Brevet FR3090547A1 — publié le 20200626

Description Titre de l'invention : Dispositif de vérification d'une carte haute définition d'un véhicule automobile [0001] La présente invention concerne un dispositif de vérification d'une carte haute dé- finition d'un véhicule automobile. La présente invention concerne également un procédé de vérification associé. Elle trouve une application particulière mais non limitative dans le domaine des véhicules automobiles. [0002] Dans le domaine (les véhicules automobiles qui utilisent des fonctions d'aide à la conduite, une carte haute définition est utilisée. Elle comprend des données décrivant l'environnement des véhicules automobiles telles que la géométrie de la route sur laquelle se trouve les véhicules automobiles, les règles de circulation, ou encore les repères de circulation. [0003] Un inconvénient de cet état de la technique antérieur est que les données de la carte haute définition peuvent être l'objet de cyber-attaques visant à les modifier ou supprimer. Or, ces données doivent être fiables, robustes et à jour pour permettre de prendre des décisions pour les fonctions d'aide à la conduite. [0004] Dans ce contexte, la présente invention vise à proposer un dispositif de vérification des données d'une carte haute définition d'un véhicule automobile qui permet de résoudre l'inconvénient mentionné. [0005] A cet effet, l'invention propose un dispositif de vérification d'une carte haute dé- finition d'un véhicule automobile primaire, ladite carte haute définition comprenant des données primaires décrivant l'environnement dudit véhicule automobile primaire, ledit dispositif de vérification étant configure pour : a. recevoir des données secondaires de l'environnement du véhicule automobile primaire provenant d'au moins un dispositif extérieur audit véhicule automobile, b. comparer lesdites données secondaires avec lesdites données primaires de ladite carte haute définition, c. générer un indice de confiance en fonction de ladite comparaison. [0006] Ainsi, comme on va le voir en détail, on vérifie l'intégrité des données primaires de la carte haute définition au moyen de données secondaires provenant de l'extérieur. On collecte ainsi à partir des données secondaires des informations de l'environnement du véhicule automobile primaire qui vont permettre de vérifier si les données primaires sont correctes, ont bien été mises à jour, ou encore ne présentent pas d'anomalies dues à une cyber-attaque par exemple. [0007] Selon des modes de réalisation non limitatifs, le dispositif de vérification peut 2 comporter en outre une ou plusieurs caractéristiques supplémentaires prises seules ou selon toutes les combinaisons techniquement possibles, parmi les suivantes. [0008] Selon un mode de réalisation non limitatif, lesdites données secondaires comprennent des informations relatives à l'environnement autour dudit véhicule automobile primaire. [0009] Selon un mode de réalisation non limitatif, ledit dispositif de vérification est en outre configure pour agréger lesdites données secondaires reçues. [0010] Selon un mode de réalisation non limitatif, ledit dispositif de vérification est en outre configure pour filtrer lesdites données secondaires reçues. [0011] Selon un mode de réalisation non limitatif, lesdites données secondaires reçues sont des données qui ont été agrégées par un serveur distant. [0012] Selon un mode de réalisation non limitatif, lesdites données secondaires reçues sont des données qui ont été filtrées par un serveur distant. [0013] Selon un mode de réalisation non limitatif, ledit dispositif de vérification est en outre configure pour envoyer un message d'alerte à une unité de calcul électronique dudit véhicule automobile primaire qui utilise ladite carte haute définition, lorsque ledit indice de confiance comprend une valeur inférieure à une valeur seuil. [0014] Selon un mode de réalisation non limitatif, lesdites données secondaires sont reçues via des messages d'alerte coopératifs, des messages DENM, des messages IVT, des messages SPAT, des messages MAP, ou des messages TPEG. [0015] Selon un mode de réalisation non limitatif, ledit dispositif extérieur est un véhicule automobile secondaire, une infrastructure, un serveur distant ou un dispositif porté