La présente invention concerne les procédés de gestion des systèmes de direction assistée pour véhicules.

II est connu d'intégrer dans de tels systèmes de direction d'une part des fonctions d'assistance, qui sont destinées à assister un conducteur dans le pilotage du véhicule, soit en fournissant un effort d'assistance au pilotage manuel, soit en assurant un véritable pilotage automatique du véhicule par un asservissement de la trajectoire dudit véhicule (par exemple pour le stationnement automatique, dit « park assist », ou le maintien dans une voie de circulation, dit « lane keeping »), et d'autre part des fonctions de sécurisation, destinées à conférer au système, et plus particulièrement aux fonctions d'assistance, un niveau de sécurité et de fiabilité suffisant.

A cet effet, la norme de sécurité ISO-26262 propose de définir, à partir d'une analyse des risques, des niveaux de sécurité « ASIL » (« Automotive Safety Integrity Level »), notés, du plus faible au plus exigeant, « Q.M » (« Quality Management », c'est-à-dire non pertinent pour la sécurité), puis « A », « B », « C » et enfin « D », et qui sont déterminés en caractérisant chaque situation dangereuse (ou « événement redouté ») possible par trois paramètres :

- sa sévérité, c'est-à-dire le degré de gravité des blessures susceptibles d'être infligées à l'occupant du véhicule (de S0 pour l'absence de blessure à S3 pour une blessure critique ou mortelle) ; son exposition, c'est-à-dire la fréquence prévisible d'apparition de conditions de fonctionnement dans lesquelles une blessure est susceptible de se produire (depuis une probabilité quasi-nulle E0, ou très faible El, selon laquelle la blessure ne se produit que dans de rares conditions de fonctionnement, jusqu'à une probabilité élevée E4, dans laquelle il est quasiment certain qu'une blessure se produise dans la majorité des conditions de fonctionnement), et - sa contrôlabilité, c'est-à-dire la probabilité que le conducteur, ou le système, puisse agir (ou réagir) pour contrôler la situation et éviter la blessure (depuis une situation généralement contrôlable C0 à une situation difficilement contrôlable voire totalement incontrôlable C3). Le niveau ASIL dépend de la combinaison (du produit) de ces trois paramètres. Ainsi, à titre d'exemple, un événement dangereux causant des blessures critiques S3, à forte probabilité d'occurrence E4, et incontrôlable C3, relèvera du niveau ASIL D (le plus élevé).

En revanche, le même événement incontrôlable C3 et causant des blessures critiques S3, mais présentant une probabilité d'occurrence moindre, inférieure d'un ou plusieurs degré(s) au degré maximum, verra son niveau ASIL abaissé d'un ou plusieurs degrés en conséquence. Dans cet exemple, le niveau ASIL sera ainsi ramené à C dans le cas d'une exposition E3, voire à A dans le cas d'une exposition El.

En pratique, les fonctions d'assistance et les fonctions de sécurisation utilisent généralement, parmi leurs données d'entrée, une estimation de la vitesse longitudinale instantanée du véhicule.

Or, lors des phases dites « dynamiques » d'accélération longitudinale ou de décélération longitudinale (freinage) du véhicule, la vitesse peut parfois être temporairement surestimée ou sous-estimée.

Cela peut notamment être le cas lorsque la vitesse est estimée à partir de la vitesse moyenne mesurée de rotation des roues et que l'estimation peut donc être faussée si certaines roues se bloquent ou au contraire patinent et s'emballent lors de telles phases d'accélération brusque ou de freinage brusque.

A titre d'exemple, une forte pression sur l'accélérateur peut créer une perte d'adhérence des roues motrices, qui se mettent à patiner et sont donc sujettes à une augmentation importante de leur vitesse de rotation, sans pour autant que la vitesse réelle du véhicule n'augmente significativement. La vitesse réelle du véhicule sera alors bien inférieure à celle estimée à partir de la vitesse de rotation des roues.

A l'inverse, si des roues ralentissent fortement ou se bloquent en situation de freinage d'urgence et perdent de l'adhérence, alors le véhicule peut glisser sur la chaussée à une vitesse réelle bien supérieure à celle estimée à partir de la vitesse de rotation desdites roues.

Une surestimation de la vitesse du véhicule pourra certes être favorable aux fonctions de sécurisation, en permettant auxdites fonctions de sécurisation de contrôler le véhicule de façon plus stricte, et notamment d'opérer des corrections de braquage plus réactives, ou de restreindre l'amplitude des manœuvres de braquage, qui sont potentiellement plus dangereuses à grande vitesse qu'à basse vitesse.

En revanche, une surestimation de la vitesse pourra également avoir pour effet une réduction inopportune de l'assistance conventionnelle à la conduite, ou bien une restriction de l'effort de rappel qui est généré par l'assistance de direction pour rappeler le volant en position centrale après un virage (fonction dite de « rappel coin de rue »), alors même que le véhicule circule encore à basse vitesse réelle, typiquement en ville, et aurait donc l'utilité de telles fonctions d'assistance et de rappel volant. Il en résultera un inconfort pour le conducteur, qui ressentira une sorte de lourdeur dans le volant et le système de direction.

A l'inverse, une sous-estimation aléatoire de la vitesse du véhicule favorisera l'assistance à la manœuvre du volant, mais pourra être préjudiciable à la fiabilité et à la réactivité des fonctions de sécurisation, et pourra donc présenter un risque pour les occupants du véhicule.

Une solution pourrait consister à utiliser deux évaluations différentes de la vitesse du véhicule, d'origines distinctes, à savoir une première évaluation pour les fonctions d'assistance, et l'autre évaluation, éventuellement volontairement surestimée, pour les fonctions de sécurisation, afin de garantir à la fois le confort de l'assistance et la sécurisation des différentes fonctions du système de direction à des niveaux ASIL satisfaisants.

Toutefois, une telle solution nécessiterait des équipements redondants, notamment des capteurs et des unités de traitement, ce qui augmenterait le coût et l'encombrement du système de direction.

En outre, et surtout, le fait d'utiliser des signaux de vitesse distincts, sans corrélation l'un avec l'autre, peut notamment induire des comportements contradictoires, dits « interférences », des fonctions respectives d'assistance et de sécurisation, si une erreur de surestimation ou de sous-estimation affecte l'un des deux signaux de vitesse et pas le second.

Les objets assignés à l'invention visent par conséquent à remédier aux inconvénients susmentionnés et à proposer un nouveau procédé de gestion de système de direction assistée qui permette de gérer de manière simple et fiable l'information de vitesse instantanée et l'exécution conjointe des fonctions d'assistance et des fonctions de sécurisation qui dépendent de cette information de vitesse instantanée.

Les objets assignés à l'invention sont atteints au moyen d'un procédé de gestion d'un système de direction assistée pour véhicule, ledit système de direction assistée comportant une pluralité de fonctions incluant au moins une fonction d'assistance destinée à assister un conducteur dans le pilotage du véhicule et au moins une fonction de sécurisation destinée à conférer à ladite fonction d'assistance un niveau ASIL prédéterminé au sens de la norme ISO-26262, ladite fonction d'assistance et ladite fonction de sécurisation faisant chacune appel à un même paramètre indicateur de vitesse du véhicule qui est considéré comme représentatif de la vitesse longitudinale du véhicule, ledit procédé étant caractérisé en ce qu'il comprend une étape (a) d'estimation de vitesse fonctionnelle, au cours de laquelle on estime une première valeur de vitesse, dite « vitesse fonctionnelle », qui est représentative de la vitesse longitudinale réelle du véhicule à un instant considéré, et qui est utilisée par défaut en tant que paramètre indicateur de vitesse du véhicule, selon un premier mode de fonctionnement dit « mode de fonctionnement normal », une étape (b) d'estimation d'un majorant de vitesse, au cours de laquelle on estime une seconde valeur de vitesse, dite « majorant de vitesse », qui est supérieure à la vitesse fonctionnelle et représentative d'un majorant de la vitesse longitudinale réelle du véhicule audit instant considéré, une étape (c) de calcul d'une vitesse sous-estimée au cours de laquelle on applique au majorant de vitesse une loi de réduction prédéterminée de sorte à obtenir une valeur de vitesse sous-estimée, qui est inférieure au majorant de vitesse d'une valeur de réduction prédéterminée fixée par ladite loi de réduction, une étape (d) de comparaison au cours de laquelle on compare, en valeur absolue, la valeur de vitesse fonctionnelle à la valeur de vitesse sous-estimée, et, si la valeur absolue de la vitesse fonctionnelle est inférieure à la valeur absolue de la vitesse sous-estimée, une étape (e) de commutation au cours de laquelle on commute du mode de fonctionnement normal vers un second mode de fonctionnement dit « mode de sécurité », en substituant à la vitesse fonctionnelle la vitesse sous-estimée en tant que paramètre indicateur de vitesse du véhicule utilisé en entrée de chacune des fonctions d'assistance et de sécurisation.

