Brevet FR3078668A1 — publié le 20190913

PROCEDE DE DETECTION D'ANOMALIE DANS LA PERCEPTION PAR UN VEHICULE AUTOMOBILE DE SON ENVIRONNEMENT DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne les véhicules automobiles équipés de systèmes embarqués susceptibles de présenter des anomalies provenant de défaillances ou d'attaques informatiques. Elle concerne plus précisément la détection et la protection contre de telles anomalies. Elle concerne plus particulièrement un procédé de détection d'anomalie dans la perception par un véhicule automobile de son état interne et de son environnement. Elle concerne aussi un véhicule automobile équipé de moyens informatiques adaptés à mettre en oeuvre ce procédé de détection d'anomalie. ARRIERE-PLAN TECHNOLOGIQUE De nos jours, les véhicules automobiles utilisent de plus en plus fréquemment des systèmes électroniques embarqués pour assurer des fonctionnalités variées pouvant aller jusqu'à la conduite autonome du véhicule. Ces systèmes électroniques embarqués utilisent notamment des capteurs permettant de détecter l'environnement du véhicule automobile. Ces véhicules peuvent par ailleurs échanger des données entre eux, par exemple au moyen de système de communication sans fil généralement dénommés "V2X". De tels véhicules peuvent donc faire l'objet d'attaques informatiques visant leurs systèmes embarqués. Par conséquent, il est connu d'équiper les véhicules de systèmes de protection contre les attaques informatiques venant de l'extérieur. Il peut toutefois arriver que des erreurs affectent les données internes du véhicule, notamment les données relevées par les capteurs équipant le véhicule automobile. Ces erreurs peuvent provenir de problèmes aléatoires (poussières collées aux capteurs, dysfonctionnement technique d'un capteur) ou d'attaques informatiques contre les capteurs du véhicule. OBJET DE L'INVENTION Dans ce contexte, la présente invention propose un procédé de détection d'anomalie dans la perception par un véhicule automobile de son environnement et de sa situation dans cet environnement, comportant : 2 - une étape de mesure, par des capteurs équipant le véhicule automobile, de données internes qui sont relatives au véhicule automobile et/ou à son environnement (typiquement des mesures de distance, de vitesse et d'angle relatifs par rapport à un objet, des positions vitesses et accélérations du véhicule 5 dans un repère absolu,...), - une étape de réception, par des moyens de communication équipant le véhicule automobile, de données externes émises par au moins une entité émettrice, lesdites données externes étant relatives à l'environnement de ladite entité émettrice et/ou à ladite entité émettrice elle-même (les données externes 10 sont en pratique mesurées par des capteurs équipant l'entité émettrice), et - une étape de détection d'une éventuelle anomalie dans les données internes mesurées, compte tenu du résultat d'une mise en correspondance des données internes et des données externes. La demanderesse considère qu'il est possible de se prémunir d'une très 15 grande majorité des attaques informatiques provenant de l'extérieur. De ce fait, contrairement à la pratique actuelle qui consiste à considérer que les données externes reçues sont de moindre confiance que les données internes générées par le véhicule, elle considère que les données externes reçues (et éventuellement filtrées au préalable grâce à un système de sécurité) sont en 20 majeure partie fiables. En effet, les entités émettrices de données sont supposées avoir été certifiées (avant leur mise sur le marché) en termes de qualité et fiabilité des données externes émises. Par ailleurs, le véhicule considéré (qui reçoit les données) peut effectuer 25 divers contrôles sur ces données externes reçues pour s'assurer de leur fiabilité. A titre d'exemple, le véhicule peut effectuer un contrôle dit « de confiance » qui consiste à vérifier que les certificats et signatures numériques (ajoutés aux données externes par l'entité émettrice de données) sont valides, ce qui permet de s'assurer que ces données externes proviennent bien d'une entité 30 émettrice autorisée à les émettre et que ces données sont authentiques, intègres et non-falsifiées. Encore à titre d'exemple, il est possible d'effectuer un contrôle dit « de plausibilité », en cherchant à identifier une incohérence entre le niveau de puissance du signal physique reçu durant la communication sans fil "V2X" 3 (transmettant les données externes) et la position de l'entité émettrice (compte tenu de la position de cette entité émettrice telle qu'elle est renseignée dans les données externes). En effet, les lois physiques d'atténuation (propagation d'une onde électromagnétique) permettent d'évaluer le niveau de puissance auquel le 5 signal devrait être reçu, compte tenu de la position de l'entité émettrice. L'invention propose donc d'utiliser ces données externes contrôlées et de les comparer avec les données internes (mesurées par les capteurs embarqués dans le véhicule) afin de s'assurer que les résultats fournis par les capteurs ne présentent pas d'anomalie. Une telle anomalie peut découler d'une 10 attaque informatique ou d'une action inappropriée du capteur, ou encore d'un dysfonctionnement du capteur. Grâce à l'invention, le véhicule peut ainsi détecter cette anomalie et en tenir compte pour prendre les mesures nécessaires et se protéger contre les effets de cette anomalie. 15 Comme cela sera décrit ci-après, l'invention détectera les anomalies avec une grande fiabilité lorsque les résultats fournis par les capteurs seront comparés avec les données émises par un grand nombre d'entités émettrices, sur une durée prolongée. D'autres caractéristiques avantageuses et non limitatives du procédé de 20 détection conforme à l'invention sont les suivantes : - à l'étape de mesure, le véhicule automobile établit une représentation principale de son environnement (et éventuellement aussi de son état, c'est-à-dire de sa position dans cet environnement), à partir des données internes mesurées, - à l'étape de réception, le véhicule automobile établit une représentation 25 alternative de son environnement (et éventuellement aussi de son état), à partir des données externes reçues, - à l'étape de détection, le véhicule automobile détermine dans quelle mesure les représentations principale et alternative correspondent ; - la représentation