Brevet FR3054684A1 — publié le 20180202

- 1 - Système de pilotage d'un véhicule autonome Domaine de l'invention La présente invention concerne le domaine des véhicules autonomes et plus précisément des équipements informatiques destinés à la commande de véhicules autonomes. Un véhicule est qualifié d'autonome s'il peut se déplacer sans l'intervention et la surveillance continues d'un opérateur humain. Selon le Ministère des transports des États- Unis d'Amérique, cela signifie que la voiture peut fonctionner sans qu'un conducteur n'intervienne au niveau de la conduite, de l'accélération ou du freinage. Le niveau d'automatisation du véhicule reste néanmoins l'élément le plus important. La National Highway Traffic Safety Administration (l'administration américaine chargée de la 15 sécurité routière sur les autoroutes) définit ainsi cinq "niveaux" d'automatisation : - Niveau 0 : Aucune automatisation. Le conducteur a un contrôle total et à tout instant des fonctions principales du véhicule (moteur, accélérateur, direction, 20 freins). - Niveau 1 : Automatisation de certaines fonctions. L'automatisation est présente pour certaines fonctions du véhicule, mais ne font qu'assister le conducteur qui garde le contrôle global. Par exemple, le système 25 antiblocage des roues (ABS) ou l'électro stabilisateur (ESP) vont automatiquement agir sur le freinage pour aider le conducteur à garder le contrôle du véhicule. - Niveau 2 : Automatisation de fonctions combinées. Le contrôle d'au moins deux fonctions principales est 30 combiné dans l'automatisation pour remplacer le conducteur dans certaines situations. Le régulateur de vitesse adaptatif combiné avec le centrage sur la voie fait entrer le véhicule dans cette catégorie, tout comme le Park Assist qui permet le stationnement sans que le 35 conducteur n'agisse sur le volant ou les pédales. - Niveau 3 : Conduite autonome limitée. Le conducteur peut céder le contrôle complet du véhicule au système 3054684 - 2 - automatisé qui sera alors chargé des fonctions critiques de sécurité. Cependant la conduite autonome ne peut avoir lieu que dans certaines conditions environnementales et de trafic (uniquement sur autoroute par exemple). Il est 5 imposé au conducteur d'être en mesure de pouvoir reprendre le contrôle dans un temps acceptable sur demande du système (notamment lorsque les conditions de circulation autonome ne sont plus réunies : sortie de l'autoroute, bouchon, etc.). La Google Car (nom 10 commercial) est actuellement à ce stade d'automatisation. - Niveau 4 : Conduite autonome complète. Le véhicule est conçu pour assurer seul l'ensemble des fonctions critiques de sécurité sur un trajet complet. Le conducteur fournit une destination ou des consignes de navigation mais n'est pas tenu de se rendre disponible pour reprendre le contrôle. Il peut d'ailleurs quitter le poste de conduite et le véhicule est capable de circuler sans occupant à bord. Les véhicules sans conducteur fonctionnent en accumulant de multiples informations provenant de caméras, de capteurs, de dispositifs de géolocalisation (dont des radars), de cartes numériques, de systèmes de programmation et de navigation ainsi que de données transmises par d'autres véhicules connectés et infrastructures en réseau. Les systèmes d'exploitation et les logiciels traitent ensuite l'ensemble de ces informations et assurent la coordination des fonctions mécaniques du véhicule. Ces procédés reproduisent l'infinie complexité des tâches effectuées par un conducteur tenu, pour conduire correctement, d'être tout à la fois concentré sur la route, le comportement de son véhicule et son propre comportement. L'architecture informatique de tels véhicules doit permettre de gérer la multitude de signaux provenant des capteurs et des sources d'informations externes et procéder aux traitements pour extraire de ces signaux des données pertinentes, éliminer les données anormales et combiner ces données pour commander les organes électromécaniques du véhicule (direction, freinage, régime moteur, alarmes, 3054684 - 3 - Compte tenu du contexte d'utilisation, l'architecture informatique doit garantir une fiabilité absolue, même en cas d'erreur sur une carte numérique, d'un capteur défaillant ou d'un dysfonctionnement du logiciel de 5 navigation, ou de ces trois éléments à la fois. Etat de la technique On a proposé dans l'état de la technique différentes solutions d'architectures informatiques destinées à des véhicules autonomes. 