Avantageusement, un tel procédé permet de favoriser l'utilisation, comme paramètre indicateur de la vitesse du véhicule, de la vitesse fonctionnelle, qui représente une estimation très proche de la vitesse réelle du véhicule en conditions normales, et ce afin d'optimiser le comportement de la ou des fonctions d'assistance, et donc afin d'optimiser le confort de conduite, mais à la condition que la valeur de la vitesse fonctionnelle reste acceptable pour garantir le bon fonctionnement des fonctions de sécurisation.

Dans le cas contraire, c'est-à-dire si le signal de vitesse fonctionnel descend sous un seuil acceptable, et devient ainsi incompatible avec le bon fonctionnement des fonctions de sécurisation, alors le procédé prévoit un signal de substitution, à savoir un signal de vitesse sous-estimée, qui est déterminé à partir d'un majorant de vitesse, par nature supérieur à la vitesse réelle du véhicule et donc favorable auxdites fonctions de sécurisation. En d'autres termes, le procédé permet de définir, et de recalculer en temps réel, à chaque instant, et quelle que soit la vitesse réelle du véhicule, un « tunnel de sécurité », qui est compris entre une valeur haute correspondant au majorant de vitesse et une valeur basse correspondant à la vitesse sous-estimée, et de s'assurer que le paramètre indicateur de vitesse du véhicule retenu pour l'application des fonctions d'assistance et de sécurisation se trouve en permanence dans ledit tunnel de sécurité, de manière à garantir un fonctionnement fiable des fonctions de sécurisation.

Ainsi, tant que le signal de vitesse fonctionnelle, qui donne généralement une estimation précise de la vitesse instantanée réelle du véhicule mais qui est difficile à sécuriser intrinsèquement en raison même de la complexité de l'opération d'estimation, reste à l'intérieur de ce tunnel de sécurité, ledit signal de vitesse fonctionnelle est utilisé comme paramètre indicateur de vitesse du véhicule, afin de favoriser la précision et le confort des fonctions d'assistance, sans pour autant nuire à la fiabilité des fonctions de sécurisation.

En revanche, si une erreur affecte ledit signal de vitesse fonctionnel de telle sorte que ledit signal de vitesse fonctionnelle sort (par le bas) du domaine admissible délimité par le tunnel de sécurité, alors ce signal de vitesse fonctionnel est remplacé par le signal sécurisé que constitue la vitesse sous-estimée, laquelle correspond à une limite basse admissible d'applicabilité des fonctions de sécurisation. De cette manière, on assure la continuité de service desdites fonctions de sécurisation.

Ainsi, le procédé selon l'invention permet de sélectionner automatiquement le signal indicateur de vitesse de véhicule qui est le plus approprié à la situation à l'instant considéré, tout en garantissant systématiquement le fonctionnement fiable des fonctions de sécurisation.

En outre, l'utilisation d'une seule et même information de vitesse sous- estimée comme paramètre indicateur de la vitesse de véhicule, c'est-à-dire d'un signal de vitesse unique, commun aux fonctions d'assistance et aux fonctions de sécurisation, permet avantageusement d'alléger la structure, tant matérielle que logicielle, du système de direction, et de réduire le coût dudit système.

D'autres objets, caractéristiques et avantages de l'invention apparaîtront plus en détails à la lecture de la description qui suit, ainsi qu'à l'aide des dessins annexés, fournis à titre purement illustratif et non limitatif, parmi lesquels :

La figure 1 illustre une loi de réduction conforme à l'invention. La figure 2 illustre, selon un schéma-bloc, le principe de fonctionnement d'un procédé selon l'invention au sein d'un système de direction assistée.

La figure 3 illustre, au moyen d'un graphique représentant une évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, une commutation instantanée du mode de fonctionnement normal au mode de sécurité.

La figure 4 illustre, au moyen d'un graphique représentant une évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, une commutation différée du mode de fonctionnement normal au mode de sécurité.

Les figures 5A et 5B illustrent, au moyen de graphiques représentant une évolution au cours du temps des différents signaux de vitesse utilisés par le procédé, la mise en œuvre d'une commutation du mode de sécurité vers un mode de sécurité renforcé, respectivement après une première commutation instantanée selon la figure 3 et après une première commutation différée selon la figure 4.

La présente invention concerne un procédé de gestion d'un système de direction assistée 1 pour véhicule.

Un tel système de direction assistée 1 comprend de préférence, de façon connue en soi, un volant de conduite, destiné à être manœuvré par le conducteur du véhicule, et qui commande, de préférence au moyen d'une colonne de direction pourvue d'un pignon, le déplacement d'un mécanisme de direction permettant de modifier l'orientation d'une ou plusieurs roues 2 directrices.

Ledit mécanisme de direction comprend de préférence une crémaillère, qui est montée mobile en translation dans un carter de direction fixé au châssis du véhicule, sur laquelle engrène le pignon, et aux extrémités de laquelle sont fixées des biellettes de direction qui permettent de modifier l'orientation en lacet, c'est-à-dire l'angle de braquage, de porte-fusées portant les roues 2.

Un moteur d'assistance, de préférence électrique, est également couplé au mécanisme de direction pour fournir un effort d'assistance, typiquement un couple d'assistance, qui facilite la manœuvre dudit mécanisme de direction et donc la modification de l'angle de braquage.

Le système de direction assistée 1 comporte par ailleurs une pluralité de fonctions Fl, F2, incluant au moins une fonction d'assistance Fl destinée à assister un conducteur dans le pilotage du véhicule et au moins une fonction de sécurisation F2 destinée à conférer à ladite fonction d'assistance un niveau ASIL prédéterminé au sens de la norme ISO-26262.

De préférence, la fonction d'assistance Fl est choisie parmi : une fonction d'assistance au pilotage manuel, destinée à fournir, au moyen du moteur d'assistance, un effort d'assistance pour faciliter le déplacement du mécanisme de direction et/ou du volant, ladite fonction d'assistance au pilotage manuel pouvant notamment être une fonction d'assistance conventionnelle, destinée à fournir un effort d'assistance permettant d'amplifier l'effort manuel fourni par le conducteur afin d'aider le conducteur à tourner le volant, ou bien encore une fonction de rappel destinée à rappeler le volant vers sa position centrale, qui correspond à une trajectoire en ligne droite, après un virage ;

une fonction de pilotage automatique, réalisant un asservissement automatique de la trajectoire du véhicule, telle qu'une fonction de maintien dans une voie de circulation (« lane keeping »), une fonction d'évitement automatique d'obstacle, ou une fonction de stationnement automatique (« park assist »).

La fonction de sécurisation F2, distincte de la fonction d'assistance Fl, pourra par exemple être conçue pour restreindre, lorsque la vitesse longitudinale du véhicule augmente et/ou dépasse un certain seuil, l'intensité de l'effort d'assistance déterminé par la fonction d'assistance Fl, et ce afin d'éviter que la fonction d'assistance Fl ne cause, notamment lorsque le véhicule circule à vitesse élevée (typiquement au-delà de 50 km/h, de 90 km/h ou de 120 km/h), des mouvements brusques de la direction qui seraient susceptibles de causer une embardée du véhicule à de telles vitesses.

De préférence, la fonction de sécurisation F2 garantit un niveau ASIL au moins égal à B, de préférence au moins égal à C, voire égal à D au sens de la norme ISO-26262.