principale est établie en positionnant dans un 30 référentiel donné chaque objet détecté par les capteurs (et éventuellement aussi le véhicule considéré tel qu'il estime être positionné compte tenu des données mesurées par ses propres capteurs), - la représentation alternative est établie en positionnant dans un référentiel donné chaque entité émettrice et/ou chaque objet détecté par des 4 capteurs équipant chaque entité émettrice (et éventuellement aussi le véhicule considéré tel qu'il est vu par les entités émettrices) ; - à l'étape de détection, le véhicule automobile détermine dans quelle mesure la position de chaque objet de la représentation principale correspond à la 5 position de chaque entité émettrice et/ou de chaque objet sur la représentation alternative (et dans quelle mesure la position du véhicule considéré correspond sur ces deux représentations) ; - la représentation principale est établie en spécifiant, outre la position de chaque objet, au moins une autre caractéristique de chaque objet détecté par les 10 capteurs (ce qui signifie qu'on associe au véhicule et à chaque objet détecté par les capteurs au moins une autre caractéristique en plus de leur position dans un référentiel donné), - la représentation alternative est établie en spécifiant, outre la position de chaque entité émettrice et/ou la position de chaque objet détecté par des 15 capteurs équipant chaque entité émettrice, au moins une autre caractéristique de chaque entité émettrice et/ou de chaque objet détecté par des capteurs équipant chaque entité émettrice (on rappellera ici que l'un des objets vus par l'une des entités émettrice peut être le véhicule considéré); - à l'étape de détection, le véhicule automobile détermine dans quelle 20 mesure ladite autre caractéristique de chaque objet de la représentation principale correspond à ladite autre caractéristique de chaque entité émettrice et/ou de chaque objet sur la représentation alternative (on peut également déterminer dans quelle mesure les caractéristiques du véhicule considéré mesurées par les capteurs internes du véhicule correspondent aux caractéristiques mesurées par 25 les capteurs des entités émettrices) ; - suite à l'étape de détection, il est prévu une étape de calcul de la valeur d'un indice de confiance dans la détection d'anomalie, en fonction au moins de la fréquence d'occurrence de détection d'anomalies dans le temps ; - la détection d'anomalie génère pour chaque anomalie un rapport 30 contenant une désignation de l'anomalie (type), un indice de confiance dans la bonne détection de cette anomalie, la liste des systèmes de perception et capteurs suspectés d'être affectés par l'anomalie ; - l'indice de confiance dans la détection d'anomalie est calculé en fonction également de l'un au moins des paramètres suivants : 5 - le nombre d'entité émettrice émettant des données externes, - la précision et l'incertitude de la donnée externe reçue, - la précision et l'incertitude de la donnée interne, - le résultat d'un contrôle effectué sur les données externes reçues 5 (le contrôle peut par exemple consister en une mesure de puissance du signal pour vérifier sa cohérence avec la position de l'entité émettrice indiquée dans les données externes), - le type du capteur ayant mesuré la donnée externe, - le type du capteur ayant mesuré la donnée interne ; 10 - à l'étape de détection, un calculateur équipant le véhicule identifie chaque capteur affecté par une erreur, puis il est prévu une étape d'émission au cours de laquelle le calculateur émet vers d'autres systèmes du véhicule un signal d'alerte (ou « rapport d'erreur ») comportant une désignation de chaque capteur identifié et/ou une désignation de l'anomalie ; 15 - les données externes sont relatives à ladite entité émettrice et comprennent au moins l'un des éléments de la liste suivante : - la position absolue de ladite entité émettrice, - une dimension de ladite entité émettrice, - une catégorie d'objet à laquelle appartient ladite entité émettrice 20 (voiture, camion, piéton...), - l'orientation de ladite entité émettrice, - la vitesse de ladite entité émettrice, - la vitesse angulaire de ladite entité émettrice, - l'accélération de ladite entité émettrice, 25 - un historique de trajet de ladite entité émettrice, - une prédiction de trajet de ladite entité émettrice, - un angle de braquage du volant de ladite entité émettrice lorsque ladite entité émettrice est un autre véhicule automobile, - la position ou la pression exercée sur les pédales de frein et/ou 30 d'accélérateur dudit autre véhicule automobile, - l'état des éclairages dudit autre véhicule automobile ; - les données externes sont relatives à chaque objet de l'environnement détecté par ladite entité émettrice et comprennent au moins l'un des éléments de la liste suivante : 6 - une dimension dudit objet, - une catégorie à laquelle appartient ledit objet, - la couleur dudit objet, - la position dudit objet, 5 - la dynamique dudit objet, - une prédiction du trajet dudit objet, - un niveau de confiance dans la détection dudit objet, - si ledit objet est un feu de circulation, l'état dudit feu de circulation, 10 - si ledit objet est un panneau de signalisation routière, un identifiant du type de ce panneau de signalisation routière, - si ledit objet est un évènement routier, la catégorie de cet évènement routier (animal, plaque de verglas...). L'invention concerne aussi un véhicule automobile comportant : 15 - des capteurs adaptés à mesurer des données internes qui sont relatives au véhicule automobile et/ou à son environnement, - des moyens de communication adaptés à recevoir des données externes émises par au moins une entité émettrice, et - un calculateur adapté à mettre en correspondance les données internes 20 et les données externes pour détecter une éventuelle anomalie dans les données internes et à émettre une alerte si une anomalie est détectée. