FR 3164309 A1 20260109 FR 2407317 A 20240704 Selon un aspect, la présente description a pour objet un module de sécurité (130) pour système (100) de contrôle du trafic routier d’un carrefour (10). Le système de contrôle du trafic routier comprend un contrôleur de carrefour (110) configuré pour transmettre des signaux électriques à des unités optiques (21A, 22A, 23A) de feux du carrefour, les signaux électriques résultant de signaux de commande. Le module de sécurité comprend un récepteur (135) configuré pour recevoir, par liaison sans fil, un message transmis par un émetteur (120), le message étant transmis à des véhicules connectés pour informer d’un état supposé d’au moins une unité optique; une unité de mesure configurée pour déterminer simultanément à la réception dudit message, un état réel de ladite au moins une unité optique; une unité de traitement configurée pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Fig. 2 Systèmes et procédés de contrôle du trafic routier dans un carrefour à feux L'invention concerne des systèmes et procédés de contrôle du trafic routier dans un carrefour à feux et s’applique notamment au contrôle du trafic en présence de véhicules connectés. Etat de la technique Les véhicules connectés, en particulier les véhicules autonomes sans chauffeur, ont besoin de connaître l’état des feux de circulation pour savoir s'ils peuvent franchir un carrefour à feux. Cette information est transmise de façon connue par des contrôleurs de carrefour à feux au moyen d’une liaison sans fil sécurisée. Cette liaison utilise notamment la technologie « V2I » de communication normalisée entre véhicules et infrastructure, où V2I est l’abréviation de l’expression anglosaxonne « Vehicle -to- Infrastructure ». La liaison sans fil V2I peut comprendre par exemple une communication à courte portée (ou DSRC selon l’abréviation anglo-saxonne « Dedicated Short Range Communication ») faisant partie de la famille de normes WLAN IEEE 802.11 et connue aux États-Unis sous le nom de « Wireless Access in Vehicular Environments » (WAVE) et en Europe sous le nom ITS-G5. La liaison sans fil V2I peut également se baser sur le réseau de téléphonie mobile comme par exemple le "V2X cellulaire" également nommé C-V2X. Quelle que soit la technique de communication sans fil utilisée, on cherche à s’assurer que les informations transmises aux véhicules connectées ne sont pas erronées. Le brevet publié US 11,521,486 [Réf. 1] décrit de façon générale des systèmes et méthode de contrôle du trafic. La FIG. 1 reproduit à titre d’exemple un diagramme d’un système de contrôle de trafic tel que décrit dans [Réf. 1]. Dans un tel système de contrôle de trafic, un contrôleur de circulation 84, autrement appelé contrôleur de carrefour, est connecté à un agrégateur de données 82, par exemple par une connexion électrique 87 telle que, par exemple, un fil de cuivre, un fil d'aluminium ou une fibre optique. Le contrôleur de carrefour 84 est connecté par ailleurs à une unité de bord de route 70 (ou « RSU » selon l’expression anglo-saxonne « Road Side Unit ») au moyen d’une connexion électrique 72 et le RSU 70 est connecté à l’agrégateur de données 82 au moyen d’une connexion électrique 74, par exemple une connexion métallique, ou une connexion optique. Le RSU 70 possède une antenne 60 configurée pour transmettre un signal dans le nuage 64 (ou « cloud » selon le terme anglo-saxon) vers une antenne de réception 66 qui est connectée à l'agrégateur de données 82. Ici, le « nuage » 64 peut inclure un système configuré pour communiquer avec une installation de contrôle centrale, des automobiles, des bus, des drones, d'autres contrôleurs de feux de circulation, d'autres agrégateurs de données, etc. En fonctionnement, le contrôleur de carrefour 84 transmet un signal de système de position globale (GPS) dédié pour une communication à courte portée (DSRC) au RSU 70, qui en réponse, transmet un signal au nuage 64, qui transmet un signal au récepteur 66, lequel récepteur 66 transmet le signal à l'agrégateur de données 82. Le RSU 70 transmet également le signal à l'agrégateur 82 dans une configuration de rétroaction câblée via l'interconnexion électrique 74. L'agrégateur de données 82 compare le signal de rétroaction câblé 74 avec le signal sans fil transmis du RSU 70 au cloud. S'il existe une discordance entre le signal câblé 74 reçu par l'agrégateur de données 82 et le signal sans fil reçu par l'agrégateur de données 82, l'agrégateur de données 82 génère un signal de comparaison indiquant la discordance ou l'erreur. Le signal de comparaison peut servir de signal indicateur de panne ou de signal d'erreur et il peut être transmis au contrôleur de carrefour 84 pour indiquer qu'une détection d'erreur ou une non-concordance d'événements s'est produite. Le contrôleur de carrefour 84 peut alors transmettre un signal au nuage 64 indiquant que l'intersection doit être placée en « mode flash », où tous les feux de circulation indiquent un signal clignotant afin d'assurer la sécurité du carrefour. Un tel système de contrôle de trafic est avantageux notamment en cas d’usurpation malveillante du signal. Un objectif de la présente description est de proposer un système de contrôle du trafic routier qui permette d’améliorer encore la sécurisation du carrefour, notamment un carrefour dans lequel circulent des véhicules connectés. Dans la présente description, le terme « comprendre » signifie la même chose que « inclure », « contenir », et est inclusif ou ouvert et n’exclut pas d’autres éléments non décrits ou représentés. En outre, dans la présente description, le terme « environ » ou « sensiblement » est synonyme de (signifie la même chose que) une marge inférieure et/ou supérieure de 10%, par exemple 5%, de la valeur respective. Selon un premier aspect, la présente description concerne un module de sécurité pour un système de contrôle du trafic routier d’un carrefour comprenant un ensemble de feux. Le système de contrôle du trafic routier comprend de façon connue un contrôleur de carrefour pour le contrôle des feux dudit premier carrefour, chaque feu comprenant une pluralité d’unités optiques configurés chacune pour émettre un signal optique de couleur différente, le contrôleur de carrefour étant configuré pour transmettre des signaux électriques aux dites unités optiques au moyen de lignes électriques de commande pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande. Le module de sécurité selon le premier aspect comprend : - un récepteur configuré pour recevoir, par liaison