moyen des étapes suivantes. Au cours d’une première étape, la composante verticale dZ de la distance d entre le véhicule 1 et l’ordiphone 2 est déterminée. Au vu des difficultés/impossibilités d’obtenir cette mesure par temps de vol ULB avec une précision suffisante, selon une caractéristique particulièrement ingénieuse, cette détermination est réalisée par une approche alternative : par différence entre une altitude barométrique ou pression véhicule PV, mesurée par un capteur de pression disposé sur le véhicule 1 et une altitude barométrique ou pression ordiphone PO, mesurée par un capteur de pression disposé sur l’ordiphone 2. Il est souhaité ne pouvoir déclencher la fonction à distance que lorsque l’utilisateur, et donc son ordiphone 2, est au même étage que le véhicule 1. Aussi, l’autorisation de l’accès est accordée uniquement si la composante verticale dZ est sensiblement nulle. Aussi, la différence ΔP entre la pression véhicule PV et la pression ordiphone PO est calculée, ΔP = PV – PO, puis convertie en altitude. Afin de tenir compte d’une variation de taille de l’utilisateur et d’une variation de la localisation de l’ordiphone 2 : en main, dans une poche basse, dans une poche haute, selon une autre caractéristique, une tolérance de +/- 50 cm peut être appliquée. Une tolérance plus large peut encore être appliquée, tant qu’elle reste inférieure à la hauteur moyenne d’un étage de parking. Ainsi, si une telle hauteur moyenne est sensiblement égale à 3 m, une tolérance de +/-1,5 m peut être appliquée. Afin d’obtenir et de conserver une précision suffisante de la mesure de la différence d’altitude barométrique, cette dernière, selon une autre caractéristique est avantageusement calibrée lorsque l’ordiphone 2 quitte le véhicule 1. Ce calibrage peut être réalisé de la manière suivante. Lors d’un départ de l’ordiphone 2 du véhicule 1, typiquement détecté par un éloignement, ou encore par un verrouillage du véhicule 1 ou tout autre indice indiquant que l’utilisateur, et donc supposément son ordiphone 2, vont quitter la proximité du véhicule 1, une mesure de différence d’altitude barométrique ou dZ 0 est réalisée. Puisque, à cet instant, l’utilisateur est supposé être à la même altitude que son véhicule 1, cette mesure dZ 0 doit correspondre à une différence d’altitude nulle. La calibration consiste à mémoriser la valeur de dZ 0 comme offset de correction des mesures ultérieures. Ainsi, une mesure ultérieure, par exemple lorsque l’utilisateur revient vers son véhicule 1, détermine une mesure dZ brute par différence des pressions PV, PO, et la corrige en soustrayant l’offset dZ 0 , la mesure corrigée dZ’ étant égale à dZ- dZ 0 . Chaque calibration recalcule l’offset dZ 0 . Cette calibration peut être réalisée régulièrement, à chaque départ, ou tous les n départs ou encore dès qu’un certain temps s’est écoulé depuis la dernière calibration. Une deuxième condition peut être testée. Une deuxième condition peut être une condition de distance. Avant de réaliser la fonction à distance, il peut être intéressant de valider une (ou deux) conditions de distance de l’utilisateur et de son ordiphone 2 au véhicule 1. Pour cela, il est procédé selon les étapes suivantes. Au cours d’une première étape, la composante horizontale dX, dY de la distance d est déterminée. La composante horizontale peut être exprimée dans un repère cartésien, dX, dY. Elle doit être comprise plus généralement comme la composante horizontale dans un repère quelconque, par exemple dR, dans un repère polaire. Selon la technologie de détermination, cette composante horizontale peut être obtenue dans un repère puis convertie dans un autre. Cette détermination est avantageusement réalisée par mesure de temps de vol selon une modulation ULB. Cette mesure par temps de vol ULB, dans un plan horizontal, ne pose pas les problèmes évoqués précédemment pour la composante verticale dZ. En effet, et principalement, lorsque l’ordiphone 2 et le véhicule 1 sont à la même altitude, la propagation ULB s’effectue sensiblement en vue directe (ou LOS, de l’anglais « line of sight ») ou du moins avec une faible densité d’obstacles, comme dans le cas envisagé d’un parking, présentant peu d’obstacles/murs et des poteaux peu larges. A partir de cette composante horizontale dX, dY, dR la distance d peut être calculée, au cours d’une autre étape. Ensuite, au