par un piéton. [0016] Selon un mode de réalisation non limitatif, lesdites données secondaires comprennent a. les dimensions dudit au moins un véhicule automobile secondaire aux alentours dudit véhicule automobile primaire, et/ou b. état courant dynamique dudit au moins un véhicule automobile secondaire, et/ ou c. la trajectoire dudit au moins un véhicule automobile secondaire, et/ou d. un état de conduite dudit au moins un véhicule automobile secondaire. [0017] Selon un mode de réalisation non limitatif, ledit dispositif de vérification est une unité de calcul électronique dudit véhicule automobile primaire. [0018] un mode de réalisation non limitatif, ladite carte haute définition est mémorisée dans ledit véhicule automobile primaire ou est téléchargée en streaming. Elle peut ainsi être téléchargée à la volée via un serveur distant. [0019] 11 est également proposé un procédé de vérification d'une carte haute définition d'un véhicule primaire, ladite carte haute définition comprenant des données primaires 3 décrivant l'environnement dudit véhicule automobile primaire, ledit procédé de vérification comprenant : a. la réception de données secondaires de l'environnement du véhicule automobile primaire provenant d'un dispositif extérieur audit véhicule automobile, b. la comparaison desdites données secondaires avec lesdites données primaires de ladite carte haute définition, et c. la génération d'un indice de confiance en fonction de ladite comparaison. [0020] Selon un mode de réalisation non limitatif, le procédé de vérification comprend en outre l'envoi d'un message d'alerte à une unité de calcul électronique dudit véhicule automobile primaire qui utilise ladite carte haute définition, lorsque ledit indice de confiance comprend une valeur inférieure à une valeur seuil. [0021] L'invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent : [0022] la [fig.1] illustre schématiquement un dispositif de vérification d'une carte haute dé- finition d'un véhicule automobile, selon un mode de réalisation non limitatif de l' invention, [0023] la [fig.2] illustre un premier exemple non limitatif de vérification de la géométrie d'une route selon le dispositif de vérification de la figure 1, selon un mode de réalisation non limitatif, [0024] la [fig.3] illustre un deuxième exemple non limitatif de vérification de la géométrie d'une route selon le dispositif de vérification de la figure 1, selon un mode de réalisation non limitatif, [0025] la [fig.4] illustre schématiquement le dispositif de vérification de la figure 1, selon une première variante de réalisation non limitative, [0026] la [fig.5] illustre schématiquement le dispositif de vérification de la figure 1, selon une deuxième variante de réalisation non limitative, [0027] la [fig.6] illustre schématiquement un procédé de vérification d'une carte haute dé- finition d'un véhicule automobile mis en oeuvre par un dispositif de vérification de la figure 1, selon un mode de réalisation non limitatif de l'invention. [0028] Les éléments identiques, par structure ou par fonction, apparaissant sur différentes figures conservent, sauf précision contraire, les mêmes références. [0029] Le dispositif de vérification DISP d'une carte haute définition HD d'un véhicule au- tomobile primaire V1 est décrit en référence aux figures 1 et 2. Par véhicule automobile, on entend tout type de véhicule motorisé. [0030] Dans un premier mode de réalisation non limitatif, la carte haute définition HD est mémorisée dans ledit véhicule automobile primaire Vl. En particulier, elle est sauvegardée dans une ou plusieurs mémoires dudit véhicule automobile VI. Dans des variantes de réalisation non limitatives, la ou les mémoires sont volatiles (de type RAM dans un exemple non limitatif) ou non volatiles réinscriptibles (de type EEPROM ou FLASH dans des exemples non limitatifs) ou non réinscriptibles (de type ROM dans un exemple non limitatif). Dans un deuxième mode de réalisation non limitatif, la carte haute définition HD est téléchargée en streaming, à savoir à la volée, à partir d'un serveur distant (non illustré). [0031] La carte haute définition HD comprend des données primaires Dl décrivant l'environnement cl dudit véhicule automobile primaire Vl. Dans un mode de réalisation non