sans fil, un message transmis par un émetteur, ledit message étant transmis par ledit émetteur, par liaison sans fil, à un ou plusieurs véhicules connectés se déplaçant dans le carrefour, et étant configuré pour informer le ou lesdits véhicules connectés d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande ; - une unité de mesure configurée pour déterminer simultanément à la réception dudit message, au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de ladite au moins une unité optique, un état réel de ladite au moins une unité optique; - une unité de traitement configurée pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Ainsi, dans un module de sécurité selon le premier aspect, le récepteur reçoit un message identique à celui reçu par le ou les véhicules connectés. Le message est configuré pour informer d’un état supposé d’au moins une unité optique d’au moins un feu. Pour cela, le message est déterminé en fonction des signaux de commande qui permettent de générer les signaux électriques transmis à ladite au moins une unité optique pour le contrôle des signaux optiques. Par ailleurs, l’unité de mesure est configurée pour déterminer simultanément à la réception dudit message, un état réel de ladite au moins une unité optique. Par simultanée, on comprend que la latence entre la mesure de l’état réel de ladite au moins une unité optique et la réception du message informant sur l’état supposé est inférieur à 500 ms, avantageusement inférieure à 300 ms, avantageusement inférieure à 100 ms. En pratique, dans des exemples de réalisation, les signaux de commande sont définis selon une chronologie qui définit les moments auxquels sont transmis les signaux électriques aux unités optiques et les durées de transmission de ces signaux en fonction de la durée souhaitée de l’émission du signal optique correspondant. Des messages sont transmis aux véhicules connectés et au récepteur du module de sécurité, dans des exemples de réalisation, avec une périodicité prédéterminée. Par exemple, les messages sont transmis à des intervalles de temps compris entre environ 100 ms et environ 500 ms. Dans des exemples de réalisation, la latence entre la mesure de l’état réel de ladite au moins une unité optique et la réception du message informant sur l’état supposé est inférieure à l’intervalle de temps qui sépare la transmission de deux messages. La déposante a montré que le module de sécurité selon le premier aspect permet de s’assurer que l’information d’état d’un ou plusieurs feux transmise aux véhicules connectés, c’est-à-dire le signal optique émis par la ou les unités optiques du ou desdits feux (e.g. « feu rouge », « feu vert »), est rigoureusement identique à l’information visuelle délivrée par le ou lesdits feux. Ainsi, le module de sécurité selon le premier aspect permet, comme dans l’état de l’art décrit dans [Réf.1], de s’assurer de l’intégrité d’un message transmis, mais permet également d’identifier toute incohérence entre l’information du ou desdits feux transmise aux véhicules connectés et l’information visuelle correspondant à l’état réel du ou desdits feux. Une incohérence peut se produire notamment en cas de latence excessive (e.g. supérieure à environ 500 ms) entre la transmission d’une information aux véhicules connectés sur l’état des feux et la transmission des signaux électriques pour contrôler l’état des feux. Dans des exemples de réalisation, ledit message est configuré pour informer le ou lesdits véhicules connectés d’un état supposé de chaque unité optique d’une pluralité d’unités optiques d’au moins un feu. L’unité de mesure est alors configurée pour déterminer simultanément, au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de chaque unité optique de ladite pluralité d’unités optique, un état réel de chaque unité optique et l’unité de traitement est configurée pour générer ledit signal d’incohérence en cas de différence entre l’état supposé et l’état réel d’au moins une unité optique de ladite pluralité d’unités optique. Le message est par exemple un message SPaT (acronyme de l’abréviation anglo-saxonne « Signal Phase and Timing ») tel que défini par les normes ETSI TS 103 301, ISO/TS 19091 et SAE J2735. Selon un ou plusieurs exemples de réalisation, l’unité de traitement du module de sécurité est configurée pour transmettre audit contrôleur de carrefour ledit signal d’incohérence afin de basculer le carrefour dans un état sécuritaire et/ou de stopper la transmission de messages par l’émetteur. Un « état sécuritaire » du carrefour est par exemple un état du carrefour dans lequel les feux émettent des signaux jaune clignotant ou un état du carrefour dans lequel les feux sont éteints. En stoppant la transmission de messages par l’émetteur, les véhicules connectés passent dans un mode dit « mode dégradé » dans lequel ils ne reçoivent plus l’information d’état des unités optiques. Selon un ou plusieurs exemples de réalisation, le récepteur du module de sécurité comprend une carte électronique de communication pour liaison sans fil relié à une antenne. Selon un ou plusieurs exemples de réalisation, le module de sécurité est externe au contrôleur de carrefour, c’est-à-dire que l’ensemble du récepteur, de l’unité de mesure et de l’unité de traitement sont agencés dans un boîtier extérieur à un boîtier dans lequel est agencé le contrôleur de carrefour. Selon un ou plusieurs exemples de réalisation, le module de sécurité est intégré, ou au moins partiellement intégré, au contrôleur de carrefour, c’est-à-dire que tout ou partie des composants formant le module de sécurité sont agencés dans le boîtier dans lequel est agencé le contrôleur de carrefour. Par exemple, dans des exemples de réalisation, l’unité de mesure configurée pour déterminer un état réel de la ou des unités optiques, est un composant du contrôleur de carrefour. Selon un deuxième aspect, la présente description concerne un système de contrôle du trafic routier d’au moins un premier carrefour comprenant un ensemble de feux, le système de contrôle comprenant au moins un premier module de sécurité selon le premier aspect. Selon un ou plusieurs exemples de réalisation, le système de contrôle du trafic routier selon le deuxième aspect comprend : - au moins un premier contrôleur de carrefour pour le contrôle des feux dudit premier carrefour, chaque feu comprenant une pluralité d’unités optiques configurés chacune pour émettre un signal optique de couleur différente, le premier contrôleur de carrefour étant configuré pour transmettre des signaux