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et 25 comment elle peut être réalisée. Sur les dessins annexés : - la figure 1 est une vue schématique de dessus de véhicules automobiles roulant sur une route ; - les figures 2, 4, 5, 7 et 9 sont des vues schématiques de dessus de la 30 route de la figure 1, sur chacune desquelles est représenté un seul des véhicules automobiles de la figure 1 et les positions des objets que ce véhicule automobile détecte ; - la figure 3 est une vue schématique de dessus de la route de la figure 1, sur laquelle est représenté le véhicule automobile plus particulièrement 7 considéré dans le présent exposé ainsi que les positions des véhicules automobiles adaptés à communiquer avec le véhicule automobile considéré ; - les figures 6, 8 et 10 sont des vues schématiques de dessus de la route de la figure 1, sur chacune desquelles sont représentés les positions des 5 véhicules automobiles adaptés à communiquer avec le véhicule automobile considéré ainsi que les objets détectés par ces véhicules automobiles ; et - la figure 11 est une vue schématique de dessus du véhicule automobile considéré. La figure 1 représente six véhicules automobiles 20, 21, 22, 30, 31, 32 10 qui empruntent une même route 10. Ces véhicules roulent indistinctement sur l'une ou l'autre des quatre voies de circulation 11, 12, 13, 14 de cette route 10. Cette situation est destinée à expliquer l'invention, laquelle invention ne se limitera bien entendu pas à cette seule situation. Dans la situation ici étudiée, on considérera plus particulièrement l'un de 15 ces six véhicules automobiles, qui sera ci-après désigné « véhicule considéré 20 ». Parmi les cinq autres véhicules automobiles, on considérera que deux d'entre eux sont équipés des mêmes systèmes électroniques que le véhicule considéré 20 et qu'ils pourront donc communiquer avec ce dernier. Ces deux 20 véhicules automobiles seront ci-après désignés « véhicules connectés 21, 22 ». Ces véhicules connectés 21, 22 sont des « entités émettrices » en ce sens qu'elles sont capables de communiquer avec le véhicule considéré 20. En variante, l'invention s'appliquerait de la même façon si ces véhicules connectés 21, 22 étaient remplacés par tout autre type d'entité émettrice (piéton ou cycliste 25 équipé d'un smartphone ou d'un appareil mobile connecté, infrastructure routière fixe et communicante...). Dans l'exemple illustré, on considérera enfin que les trois autres véhicules automobiles 30, 31, 32 ne sont pas adaptés à communiquer avec le véhicule considéré 20. Ils seront ci-après désignés « véhicules tiers 30, 31, 32 ». 30 Ils seront donc simplement considérés comme des « objets », au même titre qu'une infrastructure routière, un obstacle sur la route... On peut tout d'abord décrire les seuls éléments du véhicule considéré 20 utiles à la compréhension de l'invention (on considérera que les véhicules connectés 21, 22 sont équipés de ces mêmes éléments). 8 Comme le montre la figure 11, le véhicule considéré 20 comprend un calculateur 71, un module de communication sans fil 72, un système de géolocalisation 73, un module d'alerte 74, et différents capteurs d'objets. Dans le mode de réalisation ici décrit, le calculateur 71 sera distinct des 5 modules et système précités. En variante, il pourrait être intégré à l'un d'entre eux. Le module de communication sans fil 72 est conçu pour établir des communications sans fil avec les véhicules connectés 21, 22 avoisinants (situés typiquement à une distance de quelques centaines de mètres au maximum, par exemple à une distance inférieure à un seuil maximal compris entre 300 m et 1 10 km). Ce module de communication sans fil 72 est équipé d'un système de protection contre les attaques informatiques, de sorte qu'on considérera dans la suite que les informations fournies par ce module au calculateur 71 sont fiables. Le système de géolocalisation 73 comporte quant à lui un capteur adapté à déterminer les coordonnées géolocalisées du véhicule considéré 20. Il s'agira ici 15 par exemple d'un récepteur GNSS permettant de déterminer les coordonnées du véhicule automobile dans un référentiel absolu, par exemple les coordonnées GPS. Ce récepteur GNSS pourrait par exemple être complété (ou remplacé) par une centrale inertielle. Le module d'alerte 74 est quant à lui conçu pour émettre un signal 20 d'alerte (ou « rapport d'anomalie ») quand cela s'avère nécessaire. Il est plus précisément ici conçu pour émettre ce rapport d'anomalie sur le bus CAN du véhicule considéré 20, de façon à ce que d'autre systèmes du véhicule puisse tirer parti de ce signal. Ainsi, ce rapport d'anomalie pourra par exemple être employé pour 25 générer : - un message vocal sur les haut-parleurs du véhicule considéré 20, - un message écrit sur un écran du véhicule considéré 20, - un signal de commande des systèmes de pilotage du véhicule considéré 20 (par exemple pour commander l'arrêt automatique sur la bande 30 d'arrêt d'urgence du véhicule). On notera ici que le rapport d'anomalie désignera de préférence l'équipement qui est à la source de l'anomalie, ainsi que le problème affectant cet équipement. Cela sera détaillé dans la suite de cet exposé. Les capteurs d'objets peuvent se présenter sous différentes formes et en 9 des nombres très variés. Tel que cela a été représenté sur la figure 11, ils comportent : - quatre caméras grand angle 52, 53, 54, 55 répartis sur les quatre côtés du véhicule considéré 20, qui couvrent chacun un angle de plus de 120 degrés, 5 - éventuellement, une caméra frontale à angle restreint orientée vers l'avant du véhicule considéré 20, - un détecteur RADAR 51 orienté vers l'avant du véhicule considéré 20, - un détecteur LIDAR 56 implanté sur le toit et qui couvre un secteur angulaire ici égal à 360 degrés, et 10 - éventuellement d'autres détecteurs RADAR 61, 62, 63, 64, par exemple implantés à l'arrière et sur les côtés du véhicule. Le calculateur 71 comporte ici un processeur (CPU), une mémoire et différentes interfaces d'entrée et de sortie. En variante, il pourrait être formé de différents processeurs par exemple répartis dans différents systèmes 15 électroniques du véhicule. Grâce à ses interfaces d'entrée, le calculateur 71 est adapté à recevoir des signaux d'entrée provenant des différents capteurs précités et du module de communication sans fil 72. Il est également adapté à recevoir des signaux d'autres systèmes internes du véhicule (par exemple d'un système ABS, d'un système de 20 contrôle du moteur...) afin par exemple d'obtenir des informations sur la vitesse du véhicule, sur son accélération... Grâce à ses interfaces de sortie, le calculateur 71 est adapté à transmettre des signaux de sortie, notamment depuis le module d'alerte 74 vers le réseau CAN. 25 Grâce à sa mémoire, le calculateur 71 mémorise des données utilisées dans le cadre du procédé décrit ci-dessous. Il mémorise notamment une application informatique, constituée de programmes d'ordinateur comprenant des instructions dont l'exécution par le processeur permet la mise en oeuvre par le calculateur du procédé décrit ci-après. 