cours d’une autre étape, cette distance d est comparée avec un seuil minimum Sm et/ou avec un seuil maximum SM. Le seuil maximum SM définit une distance d inférieure à ce seuil SM et donc interdit le déclenchement de la fonction de commande lorsque l’utilisateur est trop loin du véhicule 1. Ceci participe d’une sécurisation contre un déclenchement involontaire de l’utilisateur. De plus ceci peut permettre de garantir que l’utilisateur est suffisamment proche du véhicule 1 pour surveiller ou voir le déroulement de la fonction de commande ou encore être prêt à monter à bord, à l’issue de la fonction de commande. Le seuil minimum Sm définit une distance d supérieure à ce seuil Sm et donc interdit le déclenchement de la fonction de commande lorsque l’utilisateur est trop prêt du véhicule 1. Ceci peut viser à garantir la sécurité physique de l’utilisateur, en l’éloignant, lorsque la fonction de commande produit un déplacement, potentiellement vulnérant, du véhicule 1. Au cours de la dernière étape, l’accès est autorisé si la distance d est supérieure à l’éventuel seuil minimum Sm et si la distance est aussi inférieure à l’éventuel seuil maximum SM. Selon une autre caractéristique, plus particulièrement adaptée à la fonction de parking PRK, le seuil minimum Sm est sensiblement égal à 4 m et le seuil maximum SM est sensiblement égal à 6 m. Une troisième condition peut être testée. Selon une autre caractéristique, une troisième condition vérifie que l’ordiphone 2 est en mode contrôle. Cette condition est plus particulièrement illustrée à la FIG. 2 et vise à éviter un déclenchement intempestif. Pour cela, au cours d’une première étape, l’orientation de l’ordiphone 2 est observée. L’ordiphone 2 est en mode contrôle lorsque son orientation correspond à une tenue en main, par opposition à une position où l’ordiphone 2 est rangé, typiquement dans une poche de l’utilisateur. L’ordiphone 2, peut encore, de manière optionnelle être considéré en mode contrôle lorsqu’il est actif et réveillé par une interaction récente de l’utilisateur, par opposition à un mode veille ou économie suite à une absence d’interaction depuis un certain temps. Au cours d’une dernière étape, l’accès est autorisé si l’ordiphone 2 est en mode contrôle, soit lorsque l’ordiphone 2 est observé dans une orientation appartenant aux orientations associées au mode contrôle. Cette condition permet de s’assurer que l’utilisateur a bien l’intention d’utiliser la fonction de commande à distance et qu’il ne s’agit pas d’un faux déclenchement, déclenché par un contact fortuit de l’écran tactile de l’ordiphone 2 avec la poche. Une quatrième condition peut être testée. Une quatrième condition peut être une condition de véhicule 1 immobile. Pour cela, l'unité de traitement 13 vérifie que le véhicule n’est pas en état de mouvement en observant sa vitesse et/ou son accélération et en vérifiant qu’elles sont nulles. Ceci permet d'éviter de déclencher la fonction dans le cas d'un véhicule en mouvement ou transporté par un robot-ascenseur dans un parking automatique. Cette condition vérifie que la vitesse V et/ou l’accélération du véhicule 1 est/sont nulle(s), soit que le véhicule 1 est à l’arrêt. Cette condition a pour but d’éviter un déclenchement intempestif de la fonction de commande, alors que le véhicule 1 est roulant, par ses propres moyens ou en cours de déplacement par un moyen extérieur. Ainsi, une vitesse nulle et/ou une accélération nulle est une condition initiale de la fonction de commande à distance. Ainsi, au cours d’une première étape, la vitesse V et/ou l’accélération du véhicule 1 est/sont mesurées ou relevées auprès de l’unité de traitement 13 du véhicule 1. Au cours d’une autre étape, l’accès est autorisé si la vitesse V et/ou l’accélération du véhicule 1 est/sont sensiblement nulle(s). L’invention concerne encore un dispositif de sécurisation de l’accès à une fonction de commande à distance d’un véhicule 1 par un ordiphone 2. Ce dispositif se caractérise en ce qu’il comprend une application, répartie entre le véhicule 1 et l’ordiphone 2. Cette application implémente le procédé de sécurisation de l’accès à une fonction de commande précédemment décrit. La FIG. 3 illustre une décomposition fonctionnelle des unités de traitement du dispositif. Elle s’articule entre un bloc véhicule 11-15, à droite du schéma et un bloc