électriques aux dites unités optiques au moyen de lignes électriques de commande pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande; - un émetteur configuré pour transmettre à un ou plusieurs véhicules connectés se déplaçant dans le premier carrefour, par liaison sans fil, des premiers messages avec une périodicité donnée, chaque premier message étant configuré pour informer le ou lesdits véhicules connectés d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande; - au moins un premier module de sécurité selon le premier aspect, configuré pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Dans un système de de contrôle du trafic routier selon le deuxième aspect, l’émetteur est par exemple une carte électronique de communication pour liaison sans fil relié à une antenne. Le premier message transmis par l’émetteur par liaison sans fil est par exemple un message SPaT indiquant l’état supposé de ladite au moins une unité optique. Dans des exemples de réalisation, lesdits premiers messages sont transmis à des intervalles de temps compris entre environ 100 ms et environ 500 ms. Selon un ou plusieurs exemples de réalisation, le premier contrôleur de carrefour est configuré pour transmettre audit émetteur, par liaison filaire, lesdits premiers signaux de commande pour la détermination de l’état supposé de ladite au moins une unité optique. Les liaisons filaires sont par exemple des connexions électriques ou optiques. Dans des exemples de réalisation, l’émetteur peut comprendre une carte électronique intégrée au contrôleur de carrefour, c’est-à-dire agencée dans le même boîtier que le contrôleur de carrefour, ledit boîtier étant agencé à proximité dudit premier carrefour. L’émetteur peut partager avec le contrôleur de carrefour une alimentation commune. Dans d’autres exemples de réalisation, l’émetteur peut être un organe externe au contrôleur de carrefour, dédié à la communication sans fil avec les véhicules connectés. Dans ces exemples, l’émetteur est à l’extérieur du boîtier du contrôleur de carrefour. Il est par exemple agencé sur le carrefour. Selon un ou plusieurs exemples de réalisation, le premier contrôleur de carrefour est configuré pour générer au moins une partie desdits premiers signaux de commande. Ainsi, dans des exemples de réalisation, l’ensemble des premiers signaux de commande sont générés par le premier contrôleur de carrefour. Par exemple, les signaux de commande sont générés selon une programmation temporelle préétablie définissant la chronologie des signaux de commande. La chronologie des signaux de commande définit les moments auxquels sont transmis les signaux électriques aux unités optiques et leurs durées. Selon un ou plusieurs exemples de réalisation, le système de contrôle du trafic routier comprend en outre un organe centralisé de gestion de trafic et au moins une partie des premiers signaux de commande sont générés par l’organe centralisé de gestion de trafic. Comme précédemment, les signaux de commande peuvent être générés selon une programmation temporelle préétablie définissant la chronologie des signaux de commande et leurs durées. Lesdits premiers signaux de commande générés par l’organe centralisé de gestion de trafic sont alors transmis par liaison filaire au premier contrôleur de carrefour pour le contrôle des signaux optiques des unités optiques. Dans des exemples de réalisation, les liaisons filaires sont réalisées par des connexions électriques ou optiques. Dans des exemples de réalisation, seulement une partie des premiers signaux de commande sont générés par l’organe centralisé de gestion de trafic et le premier contrôleur de carrefour est configuré pour générer les autres premiers signaux de commande en fonction des premiers signaux de commande reçus par l’organe centralisé de gestion de trafic. Par exemple, l’organe centralisé de gestion de trafic est configuré pour transmettre au contrôleur de carrefour le signal de commande pour commander l’unité optique verte du feu. Les signaux de commande pour les autres unités optiques peuvent alors être générés par le contrôleur de carrefour. Dans des exemples de réalisation, ce sont l’ensemble des premiers signaux de commande qui sont générés par l’organe centralisé de gestion de trafic et transmis par liaison filaire au premier contrôleur de carrefour. Dans des exemples de réalisation, ledit organe centralisé de gestion de trafic est configuré pour transmettre audit émetteur, par liaison filaire, lesdits premiers signaux de commande pour la détermination de l’état supposé de la dite au moins une unité optique. Selon un ou plusieurs exemples de réalisation, le premier module de sécurité est configuré pour transmettre audit premier contrôleur de carrefour ledit signal d’incohérence et ledit premier contrôleur de carrefour est configuré pour transmettre ledit signal d’incohérence audit organe centralisé de gestion de trafic, ledit organe centralisé de gestion de trafic étant configuré pour transmettre à son tour un signal d’alerte au premier contrôleur de carrefour afin de basculer le carrefour dans un état sécuritaire et/ou de stopper la transmission de messages par l’émetteur. Dans des exemples de réalisation, l’organe centralisé de gestion de trafic est configuré pour générer des deuxièmes signaux de commande qui sont transmis par liaison filaire à un deuxième contrôleur de carrefour d’un deuxième carrefour. Selon un ou plusieurs exemples de réalisation, l’émetteur est configuré pour transmettre en outre, par liaison sans fil, des deuxièmes messages avec une périodicité donnée, chaque deuxième message étant configuré pour informer un ou plusieurs véhicules connectés d’un état supposé d’au moins une unité optique d’au moins un feu du deuxième carrefour, l’état supposé étant déterminé par lesdits deuxièmes signaux de commande. Dans des exemples de réalisation, ledit émetteur reçoit les signaux de commande de l’organe centralisé de gestion de trafic pour l’émission de chaque premier message et de chaque deuxième message. Dans des exemples de réalisation, les premiers messages et les deuxièmes messages intègrent chacun des données de géolocalisation des feux de circulation, c’est-à-dire contiennent des informations relatives à leur position GPS. Dans des exemples de réalisation, le système de contrôle de trafic routier comprend ledit deuxième contrôleur de carrefour pour le contrôle de feux dudit deuxième carrefour et un deuxième module de sécurité configuré pour recevoir chaque deuxième message par liaison sans fil, déterminer