30 Classiquement, le calculateur est programmé pour mettre en oeuvre un algorithme de manière récursive, c'est-à-dire en boucle et à pas de temps réguliers. Il est notamment programmé pour acquérir à chaque pas de temps les données mesurées par les différents capteurs embarqués dans le véhicule 10 considéré 20, notamment par les capteurs d'objets. Il est ensuite programmé pour utiliser ces données de différentes façons, par exemple pour alerter le conducteur en cas d'objet situé sur la trajectoire du véhicule considéré 20, ou pour assurer la conduite autonome du véhicule 5 considéré 20. On comprend donc l'importance d'obtenir des capteurs des données fiables. C'est la raison pour laquelle le calculateur 71 met également en oeuvre le procédé de détection d'anomalie décrit ci-après (on pourra ici noter que le 10 calculateur pourrait, en variante, être dédié uniquement à la mise en oeuvre de ce procédé de détection d'anomalie). Ce procédé comporte cinq étapes majeures successives, mises en oeuvre de façon récursive. Au cours d'une première étape dite de mesure, le calculateur 71 acquiert 15 les dernières données mesurées par les capteurs 51, 52, 53, 54, 55, 56, 61, 62, 63, 64, 73 équipant le véhicule automobile 20 et par les autres systèmes internes du véhicule (système ABS, système de contrôle moteur...). Ces données seront ci-après appelées « données internes ». Elles sont relatives au véhicule automobile 20 et à son environnement. 20 Les données internes sont ici utilisées pour générer deux flux d'informations, à savoir des informations « où suis-je » (de l'anglais « Here I am ») et des informations « que vois-je » (de l'anglais « What I see »). Les informations « où suis-je » sont relatives au véhicule considéré 20. Elles sont définies par la norme ETSI EN 302 637-2. Elles comprennent ici 25 l'ensemble des données de la liste qui suit, mais elles pourraient en variante comporter un nombre restreint de données ou un nombre au contraire plus élevé. Cette liste comprend les données suivantes : - la position géolocalisée du véhicule considéré 20 (issue du système de géolocalisation 73), 30 - la taille et/ou le type (camion, voiture, moto...) et/ou le modèle du véhicule considéré 20 (issu de la mémoire du calculateur 71), - la dynamique du véhicule considéré 20 (issue du système de géolocalisation 73 et/ou d'autres capteurs ou système interne du véhicule tels que des accéléromètres), à savoir l'orientation, la vitesse, la vitesse angulaire et 11 l'accélération du véhicule considéré 20, - un historique de trajet du véhicule considéré 20 (issu du système de géolocalisation 73), - une prédiction de trajet du véhicule considéré 20 (issue du système de 5 géolocalisation 73 et du calculateur 71), - un angle de braquage du volant du véhicule considéré 20 (issu d'un capteur ad hoc ou provenant d'un système interne du véhicule), - la position ou la pression exercée sur les pédales de frein et/ou d'accélérateur du véhicule considéré 20 (issu d'un capteur ad hoc ou provenant 10 d'un système interne du véhicule), - l'état allumé ou éteint des éclairages du véhicule considéré 20 (issu d'un capteur ad hoc ou provenant d'un système interne du véhicule). Les informations « que vois-je » sont relatives à l'environnement du véhicule considéré 20 tel qu'il est détecté par les capteurs d'objets de ce véhicule 15 considéré 20. Elles sont définies par la future norme ETSI TS 103 324. Elles comprennent ici l'ensemble des données de la liste qui suit, mais elles pourraient en variante comporter un nombre restreint de données ou un nombre au contraire plus élevé. Cette liste comprend les données suivantes : - les dimensions de chaque objet détecté, 20 - une catégorie à laquelle appartient chaque objet détecté (voiture, camion, moto, piéton, cycliste, objet indéterminé, infrastructure routière tel que panneau de signalisation, feu tricolore, marquage au sol, délimitation de route....), - la couleur de chaque objet détecté, - la position de chaque objet détecté, 25 - la dynamique de chaque objet détecté, - une prédiction du trajet de chaque objet détecté, - un niveau de confiance dans la détection de chaque objet détecté (ce niveau de confiance étant par exemple lié à la fiabilité du capteur ayant détecté l'objet). 30 A ce stade, à partir des données internes ayant permis de déterminer les informations « où suis-je » et « que vois-je », le calculateur 71 est en mesure d'établir une représentation principale V20A illustrative de son environnement, sur laquelle est représenté chaque objet détecté ainsi que le véhicule considéré lui-même. 12 Une illustration de cette représentation principale V2OA est donnée sur la figure 5. On y observe le véhicule considéré 20, ainsi que quatre vignettes 30Ao, 21Ao, 31Ao, 32A0 correspondant aux quatre véhicules 30, 21, 31, 32 représentés sur la figure 1 qui sont visibles par les capteurs du véhicule considéré 20. Une 5 étiquette PAR est associée à chaque vignette 30Ao, 21Ao, 31Ao, 32A0. Cette représentation principale V2OA illustre la position de ces véhicules à un instant donné. Elle illustre également, par ses étiquettes PAR, les caractéristiques associées à chaque véhicule (ces caractéristiques étant issues de la même source que les informations « où suis-je » et « que vois-je »). On note ici 10 que les étiquettes PAR peuvent permettre de caractériser l'évolution des caractéristiques au cours du temps de chaque objet détecté et du véhicule considéré 20. En d'autres termes, cette représentation principale consiste à positionner dans un référentiel donné le véhicule considéré 20 lui-même et les objets détectés 15 par les capteurs du véhicule considéré 20, en associant au véhicule considéré et aux objets détectés des caractéristiques (dimension, dynamique, etc). Au cours d'une seconde étape dite de réception, le calculateur 71 acquiert, via le module de communication sans fil 72, des données émises par les véhicules connectés 21, 22 avoisinants. Ces données seront ci-après appelées 20 « données externes ». Elles sont relatives aux véhicules connectés 21, 22 et à leurs environnements. En pratique, les véhicules connectés 21, 22 sont eux aussi adaptés à