Ainsi, on peut satisfaire aux exigences de plus en plus sévères imposées par l'entrée en vigueur de la norme ISO-26262 qui interdit désormais l'absence de sécurité ASIL, c'est-à-dire qui exclut le niveau « Quality Management » et impose un niveau ASIL supérieur.

La fonction d'assistance Fl et la fonction de sécurisation F2 font chacune appel à un même paramètre indicateur de vitesse du véhicule V_param qui est considéré comme représentatif de la vitesse longitudinale du véhicule, tel que cela est visible sur la figure 2.

En d'autres termes, chacune desdites fonctions Fl, F2 requiert, pour son exécution propre, la connaissance d'une information de vitesse, représentative de la vitesse longitudinale du véhicule, ladite information de vitesse étant ici fournie en entrée de chacune desdites fonctions Fl, F2 sous la forme d'un signal dit « paramètre indicateur de vitesse » V_param.

Selon l'invention, le procédé comprend donc une étape (a) d'estimation de vitesse fonctionnelle, au cours de laquelle on estime une première valeur de vitesse, dite « vitesse fonctionnelle » V_func, qui est représentative de la vitesse longitudinale réelle du véhicule à un instant considéré.

Cette vitesse fonctionnelle V_func est utilisée par défaut en tant que paramètre indicateur de vitesse du véhicule V_param, selon un premier mode de fonctionnement dit « mode de fonctionnement normal ».

En pratique, cette vitesse fonctionnelle V_func sera, en fonctionnement normal, c'est-à-dire en l'absence de patinage des roues et en l'absence de défaillance matérielle d'un capteur ou d'un calculateur chargé d'estimer ladite fonctionnelle V_func, égale à la vitesse réelle du véhicule à +/- 10%, voire à +/- 5%, c'est-à-dire possédera une très bonne précision.

Ce signal de vitesse fonctionnelle V_func sera donc idéal pour l'application des fonctions d'assistance Fl.

En revanche, le signal de vitesse fonctionnelle V_func pourra être relativement sensible aux perturbations ou aux défaillances qui affectent le véhicule ou le calcul dudit signal, si bien que son niveau ASIL (garanti) pourra être faible.

En particulier, cette vitesse fonctionnelle V_func pourra avoir tendance à être légèrement sous-estimée, ce qui n'est, dans certaines situations, pas acceptable pour les fonctions de sécurisation F2.

Selon une possibilité de mise en œuvre, l'information de vitesse fonctionnelle V_func peut provenir d'un système tiers, qui est embarqué sur le véhicule mais qui est distinct du système de direction assistée 1, tel que par exemple un programme électronique de stabilité (« Electronic Stability Program ») ou d'anti- blocage des freins (« AntiBlocking System »). La vitesse fonctionnelle V_func fera alors partie des informations disponibles sur le réseau de bord 20, de type CAN (« Controller Area Network ») ou FlexRay (bus informatique), et pourra être récupérée par le système de direction assistée 1 lors de l'étape (a).

Selon une autre possibilité de mise en œuvre, l'estimation de la vitesse fonctionnelle V_func pourra être réalisée par le système de direction assistée 1 lui- même, par exemple à partir de mesures de la vitesse de rotation V_roue d'une ou plusieurs roues 2 du véhicule, tel que cela est illustré sur la figure 2. Par exemple, on pourra considérer comme vitesse fonctionnelle V_func la moyenne de la vitesse de rotation de roues 2 du véhicule, typiquement la moyenne de vitesse de rotation de deux roues 2 ou de quatre roues 2, convertie en vitesse linéaire en tenant compte notamment du diamètre desdites roues (incluant les pneumatiques).

Plus particulièrement, on pourra éventuellement considérer la moyenne de la vitesse de rotation des roues non motrices dudit véhicule (lorsque le véhicule ne fonctionne pas avec une transmission intégrale), afin notamment de limiter les erreurs d'estimation liées à d'éventuelles pertes d'adhérence des roues motrices dues à l'accélération ou au freinage.

En variante, on pourrait bien entendu considérer la moyenne des vitesses de rotation de l'ensemble des roues, motrices et/ou non motrices, du véhicule.

Selon l'invention, le procédé comprend également une étape (b) d'estimation d'un majorant de vitesse, au cours de laquelle on estime une seconde valeur de vitesse, dite « majorant de vitesse » V_upper, qui est distincte de, et supérieure à, la vitesse fonctionnelle V_func et qui est représentative d'un majorant de la vitesse longitudinale réelle du véhicule audit instant considéré.

Ce majorant de vitesse V_upper représente une borne supérieure de vitesse, c'est-à-dire une valeur de vitesse longitudinale dont on sait qu'elle ne peut pas être inférieure à la valeur de la vitesse longitudinale réelle du véhicule à l'instant considéré.

En d'autres termes, on évalue le majorant de vitesse V_upper de telle sorte que l'on soit assuré, compte-tenu de la situation de vie du véhicule, que, matériellement, à l'instant considéré, la vitesse longitudinale réelle du véhicule est au plus égale, et potentiellement inférieure, audit majorant de vitesse V_upper estimé, si bien qu'il est donc impossible que le véhicule aille effectivement plus vite que cette valeur de majorant de vitesse V_upper.

A titre indicatif, le majorant de vitesse V_upper sera de préférence supérieur (en valeur absolue) à la vitesse longitudinale réelle du véhicule d'une valeur comprise entre 0 km/h et 30 km/h.

En outre, le signal de majorant de vitesse V_upper sera intrinsèquement « sécurisé », en ceci qu'il possédera un niveau ASIL supérieur à celui du signal de vitesse fonctionnelle V_func.

De même que l'information de vitesse fonctionnelle V_func, l'information de majorant de vitesse V_upper pourra être récupérée sur le réseau de bord 20, en provenance de systèmes embarqués tiers tels que l'ESP ou l'ABS, ou bien être déterminée par le système de direction assistée 1 lui-même.

A ce titre, on pourra par exemple évaluer le majorant de vitesse V_upper à partir de la vitesse de rotation V_roue maximale observée parmi l'ensemble de chacune des vitesses de rotation des roues 2 motrices du véhicule.

Ainsi, on privilégie une estimation « haute », voire une surestimation, de la vitesse instantanée réelle du véhicule, et ce afin de disposer d'un majorant de vitesse V_upper qui écartera tout risque d'utiliser comme paramètre indicateur de vitesse V_param une valeur par trop sous-estimée qui pourrait fausser l'exécution de la fonction de sécurisation F2.

On notera à ce titre que le fait de prendre en considération la vitesse de rotation V_roue maximale de la roue 2 qui tourne le plus vite, et de fonder l'estimation du majorant de vitesse V_upper sur ladite vitesse de rotation maximale de roue, permet de s'assurer que l'on détermine effectivement un tel majorant.

Le procédé comprend ensuite une étape (c) de calcul d'une vitesse sous- estimée au cours de laquelle on applique au majorant de vitesse V_upper une loi de réduction LR prédéterminée de sorte à obtenir une valeur de vitesse sous-estimée V_under, qui est inférieure au majorant de vitesse V_upper d'une valeur de réduction V_reduc prédéterminée fixée par ladite loi de réduction LR :

| V_under | = | V_upper | - | V_reduc | .

On notera que le concept de « réduction », ou de « sous-estimation » de la vitesse du véhicule consiste à amoindrir, en valeur absolue, le majorant de vitesse V_upper initialement estimé pour obtenir une vitesse sous-estimée V_under qui est, en valeur absolue, plus proche de zéro (plus proche d'une vitesse nulle) que ledit majorant de vitesse V_under.

Comme cela sera détaillé plus bas, et tel que cela est illustré sur les figures 3 et 4, la valeur de réduction V_under est choisie de telle sorte qu'elle définisse, par rapport au majorant de vitesse V_upper, la largeur d'un « tunnel de sécurité » ST, qui est compris entre une valeur haute correspondant au majorant de vitesse V_upper et une valeur basse correspondant à la vitesse sous-estimée V_under, et où ladite vitesse sous-estimée correspond à une valeur minimale admissible pour garantir le bon fonctionnement de la fonction de sécurisation F2.