simultanément, au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande d’au moins une unité optique d’un feu du deuxième carrefour, un état réel de ladite au moins une unité optique et générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Selon un ou plusieurs exemples de réalisation, l’organe centralisé de gestion de trafic est configuré pour générer lesdits premiers signaux de commande et les transmettre par liaison filaire au premier contrôleur de carrefour, et est configuré pour générer des deuxièmes signaux de commande et les transmettre par liaison filaire au deuxième contrôleur de carrefour du deuxième carrefour; l’émetteur reçoit les premiers signaux de commande et les deuxièmes signaux de commande de l’organe centralisé de gestion de trafic pour l’émission des premiers messages et des deuxièmes messages. Selon un ou plusieurs exemples de réalisation, le premier contrôleur de carrefour est configuré pour générer lesdits premiers signaux de commande et le deuxième contrôleur de carrefour du deuxième carrefour est configuré pour générer des deuxièmes signaux de commande; l’organe centralisé de gestion de trafic est configuré pour recevoir, par liaison filaire, lesdits premiers signaux de commande générés par le premier contrôleur de carrefour et est configuré pour recevoir, par liaison filaire, lesdits deuxièmes signaux de commande générés par le deuxième contrôleur de carrefour. L’émetteur reçoit alors les premiers signaux de commande et les deuxièmes signaux de commande de l’organe centralisé de gestion de carrefour pour l’émission des premiers messages et des deuxièmes messages. Selon un troisième aspect, la présente description concerne un procédé de contrôle du trafic routier d’au moins un premier carrefour, mis en œuvre par un système de contrôle du trafic routier selon le deuxième aspect. Plus précisément, ledit premier carrefour comprenant un ensemble de feux, chaque feu comprenant une pluralité d’unités optiques configurées chacune pour émettre un signal optique de couleur différente, le procédé comprend : - la transmission, par un premier contrôleur de carrefour, de signaux électriques auxdites unités optiques au moyen de lignes électriques de commande pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande; - la transmission à un ou plusieurs véhicules connectés se déplaçant dans le premier carrefour, par liaison sans fil, au moyen d’un émetteur, de premiers messages avec une périodicité donnée, chaque premier message étant configuré pour informer le ou lesdits véhicules connectés d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande; - la réception de chaque premier message par un premier module de sécurité; - simultanément à ladite réception dudit premier message, la détermination, par ledit premier module de sécurité et au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de ladite au moins une unité optique, d’un état réel de ladite au moins une unité optique; - la génération, par ledit premier module de sécurité d’un signal d’incohérence en cas de différence entre l’état supposé et l’état réel d’au moins une unité optique. Brève description des figures D’autres caractéristiques et avantages de l’invention apparaîtront à la lecture de la description qui suit, illustrée par les figures suivantes : La FIG. 1 (déjà décrite) représente un diagramme d’un système de contrôle de trafic connu de l’état de l’art ; La FIG. 2 est un schéma illustrant un premier exemple d’un système de contrôle du trafic routier selon la présente description ; La FIG. 3 est un schéma illustrant un deuxième exemple d’un système de contrôle du trafic routier selon la présente description ; La FIG. 4 est un schéma illustrant plus en détails des éléments d’un exemple d’un système de contrôle du trafic routier selon la présente description ; La FIG. 5 est un schéma illustrant plus en détails un exemple de mesure de l’état réel d’une unité optique au moyen d’un module de sécurité selon la présente description ; La FIG. 6 est un schéma illustrant un troisième exemple d’un système de contrôle du trafic routier selon la présente description ; La FIG. 6 est un schéma illustrant un quatrième exemple d’un système de contrôle du trafic routier selon la présente description. Description détaillée Sur les figures, les éléments ne sont pas représentés à l'échelle pour une meilleure visibilité. La FIG. 2 est un schéma illustrant un premier exemple d’un système 100 de contrôle du trafic routier selon la présente description. Dans l’exemple de la FIG. 2 , le système 100 est configuré pour le contrôle du trafic routier d’un carrefour 10 comprenant un ensemble de feux. Sur la FIG. 2 , quatre feux 20 A , 20 B , 20 C , 20 D sont représentés, mais bien entendu, il peut y en avoir moins ou davantage ; par ailleurs, l’ensemble de feux peut comprendre des feux destinés aux véhicules motorisés, aux bicyclettes, aux piétons, etc. Chaque feu comprend une pluralité d’unités optiques (21 A , 22 A , 23 A ) configurées chacune pour émettre chacune un signal optique de couleur différente, par exemple rouge, vert, jaune. Ainsi, sur la FIG. 2 , le feu 20A comprend une pluralité de trois unités optiques 21 A , 22 A , 23 A , le feu 20B comprend une pluralité de trois unités optiques 21 B , 22 B , 23 B , le feu 20C comprend une pluralité de trois unités optiques 21 C , 22 C , 23 C , le feu 20D comprend une pluralité de trois unités optiques 21 D , 22 D , 23 D . Bien entendu, chaque feu peut comprendre un plus ou moins grand nombre d’unités optiques. Comme illustré sur la FIG. 2 , le système 100 de contrôle du trafic routier comprend un contrôleur de carrefour 110 pour le contrôle des feux du carrefour 10. Le contrôleur de carrefour 110 est configuré pour transmettre des signaux électriques aux dites unités optiques au moyen de lignes électriques de commande référencées respectivement 30 A , 30 B , 30 C , 30 D , pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande. Par exemple, les signaux de commande sont générés par le contrôleur de carrefour 10. Par exemple, les signaux de commande sont générés selon une programmation temporelle préétablie définissant la chronologie des signaux de commande. La chronologie des signaux de commande définit les moments auxquels sont transmis les signaux électriques aux unités optiques et leurs durées, typiquement quelques dizaines de secondes. Le système 100 de contrôle du trafic routier comprend en outre un émetteur 120 configuré pour transmettre à un ou plusieurs véhicules connectés 50 se déplaçant dans le carrefour 