générer des flux d'informations du type « que vois-je » et « où suis-je ». Ils les transmettent alors au véhicule considéré 20 via leurs modules de communication 25 sans fil 72. Par conséquent, en recevant des informations « que vois-je » des véhicules connectés 21, 22, le calculateur 71 est en mesure d'établir deux représentations alternatives V21, V22 illustratives de l'environnement des véhicules connectés 21, 22 et sur lesquelles sont représentés les objets détectés 30 par ces véhicules et les caractéristiques associés à ces objets. Ces deux représentations alternatives V21, V22 sont respectivement illustrées sur les figures 2 et 4. Sur la représentation alternative V21 illustrée sur la figure 2, on observe le véhicule connecté 21, ainsi que trois vignettes 30A1, 31A1, 20A1 correspondant 13 aux trois véhicules 20, 30, 31 représentés sur la figure 1 qui sont visibles par les capteurs du véhicule connecté 21 (ainsi que les quatre étiquettes PAR correspondantes). Sur la représentation alternative V22 représentée sur la figure 4, on 5 observe l'autre véhicule connecté 22, et deux vignettes 31 A2, 32A2 correspondant aux deux véhicules 31, 32 représentés sur la figure 1 qui sont visibles par les capteurs du véhicule connecté 22 (ainsi que les étiquettes PAR correspondantes). En recevant des informations « où suis-je » des véhicules connectés 21, 22, le calculateur 71 est aussi en mesure d'établir une troisième représentation 10 alternative P20 représentative des positions des véhicules connectés 21, 22 par rapport au véhicule considéré 20. Cette troisième représentation alternative P20 est représentée sur la figure 3. On y observe le véhicule considéré 20, et deux vignettes 21B, 22B correspondant aux deux véhicules connectés 21, 22 (ainsi que les étiquettes PAR 15 correspondantes). A partir de ces trois représentations alternatives P20, V21, V22 illustrées sur les figures 2 à 4, le calculateur 71 établit une représentation alternative globale V23 sur laquelle apparaissent l'ensemble des vignettes et des étiquettes représentées sur les trois représentations alternatives P20, V21, V22 (voir figure 20 6). En d'autres termes, cette représentation alternative positionne dans un référentiel donné les deux véhicules connectés 21, 22 et les objets détectés par ces deux véhicules connectés, en y associant leurs caractéristiques (dimension, dynamique, etc). On observe qu'un des objets détectés correspond au véhicule 25 considéré 20. A ce stade, le calculateur 71 a donc en mémoire la représentation principale V20A représentée sur la figure 5 et la représentation alternative globale V23 représentée sur la figure 6. Alors, au cours d'une troisième étape dite de détection, le calculateur va 30 chercher à détecter une éventuelle anomalie dans les données internes mesurées par ses capteurs. Pour cela, il met en correspondance les données internes mesurées par ses capteurs et les données externes reçues des véhicules connectés 21, 22. En pratique, il détermine dans quelle mesure les représentations 14 principale V20A et alternative globale V23 correspondent. Le calculateur 71 détermine pour cela tout d'abord si l'ensemble des vignettes représentées sur la représentation principale V20A se superposent à des vignettes représentées sur la représentation alternative globale V23. 5 Il vérifie ensuite si les étiquettes des vignettes qui se superposent comportent des caractéristiques (vitesse, accélération, couleur...) identiques. Pour bien comprendre comment cette étape est mise en oeuvre, on peut à ce stade envisager trois cas. Le premier cas est celui où les données internes et les données externes 10 sont fiables. Ce cas est illustré sur les figures 5 et 6. Dans ce cas, la position du véhicule considéré 20 sur la représentation principale V20A correspond bien à la position d'une vignette 20A1 sur la représentation alternative globale V23. En d'autres termes, la position du véhicule considéré 20 obtenue par le 15 système de géolocalisation 73 correspond bien à la position où les véhicules connectés 21, 22 détectent le véhicule considéré 20. En outre, la position des quatre vignettes 30A0, 21A0, 31A0, 32A0 sur la représentation principale V20A correspond bien à la position d'au moins quatre des vignettes 30A1, 21B, 31A1, 31 A2, 32A2 de la représentation alternative globale 20 V23. En d'autres termes, les positions des objets détectés par les capteurs d'objet du véhicule considéré 20 correspondent bien aux positions des véhicules connectés 21, 22 ou aux positions des objets détectés par ces véhicules connectés 21, 22. 25 Ici, on remarquera que le véhicule tiers 31 a été détecté par les deux véhicules connectés 21, 22, si bien qu'il est représenté sur la représentation alternative globale V23 par deux vignettes 31A1, 31A2 auxquelles se superpose bien l'une des vignettes 31A0 de la représentation principale V20A. Enfin, les étiquettes PAR des vignettes correspondantes sur ces deux 30 représentations comportent des caractéristiques aux valeurs sensiblement identiques (même vitesse, même accélération, même couleur, même état des feux. ). Dans ce premier cas, aucune anomalie n'est donc détectée par le calculateur 71. Le procédé s'achève alors ici. 15 Le second cas est celui où les données internes issues des capteurs d'objets présentent des anomalies, alors que les données externes sont fiables. Ce cas est illustré sur les figures 7 et 8 (la figure 8 étant identique à la figure 6 du fait qu'ici, les données externes sont fiables). 5 On observe que sur la figure 7, les positions des vignettes 40, 41, 42 ne correspondent pas aux positions des véhicules environnants. On comprend donc bien que les capteurs d'objets du véhicule considéré 20 sont défaillants mais que son système de géolocalisation 73 fonctionne correctement. Dans ce cas, la position du véhicule considéré 20 sur la représentation 10 principale V20B correspond à la position d'une vignette 20A1 sur la représentation alternative globale V23. En revanche, la position des trois vignettes 40, 41, 42 sur la représentation principale V20B ne correspond pas à la position des vignettes 30A1, 21 B, 31A1, 31 A2, 32A2 sur la représentation alternative globale V23. 15 Dans ce second cas, trois anomalies correspondant aux trois vignettes 40, 41, 42 sont détectées par le calculateur 71. Le calculateur ouvre alors trois nouveaux enregistrements dans une base de données stockée dans sa mémoire, chacun associé à une de ces anomalies, ce qui va permettre de générer des rapports d'anomalie. 