limitatif, l'environnement cl est défini par une zone de l'ordre de 10 kilomètres autour du véhicule automobile primaire Vl. En particulier, c'est une carte qui décrit l'environnement cl en 3D du véhicule automobile primaire V1 . On notera que la carte haute définition HD est une carte dite dynamique puisqu'elle décrit l'environnement cl du véhicule automobile primaire V1 lorsque celui-ci est immobile ou lorsqu'il est en mouvement. Dans des modes de réalisation non limitatifs, elle est utilisée pour les fonctions d'aide à la conduite telles que le changement de voie, le dépassement, la régulation de vitesse, l'orientation automatique des phares etc. ou pour les véhicules automobiles autonomes. La carte haute définition HD décrit notamment : a. la géométrie gel de la route sur laquelle roule le véhicule automobile primaire V1 et les routes environnantes, b. les règles de circulation rel, et c. les repères de circulations cil. [0032] Dans un mode de réalisation non limitatif, la géométrie gel de la route comprend les courbes, la pente, les limites de la route, les zones à ponts, les zones à tunnels, le nombre de voies, le type de route (autoroute, nationale, etc.), le type de voie (embranchements, bandes d'arrêt d'urgence etc.). Dans un mode de réalisation non limitatif, les règles de circulation rel comprennent la topologie de la route, les vitesses limites etc. Dans un mode de réalisation non limitatif, les repères de circulations cil comprennent les panneaux de signalisation, les barrières de sécurité, les murs, les feux de circulation, les marquages de voies, les bordures, etc. [0033] Dans un mode de réalisation non limitatif illustré sur la figure 1, le dispositif de véri- fication est une unité de calcul électronique ECU1 dudit véhicule automobile primaire VI. Dans des modes de réalisation non limitatifs, l'unité de calcul électronique ECU1 est un microprocesseur ou un ASIC. [0034] Le dispositif de vérification DISP est configuré pour : a. recevoir des données secondaires D2 de l'environnement el du véhicule automobile primaire Vi provenant d'au moins un dispositif extérieur DE audit véhicule automobile Vi (fonction illustrée sur la figure 1 RX(D2, DE)). b. comparer lesdites données secondaires D2 avec lesdites données primaires Dl de ladite carte haute définition HD (fonction illustrée sur la figure 1 COMP(D2, Dl)), c. générer un indice de confiance (Idx) en fonction de ladite comparaison (fonction illustrée sur la figure 1 DEF(Idx)). [0035] Dans un premier mode de réalisation non limitatif illustré sur la figure 1, le dispositif extérieur DE est un véhicule automobile secondaire V2. Dans cc cas, la communication entre le véhicule automobile primaire V1 et le véhicule automobile secondaire V2 est appelée communication V2V. Dans un mode de réalisation non limitatif, ledit au moins un véhicule automobile secondaire V2 se trouve dans l'environnement cl du véhicule automobile primaire VI. Dans un mode de réalisation non limitatif, les données secondaires D2 sont reçues via des messages d'alerte coopératifs CAM définis dans le standard ETSI EN 302 637-2. Un message d'alerte coopératif CAM connu sous le terme anglo-saxon « Cooperative Warning Message » est autrement appelé message CAM dans la suite de la description. Ledit au moins un véhicule automobile secondaire V2 diffuse ces messages CAM. On notera qu'il peut y avoir plusieurs véhicules automobiles secondaires V2 dans l'environnement cl du véhicule automobile primaire Vl. Ainsi, dans un mode de réalisation non limitatif, plusieurs véhicules automobiles secondaires V2 diffusent des messages CAM. La diffusion des messages CAM est réalisée via un protocole de communication sans fil. Dans des modes de réalisation non limitatifs, le protocole de communication sans fil est un protocole de communication LTE, 5G ou WIFI. Les messages CAM sont diffusés périodiquement. Dans un mode de réalisation non limitatif, ils sont diffusés 10 fois par seconde et toutes les 100millisecondes. [0036] Dans un deuxième mode de réalisation non limitatif illustré sur la figure 1, le dispositif extérieur DE est une infrastructure fixe BS. Ainsi, les données secondaires D2 sont diffusées par une infrastructure fixe BS. Dans ce cas, la communication entre le véhicule automobile