10, par liaison sans fil, des messages avec une périodicité donnée, chaque message étant configuré pour informer le ou lesdits véhicules connectés 50 d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande. Le message est par exemple un message SPaT (acronyme de l’abréviation anglo-saxonne « Signal Phase and Timing »). Chaque message peut comprendre une information relative à un état supposé d’une ou plusieurs unités optiques d’un ou plusieurs feux. L’émetteur 120 est configuré pour une transmission sans fil, par exemple une transmission courte portée (ou DSRC selon l’abréviation anglo-saxonne « Dedicated Short Range Communication ») faisant partie de la famille de normes WLAN IEEE 802.11 et connue aux États-Unis sous le nom de « Wireless Access in Vehicular Environments » (WAVE) et en Europe sous le nom ITS-G5. La liaison sans fil V2I peut également se baser sur le réseau de téléphonie mobile comme par exemple le "V2X cellulaire" également nommé C-V2X. Comme illustré sur la FIG. 2 , l’émetteur peut comprendre une carte électronique intégrée au contrôleur de carrefour, c’est-à-dire agencée dans le même boîtier que le contrôleur de carrefour, ledit boîtier étant agencé généralement à proximité dudit premier carrefour, c’est-à-dire à une distance inférieure à 100 mètres. Dans des exemples de réalisation, l’émetteur peut partager avec le contrôleur de carrefour une alimentation commune. Dans cet exemple, le contrôleur de carrefour transmet à l’émetteur, par liaison filaire, les signaux de commande. Les liaisons filaires sont par exemple des connexions électriques ou optiques. De façon générale, on représentera sur les figures les liaisons filaires, par exemple des connexions électriques ou optiques, en trait plein, et les connexions sans fil, en trait pointillés. Le système 100 de contrôle du trafic routier comprend en outre un module de sécurité 130 configuré pour générer un signal d’incohérence en cas de différence entre l’état supposé et un état réel de ladite au moins une unité optique, comme cela va être décrit plus en détails par la suite. La FIG. 3 est un schéma illustrant un deuxième exemple d’un système de contrôle du trafic routier selon la présente description. Le système 200 de contrôle du trafic routier décrit sur la FIG. 3 est sensiblement similaire au système 100 de contrôle du trafic routier décrit sur la FIG. 2 et les éléments ne sont pas détaillés à nouveau. A la différence du système 100 de contrôle du trafic routier, dans l’exemple du système 200 de contrôle du trafic routier décrit sur la FIG. 3 , l’émetteur 120 est un organe externe au contrôleur de carrefour, dédié à la communication sans fil avec les véhicules connectés, par exemple une unité de bord de route ou RSU, abréviation de l’acronyme anglo-saxon « Road Side Unit ». L’unité de bord de route est équipée d’une technologie de communication sans fil, telle qu’une communication dédiée à courte portée (DSRC) ou une communication C-V2X. L’unité de bord de route est située à l’extérieur du boitier qui comprend le contrôleur de carrefour. Elle peut être par exemple agencée sur un support des feux de circulation, des panneaux de signalisation ou d’autres éléments d’infrastructure du carrefour. Comme précédemment, le contrôleur de carrefour 110 est configuré pour transmettre à l’émetteur 120, par liaison filaire, les premiers signaux de commande. Les liaisons filaires sont par exemple des connexions électriques ou optiques. La FIG. 4 est un schéma illustrant plus en détails un module de sécurité 130 d’un système de contrôle du trafic routier selon la présente description et son fonctionnement avec le contrôleur de carrefour 110 et l’émetteur 120. Dans l’exemple illustré sur la FIG. 4 , seuls deux feux 20 A , 20 B , sont illustrés. Le contrôleur de carrefour 110 comprend par exemple un relais d’alimentation 112 connecté à une alimentation 105. Le contrôleur de carrefour 110 comprend par ailleurs dans cet exemple un processeur 116 ou CPU selon l’expression anglo-saxonne « Central Processing Unit », dans laquelle sont programmés les signaux de commande selon une programmation temporelle préétablie, et une carte de commutation 114 configurée pour alimenter les lignes électriques de commande 30 A , 30 B respectivement des unités optiques des feux 20 A , 20 B en fonction des signaux de commande reçus du processeur 116. Ainsi par exemple, dans l’exemple illustré sur la FIG. 4 , chaque ligne électrique 30 A , 30 B comprend une pluralité de fils de connexion, par exemples 4 fils de connexion dans cet exemple, pour alimenter chaque unité optique d’un feu. Dans l’exemple de la FIG. 4 , on a ainsi illustré les fils de connexion 31 A , 32 A , 33 A , 34 A pour connecter respectivement les unités optiques 21 A , 22 A , 23 A ( FIG. 2 ), le dernier fil de connexion 34 A étant le potentiel commun. Dans des exemples de réalisation, le carte de commutation 114 du contrôleur 110 peut envoyer au processeur 116 un état réel des unités optiques. En cas d’incohérence entre l’état réel d’une unité optique et l’état supposé correspondant au signal de commande, le processeur 116 peut transmettre un signal au relais d’alimentation 112 par exemple pour couper l’alimentation et éteindre les feux du carrefour. Le module de sécurité 130 comprend un récepteur 135 configuré pour recevoir, par liaison sans fil, le message transmis par l’émetteur 120. Le récepteur comprend par exemple une carte électronique de communication pour liaison sans fil relié à une antenne. Le module de sécurité comprend par ailleurs une unité de mesure 133 et une unité de traitement 137. L’unité de mesure 133, dont un exemple est décrit plus en détails sur la FIG. 5 , est configurée pour déterminer simultanément à la réception du message, un état réel de la ou des unités(s) optique(s), au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de ladite au moins une unité optique. L’unité de traitement 137 est configurée pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Par exemple, comme illustré sur la FIG. 4 , l’unité de traitement 137 est configurée pour transmettre au contrôleur de carrefour 110 ledit signal d’incohérence afin de basculer le carrefour dans un état sécuritaire. Un « état sécuritaire » du carrefour est par exemple un état du carrefour dans lequel les feux émettent des signaux jaune clignotant ou un état du carrefour dans lequel les feux sont éteints. Plus précisément, dans des exemples de réalisation, comme ceci est illustré sur la FIG. 4 , le signal d’incohérence peut être transmis