20 Puis, le calculateur 71 associe chacune des vignettes 40, 41, 42 de la représentation principale V20B à l'une des vignettes de la représentation alternative globale V23 (à savoir à la vignette la plus proche), et il calcule l'écart entre ces deux vignettes associées. Chaque écart ainsi calculé est mémorisé dans l'enregistrement correspondant de la base de données stockée dans la mémoire 25 du calculateur 71. Le calculateur 71 identifie également le ou les systèmes concernés par chaque anomalie. Un identifiant de ce capteur est mémorisé dans l'enregistrement correspondant de la base de données. Plus précisément, le calculateur va identifier le ou les systèmes 30 concernés par cette anomalie. La façon selon laquelle ces anomalies seront traitées sera détaillée ci-après. Avant cela, on peut décrire un troisième cas, à savoir celui où seules les données internes issues du système de géolocalisation 73 présentent des anomalies, alors que les données externes sont fiables. Ce cas n'est pas illustré. 16 Dans ce cas, la position relative des vignettes sur la représentation principale correspond à la position relative des vignettes sur la représentation alternative globale ("position relative" signifiant distance et orientation des objets par rapport au véhicule considéré 20 - c'est-à-dire position dans un référentiel 5 centré sur le véhicule considéré 20). En revanche, la position absolue (en coordonnées GPS ou dans un référentiel non centré sur le véhicule 20 - le référentiel géocentrique par exemple) du véhicule considéré 20 et des vignettes sur la représentation principale diffère de la position absolue des vignettes sur la représentation alternative globale. 10 Dans ce troisième cas, une anomalie est alors détectée par le calculateur 71. Le calculateur ouvre alors dans sa base de données un nouvel enregistrement associé à cette anomalie (un rapport d'anomalie est alors généré). Puis, le calculateur 71 calcule l'écart entre la position absolue du véhicule considéré 20 sur la représentation principale et la position absolue de la 15 vignette correspondante sur la représentation alternative globale. Cet écart est mémorisé dans cet enregistrement. Un identifiant du système de géolocalisation 73 y est également mémorisé. Au cours d'une quatrième étape, la calculateur 71 génère un rapport d'anomalie indiquant : 20 - le type d'anomalie : géolocalisation erronée, - l'indice de confiance de la détection d'anomalie (voir ci-dessous), - le ou les système(s) concerné(s) : le système de géolocalisation 73, - le ou les sous-système(s) concerné(s) : le récepteur GNSS. Ce rapport d'anomalie servira aux systèmes du véhicule (recevant ce 25 rapport) à adapter leur fonctionnement. Par exemple, le système de pilotage automatique du véhicule, qui utilise la position du véhicule calculée par le système de géolocalisation 73, se désactivera alors en demandant au conducteur humain de reprendre le contrôle du véhicule. Les systèmes du véhicule recevant ce rapport d'anomalie pourront 30 éventuellement décider de ne pas prendre en compte l'anomalie signalée dans ce rapport si le niveau de confiance dans la détection de cette anomalie est jugé comme étant faible. Dans ce rapport d'anomalie, l'indice de confiance permet aux systèmes du véhicule recevant ce rapport de contrôler avec une grande fiabilité la réalité 17 d'une anomalie détectée dans les données internes mesurées par les capteurs du véhicule considéré 20 ou par d'autres systèmes du véhicule. Cet indice de confiance dans la détection d'anomalie pourra être calculé en prenant en compte : 5 - la fréquence d'occurrence de détection d'une même anomalie au cours du temps, - le nombre d'émetteurs de données externes signalant un même objet, - la précision et l'incertitude des données externes reçues, - la précision et l'incertitude des données internes calculées, 10 - les résultats des divers contrôles effectués au préalable par le véhicule sur les données externes reçues (par exemple un contrôle de cohérence entre la puissance du signal et la position de l'entité émettant les données externes, laquelle position est indiquée dans les données externes). A titre d'exemple, l'indice de confiance pourra être égal à la somme des 15 notes affectées à chacun de ces critères, chaque note étant comprise entre 1 et 10. Si cet indice de confiance dépasse un seuil prédéterminé, le calculateur 71 est programmé pour émettre, au cours d'une cinquième étape dite d'émission, un rapport d'anomalie comportant une désignation du capteur identifié comme 20 défaillant et une désignation du problème (erreur de coordonnées GPS, problème de détection de position relative, problème de détection de vitesse relative...). Comme cela a été exposé supra, ce rapport d'anomalie pourra être utilisé ensuite par exemple pour avertir l'usager de cette défaillance et/ou pour avertir un technicien travaillant ultérieurement sur le véhicule que le capteur est 25 défaillant, et/ou pour adapter le pilotage du véhicule en tenant compte de cette défaillance. A ce stade, on peut envisager trois autres exemples pour bien comprendre la portée de l'invention, et notamment la manière selon laquelle le rapport d'anomalie est élaboré. 30 Dans le premier exemple, on considérera que les représentations principale et alternative sont identiques si on tient compte uniquement des positions des vignettes (cas des figures 5 et 6). Dans ce premier exemple, si on compare les étiquettes PAR des vignettes de la représentation principale avec les étiquettes PAR des vignettes 18 correspondantes de la représentation alternative, on constate en revanche une discordance systématique entre l'une des caractéristiques (la vitesse) des vignettes correspondant aux véhicules situés dans le champ de vision avant du véhicule considéré 20. 5 Le rapport d'anomalie qui est alors émis sur le bus CAN du véhicule considéré comporte les quatre informations suivantes : - le type d'anomalie : problème de mesure de vitesse (il peut être précisé si la vitesse est sous-estimée ou surestimée), - l'indice de confiance de la détection d'anomalie (calculé comme cela a 10 été exposé supra), - le ou les système(s) concerné(s) : les systèmes de détection d'objet frontal, - le ou les sous-système(s) concerné(s) : la caméra frontale 52, le détecteur RADAR frontal 51, le détecteur LIDAR 56. 