La valeur de réduction (valeur de sous-estimation) V_réduc qui résulte de l'application de la loi de réduction LR est avantageusement suffisante pour permettre, voire favoriser, une exécution appropriée de la fonction d'assistance Fl, de sorte à ne pas être source d'inconfort pour le conducteur, mais néanmoins suffisamment faible pour ne pas trop réduire l'estimation de vitesse utilisée comme paramètre indicateur de la vitesse de véhicule V_param, et donc pour ne pas compromettre l'exécution fiable de la fonction de sécurisation F2, et donc garantir que ladite fonction de sécurisation F2 et le système de direction assistée 1 fonctionnent au niveau ASIL souhaité.

Ainsi, aussi longtemps que la valeur prise par le paramètre indicateur de vitesse du véhicule V_param retenu pour l'application des fonctions d'assistance Fl et de sécurisation F2 se trouvera à l'intérieur dudit tunnel de sécurité ST, on garantira un fonctionnement acceptable des deux types de fonctions, et en particulier un fonctionnement acceptable de la fonction de sécurisation F2.

Le procédé comprend ensuite une étape (d) de comparaison au cours de laquelle on compare, en valeur absolue, la valeur de vitesse fonctionnelle V_func à la valeur de vitesse sous-estimée V_under, et, si la valeur absolue de la vitesse fonctionnelle | V_func | est inférieure à la valeur absolue de la vitesse sous-estimée | V_under | , une étape (e) de commutation au cours de laquelle on commute du mode de fonctionnement normal vers un second mode de fonctionnement dit « mode de sécurité », en substituant à la vitesse fonctionnelle V_func la vitesse sous-estimée V_under en tant que paramètre indicateur de vitesse du véhicule V_param utilisé en entrée de chacune des fonctions d'assistance Fl et de sécurisation F2.

Cette commutation corrective permet d'affecter sélectivement au paramètre indicateur de vitesse du véhicule V_param tantôt la valeur de vitesse fonctionnelle V_func, tant que ladite valeur de vitesse fonctionnelle est, en valeur absolue, supérieure ou égale à la vitesse sous-estimée V_under, c'est-à-dire tant que ladite valeur de vitesse fonctionnelle reste dans le tunnel de sécurité ST acceptable pour la fonction de sécurisation F2, et tantôt la valeur de vitesse sous-estimée, c'est-à- dire la limite basse acceptable du tunnel de sécurité ST, lorsque la valeur de la vitesse fonctionnelle chute sous ladite limite basse acceptable V_under.

Ainsi, le paramètre indicateur de vitesse du véhicule V_param est maintenu en permanence (ou en quasi-permanence) au-dessus de la limite inférieure basse V_under du tunnel de sécurité, ce qui garantit le bon fonctionnement de la fonction de sécurisation F2.

En outre, la commutation intervient uniquement lorsque la vitesse fonctionnelle V_func est trop basse et franchit la limite inférieure fixée par la vitesse sous-estimée V_under, c'est-à-dire uniquement en cas d'erreur d'estimation ou de défaillance, de sorte à privilégier, en l'absence d'erreur ou de défaillance, le signal de vitesse fonctionnelle V_func qui est donne une estimation plus précise et plus réaliste de la vitesse longitudinale réelle du véhicule que le majorant de vitesse V_upper et/ou que la vitesse sous-estimée V_under, et ce de manière à favoriser, en fonctionnement normal, la fiabilité et le confort de la fonction d'assistance Fl.

Par défaut, c'est-à-dire tant que la vitesse fonctionnelle V_func se trouve dans le tunnel de sécurité ST, ou respectivement lorsque la vitesse fonctionnelle V_func revient dans le tunnel de sécurité ST, on reste, respectivement on rebascule, dans le mode de fonctionnement normal.

Bien entendu, le procédé comprend également une étape d'utilisation partagée au cours de laquelle on utilise le même paramètre indicateur de la vitesse du véhicule V_param, égal soit à la vitesse fonctionnelle V_func, soit à la valeur de vitesse sous-estimée V_under, comme entrée de chacune des fonctions d'assistance Fl et de sécurisation F2 susmentionnées.

La loi de réduction LR est de préférence établie préalablement, par des essais et/ou des simulations au cours desquels, à une vitesse longitudinale réelle donnée, non nulle, du véhicule, on abaisse progressivement, et artificiellement, en valeur absolue, le paramètre indicateur de vitesse du véhicule V_param qui est pris en considération par les fonctions d'assistance Fl et de sécurisation F2, et l'on observe les réactions correspondantes de la fonction de sécurisation F2 et/ou du véhicule, jusqu'à identifier un seuil bas de paramètre indicateur de vitesse V_param_thresh_low à partir duquel on constate que la fonction de sécurisation F2 ne parvient plus à assurer une sécurité conforme au niveau ASIL souhaité à la vitesse longitudinale réelle donnée, puis l'on fixe, à partir de ce seuil bas de paramètre indicateur de vitesse V_param_thresh_low, une valeur de réduction V_reduc retenue pour la loi de réduction LR.

Plus particulièrement, on pourra déterminer la valeur de réduction

V_reduc à partir de la différence, dite « valeur de réduction maximale admissible » V_reduc_max, entre d'une part la vitesse fonctionnelle V_func, ou plus préférentiellement le majorant de vitesse V_upper, au moment où l'on atteint le seuil bas de paramètre indicateur de vitesse V_param_thresh_low, et d'autre part ledit seuil bas de paramètre indicateur de vitesse V_param_thresh_low, c'est-à-dire :

V_reduc = f(V_reduc_max)

avec I V_reduc_max | = | V_func | - | V_param_thresh_low | ou, éventuellement,

avec I V_reduc_max | = | V_upper | - | V_param_thresh_low | On notera que, en pratique, on peut réaliser les essais destinés à déterminer la loi de réduction LR dans des conditions stabilisées, dans lesquelles il est possible d'accorder confiance à la valeur de vitesse fonctionnelle V_func. On peut donc sereinement utiliser la première formule ci-dessus :

I V_reduc_max | = | V_func | - | V_param_thresh_low |

Ceci étant, dans des conditions stabilisées, la valeur de vitesse fonctionnelle V_func est généralement très proche du majorant de vitesse V_upper, si bien que les deux méthodes (correspondant à chacune des deux formules précisées ci- dessus) donnent, en première approximation, des résultats sensiblement identiques.

On pourra ensuite choisir

V_reduc = V_reduc_max,

ou, de préférence, afin de conserver une marge de sécurité supplémentaire, définir la valeur de réduction V_reduc comme une fraction de la valeur de réduction maximale admissible V_reduc_max, par exemple :

0,70* I V_reduc_max |≤ | V_reduc |≤ | V_reduc_max | .

ladite fraction étant de façon encore plus préférentielle comprise (en valeur absolue) entre 70 % et 90 % de la valeur de réduction maximale admissible V_reduc_max :

0,70* | V_reduc_max |≤ | V_reduc |≤ 0,90* | V_reduc_max | . En d'autres termes, on construit empiriquement la loi de réduction LR en faisant fonctionner le système de direction assistée 1, et plus globalement le véhicule, à une vitesse réelle donnée, et donc à un majorant de vitesse V_upper donné, et en testant successivement plusieurs valeurs décroissantes du paramètre indicateur de vitesse V_param (en valeur absolue), c'est-à-dire en faussant intentionnellement le paramètre indicateur de vitesse V_param, afin de simuler des défauts croissants dans l'estimation de la vitesse fonctionnelle V_func qui, en l'absence de commutation corrective propre à l'invention, induiraient une sous-estimation de plus en plus importante de ladite vitesse fonctionnelle V_func et donc du paramètre indicateur V_param, jusqu'à parvenir à un seuil bas de paramètre indicateur de vitesse V_param_thresh_low qui provoque une défaillance de la fonction de sécurisation F2, par exemple en rendant la fonction de sécurisation inopérante ou incapable de compenser à temps un événement dangereux (événement redouté).

Ainsi, pour chaque vitesse longitudinale réelle, et donc pour chaque majorant de vitesse V_upper correspondant, on identifie une valeur de réduction maximale admissible V_reduc_max à partir de laquelle, si ladite valeur de réduction maximale admissible V_reduc_max est déduite dudit majorant de vitesse V_upper, pour calculer le paramètre indicateur de vitesse V_param utilisé par la fonction de sécurisation F2, le défaut induit dégrade suffisamment la performance de la fonction de sécurisation F2 pour que ladite fonction se trouve « rétrogradée » à un niveau ASIL inférieur au niveau ASIL requis par le cahier des charges.