directement au relais d’alimentation 112 pour couper l’alimentation et éteindre les feux du carrefour. Dans d’autres exemples de réalisation, l’unité de traitement 137 peut être configurée pour transmettre au contrôleur de carrefour 110 ledit signal d’incohérence afin de stopper la transmission de messages par l’émetteur 120. Le signal d’incohérence peut alors être transmis au processeur 116. Ainsi, dans un module de sécurité selon le premier aspect, le récepteur reçoit un message identique à celui reçu par le ou les véhicules connectés. Le message est configuré pour informer d’un état supposé d’au moins une unité optique d’au moins un feu. Pour cela, le message est déterminé en fonction des signaux de commande qui permettent de générer les signaux électriques transmis à ladite au moins une unité optique pour le contrôle des signaux optiques. Par ailleurs, l’unité de mesure est configurée pour déterminer simultanément à la réception dudit message, un état réel de ladite au moins une unité optique. Par simultanée, on comprend que la latence entre la mesure de l’état réel de ladite au moins une unité optique et la réception du message informant sur l’état supposé est inférieur à 500 ms, avantageusement inférieure à 300 ms, avantageusement inférieure à 100 ms. Avantageusement, dans des exemples de réalisation, la latence entre la mesure de l’état réel de ladite au moins une unité optique et la réception du message informant sur l’état supposé est inférieur à l’intervalle de temps qui sépare la transmission de deux messages. Des messages peuvent en effet être transmis aux véhicules connectés et au récepteur du module de sécurité, dans des exemples de réalisation, avec une périodicité prédéterminée. Par exemple, les messages sont transmis à des intervalles de temps compris entre environ 100 ms et environ 500 ms. La déposante a montré que le module de sécurité selon le premier aspect permet de s’assurer que l’information d’état d’un ou plusieurs feux transmise aux véhicules connectés, c’est-à-dire le signal optique émis par la ou les unités optiques du ou desdits feux (e.g. « feu rouge », « feu vert »), est rigoureusement identique à l’information visuelle délivrée par le ou lesdits feux. En effet, le module de sécurité permet d’identifier toute incohérence entre l’information du ou desdits feux transmise aux véhicules connectés et l’information visuelle correspondant à l’état réel du ou desdits feux. Une incohérence peut se produire notamment en cas de latence excessive (e.g. supérieure à environ 500 ms) entre la transmission d’une information aux véhicules connectés sur l’état des feux et la transmission des signaux électriques pour contrôler l’état des feux. Une incohérence peut également se produire en cas d’intrusion dans les communications sans fil (e.g. cyberattaque). Dans le cas de l’utilisation d’une unité de bord de route pour l’émission des messages ( FIG. 3 ), une incohérence peut se produire aussi en cas de dégradation du signal entre le contrôleur de carrefour 110 et l’unité de bord de route 120 ou en cas d’intrusion. La FIG. 5 est un schéma illustrant plus en détails un exemple de mesure de l’état réel d’une unité optique au moyen d’un module de sécurité selon la présente description. Comme illustré sur la FIG. 5 , l’unité de mesure 133 dans cet exemple est configurée pour d’une part, mesurer l’intensité du courant sur chaque fil de connexion 31 A , 32 A , 33 A pour la connexion électrique des unités optiques 21 A , 22 A , 23 A du feu 20 A . cette mesure est symbolisée par l’ampèremètre A. L’unité de mesure 133 dans cet exemple est configurée pour d’autre part, mesurer la tension entre chaque fil de connexion 31 A , 32 A , 33 A et le potentiel commun (fil de connexion 34 A ). Cette mesure est symbolisée par le voltmètre V. Une combinaison des mesures de courant et de tension permet de connaître précisément un état réel de l’unité optique 20 A . Bien entendu, cette méthode de mesure n’est pas exhaustive. A noter que dans les exemples illustrés sur les figures, le module de sécurité 130 est représenté comme étant externe au contrôleur de carrefour 110, c’est-à-dire que l’ensemble du récepteur, de l’unité de mesure et de l’unité de traitement sont agencés dans un boîtier extérieur au boîtier dans lequel est agencé le contrôleur de carrefour. Cependant, d’autres exemples de réalisation sont possibles. Notamment, le module de sécurité 130 peut être intégré, ou au moins partiellement intégré, au contrôleur de carrefour 110, c’est-à-dire que tout ou partie des composants formant le module de sécurité sont agencés dans le boîtier dans lequel est agencé le contrôleur de carrefour. Par exemple, l’unité de mesure 133 peut être une unité de mesure déjà comprise dans le contrôleur de carrefour. La FIG. 6 est un schéma illustrant un troisième exemple d’un système de contrôle du trafic routier 300 selon la présente description, configuré pour contrôler le trafic routier d’un premier carrefour 10 A et d’au moins un deuxième carrefour (non représenté). Le premier carrefour 10 A est par exemple similaire au carrefour 10 de la FIG. 2 . Il est contrôlé par un contrôleur de carrefour 110 A . Un module de sécurité 130 A permet, comme décrit précédemment, de générer un signal d’incohérence en cas de différence entre l’état supposé d’au moins une unité optique transmis à un véhicule connecté 50 A se déplaçant dans le carrefour 10A et l’état réel de ladite au moins une unité optique. Dans l’exemple illustré sur la FIG. 6 , le système de contrôle du trafic routier 300 comprend en outre un organe centralisé de gestion de trafic 150, au moins une partie des premiers signaux de commande étant générés par l’organe centralisé de gestion de trafic 150 et transmis par liaison filaire audit premier contrôleur de carrefour 110 A . Comme illustré sur la FIG. 6 , l’organe centralisé de gestion de trafic 150 est configuré en outre pour générer des deuxièmes signaux de commande qui sont transmis par liaison filaire à un deuxième contrôleur de carrefour 110 B du deuxième carrefour. Dans des exemples de réalisation, seulement une partie des premiers signaux de commande et des deuxièmes signaux de commande sont générés par l’organe centralisé de gestion de trafic 150. Le premier contrôleur de carrefour 110 A est configuré pour générer les autres premiers signaux de commande en fonction des premiers signaux de commande reçus par l’organe centralisé de gestion de trafic 150 et le contrôleur de carrefour 110 B est configuré pour générer les autres deuxièmes