15 Le deuxième exemple intervient lorsque les représentations principale et alternative sont radicalement différentes, notamment si on considère uniquement les positions des vignettes. Dans ce deuxième exemple, il est alors prévu de comparer la représentation principale à l'instant courant (t) avec les représentations 20 alternatives aux instants précédents (t-1, t-2...) et/ou de comparer la représentation alternative à l'instant courant (t) avec les représentations principales aux instants précédents (t-1, t-2...). Alors, si on constate que les représentations principale et alternative correspondent avec un décalage de temps, on peut conclure à un problème 25 d'horodatage et de calcul du temps. Le rapport d'anomalie qui est alors émis sur le bus CAN du véhicule considéré comporte les quatre informations suivantes : - le type d'anomalie : problème d'horodatage et de calcul du temps, - l'indice de confiance de la détection d'anomalie (calculé comme cela a 30 été exposé supra), - le ou les système(s) concerné(s) : le système de synchronisation temporel, - le ou les sous-système(s) concerné(s) : le récepteur GNSS. Le troisième exemple intervient lorsque les représentations principale et 19 alternative sont identiques sauf dans le champ de vision avant du véhicule (cas des figures 9 et 10). Le rapport d'anomalie qui est alors émis sur le bus CAN du véhicule considéré comporte les quatre informations suivantes : 5 - le type d'anomalie : détection d'objets erronée, - l'indice de confiance de la détection d'anomalie (calculé comme cela a été exposé supra), - le ou les système(s) concerné(s) : le système de détection d'objet frontal, 10 - le ou les sous-système(s) concerné(s) : la caméra frontale 52, le détecteur RADAR frontal 51, le détecteur LIDAR 56. En résumé, pour émettre le rapport d'anomalie, il est prévu une étape de détermination du type d'anomalie, une étape de calcul d'un indice de confiance dans la qualité de la détection d'anomalie, une étape de tentative de détection des 15 différents systèmes affectés par l'anomalie, et une étape de tentative de détection des différents sous-systèmes affectés par l'anomalie. On notera par ailleurs que dans tous ces exemples, on ne considère qu'une seule défaillance à la fois, mais les défaillances pourraient se cumuler. Le procédé, s'il est mis en oeuvre de la même manière que précité, permettra de 20 générer un ou plusieurs rapports d'anomalie signalant plusieurs anomalies simultanées. On notera que dans certains cas, les systèmes et sous-systèmes affectés par une anomalie pourraient ne pas être identifiés précisément. La présente invention n'est nullement limitée au mode de réalisation 25 décrit et représenté, mais l'homme du métier saura y apporter toute variante conforme à l'invention. Ainsi, le procédé de détection pourra se baser sur un nombre réduit de données. Il pourrait se baser sur des données internes relatives uniquement à 30 l'état du véhicule considéré 20 et sur des données externes relatives uniquement à l'environnement tel qu'il est vu par les véhicules connectés 21, 22 (dans cette variante, la représentation alternative P20 représentée sur la figure 3 n'est pas établie, ce qui n'empêche pas de mettre en oeuvre le procédé décrit supra). A contrario, le procédé de détection pourrait se baser sur des données 20 internes relatives uniquement à l'environnement tel qu'il est vu par le véhicule considéré 20 et sur des données externes relatives uniquement aux véhicules connectés 21, 22 (dans cette variante, la représentation alternative P20 représentée sur la figure 3 est la seule à être établie afin d'être comparée à la 5 représentation principale V20A, ce qui permet de mettre en oeuvre le procédé décrit supra de façon dégradée). Selon une autre variante de l'invention, les données externes considérées pourrait être émises par d'autres types d'entités émettrices que les véhicules connectés, à savoir notamment par des infrastructures routières 10 connectées (bornes de bord de voies, antennes relais...) et par des téléphones mobiles de piétons, cyclistes, motards ou conducteurs de véhicules non-connectés. Encore en variante, on pourrait utiliser, en complément ou à la place des messages « que vois-je » et « où suis-je », d'autres types de messages. 15 Typiquement, il pourra s'agir de message SPAT et MAP (définis dans les normes ISO 19091 et SAE J2735) décrivant respectivement l'état des feux de circulation et la topologie d'une intersection (description des voies de circulations et des possibilités de déplacement entre elles), ou encore de messages IVI (définis par la norme ISO/TS 19321) décrivant les panneaux de signalisation routière et aussi de 20 messages DENM (de l'anglais « Decentralized Environmental Notification Message » ou message de notification d'environnement décentralisée, définis par la norme ETSI EN 302 637-3), lesquels messages décrivent des évènements routiers : plaque de verglas, embouteillages, animal sur la route... De façon plus générale, le véhicule considéré prendra en compte le plus grand nombre de 25 messages venant de l'extérieur REVENDICATIONS1. Procédé de détection d'anomalie dans la perception par un véhicule automobile (20) de son environnement et de sa situation dans cet environnement, comportant : - une étape de mesure, par des capteurs (51, 52, 53, 54, 55, 56, 61, 62, 63, 64, 73) équipant le véhicule automobile (20), de données internes qui sont relatives au véhicule automobile (20) et/ou à son environnement, - une étape de réception, par des moyens de communication (72) équipant le véhicule automobile (20), de données externes émises par au moins une entité émettrice (21, 22), lesdites données externes étant relatives à l'environnement de ladite entité émettrice (21, 22) et/ou à ladite entité émettrice (21, 22), et - une étape de détection d'une éventuelle anomalie dans les données internes mesurées, compte tenu du résultat d'une mise en correspondance des données internes et des données externes. 2. Procédé de détection d'anomalie selon l'une des revendications précédentes, dans lequel : - à l'étape de mesure, le véhicule automobile (20) établit une représentation principale (V20A, V20B, V200) de son environnement, à partir des données internes mesurées, - à l'étape de réception, le véhicule automobile (20) établit une représentation alternative (V23) de son environnement, à partir des données externes reçues, et - à l'étape de détection, le véhicule automobile détermine dans quelle mesure les représentations principale (V20A, V20B, V200) et alternative (V23) correspondent. 