primaire V1 et l'infrastructure fixe BS est appelée communication I2V. C'est une communication sans fil également. Dans des modes de réalisation non limitatifs, le protocole de communication sans fil est un protocole de communication LTE, 5G ou WIFI. Dans un mode de réalisation non limitatif, les données secondaires D2 sont reçues via des messages MAP définis dans le standard ISO TS/ 19091. Dans un exemple de réalisation non limitatif, l'infrastructure fixe BS est une station de transmission de base. On notera qu'il peut y avoir plusieurs infrastructures fixes BS dans l'environnement du véhicule automobile primaire Vl. L'infrastructure fixe BS peut appartenir à une entité de confiance telle que dans un exemple non limitatif des fournisseurs de cartes ou des gestionnaires des routes. [0037] Dans un troisième mode de réalisation non limitatif illustré sur la figure 1, le dispositif extérieur DE est un serveur distant SR. Ainsi, les données secondaires D2 6 sont diffusées par un serveur distant SR. Dans ce cas, la communication entre le véhicule automobile primaire V1 et l'infrastructure fixe BS est appelée communication C2V. C'est une communication sans fil également. Dans des modes de réalisation non limitatifs, le protocole de communication sans fil est un protocole de communication LTE, 5G ou WIFI. Dans un mode de réalisation non limitatif, les données secondaires D2 sont reçues via des messages MAP. Le serveur distant SR est configure pour recevoir les données secondaires D2 qui sont diffusées par au moins un véhicule automobile secondaire V2. Dans un mode de réalisation non limitatif, ledit au moins un véhicule automobile secondaire V2 se trouve dans l'environnement cl du véhicule automobile primaire V1 ou est passé par l'endroit défini par l'environnement cl du véhicule automobile primaire V1 dans un passé proche, mais ne se trouve plus dans ledit environnement. On notera qu'il peut y avoir plusieurs serveurs distants SR dans l'environnement du véhicule automobile primaire Vl. Le serveur distant SR peut appartenir à une entité de confiance telle que dans des exemples non limitatifs des fournisseurs de cartes ou des gestionnaires des routes. [0038] Dans un quatrième mode de réalisation non limitatif illustré sur la figure 1, le dispositif extérieur DE est un dispositif MB porté par un piéton. Dans un exemple non limitatif, c'est un téléphone intelligent dit « Smartphonc », une tablette ou tout objet connecté. Ainsi, les données secondaires D2 sont diffusées par un dispositif MB porté par un piéton. Dans ce cas, la communication entre le véhicule automobile primaire V1 et le dispositif MB porté par le piéton est également appelée communication P2V. C'est une communication sans fil également. Dans des modes de réalisation non limitatifs, le protocole de communication sans fil est un protocole de communication LTE, 5G ou WIFI. Dans un mode de réalisation non limitatif, les données secondaires D2 sont reçues via des messages CAM. Ledit au moins un piéton se trouve dans l'environnement el du véhicule automobile primaire Vi. On notera qu'il peut y avoir plusieurs piétons dans l'environnement du véhicule automobile primaire Vl. [0039] On notera que les quatre modes de réalisation non limitatifs peuvent être combinés entre eux tel qu'illustré sur la figure 1. Ainsi, l'unité de calcul électronique ECU du véhicule automobile primaire VI peut recevoir des données secondaires D2 d'un ou plusieurs véhicules automobiles secondaires V2 et/ou d'une ou plusieurs infrastructures fixes BS, et/ou d'un ou plusieurs serveurs distants SR, et/ou d'un ou plusieurs dispositifs MB portés par un ou plusieurs piétons. [0040] Dans un mode de réalisation non limitatif, les données secondaires D2 comprennent des informations relatives à l'environnement autour dudit véhicule automobile primaire VI. Dans une variante de réalisation non limitative, les données secondaires D2 comprennent des informations relatives à au moins un véhicule secondaire D2 qui se trouve dans l'environnement du véhicule automobile primaire Vi. Dans un exemple 7 non limitatif, l'environnement du véhicule automobile primaire V1 est défini par un cercle de rayon de l'ordre de 800 mètres. [0041] Dans un mode de réalisation non limitatif, les données secondaires