signaux de commande en fonction des deuxièmes signaux de commande reçus par l’organe centralisé de gestion de trafic 150. Par exemple, l’organe centralisé de gestion de trafic est configuré pour transmettre au contrôleur de carrefour le signal de commande pour commander l’unité optique verte du feu. Les signaux de commande pour les autres unités optiques peuvent alors être générés par le contrôleur de carrefour. L’émetteur 120 est configuré dans cet exemple pour transmettre en outre, par liaison sans fil, des deuxièmes messages à des véhicules connectés se déplaçant dans le deuxième carrefour. Comme illustré sur la FIG. 6 , l’émetteur 120 reçoit les premiers signaux de commande et les deuxièmes signaux de commande de l’organe centralisé de gestion de trafic pour l’émission des premiers messages et des deuxièmes messages. Dans des exemples de réalisation, les premiers messages et les deuxièmes messages intègrent chacun des données de géolocalisation des feux de circulation, c’est-à-dire contiennent des informations relatives à leur position GPS. Ainsi, des véhicules connectés se déplaçant dans le premier carrefour 10 A pourront ne prendre en considération que les messages relatifs aux feux de carrefour du premier carrefour et des véhicules connectés se déplaçant dans le deuxième carrefour pourront ne prendre en considération que les messages relatifs aux feux de carrefour du deuxième carrefour. L’émetteur 120 est avantageusement un module de communication sans fil à longue portée. Il est configuré par exemple pour la transmission de messages par technologie cellulaire longue portée, par exemple 4G ou 5G. Comme précédemment, le module de sécurité 130 A permet d’identifier toute incohérence entre l’information du ou desdits feux transmise aux véhicules connectés et l’information visuelle correspondant à l’état réel du ou desdits feux. Une incohérence peut se produire notamment en cas de latence entre la transmission de l’information sur l’état des feux aux véhicules connectés au moyen de l’émetteur 120 et la transmission des signaux électriques pour contrôler l’état des feux. Une incohérence peut également se produire en cas d’intrusion dans les communications sans fil (e.g. cyberattaque) ou en cas de dégradation du signal ou d’intrusion entre l’émetteur de l’organe centralisé de gestion de trafic 120 et le contrôleur de carrefour 110 A . La FIG. 6 est un schéma illustrant un quatrième exemple d’un système de contrôle du trafic routier 400 selon la présente description, configuré pour contrôler le trafic routier d’un premier carrefour 10 A et d’au moins un deuxième carrefour (non représenté). Le système de contrôle du trafic routier 400 est sensiblement similaire au système de contrôle du trafic routier 300 illustré sur la FIG. 6 . Dans cet exemple cependant, le premier contrôleur de carrefour 110 A est configuré pour générer les premiers signaux de commande et le deuxième contrôleur de carrefour 110 B du deuxième carrefour (non représenté) est configuré pour générer les deuxièmes signaux de commande. L’organe centralisé de gestion de trafic 150 est configuré pour recevoir, par liaison filaire, les premiers signaux de commande générés par le premier contrôleur de carrefour et les deuxièmes signaux de commande générés par le deuxième contrôleur de carrefour. L’émetteur 120 reçoit alors les premiers signaux de commande et les deuxièmes signaux de commande de l’organe centralisé de gestion de carrefour 150 pour l’émission des premiers messages et des deuxièmes messages. Comme précédemment, le module de sécurité 130 A permet d’identifier toute incohérence entre l’information du ou desdits feux transmise aux véhicules connectés 50 A se déplaçant dans le premier carrefour et l’information visuelle correspondant à l’état réel du ou desdits feux. Une incohérence peut se produire notamment en cas de latence entre la transmission de l’information sur l’état des feux aux véhicules connectés au moyen de l’émetteur 120 et la transmission des signaux électriques pour contrôler l’état des feux. Une incohérence peut également se produire en cas d’intrusion dans les communications sans fil (e.g. cyberattaque) ou en cas de dégradation du signal ou d’intrusion entre l’émetteur de l’organe centralisé de gestion de trafic 120 et le contrôleur de carrefour 110 A . Dans les exemples des FIG. 6 et FIG. 6 , le premier module de sécurité 130 A peut être configuré pour transmettre au premier contrôleur de carrefour 110 A ledit signal d’incohérence si un signal d’incohérence est généré, et le premier contrôleur de carrefour peut être configuré pour transmettre le signal d’incohérence à l’organe centralisé de gestion de trafic 150, ledit organe centralisé de gestion de trafic étant configuré pour transmettre à son tour un signal d’alerte au premier contrôleur de carrefour, par exemple pour la bascule du carrefour dans un état sécuritaire. Bien que décrits à travers un certain nombre d’exemples de réalisation, le module de sécurité, le système et le procédé de contrôle du trafic routier selon la présente description comprennent différentes variantes, modifications et perfectionnements qui apparaîtront de façon évidente à l’homme de l’art, étant entendu que ces différentes variantes, modifications et perfectionnements font partie de la portée de l’invention telle que définie par les revendications qui suivent. Module de sécurité (130) pour système (100) de contrôle du trafic routier d’un carrefour (10) comprenant un ensemble de feux (20 A , 20 B , 20 C , 20 D ), le système de contrôle du trafic routier comprenant un contrôleur de carrefour (110) pour le contrôle des feux dudit carrefour, chaque feu (20 A ) comprenant une pluralité d’unités optiques (21 A , 22 A , 23 A ) configurés chacune pour émettre un signal optique de couleur différente, le contrôleur de carrefour étant configuré pour transmettre des signaux électriques aux dites unités optiques au moyen de lignes électriques de commande (30 A , 30 B , 30 C , 30 D ) pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande; le module de sécurité comprenant : - un récepteur (135) configuré pour recevoir, par liaison sans fil, un message transmis par un émetteur (120), ledit message étant transmis par ledit émetteur (120), par liaison sans fil, à un ou plusieurs véhicules connectés (50) se déplaçant dans le premier carrefour, et étant configuré pour informer le ou lesdits véhicules connectés (50) d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande ; - une unité de mesure (133) configurée pour