3. Procédé de détection d'anomalie selon la revendication précédente, dans lequel : - la représentation principale (V20A, V20B, V20C) est établie en positionnant dans un référentiel donné chaque objet (21, 22, 30, 31, 32) détecté par les capteurs (51, 52, 53, 54, 55, 56, 61, 62, 63, 64, 73), et - la représentation alternative (V23) est établie en positionnant dans un référentiel donné chaque entité émettrice (21, 22) et/ou chaque objet (20, 21, 22, 22 30, 31, 32) détecté par des capteurs équipant chaque entité émettrice (21, 22). 4. Procédé de détection d'anomalie selon la revendication précédente, dans lequel, à l'étape de détection, le véhicule automobile (20) détermine dans quelle mesure la position de chaque objet (21, 22, 30, 31, 32) de la représentation 5 principale correspond à la position de chaque entité émettrice (21, 22) et/ou de chaque objet (20, 21, 22, 30, 31, 32) sur la représentation alternative. 5. Procédé de détection d'anomalie selon l'une des deux revendications précédentes, dans lequel : - la représentation principale (V20A, V20B, V200) est établie en 10 spécifiant, outre la position de chaque objet (21, 22, 30, 31, 32), au moins une autre caractéristique de chaque objet (21, 22, 30, 31, 32) détecté par les capteurs (51, 52, 53, 54, 55, 56, 61, 62, 63, 64, 73), et - la représentation alternative (V23) est établie en spécifiant, outre la position de chaque entité émettrice (21, 22) et/ou la position de chaque objet (20, 15 21, 22, 30, 31, 32) détecté par des capteurs équipant chaque entité émettrice (21, 22), au moins une autre caractéristique de chaque entité émettrice (21, 22) et/ou de chaque objet (20, 21, 22, 30, 31, 32) détecté par des capteurs équipant chaque entité émettrice (21, 22). 6. Procédé de détection d'anomalie selon la revendication précédente, 20 dans lequel, à l'étape de détection, le véhicule automobile (20) détermine dans quelle mesure ladite autre caractéristique de chaque objet (21, 22, 30, 31, 32) de la représentation principale correspond à ladite autre caractéristique de chaque entité émettrice (21, 22) et/ou de chaque objet (20, 21, 22, 30, 31, 32) sur la représentation alternative. 25 7. Procédé de détection d'anomalie selon l'une des revendications précédentes, dans lequel, suite à l'étape de détection, il est prévu une étape de calcul de la valeur d'un indice de confiance dans la détection d'anomalie, en fonction au moins de la fréquence d'occurrence de détection d'anomalies dans le temps. 30 8. Procédé de détection d'anomalie selon la revendication précédente, dans lequel l'indice de confiance est calculé en fonction également de l'un au moins des paramètres suivants : - le nombre d'entité émettrice émettant des données externes, - la précision et l'incertitude de la donnée externe reçue, 23 - la précision et l'incertitude de la donnée interne, - le résultat d'un contrôle effectué sur la donnée externe reçue, - le type du capteur ayant mesuré la donnée externe,- le type du capteur ayant mesuré la donnée interne. 5 9. Procédé de détection d'anomalie selon l'une des revendications précédentes, dans lequel : - à l'étape de détection, un calculateur équipant le véhicule identifie chaque capteur affecté par une erreur, puis - il est prévu une étape d'émission au cours de laquelle le calculateur 10 émet vers d'autres systèmes du véhicule un signal d'alerte comportant une désignation de chaque capteur identifié et/ou une désignation de l'anomalie. 10. Procédé de détection d'anomalie selon l'une des revendications précédentes, dans lequel les données externes sont relatives à ladite entité émettrice (21, 22) et comprennent au moins l'un des éléments de la liste suivante : 15 - la position absolue de ladite entité émettrice (21, 22), - une dimension de ladite entité émettrice (21, 22), - une catégorie d'objet à laquelle appartient ladite entité émettrice (21, 22), - l'orientation de ladite entité émettrice (21, 22), 20 - la vitesse de ladite entité émettrice (21, 22), - la vitesse angulaire de ladite entité émettrice (21, 22), - l'accélération de ladite entité émettrice (21, 22), - un historique de trajet de ladite entité émettrice (21, 22), - une prédiction de trajet de ladite entité émettrice (21, 22), 25 - un angle de braquage du volant de ladite entité émettrice (21, 22) lorsque ladite entité émettrice est un autre véhicule automobile, - la position ou la pression exercée sur les pédales de frein et/ou d'accélérateur dudit autre véhicule automobile (21, 22), - l'état des éclairages dudit autre véhicule automobile (21, 22). 30 11. Procédé de détection d'anomalie selon l'une des revendications précédentes, dans lequel les données externes sont relatives à chaque objet (20, 21, 22, 30, 31, 32) de l'environnement détecté par ladite entité émettrice (21, 22) et comprennent au moins l'un des éléments de la liste suivante : - une dimension dudit objet (20, 21, 22, 30, 31, 32), 24 - une catégorie à laquelle appartient ledit objet (20, 21, 22, 30, 31, 32), - la couleur dudit objet (20, 21, 22, 30, 31, 32), - la position dudit objet (20, 21, 22, 30, 31, 32), - la dynamique dudit objet (20, 21, 22, 30, 31, 32), 5 - une prédiction du trajet dudit objet (20, 21, 22, 30, 31, 32), - un niveau de confiance dans la détection dudit objet (20, 21, 22, 30, 31, 32), - si ledit objet est un feu de circulation, l'état dudit feu de circulation, - si ledit objet est un panneau de signalisation routière, un identifiant du 10 type de ce panneau de signalisation routière, - si ledit objet est un évènement routier, la catégorie de cet évènement routier. 12. Véhicule automobile (20) comportant : - des capteurs (51, 52, 53, 54, 55, 56, 61, 62, 63, 64, 73) adaptés à 15 mesurer des données internes qui sont relatives au véhicule automobile (20) et/ou à son environnement, - des moyens de communication (72) adaptés à recevoir des données externes émises par au moins une entité émettrice (21, 22), et - un calculateur (71) adapté à mettre en correspondance les données 20 internes et les données externes pour détecter une éventuelle anomalie dans les données internes et à émettre une alerte si une anomalie est détectée.