10 Le brevet américain US6223110 décrit par exemple une architecture modulaire pour organiser et coordonner des composants destinés à coordonner le flux de données entre les composants. L'architecture comprend trois divisions principales: 15 - un pipeline de capteur, les modules exploitant les données de capteur, - et les planificateurs d'actions et de commande mécatronique. Le pipeline de capteur reçoit des données brutes 20 provenant des capteurs embarqués, tel qu'un système de télémètre laser ou radar, et convertit les données en une forme qui peut être utilisée par les autres composants du système. Les données du capteur peuvent également être représentées sous la forme d'une carte d'élévation du terrain 25 environnant pour d'autres composants logiciels à utiliser. N'importe quel nombre et les types de systèmes de détection peuvent être ajoutés à l'architecture logicielle selon les besoins et les possibilités du système. Les modules d'exploitation de données utilisent les données des capteurs 30 en entrée et appliquent des algorithmes spécifiques pour produire des informations sur l'environnement de la machine pour une utilisation par d'autres composants du système. Le planificateur de mouvement reçoit des informations fournies par les modules d'exploitation de données, et fournit des 35 commandes de sortie aux contrôleurs. On connaît aussi le brevet US7499774 décrivant un système de traitement d'un signal de sécurité dans un véhicule autonome. Les signaux de sécurité sont typiquement générés en 3054684 - 4 - réponse à la détection de conditions dangereuses ou sont envoyés par le conducteur du véhicule. Dans les deux cas, les signaux de sécurité sont transmis en utilisant des voies de communication redondantes. Les chemins d'accès comprennent un 5 réseau informatique et d'une boucle de courant. Les signaux de sécurité sont traités, ce qui provoque des actionneurs (par exemple, les liens) pour manipuler les périphériques d'entrée (par exemple, les contrôles d'articulation et d'entraînement des contrôles, comme un accélérateur, frein, mécanisme de 10 direction, accélérateur, changement de vitesses). Le brevet américain US7415331 décrit également un système pour assurer la sécurité de véhicules autonomes comprenant: - une pluralité de composants pour effectuer une analyse 15 de la situation, la planification de la mission, la mission replanification, l'exécution du plan de mission, et la collaboration entre les véhicules autonomes; - un premier dispositif d'identification des composants de sécurité critiques de ladite pluralité de composants; 20 - un second dispositif de sécurité pour l'identification des composants sensibles de ladite pluralité de composants; - et un troisième dispositif destiné à isoler ledit composant de sécurité critiques de contamination par 25 d'autres composants de ladite pluralité de composants, ledit troisième dispositif d'isolement des données sensibles de sécurité à partir des composants contaminants non sensibles à la sécurité de ladite pluralité de composants. 30 On connaît aussi la demande de brevet WO 2013150244 décrivant un système de commande de véhicule comportant des organes de commande humaine générant des signaux de pilotage manuel d'actionneurs du véhicule, un module de commande automatique générant des signaux de pilotage autonome des 35 actionneurs du véhicule et un module de commutation agencé pour sélectionner les signaux de pilotage manuel dans un mode de fonctionnement manuel et les signaux de pilotage autonome dans un mode de fonctionnement autonome. Le module de commande automatique comprend un bloc d'élaboration automatique d'au 3054684 - 5 - moins un signal de pilotage autonome calculé et un bloc de sécurisation agencé pour transmettre au module de commutation un signal de pilotage autonome calculé dans un cas de fonctionnement autonome normal et un signal de 5 pilotage autonome d'urgence dans un cas de fonctionnement autonome anormal. Inconvénients de l'art antérieur Les solutions de l'art antérieur ne sont pas 10 totalement satisfaisantes car les architectures proposées concernent un traitement « linéaires » des données, venant de capteurs et sources disparates, dont certaines sont potentiellement erronées ou défaillantes. Avec les architectures proposées, le traitement de telles données 15 erronées ou douteuses est déterministe et peut conduire à des actions inopinées. Les solutions proposées dans l'art antérieur ne sont pas totalement adaptées aux contraintes sécuritaires très fortes pour le pilotage de véhicules autonomes. 