déterminer simultanément à la réception dudit message, au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de ladite au moins une unité optique, un état réel de ladite au moins une unité optique; - une unité de traitement (137) configurée pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Module de sécurité selon la revendication 1, dans lequel : - ledit message est configuré pour informer le ou lesdits véhicules connectés (50) d’un état supposé de chaque unité optique d’une pluralité d’unités optiques d’au moins un feu, et - l’unité de mesure (133) est configurée pour déterminer simultanément, au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de chaque unité optique de ladite pluralité d’unités optiques, un état réel de chaque unité optique ; - l’unité de traitement (137) est configurée pour générer ledit signal d’incohérence en cas de différence entre l’état supposé et l’état réel d’au moins une unité optique de ladite pluralité d’unités optiques. Module de sécurité selon l’une quelconque des revendications précédentes, dans lequel l’unité de traitement (137) est configurée pour transmettre audit contrôleur de carrefour ledit signal d’incohérence afin de basculer le carrefour dans un état sécuritaire et/ou de stopper la transmission de messages par l’émetteur. Système (100) de contrôle du trafic routier d’au moins un premier carrefour (10) comprenant un ensemble de feux (20 A , 20 B , 20 C , 20 D ), le système comprenant : - au moins un premier contrôleur de carrefour (110, 110 A ) pour le contrôle des feux dudit premier carrefour, chaque feu (20 A ) comprenant une pluralité d’unités optiques (21 A , 22 A , 23 A ) configurés chacune pour émettre un signal optique de couleur différente, le premier contrôleur de carrefour étant configuré pour transmettre des signaux électriques aux dites unités optiques au moyen de lignes électriques de commande (30 A ) pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande; - un émetteur (120) configuré pour transmettre à un ou plusieurs véhicules connectés (50) se déplaçant dans le premier carrefour, par liaison sans fil, des premiers messages avec une périodicité donnée, chaque premier message étant configuré pour informer le ou lesdits véhicules connectés (50) d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande; - au moins un premier module de sécurité (130) selon l’une quelconque des revendications précédentes, configuré pour générer un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique. Système selon la revendication 4, dans lequel le premier contrôleur de carrefour (110) est configuré pour générer au moins une partie desdits premiers signaux de commande. Système selon l’une quelconque des revendications 4 ou 5, dans lequel le premier contrôleur de carrefour (110) est configuré pour transmettre audit émetteur (120), par liaison filaire, lesdits premiers signaux de commande pour la détermination de l’état supposé de ladite au moins une unité optique. Système selon l’une quelconque des revendications 4 à 6, comprenant en outre un organe centralisé de gestion de trafic (150) et dans lequel au moins une partie des premiers signaux de commande sont générés par l’organe centralisé de gestion de trafic (150) et transmis par liaison filaire audit premier contrôleur de carrefour. Système selon la revendication 7, dans lequel ledit organe centralisé de gestion de trafic est configuré pour transmettre audit émetteur (120), par liaison filaire, lesdits premiers signaux de commande pour la détermination de l’état supposé de ladite au moins une unité optique. Système selon l’une quelconque des revendications 7 ou 8, dans lequel ledit premier module de sécurité (130) est configuré pour transmettre audit premier contrôleur de carrefour ledit signal d’incohérence et ledit premier contrôleur de carrefour est configuré pour transmettre ledit signal d’incohérence audit organe centralisé de gestion de trafic (150), ledit organe centralisé de gestion de trafic étant configuré pour transmettre à son tour un signal d’alerte au premier contrôleur de carrefour afin de basculer le carrefour dans un état sécuritaire et/ou de stopper la transmission de messages par l’émetteur. Système selon l’une quelconque des revendications 7 à 9, dans lequel l’organe centralisé de gestion de trafic (150) est configuré pour générer des deuxièmes signaux de commande qui sont transmis par liaison filaire à un deuxième contrôleur de carrefour (110 B ) d’un deuxième carrefour. Système selon la revendication 10, dans lequel l’émetteur (120) est configuré pour transmettre en outre, par liaison sans fil, des deuxièmes messages avec une périodicité donnée, chaque deuxième message étant configuré pour informer un ou plusieurs véhicules connectés d’un état supposé d’au moins une unité optique d’au moins un feu du deuxième carrefour, l’état supposé étant déterminé par lesdits deuxièmes signaux de commande. Procédé de contrôle du trafic routier d’au moins un premier carrefour (10), ledit premier carrefour comprenant un ensemble de feux (20 A , 20 B , 20 C , 20 D ), chaque feu (20 A ) comprenant une pluralité d’unités optiques (21 A , 22 A , 23 A ) configurées chacune pour émettre un signal optique de couleur différente, le procédé comprenant : - la transmission, par un premier contrôleur de carrefour (110, 110 A ), de signaux électriques auxdites unités optiques au moyen de lignes électriques de commande (30 A , 30 B , 30 C , 30 D ) pour le contrôle des signaux optiques, lesdits signaux électriques résultant de signaux de commande; - la transmission à un ou plusieurs véhicules connectés (50) se déplaçant dans le premier carrefour, par liaison sans fil, au moyen d’un émetteur (120), des premiers messages avec une périodicité donnée, chaque premier message étant configuré pour informer le ou lesdits véhicules connectés (50) d’un état supposé d’au moins une unité optique d’au moins un feu, l’état supposé étant déterminé par lesdits signaux de commande; - la réception de chaque premier message par un premier module de sécurité (130) ; - simultanément à ladite réception dudit premier message, la détermination, par ledit premier module de sécurité et au moyen d’une mesure d’un signal en courant et/ou d’un signal en tension sur la ligne électrique de commande de ladite au moins une unité optique, d’un état réel de ladite au moins une unité optique; - la génération, par ledit premier module de sécurité d’un signal d’incohérence en cas de différence entre l’état supposé et l’état réel de ladite au moins une unité optique.