ordiphone 21-25, à gauche du schéma. Le bloc véhicule 11-15 s’articule autour d’une unité de traitement véhicule 13. Cette unité de traitement véhicule 13 est intégrée à l’ECU véhicule. Elle interface un capteur de pression véhicule 11, pour mesurer la pression atmosphérique véhicule PV utile à la détermination de la composante verticale dZ. Elle interface encore un capteur d’orientation/position véhicule 12. Elle interface encore une unité de transmission BLE véhicule 14 lui permettant d’échanger avec l’ordiphone 2 selon un premier canal 3. BLE signifie ici « Bluetooth Low Energy », soit un protocole de transmission issue du Bluetooth et optimisé pour être faiblement consommateur d’énergie. Elle interface encore une unité de transmission ULB véhicule 15 lui permettant d’échanger avec l’ordiphone 2 selon un deuxième canal 4 et permettant les mesures de temps de vol. ULB désigne ici une transmission radiofréquence selon une modulation Ultra Large Bande, en anglais « Ultra Wide Band » ou UWB. Le bloc ordiphone 21-25 s’articule autour d’une unité de traitement ordiphone 23. Cette unité de traitement ordiphone 23 est intégrée au SoC ordiphone. Elle interface un capteur de pression ordiphone 21, pour mesurer la pression atmosphérique ordiphone PO utile à la détermination de la composante verticale dZ. Elle interface encore un capteur d’orientation/position ordiphone 22. Ce capteur encore nommé IMU, de l’anglais « Inertial Measurement Unit », comprend des gyromètres et des accéléromètre aptes à déterminer l’orientation de l’ordiphone 2. Ce capteur permet de déterminer si l’ordiphone 2 est en mode contrôle. L’unité de traitement ordiphone 23 interface encore une unité de transmission BLE ordiphone 24 lui permettant d’échanger avec le véhicule 1 selon le premier canal 3. Elle interface encore une unité de transmission ULB ordiphone 25 lui permettant d’échanger avec le véhicule 1 selon le deuxième canal 4 et permettant les mesures de temps de vol. L’invention a été illustrée et décrite en détail dans les dessins et la description précédente. Celle-ci doit être considérée comme illustrative et donnée à titre d’exemple et non comme limitant l’invention à cette seule description. De nombreuses variantes de réalisation sont possibles. Procédé de sécurisation de l’accès à une fonction de commande à distance d’un véhicule (1) par un ordiphone (2), caractérisé en ce qu ’il comprend les étapes suivantes : - détermination de la composante verticale (dZ) de la distance (d) entre le véhicule (1) et l’ordiphone (2) par différence entre une altitude barométrique (PV) mesurée sur le véhicule (1) et une altitude barométrique (PO) mesurée sur l’ordiphone (2), - autorisation de l’accès si la composante verticale (dZ) est sensiblement nulle. Procédé selon la revendication 1, où la nullité de la composante verticale (dZ), s’apprécie avec une tolérance de +/- 1,5 m, préférentiellement de +/-0,5 m. Procédé selon l’une quelconque des revendications 1 ou 2, où la différence d’altitude barométrique est calibrée lorsque l’ordiphone (2) quitte le véhicule (1). Procédé selon l’une quelconque des revendications 1 à 3, comprenant encore les étapes suivantes : - détermination de la composante (dX, dY) horizontale de la distance par mesure de temps de vol selon une modulation ULB, - calcul de la distance (d), - autorisation de l’accès si la distance (d) est située au-dessus d’un seuil minimum (Sm) et/ou en dessous d’un seuil maximum (SM). Procédé selon la revendication 4, où le seuil minimum (Sm) est sensiblement égal à 4 m et le seuil maximum (SM) est sensiblement égal à 6 m. Procédé selon l’une quelconque des revendications 1 à 5, comprenant encore l’étape suivante : - autorisation de l’accès si l’ordiphone (2) est en mode contrôle, le mode contrôle étant caractérisé par une orientation de l’ordiphone (2) indicative d’une tenue en main. Procédé selon l’une quelconque des revendications 1 à 6, comprenant encore l’étape suivante : - autorisation de l’accès si la vitesse (V) et/ou l’accélération du véhicule (1) est sensiblement nulle. Dispositif de sécurisation de l’accès à une fonction de commande à distance d’un véhicule (1) par un ordiphone (2), caractérisé en ce qu ’il comprend une application, répartie entre le véhicule (1) et l’ordiphone (2) implémentant le procédé selon l’une quelconque des revendications précédentes.