20 L'environnement du véhicule, intégrant entre autres les aspects météorologiques et atmosphériques mais également le contexte routier, est riche de perturbations. Il comporte de nombreux facteurs aléatoires donc imprévisibles et les contraintes sécuritaires émanant de ces 25 perturbations environnantes présentent des variantes en nombre infini. Les conditions météorologiques, par exemple, peuvent perturber les capteurs mais le contexte ou la situation de route peut également mettre l'algorithme dans une position qu'il ne peut ou ne sait gérer. On connait les limites d'un 30 capteur mais on ne connait pas précisément l'ensemble des situations dans lesquelles les capteurs et leurs intelligences vont atteindre leurs limites. Les solutions proposées n'associent pas d'étage de décision intelligente s'appuyant en même temps sur le 35 fonctionnel sûr et sur le dysfonctionnel, sans intervention humaine. 3054684 - 6 - Solution apportée par l'invention Afin de remédier à ces inconvénients, l'invention concerne selon son acception la plus générale un système de pilotage d'un véhicule autonome comportant une pluralité de 5 capteurs de natures différentes, des calculateurs exécutant des programmes informatiques pour la détermination d'informations de conduite déléguée en fonction des données délivrées par lesdits capteurs caractérisé en ce qu'il comporte en outre au moins un module d'arbitrage comprenant un 10 calculateur exécutant un programme informatique pour décider la sélection d'une desdites informations de conduite déléguée en fonction d'une pluralité d'informations représentatives : - des conditions d'environnement, - des niveaux de confiance de chacune desdites 15 informations de conduite délégué, - de la cohérence de variables associées auxdites informations délégués - de la fiabilité matérielle et logicielle des composants dudit système 20 - de l'historique de conduite du véhicule, - et, de préférence, de principes sécuritaires. Ces principes sécuritaires se traduisent techniquement par une base de règles enregistrée dans une mémoire informatique. Ces règles modélisent les bonnes 25 pratiques, par exemple « arrêt pour laisser passer un piéton » ou « ne pas dépasser la vitesse maximum autorisée » et associent des paramètres de prise de décision. Ces règles sont par exemple regroupées dans la norme 1S026262. Cette base de règles est exploitée par un 30 processeur modifiant le calcul du niveau de risque, et la conséquence sur les choix techniques. L'invention permet de répondre aux inconvénients de l'art antérieur par une architecture répartie, avec des calculateurs spécialisés affecté uniquement au traitement des 35 données des capteurs, des calculateurs d'un autre type spécifiquement affectés à l'exécution des programmes informatiques pour la détermination d'informations de conduite 3054684 - 7 - déléguée et un calculateur additionnel pour décider la sélection d'une desdites informations de conduite déléguée. Les éventuelles perturbations et anomalies concernant un capteur ou une source de données ne se propagent 5 ainsi pas dans l'ensemble des systèmes. Le système présente, avec l'architecture proposée, une grande flexibilité et robustesse, par rapport à des disfonctionnements locaux. De préférence, le système de pilotage d'un véhicule 10 autonome comporte une pluralité de modules d'arbitrage pour le traitement de groupes de capteurs et des calculateurs associés, comprenant : - des capteurs de position du véhicule - des capteurs d'identification de la route sur laquelle se 15 déplace le véhicule - des capteurs des obstacles dynamiques et statiques - des capteurs d'infrastructures et de signalisation [feux, panneaux, structure physique de la route,...] et un module de construction d'une pluralité de 20 trajectoires de déplacement du véhicule en fonction des informations transmises par lesdits modules d'arbitrage. De préférence, le système comporte en outre un module de décision des informations de conduite déléguée 25 optimales en terme de fiabilité et de sécurité des personnes, en fonction d'une pluralité d'informations du résultat des étapes de calcul desdites informations représentatives et de l'historique de conduite du véhicule et, de préférencË, de comportements sécuritaires prédéterminés. 30 Selon une variante, le module d'arbitrage reçoit en outre des informations provenant d'un moyen de fusion des informations provenant d'une pluralité de capteurs. Selon une autre variante, le système comporte en outre un module de calcul d'une trajectoire de refuge activé 35 en cas d'iffipossibilité de détermination d'une trajectoire nominale. 