Le seuil bas de paramètre indicateur de vitesse V_param_thresh_low, c'est-à-dire la limite de sous-estimation qui provoque la défaillance de la fonction de sécurisation F2, correspond donc empiriquement à la valeur de réduction maximale acceptable qu'il convient de ne pas outrepasser (en valeur absolue), à un majorant de vitesse V_upper donné, et donc en pratique lorsque l'on se trouve à une vitesse réelle donnée, pour conserver une sécurisation fiable au niveau ASIL souhaité.

Le test est répété pour plusieurs valeurs (croissantes) de vitesse longitudinale réelle du véhicule, et donc pour plusieurs valeurs de majorant de vitesse V_upper (respectivement pour plusieurs valeurs de vitesse fonctionnelle V_func), de manière à couvrir de préférence toute la plage d'utilisation prévisible du véhicule, typiquement de 0 km/h à au moins 130 km/h, 150 km/h, 200 km/h voire 250 km/h.

L'ensemble de la série de données qui associe à chaque valeur de vitesse réelle, ou, plus préférentiellement, à chaque valeur de majorant de vitesse V_upper, dans la plage de vitesses susmentionnée (ici de 0 km/h à 250 km/h sur la figure 1), une valeur de réduction V_reduc (maximale acceptable), et donc un minimum acceptable (valeur la plus basse acceptable, en valeur absolue) de vitesse sous-estimée V_under, forme la loi de réduction LR.

Le paramètre indicateur de vitesse V_param pourra donc prendre, sans risque pour la fonction de sécurisation F2, toute valeur qui sera comprise dans la plage définie entre d'une part une valeur limite haute égale au majorant de vitesse V_upper, et d'autre part, et surtout, une valeur limite basse égale à la vitesse sous-estimée V_under, c'est-à-dire égale au majorant de vitesse V_upper (considéré à l'instant considéré) diminué de la valeur de réduction V_reduc applicable à l'instant considéré.

Dans l'absolu, on pourrait envisager, selon un mode de réalisation, d'utiliser une même valeur de réduction V_reduc constante quelle que soit la vitesse réelle instantané, et donc quelle que soit la valeur du majorant de vitesse V_upper.

On pourra notamment utiliser une telle valeur de réduction V_reduc constante en rattrapage (« retrofit ») au sein de systèmes de direction assistée 1 d'ancienne génération, dont les fonctions de sécurisation F2 sont relativement peu sensibles à la sous-estimation de vitesse.

A titre d'exemple, ladite valeur de réduction V_reduc constante pourra être alors égale à une valeur constante choisie dans la plage comprise entre 30 km/h et 40 km/h. Toutefois, selon un autre mode de réalisation particulièrement préférentiel, la loi de réduction LR ajuste la valeur de réduction V_reduc en fonction du majorant de vitesse V_upper estimé.

Avantageusement, le fait de modifier la valeur de réduction V_reduc en fonction de la vitesse permet une utilisation particulièrement fine du principe de sous- estimation selon l'invention, qui permet notamment d'appliquer le procédé à des fonctions de sécurisation F2 de nouvelle génération, qui sont plus performantes mais plus exigeantes, car plus sensibles aux défauts de sous-estimation de vitesse que les fonctions de sécurisation de précédente génération.

La sécurité du véhicule et de ses occupants s'en trouve donc améliorée.

De façon encore plus préférentielle, la loi de réduction LR est globalement une fonction croissante, de sorte à augmenter, en valeur absolue, la valeur de réduction V_reduc lorsque lorsque le majorant de vitesse V_upper augmente en valeur absolue, tel que cela est illustré sur la figure 1.

Ainsi, on peut sous-estimer davantage la vitesse du véhicule lorsque le véhicule roule à des vitesses élevées que lorsque le véhicule roule à faible vitesse, ou, autrement formulé, on peut appliquer à faible vitesse une sous-estimation (valeur de réduction V_reduc) qui est moindre que la sous-estimation appliquée à haute vitesse.

On notera que la forme d'évolution de la valeur de réduction V_reduc proposée sur la figure 1 n'est qu'une variante parmi d'autres, ladite évolution étant principalement définie en fonction du comportement de la ou des fonctions de sécurisation F2 concernées.

Dans l'exemple de la figure 1, les fonctions de sécurisation F2 peuvent se comporter très différemment entre une situation de parking (ou une situation de très basse vitesse, typiquement inférieure à 10 km/h voire à 5 km/h), dans laquelle lesdites fonctions de sécurisation F2 sont relativement « lâches » et peu contraignantes, et une situation de début de roulage (typiquement entre 5 km/ et 30 km/h), dans laquelle lesdites fonctions de sécurisation F2 deviennent plus contraignantes et donc plus sensibles aux variations du paramètre indicateur de vitesse V_param.

Pour éviter de gros écarts de comportement desdites fonctions de sécurisation F2 à basse vitesse, on fait donc décroître la valeur de réduction V_reduc admissible lorsque la vitesse du véhicule s'approche de zéro.

Ensuite, typiquement entre 30 km/h et 160 km/h, le comportement des fonctions de sécurisation F2 évolue de préférence de manière plus progressive, ce qui explique que l'on puisse prévoir une valeur de réduction V_reduc quasiment constante. Pour les vitesses très élevées (au-delà de 160 km/h, voire au-delà de 200 km/h), le comportement, et notamment les seuils de déclenchement, des fonctions de sécurisation F2 n'évoluent de préférence quasiment plus, ce qui explique que l'on puisse tolérer une sous-estimation assez importante de la vitesse, et donc des valeurs de réduction V_reduc, relativement élevées.

De la sorte, la sous-estimation éventuelle du paramètre indicateur de vitesse V_param ne fausse pas la perception, par le système de direction assistée 1, de la vitesse réelle du véhicule, et l'on conserve donc une exécution des fonctions, tant de la fonction d'assistance Fl que de la fonction de sécurisation F2, parfaitement adaptée à la vitesse réelle du véhicule.

Avantageusement, la valeur de réduction V_reduc sera choisie de sorte d'une part à ménager la sensibilité des fonctions de sécurisation F2, afin d'éviter un comportement erratique de ces dernières, mais également, d'autre part, de sorte à, lorsque le paramètre indicateur de vitesse du véhicule V_param commute à la valeur sous-estimée V_under alors que le véhicule circule à basse vitesse, ne pas désactiver ou ne pas restreindre trop tôt certaines fonctions d'assistance Fl qui sont particulièrement utiles lorsque le véhicule circule à basse vitesse en agglomération, et notamment lorsque le véhicule emprunte des voies de circulation présentant des intersections et des virages serrés (de type « coins de rue »).

Plus particulièrement, on peut ainsi conserver, par exemple, malgré le passage en mode sécurisé, une fonction d'assistance au rappel au centre du volant qui reste effectivement active sur toute la plage de vitesse réelle concernée, ici de préférence comprise entre 0 km/h et 50 km/h, et par conséquent qui reste active aussi longtemps que le véhicule circule en ville et nécessite des manœuvres amples du volant pour tourner aux coins de rues.