D2 comprennent : a. les dimensions d2 dudit au moins un véhicule automobile secondaire V2 aux alentours dudit véhicule automobile primaire V1, et/ou b. un état courant dynamique sc2 dudit au moins un véhicule automobile secondaire V2, et/ou c. l'historique de la trajectoire tr2 dudit au moins un véhicule automobile secondaire V2, et/ou d. un état de conduite st2 dudit au moins un véhicule automobile secondaire V2. [0042] Dans un mode de réalisation non limitatif, l'état courant dynamique sc2 comprend la position, l'altitude, le cap, le changement de cap au cours du temps (qui donne l'orientation du véhicule automobile secondaire V2), la vitesse, l'accélération, le lacet, et des indicateurs de précision sur ces données. L'historique de la trajectoire tr2 comprend des points antécédents de la position courante ainsi que la position courante. Dans un mode de réalisation non limitatif, l'état de conduite st2 comprend des informations indiquant si la pédale d'accélération et/ou la pédale d'embrayage sont utilisées, l'angle au volant, l'état allumé ou éteint des feux de signalisation etc. [0043] Après avoir reçu des données secondaires D2, avant de comparer les données se- condaires D2 aux données primaires Dl, dans un mode de réalisation non limitatif, les données secondaires D2 sont authentifiées. Ainsi, dans un mode de réalisation non limitatifs, le dispositif de vérification DISP est en outre configuré pour authentifier les données secondaires D2 (fonction illustrée sur la figure 1 AUTH(D2)). On notera que cette fonction étant optionnelle, elle est illustrée en traits discontinus. Dans des exemples non limitatifs, l'authentification est réalisée au moyen d'une signature numérique et/ou d'un certificat numérique. Cela permet de vérifier que les données secondaires D2 n'ont pas été falsifiées et proviennent d'une source fiable. [0044] Après avoir reçu des données secondaires D2, avant de comparer les données se- condaires D2 aux données primaires D1, dans un mode de réalisation non limitatif, les données secondaires D2 sont filtrées et/ou agrégées. Le filtrage des données secondaires D2 permet d'enlever les données incorrectes, par exemple celles qui s'éloignent trop des autres données secondaires D2, à savoir qui ne sont pas crédibles. Le filtrage vérifie ainsi la plausibilité des données secondaires D2. Dans un exemple non limitatif, si une donnée secondaire D2 indique une vitesse de 500km/h, elle n'est pas prise en compte par la fonction de comparaison. Cela permet d'éviter de faire des comparaisons inutiles par la suite. L'agrégation des données secondaires D2 permet de trouver un facteur commun entre plusieurs données secondaires D2 et de les regrouper ensemble pour ne former qu'une seule donnée secondaire D2. Cela permet de réduire 8 le temps de comparaison par la suite. Ainsi, dans un exemple non limitatif, si un véhicule automobile secondaire V2 diffuse plusieurs messages CAM décrivant la même chose, alors les données secondaires D2 des différents messages CAM sont agrégées pour ne former qu'un seul message CAM. On notera que les fonctions de filtrage et d'agrégation étant optionnelles, elles sont illustrées en traits discontinus. [0045] Ainsi, dans une première variante de réalisation non limitative du dispositif de véri- fication DISP illustrée sur la figure 4, le dispositif de vérification DISP est en outre configure pour : a. filtrer les données secondaires D2 qu'il a reçues (fonction illustrée FILT(D2) sur la figure 4), et/ou h. agréger les données secondaires D2 qu'il a reçues (fonction illustrée AGGR(D2) sur la figure 4). [0046] Dans une deuxième variante de réalisation non limitative du dispositif de vérification DISP illustré sur la figure 5, ledit dispositif de vérification DISP n'est pas configure pour filtrer et/ou agréger les données secondaires D2. Si ces dernières sont filtrées et/ ou agrégées, elles le sont par un serveur distant SR. Cela s'applique dans le cas où le dispositif extérieur DE est le serveur distant SR, à savoir c'est le serveur distant SR qui reçoit les données secondaires D2 dans un premier temps. Ainsi, il collecte les données secondaires D2, les filtre et/ou les agrège, puis dans un deuxième temps transmet les données secondaires D2 ainsi filtrées et/ou agrégées