3054684 - 8 - L'invention concerne également un procédé de pilotage d'un véhicule autonome comprenant : - des étapes d'acquisition d'une pluralité d'informations par des capteurs 5 - des étapes de traitement desdites informations acquises pour la détermination d'informations de conduite déléguée - des étapes d'acquisition des conditions d'environnement, - des étapes de calcul d'informations représentatives o des niveaux de confiance de chacune desdites 10 informations de conduite déléguée, o de la cohérence de variables associées auxdites informations déléguées o de la fiabilité matérielle et logicielle des composants dudit système 15 - des étapes de décision des informations de conduite déléguée optimales en terme de fiabilité et de sécurité des personnes, en fonction d'une pluralité d'informations du résultat des étapes de calcul desdites informations représentatives, de l'historique de conduite du véhicule 20 et des règles de comportements sécuritaires (sécurité routière, bonnes pratiques, niveau de risques sécurités des situations de vie). Description détaillée d'un exemple non limitatif de 25 l'invention La présente invention sera mieux comprise à la lecture de la description détaillée d'un exemple non limitatif de l'invention qui suit, se référant aux dessins annexés où : - la figure 1 représente une vue schématique de 30 l'architecture d'un système de pilotage d'un véhicule autonome selon l'invention. L'architecture informatique illustrée par la figure 1 comprend : 35 - un premier étage de production de données comprenant : o une pluralité de capteurs embarqués (1 à 3) 3054684 - 9 - o une pluralité de composants connectés (11 à 13) communiquant avec des sources d'informations extérieures (40) - un deuxième étage d'exploitation directe des données 5 comprenant des modules d'hyperperception comprenant chacun des ports d'entrée des signaux provenant d'un ou plusieurs capteurs et composants connectés et un calculateur exécutant un programme d'hyperperception d'objets, pour réaliser les fonctions de : 10 o perception qui permettent au véhicule d'interpréter son environnement et de percevoir des objets statiques ou dynamiques; o localisation qui permettent au véhicule de se situer sur une cartographie; 15 - un troisième étage d'exploitation des signaux délivrés par les modules d'hyperperception comprenant : o un module d'hyperplanification nominale (31) réalisant la fonction de planification qui permettent de calculer la trajectoire latérale et longitudinale que le véhicule 20 doit suivre pour calculant un ensemble d'ordres de pilotage o un module d'hyperplanification de secours (32) calculant une solution de repli afin de mettre le véhicule en sécurité même dans les contextes les plus critiques. 25 L'ensemble des traitements est de type déclaratif et non déterministe : à tout moment, les informations utilisées et calculées sont associées à des niveaux de confiances dont la valeur n'est connue qu'au cours de 30 l'exécution des programmes. Quatre mécanismes de robustesse sont mis en oeuvre : - Redondances intrinsèques concernant les supports physiques de calcul ainsi que les modules de 35 traitement : ces redondances conduisent à des tests de cohérences pouvant donner lieu à des votes majoritaires ; 3054684 - 10 - - Redondances fonctionnelles conditionnées (par les conditions environnementales) et pondérées (par des niveaux de confiance) concernant la production de données et de résultats intermédiaires ; 5 - Redondances fonctionnelles concernant la production des résultats de calcul de trajectoires ; - Utilisation centralisée d'informations croisées et recoupées pour une stratégie de supervision sûre et de décision intelligente. 10 Le système selon l'invention met en oeuvre les choix techniques suivants : mise en oeuvre, dans le premier étage (5), d'une diversité 15 des capteurs et, dans le deuxième étage (15) de redondances fonctionnelles (15, 25) de perception pour percevoir un même objet de façons différentes. De cette manière, des tests croisés peuvent être réalisés sur ces résultats de perception - au niveau de la fiabilité, de 20 la cohérence et de la confiance associées - afin de faire des comparaisons du point de vue de ces différents critères et de choisir le meilleur résultat de perception. - Utilisation, dans le troisième étage (35), de la 25 diversité des moyens de planification, eux-mêmes alimentés par des résultats de perception, pour définir plusieurs trajectoires possibles. De cette manière, des tests croisés peuvent également être réalisés sur ces trajectoires - au niveau de la fiabilité, de la cohérence 30 et de la confiance associée - afin de faire des comparaisons du point de vue de ces différents critères et de choisir les meilleures trajectoires. Utilisation de la diversité des moyens de planification pour assurer toutes les possibilités de repli possible en 35 cas d'urgence, c'est-à-dire la définition de trajectoires de refuge. C'est l'hyperplanification de refuge. Croisement du contexte de roulage du véhicule (c'est-à-dire les obstacles, l'infrastructure, l'historique...) avec 3054684 les meilleures trajectoires afin de suivre la trajectoire la plus sûre. De cette manière, le système du véhicule autonome tend à être plus fiable en utilisant le maximum de ces 5 capacités technologiques et fonctionnelles. Mais il devient également plus tolérant aux fautes car capable de les détecter et de s'en prémunir en adaptant continuellement son comportement. Premier étage 10 Le premier étage (5) comprend les modules (1 à 3) de traitement des signaux provenant de différents capteurs embarqués du véhicule et les modules connectés (4 à 6) recevant des données externes. 