Selon un exemple de mise en œuvre, purement indicatif et non limitatif, la loi de réduction LR pourra comprendre plusieurs domaines, tel que cela est illustré sur la figure 1 :

un premier domaine Dl de basse vitesse, compris entre 0 km/h et une limite VI de basse vitesse comprise entre 20 km/h et 50 km/h, et de préférence égale à 30 km/h, ce domaine Dl correspondant ainsi aux situations d'accès au stationnement et de circulation en ville. Dans ledit premier domaine Dl, la loi de réduction LR sera de préférence continûment croissante, de sorte à augmenter progressivement la valeur de réduction V_reduc applicable avec le majorant de vitesse V_upper ; la valeur de réduction V_reduc applicable pourra y être typiquement comprise entre 0 km/h et 8 km/h à 10 km/h (valeur atteinte à la limite de vitesse VI) ;

un second domaine D2 de moyenne vitesse, compris entre la limite de basse vitesse VI susmentionnée (30 km/h sur la figure 1) et une limite de haute vitesse V2 comprise de préférence entre 130 km/h et

180 km/h, et par exemple égale à 160 km/h sur la figure 1, ledit second domaine D2 correspondant ainsi typiquement à la circulation hors agglomération et sur autoroute. Dans ce second domaine D2, la valeur de réduction V_reduc suivra une évolution sensiblement en plateau, et sera donc de préférence constante, voire légèrement croissante, et par exemple comprise entre 8 km/h à 10 km/h et 15 km/h, voire égale à 10 km/h ;

un troisième domaine D3 de haute vitesse, compris entre la limite de haute vitesse V2 susmentionnée (160 km/h sur la figure 1) et une limite de très haute vitesse V3 comprise de préférence entre 180 km/h et 250 km/h, et par exemple égale à 200 km/h sur la figure 1, troisième domaine D3 dans lequel la valeur de réduction V_reduc augmente continûment avec le majorant de vitesse V_upper, selon une fonction de préférence plus fortement croissante que dans le premier domaine Dl, pour atteindre une valeur comprise entre 20 km/h ou 25 km/h et 40 km/h, et par exemple égale ici à 30 km/h ; éventuellement un quatrième domaine D4 de très haute vitesse, compris entre la limite de très haute vitesse V3 susmentionnée (200 km/h sur la figure 1) et la vitesse maximale V4 du véhicule (par exemple 240 km/h ou 250 km/h), dans lequel la sous-estimation sera de préférence constante, ou faiblement croissante, par exemple ici égale à 30 km/h.

La loi de réduction LR pourra bien entendu adopter une forme très différente en fonction de la nature des fonctions de sécurisation F2 concernées.

De préférence, la loi de réduction LR est stockée dans une mémoire non volatile sous forme d'un abaque prédéterminé qui, comme cela est illustré sur la figure 1, associe à chaque valeur de majorant de vitesse V_upper une valeur de réduction V_reduc que l'on retranche ensuite au majorant de vitesse V_upper pour obtenir la vitesse sous-estimée V_under comme cela est illustré sur la figure 2.

Selon une variante équivalente dans sa finalité, la loi de réduction LR peut être stockée dans une mémoire non volatile sous forme d'un abaque qui associe directement à chaque valeur de majorant de vitesse V_upper une valeur de vitesse sous-estimée V_under qui prend (implicitement) en considération la valeur de réduction V_reduc applicable au majorant de vitesse V_upper considéré.

De préférence, lors de l'étape (b) d'estimation d'un majorant de vitesse, à un instant t_n considéré correspondant à une itération n en cours, on évalue le majorant de vitesse V_upper(t_n) à partir d'au moins une mesure de vitesse d'entrée V_roue, telle qu'une mesure de vitesse de rotation V_roue d'une roue 2 du véhicule, et plus préférentiellement à partir de la vitesse de rotation maximale relevée parmi les vitesses de plusieurs roues voire de l'ensemble des roues du véhicule, puis, selon une caractéristique préférentielle qui peut constituer une invention à part entière, l'on compare ledit majorant de vitesse V_upper(t_n) au majorant de vitesse V_upper(t_n-1) qui a été évaluée lors de l'itération précédente n-1 (à un instant t_n- 1), afin d'évaluer la variation correspondante du majorant de vitesse V_upper par unité de temps, ou, respectivement, on compare la mesure de vitesse d'entrée de l'itération en cours V_roue(t_n) à la mesure de vitesse d'entrée de l'itération précédente V_roue(t_n-l) afin d'évaluer la variation correspondante de mesure de vitesse d'entrée par unité de temps, ladite variation de majorant de vitesse V_upper par unité de temps, respectivement ladite variation de mesure de vitesse d'entrée par unité de temps, étant dite « gradient de vitesse observé » noté Grad(V).

Ensuite, l'on compare ledit gradient de vitesse observé Grad(V) à un premier gradient de référence dit premier « gradient maximal plausible » Grad_ref_l, prédéterminé au préalable par des essais d'accélération et de freinage du véhicule, et, si le gradient de vitesse observé Grad(V) est, en valeur absolue, supérieur audit premier gradient maximal plausible Grad_ref_l, l'on corrige le majorant de vitesse de l'itération en cours V_upper(t_n) par écrêtage, en appliquant au majorant de vitesse de l'itération précédente V_upper(t_n-1), ou respectivement à la mesure de vitesse d'entrée de l'itération précédente V_roue(t_n-l), le premier gradient maximal plausible Grad_ref_l en lieu et place du gradient de vitesse observé Grad(V).

En d'autres termes :

On calcule la variation de vitesse instantanée par unité de temps :

Grad(V) = [V_upper(t_n) - V_ upper(t_n-l)] / [(t_n)- (t_n-l)] ou, de manière équivalente, la variation de vitesse d'entrée par unité de temps :

Grad(V) = [V_roue(t_n) - V_roue(t_n-l)] / [(t_n)- (t_n-l)]

On compare ensuite Grad(V) à Grad_ref_l. Concrètement, le gradient maximal plausible Grad_ref_l représente l'accélération maximale, ou respectivement la décélération maximale, que le véhicule peut réaliser matériellement, compte-tenu notamment de la puissance du moteur chargé de mouvoir le véhicule, de l'efficacité du circuit de freinage, et de l'adhérence des pneumatiques.

Ces capacités d'accélération maximale, respectivement de décélération maximale, sont déterminées empiriquement par des essais d'accélération et des essais de décélération (par exemple de freinage d'urgence) menés sur le véhicule, au cours desquels on amène le véhicule à ses limites d'adhérence en situation d'accélération/décélération.

Le cas échéant, des essais menés sur un véhicule permettent d'établir un gradient maximal plausible général, qui sera applicable à tous les véhicules de même modèle possédant une même configuration.

Si, en valeur absolue, le gradient de vitesse observé Grad(V) est supérieur au gradient maximal de vitesse plausible, c'est-à-dire

si | Grad(V) | > | Grad_ref_l | ,

cela signifie que la variation mesurée de la vitesse du véhicule, c'est-à- dire l'accélération mesurée, ou respectivement la décélération mesurée, du véhicule, représentée par Grad(V), est supérieure à l'accélération maximale, respectivement au freinage maximal, que le véhicule peut matériellement fournir, ce qui est bien entendu impossible.

On en conclut donc que l'estimation du majorant de vitesse V_upper est erronée, en l'occurrence surévaluée dans le cas d'une accélération, sous-évaluée dans le cas d'un freinage. Cette situation d'erreur peut notamment se produire lorsqu'une roue perd de l'adhérence et, selon le cas, soit accélère fortement en patinant sur la chaussée, soit freine jusqu'à se bloquer et à glisser sur la chaussée.

En pareille situation, on décide alors de substituer le gradient maximal plausible Grad_ref_l au gradient observé Grad(V), de manière à remplacer le majorant de vitesse V_upper (t_n) erroné, estimé lors de l'itération en cours n, par un majorant de vitesse V_upper calculé plus plausible, c'est-à-dire qui correspond de façon plus réaliste aux performances réelles possibles du véhicule, et qui est obtenu en ajoutant à la précédente valeur de majorant de vitesse V_upper(t_n-1), mesuré lors de l'itération précédente n-1 et jugé fiable, le gradient maximal plausible Grad_ref_l multiplié par la durée écoulée entre les deux itérations :

V_upper(t_n) = V_upper(t_n-1) + Grad_ref_l*[(t_n) - (t_n-l)] En d'autres termes, si le majorant de vitesse V_upper estimé (ou recueilli via le réseau de bord CAN) lors de l'itération t_n en cours n'est pas réaliste, car incompatible avec les performances du véhicule, on considère arbitrairement que la vitesse instantanée, et donc le majorant de vitesse V_upper, n'a pu varier, par rapport à la vitesse instantanée, respectivement par rapport au majorant de vitesse V_upper, évalué(e) lors de l'itération précédente, au plus que d'une valeur égale à celle définie par la capacité maximale d'accélération, ou respectivement par la capacité maximale de décélération, du véhicule.

