Procédé implémenté par ordinateur pour surveiller un modèle fonctionnel (100) pour fournir des données pour au moins une fonction d’une machine (10) commandée par ordinateur, notamment d’un algorithme de reconnaissance d’image, - le modèle (100) définissant au moins un résultat intermédiaire (Z_E1, Z_E2) en se fondant sur les données d’entrée (E) dans au moins une première étape de traitement (110, 120) et, - le modèle fonctionnel, en se fondant sur le résultat intermédiaire (Z_E1, Z_E2) détermine, dans au moins une autre étape de traitement (120), une sortie (A) du modèle fonctionnel (100) et, - le résultat intermédiaire (Z_E1, Z_E2) et la sortie (A) du modèle fonctionnel (100) sont fournis à un modèle de surveillance (1000) pour la reconnaissance d’anomalies et, en se fondant sur le résultat intermédiaire (Z_E1, Z_E2) et la sortie (A) du modèle fonctionnel (100) on effectue une reconnaissance d’anomalies et, - on effectue au moins une étape de validation d’une fonctionnalité du modèle fonctionnel (100) et/ou d’une fonctionnalité du modèle de surveillance (1000). Procédé selon la revendication 1, consistant à : - déterminer une sortie de référence (R_A) fondée sur une entrée de référence (R_E) avec le modèle fonctionnel (100) et, - vérifier la sortie de référence (R_A), notamment comparer la sortie de référence (R_A) à des données de vérité de terrain avec le modèle de surveillance (1000). Procédé selon la revendication 2, selon lequel - on détermine une sortie de référence (R_A) en se fondant sur une entrée de référence (R_E) avec le modèle fonctionnel (100) et on compare périodiquement la sortie de référence (R_A) aux données de vérité de terrain avec le modèle de surveillance (1000). Procédé selon l’une des revendications précédentes, selon lequel le procédé consiste à : - fournir une valeur de hachage (h) avec le modèle de surveillance (1000), - signer la valeur de hachage avec le modèle fonctionnel (100), - fournir une valeur de hachage signée (h’os) au modèle de surveillance (1000) et, - vérifier la valeur de hachage signée (h’os) notamment comparer la valeur de hachage (h) avec la valeur de hachage (h’) calculée à partir de la valeur de hachage signée (h’os), à l’aide du modèle de surveillance (1000). Procédé selon la revendication 4, selon lequel signer la valeur de hachage (h) consiste à : - ajouter une signature (s) à la valeur de hachage dans la première étape de travail (110) du modèle fonctionnel (100) et, - ajouter une autre signature (s) dans au moins une autre étape de traitement (120, 130) du modèle fonctionnel (100). Procédé selon l’une des revendications précédentes, selon lequel le procédé consiste à : - surveiller la communication entre une première instance qui applique le modèle fonctionnel (100) et une autre instance qui applique le modèle de surveillance (1000). Procédé selon l’une des revendications précédentes, selon lequel - en fonction d’un résultat de la reconnaissance d’anomalies et/ou en fonction d’un résultat de la surveillance de la communication, on applique au moins l’une des étapes suivantes consistant à : a) vérifier le résultat de la comparaison de la sortie de référence (R_A) aux données de vérité de terrain avec le modèle de surveillance (1000), b) vérifier le résultat de la comparaison de la valeur de hachage (h) avec la valeur de hachage (h’) calculée à partir de la valeur de hachage signée (h’os) avec le modèle de surveillance (1000), c) fournir un signal de commande pour commander la machine commandée par ordinateur, notamment au moins une partie de la machine commandée par ordinateur et/ou une fonction de la machine commandée par ordinateur, d) faire passer la machine commandée par ordinateur, notamment au moins une partie de la machine commandée par ordinateur et/ou une fonction de la machine commandée par ordinateur dans un état défini, e) faire passer la machine commandée par ordinateur, notamment une partie de la machine commandée par ordinateur et/ou la fonction de la machine commandée par ordinateur dans l’état défini en fonction d’un résultat de a) et/ou b). Système (400) de surveillance d’un modèle fonctionnel (100) pour fournir des données pour au moins une fonction (F) d’une machine commandée par ordinateur (10), notamment d’un algorithme de reconnaissance d’image, - le système (400) est conçu pour effectuer avec un modèle de surveillance (1000) les étapes d’un procédé selon l’une des revendications 1 à 7, - au moins les étapes du procédé qui sont exécutées avec le modèle de surveillance (1000) dans au moins une première instance (410) du système et le modèle fonctionnel (100) pour fournir des données pour au moins une fonction de la machine commandée par ordinateur, notamment de l’algorithme de reconnaissance d’images dans au moins une seconde instance (420) du système. Système (400) selon la revendication 8, selon lequel au moins la première instance (410) répond à un niveau d’intégrité de sécurité, par exemple, le niveau d’intégrité de sécurité automobile, niveau ASIL, selon ISO 26262. Système (400) selon l’une des revendications 8 ou 9, selon lequel la première et la seconde instances (410, 420) sont réalisées respectivement comme une instance d’un système sur une puce SoC commun, un système de fonctionnement associé à la première instance (410) étant exécuté sur un noyau de recherche distinct du système sur une puce SoC. Système (400, 500) selon l’une des revendications 8 à 10, selon lequel un hyperviseur virtualise un plan de circuit et la première instance est un premier domaine fourni par l’hyperviseur et la seconde instance est un autre domaine fourni par l’hyperviseur. Application du procédé selon les formes de réalisation et/ou du système selon les formes de réalisation, à une machine commandée par ordinateur, par exemple, un système E/E d’un véhicule automobile, notamment pour des fonctions de conduite autonome, de conduite partiellement autonome et/ou de fonction d’assistance de conduite, un robot, un appareil électroménager, un outil électrique, une machine de fabrication, un dispositif d’inspection optique automatique ou d’un système d’accès, le modèle fonctionnel fournissant, dans la machine commandée par ordinateur, en se fondant sur les données d’entrée, notamment des données d’images numériques, d’un capteur d’images, notamment d’un capteur vidéo, radar, lidar, d’ultrasons, de données d’images mobiles ou d’images thermiques, des données pour au moins une fonction de la machine commandée par ordinateur et, en se fondant sur les données, fournir au moins un signal de commande pour exécuter la fonction de la machine commandée par ordinateur, et - le modèle fonctionnel étant surveillé selon le procédé et/ou la machine commandée par ordinateur notamment une partie de la machine commandée par ordinateur et/ou - une fonction de la machine commandée par ordinateur étant mise dans un état défini.