15 Plusieurs capteurs et sources détectent le même objet. La fusion de ces données permet de confirmer la perception. Les sources du véhicule autonome sont une base 20 multiple pour la détection de l'environnement. Chaque capteur et chaque source est associée à une information représentative de la fiabilité et du niveau de confiance. Les résultats de détection sont ensuite traités 25 pour être exploitables, par le deuxième étage: la production des variables de perception. Deuxième étage L'étage (15, 25) d'hyperperception se décompose en 30 deux parties: - La partie « Production de variables de perception » regroupant l'ensemble des algorithmes de perception qui interprètent les détections des capteurs et autres sources et calculent des variables de perception 35 représentative d'un objet. - La partie « Safe supervision» qui regroupe un ensemble de tests croisés, sur les fiabilités, les erreurs 3054684 - 12 - logicielles et matérielles, les niveaux de confiance et les cohérences algorithmiques. Cet ensemble permet de déterminer l'objet de perception le plus compétitif - c'est-à-dire l'objet qui, en termes de représentativité, de confiance, de 5 fiabilité et d'intégrité - est le meilleur. A partir de ces résultats de détection et via de nombreux algorithmes, des variables de perception sont calculées. Ces dernières permettront au système de décrire les objets de la scène et de définir, à partir de ceux-ci, une 10 trajectoire sûre pour le véhicule. Afin de pouvoir satisfaire la méthodologie de sécurité, une variable de perception d'objet doit être donnée par au moins deux algorithmes différents. Une fusion multisources, lorsqu'elle est possible, doit également être 15 utilisée pour produire ces variables. Combinées dans un algorithme intelligent, toutes les approches de fusion impliquant plusieurs capteurs ou autres sources peuvent améliorer les différentes variables de perception. L'ensemble des variables de perception d'objet 20 sont ensuite croisées pour tester leur validité et le niveau de confiance qui peut leur être attribué. C'est la troisième étape. A ce stade, plusieurs ensembles de variables représentatives d'un même objet ont été calculés. Elles 25 doivent donc être comparées entre elles afin de pouvoir sélectionner la ou les « meilleures ». Cette sélection se déroule en quatre étapes : - Le tri des niveaux de confiances qui permet de 30 classer les variables à partir de la corrélation existante sur les niveaux de confiance source/algorithme et des conditions environnementales. Ce test va donc considérer aussi bien le niveau de confiance de l'algorithme qui a calculé la(les) variable(s) que celui de sa(ses) source(s). Il s'agit ici de 35 répondre à la question : quelles variables sont de meilleure qualité, celles qui apparaissent les plus sûres ? - Le traitement de la fiabilité qui permet de s'assurer que tous les éléments menant à la perception d'un 3054684 - 13 - objet sont intrinsèquement fiables. Cette analyse va alors considérer la fiabilité de tous les hardwares et softwares. Il s'agit de répondre à la question : les objets perçus sont-ils fiables conformément aux principes de sûreté de fonctionnement 5 - L'analyse de la cohérence algorithmique qui compare les différentes variables des objets de perception entre elles, et identifie les incohérences potentielles. Cette analyse met en évidence une variable incohérente ou absurde. 10 M. s'agit ici de répondre à la question : quelles variables présentent le maximum de cohérence, pour éliminer celles qui présentent le minimum de cohérence ? Le calculateur exécute un traitement qui synthétise 15 l'ensemble des résultats et décide du meilleur objet à envoyer à la planification. Il s'agit ici de répondre à la question : quels sont les meilleurs objets en termes de cohérence, de fiabilité et de confiance. 