Ainsi, on s'assure que le majorant de vitesse V_upper considéré pour appliquer le procédé, et plus particulièrement pour mettre en œuvre les étapes (c) de calcul de vitesse sous-estimée V_under, et (d) de comparaison puis, s'il y a lieu, (e) de commutation, reste toujours cohérent avec les capacités matérielles du véhicule, soit en utilisant directement l'estimation dudit majorant de vitesse V_upper, si ladite estimation est conforme à la limite de variation posée par le gradient maximal possible Grad_ref_l, soit, si tel n'est pas le cas, en recalculant ledit majorant de vitesse V_upper dans la limite de variation posée par le gradient maximal plausible Grad_ref_l, pour rendre ledit majorant de vitesse V_upper conforme à ladite limite, et donc cohérent avec les capacités effectives du véhicule.

En pratique, l'écrêtage revient à appliquer un (premier) limiteur de gradient 3, dont la valeur de saturation SAT+, SAT- correspond au gradient maximal plausible Grad_ref_l.

Un tel limiteur de gradient 3 laissera passer telle quelle toute variation de majorant de vitesse V_upper qui est inférieure ou égale au gradient maximal plausible Grad_ref_l, c'est-à-dire qui est comprise entre une valeur nulle et la valeur de saturation SAT+, SAT- (valeur d'écrêtage) définie par ledit gradient maximal plausible, et qui est donc conforme aux capacités d'accélération/décélération effectives du véhicule.

En revanche, ce limiteur de gradient 3 limitera automatiquement toute variation de majorant de vitesse V_upper qui dépasse ledit gradient maximal plausible Grad_ref_l, c'est-à-dire qui dépasse, en valeur absolue, la valeur absolue de la valeur de saturation SAT+, SAT- correspondante, en ramenant (saturant) alors ladite variation de majorant de vitesse à ladite valeur de gradient maximal plausible, c'est-à- dire à la valeur de saturation SAT+, SAT-.

On notera que, avantageusement, le limiteur de gradient 3 peut comporter une valeur de saturation en accélération SAT+ qui est distincte, en valeur absolue, de la valeur de saturation en décélération (freinage) SAT-, c'est-à-dire opérer une saturation qui n'est pas symétrique selon que l'on se trouve en situation d'accélération (variation de vitesse, et donc variation de majorant de vitesse, positive) ou de décélération (variation de vitesse, et donc variation de majorant de vitesse, négative).

Une telle différenciation permettra notamment de tenir compte du fait que, matériellement, un véhicule peut généralement décélérer, notamment en situation de freinage d'urgence, avec plus d'intensité qu'il ne peut accélérer.

De préférence, le (premier) gradient maximal plausible Grad_ref_l, et donc le limiteur de gradient 3, pourra ainsi fixer une valeur de saturation en accélération SAT+ inférieure, en valeur absolue, à la valeur de saturation en décélération SAT- , c'est-à-dire telle que | SAT+ | < | SAT- | .

A titre d'exemple, on pourra définir une valeur de saturation en accélération de l'ordre de +10 km/h /seconde, et une valeur de saturation en décélération SAT- de l'ordre de -36 km/h /seconde.

Les signes positif et négatif correspondent ici, par convention, à une accélération et respectivement à une décélération.

Avantageusement, cette saturation du gradient de vitesse opérée par le limiteur de gradient 3 permet d'éviter de commettre une erreur grossière d'estimation de majorant de vitesse V_upper lorsque la méthode d'estimation de la vitesse longitudinale du véhicule, et plus particulièrement la méthode d'estimation du majorant de vitesse, est défaillante ou inapplicable, comme cela est le cas par exemple lors de l'emballement ou du blocage d'une roue 2 suite à une perte d'adhérence.

On notera également que la saturation opérée par le premier limiteur de gradient 3 peut intervenir indifféremment, de manière équivalente, soit en amont, à la source, c'est-à-dire sur les signaux de mesure de vitesse d'entrée (ici les signaux représentatifs des vitesses de rotation respectives des roues) V_roue, soit en aval, sur le résultat de l'estimation de majorant de vitesse « brut » V_upper_basic qui provient du calcul de vitesse effectué à partir de ces signaux de mesure de vitesse d'entrée V_roue, tel que cela est illustré sur la figure 2.

En variante, la saturation opérée par le premier limiteur de gradient 3 peut intervenir en aval sur une estimation du majorant de vitesse V_upper qui provient de la récupération d'un signal de vitesse instantané mis à disposition du réseau de bord 20.

Selon une possibilité de mise en œuvre de l'invention, l'étape (e) de commutation peut opérer une commutation immédiate du mode de fonctionnement normal au mode de sécurité, en faisant passer immédiatement le paramètre indicateur de vitesse V_param de la vitesse fonctionnelle V_func à la vitesse sous- estimée V_under, aussitôt que l'on détecte que, en valeur absolue, la vitesse fonctionnelle V_func devient inférieure à la vitesse sous-estimée V_under.

Graphiquement, cela revient à procéder à la commutation au point d'intersection des courbes respectives de la vitesse fonctionnelle V_func et de la vitesse sous-estimée V_under, tel que cela est illustré sur les figures 3 et 5A.

Une telle commutation instantanée permet avantageusement de toujours respecter la limite acceptable pour les fonctions de sécurisation F2, car le paramètre indicateur V_param qui en résulte n'est jamais inférieur à la vitesse sous- estimée V_under, et ce tout en restant malgré tout proche de la vitesse fonctionnelle V_func, favorable aux fonctions d'assistance Fl, dans la limite de sécurité acceptable.

Cette solution de commutation immédiate peut donc représenter un bon compromis pour les fonctions d'assistance Fl et de sécurisation F2.

Selon une autre possibilité de mise en œuvre, illustrée sur les figures 4 et

5B, l'étape (e) de commutation peut opérer une commutation différée du mode de fonctionnement normal au mode de sécurité, en faisant passer le paramètre indicateur de vitesse V_param de la vitesse fonctionnelle V_func à la vitesse sous- estimée V_under seulement si, en valeur absolue, la vitesse fonctionnelle V_func reste (en continu) inférieure à la vitesse sous-estimée V_under pendant une durée non nulle, dite « durée de défaut », qui atteint ou dépasse un seuil de tolérance T_thresh_l prédéterminé.

En d'autres termes, on peut ainsi laisser temporairement, pendant une durée T_thresh_l, le paramètre indicateur de vitesse V_param suivre la vitesse fonctionnelle V_func, bien que ladite vitesse fonctionnelle V_func soit passée temporairement sous la vitesse sous-estimée V_under.

Avantageusement, le seuil de tolérance T_thresh_l permet de retarder le déclenchement de la commutation, et ainsi de n'effectuer une commutation qu'en situation de défaut durable et significatif, c'est-à-dire uniquement s'il est véritablement opportun de réaliser un ajustement du paramètre indicateur de vitesse V_param.

Ainsi, on évite de réagir inutilement à des variations très brèves et non significatives du majorant de vitesse V_upper, qui peuvent éventuellement résulter du bruit ou d'erreurs transitoires d'évaluation dues à des mesures faussées.

En outre, en maintenant temporairement le mode de fonctionnement normal, sans déclencher immédiatement le mode de sécurité, en cas de défauts temporaires qui ne compromettent pas la sécurité du véhicule, on peut avantageusement favoriser les fonctions d'assistance Fl, et donc le confort de conduite.

La durée de défaut sera surveillée par un chronométrage approprié, déclenché lorsque l'on détecte que la vitesse fonctionelle V_func passe sous la vitesse sous-estimée V_under, afin que l'on puisse activer le mode de sécurité si le défaut persiste dans le temps au-delà du seuil de tolérance T_thresh_l approprié.

Ledit chronométrage sera remis à zéro si la vitesse fonctionnelle V_func revient à une valeur égale ou supérieure à la vitesse sous-estimée V_under.

Le seuil de tolérance T_thresh_l sera déterminé en fonction de l'intervalle de temps de tolérance au défaut, ou « FTTI » (« Fault Tolérance Time Interval »), qui représente la durée maximale, spécifiée par le cahier des charges, qui est autorisée entre la survenance d'un défaut (situation dangereuse) et le moment ou ledit défaut, et ses conséquences, sont maîtrisés et corrigés par le système de direction assistée 1

Plus particulièrement, le seuil de tolérance T_thresh_l sera choisi strictement inférieur au FTTI, de sorte notamment à pouvoir inclure dans l'intervalle FTTI la durée nécessaire pour opérer la transition entre la vitesse fonctionnelle V_func et la vitesse sous-estimée V_under.