20 Ce deuxième étage est dédoublé tant du point de vue matériel (calculateurs et bus de communication) que du point de vue logiciel. Il comprend donc deux calculateurs indépendants, recevant les signaux provenant des capteurs du premier étage 25 par l'intermédiaire de deux bus de communication distincts. Ce deuxième étage transmet au troisième étage deux fois les mêmes données. 30 Troisième étage Le troisième étage (35) d'hyperplanification comprend deux modules (31, 32) de planification du pilotage du véhicule autonome. 35 Le processus de planification se décompose en trois parties distinctes : - La partie « Modules d'hyperperception » qui regroupe l'ensemble des fonctions, des hyperperceptions 3054684 - 14 - associées à chaque fonction de perception, ainsi que d'autres modules d'entrée comme des fichiers cartographiques qui permettent de comparer les résultats de localisation à dés informations connues par ailleurs, et ainsi de calculer une 5 trajectoire pour le véhicule autonome. - La partie « Production de trajectoires » qui regroupe l'ensemble des algorithmes de planification et qui calcule les différentes trajectoires que peut emprunter le 10 véhicule autonome. Ce calcul de trajectoire se base sur les fonctions de perception de l'environnement du véhicule. - La partie « supervision de sécurité et de décision intelligente » qui regroupe un ensemble de tests 15 croisés, sur les fiabilités, les niveaux de confiance et les cohérences algorithmiques. Cet ensemble permet de déterminer la trajectoire la plus compétitive - c'est-à-dire la trajectoire qui, en termes de représentativité, de confiance, de fiabilité et d'intégrité - est la meilleure. 20 Cette partie reçoit les deux séries de signaux provenant du deuxième étage, et décide de la fiabilité matérielle et logicielle des deux séries de signaux pour sélectionner la série de signaux la plus pertinente. 25 Plusieurs algorithmes calculent les trajectoires que le véhicule autonome peut emprunter. Chaque algorithme calcule un type de trajectoire spécifique aux objets de perception qu'il considère. Cependant, il peut calculer une ou 30 plusieurs trajectoires de même type en fonction du nombre de voies que le véhicule peut potentiellement emprunter. Par exemple, si le véhicule se déplace sur un segment de route à double voie, le système de planification peut calculer une trajectoire pour chaque voie. 35 Afin de satisfaire la méthodologie de sécurité mise en place, les algorithmes de calcul de trajectoires doivent envoyer la ou les potentielles trajectoires accompagnées du niveau de confiance et de la fiabilité intrinsèque qui leur 3054684 - 15 - sont associés. Une autre spécificité de la méthodologie de sécurité est d'utiliser un algorithme de fusion multiperception afin de diversifier davantage les moyens de calcul de trajectoire. 5 A ce stade, plusieurs trajectoires ont été calculées. Elles doivent être comparées entre elles et confrontées au contexte routier (code de la route, historique, infrastructures, obstacles, navigation) afin d'être priorisées. 10 Cette priorisation se déroule en quatre étapes : - Le tri des niveaux de confiance qui oriente le choix de la trajectoire uniquement à partir de la corrélation existante entre les niveaux de confiance source/algorithme et les conditions environnementales. Ce test va donc considérer 15 aussi bien le niveau de confiance de l'algorithme qui a calculé la trajectoire que le niveau de confiance de la source de celui-ci. Il s'agit ici de répondre à la question : quelle est la trajectoire de meilleure qualité, en terme de niveau de confiance ? 20 - Le contrôle de la fiabilité qui s'assure que tous les éléments menant à la définition d'une trajectoire sont intrinsèquement fiables. Cette analyse va alors considérer la fiabilité de tous les circuits électroniques et 25 des développements informatiques. Il s'agit de répondre à la question : la trajectoire calculée est-elle conforme aux principes de sûreté de fonctionnement ? - L'analyse de la cohérence algorithmique qui 30 compare les trajectoires entre elles et identifie les incohérences qui peuvent exister. Cette analyse met en évidence une trajectoire qui pourrait être incohérente ou absurde. Il s'agit de répondre à la question : quelle trajectoire présente le maximum de cohérence ? 35 - La décision intelligente de sécurité qui synthétise l'ensemble des résultats et décide de la ou des meilleures trajectoires, en terme de sécurité des personnes dans une situation de vie donnée. Il s'agit donc ici de 3054684 - 16 - répondre à la question : quelle est la meilleure trajectoire que le véhicule peut emprunter en garantissant la sécurité des personnes ? Cette sélection est influencée par l'historique du 5 trajet suivi par le véhicule autonome, du trafic, des types d'infrastructure, des comportements de bonnes pratiques de la sécurité routière, du code de la route et de la criticité des risques potentiels associés à chaque trajectoire, tel que par exemple définis par la norme IS026262. Ce choix intègre 10 l'hyperplanification du mode refuge. L'algorithme de choix comportemental est une dernière couche d'intelligence qui analyse toutes les stratégies possibles et opte pour la plus sécurisante et la 15 plus « confortable ». Il va donc choisir la trajectoire la plus adaptée pour le véhicule et la vitesse qui devra l'accompagner. Le module (32) d'hyperplanification de refuge 20 calcule une trajectoire refuge nécessite également d'être calculée afin d'assurer toutes les possibilités de repli envisageables en cas d'urgence. Cette trajectoire est calculée à partir des objets de perception déterminés suivant la méthodologie de l'hyperperception et de l'hyperplanification, 25 mais considérés dans ce cas pour une alternative en mode refuge. 30 REVENDICATIONS1 - Système de pilotage d'un véhicule autonome comportant une pluralité de capteurs (1 à 6) de natures différentes, des calculateurs exécutant des programmes informatiques pour la détermination d'informations de conduite déléguée en fonction des données délivrées par lesdits capteurs caractérisé en ce qu'il comporte en outre au moins un module d'arbitrage (15) comprenant un calculateur exécutant un programme informatique pour décider la sélection d'une desdites informations de conduite déléguée en fonction d'une pluralité d'informations représentatives : - des conditions d'environnement, - des niveaux de confiance de chacune desdites informations de conduite déléguée, - de la cohérence de variables associées auxdites informations déléguées - de la fiabilité matérielle et logicielle des composants dudit système - de l'historique de conduite du véhicule. 2 - Système de pilotage d'un véhicule autonome selon la revendication 1 caractérisé en ce que le programme informatique pour décider la sélection d'une desdites informations de conduite déléguée prend en compte en outre des informations représentatives de règles de comportements sécuritaires. 3 - Système de pilotage d'un véhicule autonome selon la revendication 1 caractérisé en ce qu'il comporte une pluralité de modules d'arbitrage pour le traitement de groupes de capteurs et des calculateurs associés, comprenant : - des capteurs de position du véhicule - des capteurs d'identification de la route sur laquelle se déplace le véhicule - des capteurs des obstacles dynamiques et statiques 3054684 - 18 - - des capteurs d'infrastructures et de signalisation [feux, panneaux, structure physique de la route,...] et un module de construction d'une pluralité de trajectoires de déplacement du véhicule en fonction des 5 informations transmises par lesdits modules d'arbitrage. 4 - Système de pilotage d'un véhicule autonome selon la revendication 2 caractérisé en ce qu'il comporte en outre un module de décision des informations de conduite 10 déléguée optimales en terme de fiabilité et de sécurité des personnes, en fonction d'une pluralité d'informations du résultat d'étapes de calcul desdites informations représentatives de l'historique de conduite du véhicule et de règles de comportements sécuritaires. 15 5 - Système de pilotage d'un véhicule autonome selon l'une au moins des revendications précédentes, caractérisé en ce que le module d'arbitrage reçoit en outre des informations provenant d'un moyen de fusion des 20 informations provenant d'une pluralité de capteurs. 6 - Système de pilotage d'un véhicule autonome selon la revendication 3, caractérisé en ce qu'il comporte en outre un module de calcul d'une trajectoire de refuge activé 25 en cas d'impossibilité de calcul d'une trajectoire nominale. 7 - Procédé de pilotage d'un véhicule autonome comprenant : - des étapes d'acquisition d'une pluralité d'informations 30 par des capteurs - des étapes de traitement desdites informations acquises pour la détermination d'informations de conduite déléguée - des étapes d'acquisition des conditions d'environnement, - des étapes de calcul d'informations représentatives 35 o des niveaux de confiance de chacune desdites informations de conduite déléguée, o de la cohérence de variables associées auxdites informations déléguées 3054684 - 19 - o de la fiabilité matérielle et logicielle des composants dudit système des étapes de décision des informations de conduite déléguée optimales en terme de fiabilité et de sécurité 5 des personnes, en fonction d'une pluralité d'informations du résultat des étapes de calcul desdites informations représentatives, de l'historique de conduite du véhicule et des règles de comportements sécuritaires. 10