A titre d'exemple, le FFTI pourra être compris entre 20 ms (vingt millisecondes) lorsqu'il est associé à un défaut très dangereux, menaçant la sécurité des occupants du véhicule, et plus de 1 s (une seconde) lorsqu'il concerne un défaut peu préoccupant pour la sécurité.

On notera par ailleurs que la période de rafraîchissement de la vitesse fonctionnelle V_func, du majorant de vitesse V_upper, et plus globalement du paramètre indicateur de vitesse V_param, c'est-à-dire la durée séparant deux itérations successives n-1, n du procédé, est de préférence sensiblement comprise entre 5 ms (cinq millisecondes) et 10 ms (dix millisecondes), tandis que le temps de réponse (typiquement le temps de réponse à 5%) caractéristique du mécanisme de direction, et plus globalement du véhicule, en réponse à un changement de consigne d'assistance, sera généralement égal ou supérieur à 100 ms (cent millisecondes), à 300 ms (trois cents millisecondes), voire de l'ordre de plusieurs secondes.

Selon une variante préférentielle de l'invention, illustrée sur les figures 5A et 5B, le procédé peut comporter, après l'étape (e) de commutation, une étape (f) de sécurisation renforcée, au cours de laquelle on mesure la durée, dite « durée de sécurisation », pendant laquelle le mode de sécurité reste actif, et, si ladite durée de sécurisation atteint ou dépasse un seuil d'alerte prédéterminé T_thresh_2, on commute du mode de sécurité vers un troisième mode de fonctionnement, dit mode de sécurité renforcée, en faisant passer le paramètre indicateur de vitesse du véhicule V_param de la vitesse sous-estimée V_under à une valeur dite « vitesse de sécurisation renforcée » V_enhanced qui est égale ou supérieure au majorant de vitesse V_upper.

Avantageusement, cette variante permet de diagnostiquer une situation dans laquelle le défaut, c'est-à-dire le fait que la vitesse fonctionnelle V_func soit (et reste) inférieure à la vitesse sous-estimée V_under, dure trop longtemps pour que ledit défaut provienne simplement d'une situation de vie spécifique passagère, par exemple d'une situation de patinage des roues 2 en phase d'accélération.

En pareille situation, il y a donc de bonnes raisons de présumer que le défaut est la manifestation d'une défaillance durable d'un ou plusieurs systèmes ou capteurs du véhicule.

C'est pourquoi le mode de sécurité renforcée est alors activé, afin de privilégier absolument les fonctions de sécurisation F2, quelle que soit la vitesse réelle du véhicule.

Le paramètre indicateur de vitesse du véhicule V_param est pour cela forcé à une valeur de vitesse de sécurisation renforcée V_enhanced, éventuellement égale au majorant de vitesse V_upper applicable à l'instant considéré (comme cela est représenté en trait continu sur les figures 5A et 5B), ou, de préférence, égale à une valeur de forçage supérieure à tous les majorants possibles pour le véhicule (tel que cela est illustré en trait pointillé sur les figures 5A et 5B), et donc typiquement égale ou supérieure à la vitesse réelle maximale possible du véhicule, de sorte à garantir l'efficacité des fonctions de sécurisation F2 quelle que soit la vitesse réelle du véhicule.

De préférence, les modifications de la valeur du paramètre indicateur de vitesse du véhicule V_param, qui sont opérées lors des commutations d'un mode de fonctionnement à un autre mode de fonctionnement, et plus particulièrement lors de l'étape (e) de commutation du mode de fonctionnement normal au mode de sécurité et/ou lors de l'étape (f) de sécurisation renforcée, suivent des lois de transition présentant une classe de régularité au moins C°, telles qu'une rampe, une fonction d'interpolation (notamment polynomiale) ou un filtrage, tel que cela est visible sur les figures 4 et 5B.

De telles transitions douces permettront d'assurer la continuité (au moins C°) du signal du paramètre indicateur de vitesse du véhicule V_param, et ainsi d'éviter des réactions saccadées du système de direction, et notamment d'éviter des à-coups dans l'assistance de direction.

Les opérations de commutation et/ou transition sont gérées par une unité de commutation 4, placée en aval de la loi de réduction LR, tel que cela est illustré sur la figure 2.

Cette unité de commutation 4 pourra également gérer l'étape (d) de comparaison.

De préférence, selon une caractéristique préférentielle qui peut constituer une invention à part entière, l'étape (e) de commutation peut comporter une sous-étape d'écrêtage au cours de laquelle on écrête le taux de variation Grad(V_param) du paramètre indicateur de vitesse V_param au moyen d'un second limiteur de gradient 5 qui utilise un second gradient maximal plausible Grad_ref_2, représentatif d'une accélération maximale ou d'une décélération maximale que peut fournir le véhicule.

Ce second écrêtage est réalisé mutatis mutandis de manière analogue à l'écrêtage réalisé par le premier limiteur de gradient 3 décrit plus haut.

En l'espèce, il s'agira ici de tolérer les variations du paramètre indicateur de vitesse V_param :

Grad(V_param) = [V_param(t_n) - V_param(t_n-1)] / [(t_n) - (t_n-l)] uniquement dans des limites cohérentes avec les performances possibles réelles du véhicule, telles que définies par le second gradient maximal plausible Grad_ref_2.

Si les variations de paramètre indicateur de vitesse V_param sont comprises entre les valeurs de saturation SAT-, SAT+ du second limiteur de gradient 5, le paramètre indicateur de vitesse rafraîchi V_param(t_n) est accepté tel quel.

Dans le cas contraire, si la variation excède ces valeurs de saturation SAT- , SAT+, le paramètre indicateur de vitesse est arbitrairement recalculé sur la base du gradient maximal plausible Grad_ref_2 :

V_param(t_n) = V_param(t_n-1) + Grad_ref_2*[(t_n) - (t_n-l)]. Ce second écrêtage, opéré de préférence en aval de la phase de définition de commutation/transition et en amont des fonctions d'assistance Fl et de sécurisation F2, permettra notamment d'éviter de prendre en considération d'éventuelles variations incohérentes du paramètre indicateur de vitesse V_param qui pourraient par exemple résulter de discontinuités induites par la phase de commutation/transition. Ce second écrêtage peut en particulier former une mesure de précaution complémentaire ou alternative à la gestion, dès l'étape de commutation, de transitions continues (de classe de régularité C°) comme décrit ci-dessus.

Par ailleurs, l'invention concerne bien entendu un système de direction assistée 1 comprenant un contrôleur 10, du genre calculateur, permettant de mettre en application un procédé de sous-estimation de la vitesse instantanée selon l'invention.

Ledit contrôleur 10 comprendra à cet effet une ou plusieurs unités, électroniques et/ou logicielles, dont une unité de traitement 11, qui contient au moins une unité de sous-estimation 6 appliquant la loi de réduction LR, et de préférence une unité de comparaison/commutation 4 ainsi qu'un second limiteur de gradient 5.

Le contrôleur pourra également comprendre une unité d'acquisition 12 de majorant de vitesse V_upper, comprenant de préférence une unité de mesure 7 qui pourra exploiter par exemple comme vitesse d'entrée V_roue la vitesse d'une ou plusieurs roues 2 du véhicule, et/ou un premier limiteur de gradient 3.

Le contrôleur 10 comprendra enfin des unités fonctionnelles, respectivement d'assistance 13 et de sécurisation 14 assurant respectivement l'exécution des fonctions Fl, F2 susmentionnées.

L'invention concerne également en tant que tel un véhicule, et notamment un véhicule terrestre comprenant une ou des roues 2 motrices et directrices (de préférence deux roues motrices, voire une transmission intégrale comprenant par exemple quatre roues motrices), équipé d'un tel système de direction assistée 1.

Bien entendu, l'invention n'est nullement limitée aux seules variantes de réalisation décrites dans ce qui précède, l'homme du métier étant notamment susceptible d'isoler ou de combiner librement entre elles les caractéristiques susmentionnées, ou de leur substituer des équivalents.