au dispositif de vérification DISP. Cette deuxième variante de réalisation est intéressante lorsque l'on veut collecter des données secondaires D2 relatives à des véhicules automobiles secondaires V2 qui sont passées par un endroit déterminé avant le véhicule automobile primaire Vi et par conséquent que le véhicule automobile primaire Vi ne voit pas dans son environnement el lorsqu'il arrive à ce même endroit. [0047] Enfin, le dispositif de vérification DISP compare donc des données secondaires D2 ainsi reçues avec des données primaires Dl de la carte haute définition HD. Dans des exemples non limitatifs, les données secondaires D2 comparées avec les données primaires Dl sont les suivantes : a. l'historique de la trajectoire tr2 dudit au moins un véhicule automobile secondaire V2 est comparé à la géométrie de la route, b. le cap et le lacet, l'angle au volant sont comparés ensemble à la courbe de la route, c. le changement de cap au cours du temps et l'état allumé ou éteint des feux de signalisation sont comparés au nombre de voies et aux embranchements de la route, d. la variation de l'altitude est comparée à la pente de la route, e. si l'indicateur de précision relatif à la position est faible (à savoir il a une 9 valeur inférieure à une valeur déterminée en pourcentage dans un exemple non limitatif), cela est comparé à une zone à tunnels, f. la vitesse est comparée à la limitation de vitesse de la route et au type de route (autoroute par exemple). [0048] La figure 2 illustre un premier exemple non limitatif de comparaison de données. En (a) on peut voir des données primaires D1 de la carte haute définition HD qui comprennent une route R avec trois voies rl, r2 et r3 et un premier embranchement de sortie sl sur une route secondaire. Il y a également la position courante du véhicule automobile primaire V1 . Il se trouve sur la deuxième voie r2. En (h), on peut voir l'historique de trajectoire tr2.1, tr2.2 et tr2.3 respectivement de trois véhicules automobiles secondaires V2.1, V2.2 et V2.3, ainsi que la position courante du véhicule automobile primaire Vl. Selon son historique de trajectoire tr2.1, un premier véhicule automobile secondaire V2.1 se trouvait sur la deuxième voie r2 et est passé sur la troisième voie r3. Selon son historique de trajectoire tr2.2, un deuxième véhicule automobile secondaire V2.2 est resté sur la première voie rl . Selon son historique de trajectoire tr2.3, un troisième véhicule automobile secondaire V2.3 était sur la troisième voie r3 et est allé sur la route secondaire via l'embranchement de sortie sl. Dans un exemple non limitatif, le véhicule automobile primaire V1 a reçu des messages CAM des trois véhicules automobiles secondaires V2.1, V2.2 et V2.3 comprenant leur historique de trajectoire tr2.1, tr2.2 et tr2.3. En (c), on peut voir que la géométrie de la route R correspond aux trois historiques de trajectoire tr2.1, tr2.2 et tr2.3. L'intégrité des données primaires Dl de la carte haute définition HD a été contrôlée. Il n'y a pas eu d'anomalies détectées. [0049] La figure 3 illustre un deuxième exemple non limitatif de comparaison de données. En (a) on peut voir des données primaires Dl de la carte haute définition HD qui comprennent une route R avec deux voies rlet r2, et deux courbes à gauche cl et une courbe suivante à droite c2. Il y a également la position courante du véhicule automobile primaire VI. Il se trouve sur la deuxième voie r2. En (b), on peut voir l'historique de trajectoire tr2.1, tr2.2 et tr2.3 respectivement de trois véhicules automobiles secondaires V2.1, V2.2 et V2.3, ainsi que la position courant du véhicule automobile primaire VI. Selon son historique de trajectoire tr2.1, un premier véhicule automobile secondaire V2.1 se trouvait sur la deuxième voie r2 et est passé à droite de la deuxième voie r2, sur une troisième voie. Selon son historique de trajectoire tr2.2, un deuxième véhicule automobile secondaire V2.2 est resté sur la première voie rl. Selon son historique de trajectoire tr2.3, un troisième véhicule automobile secondaire V2.3 se situait à droite du deuxième véhicule automobile secondaire V2.2 sur une troisième voie et à tourné à droite sur une route secondaire via un embranchement de sortie. Dans un exemple non limitatif, le véhicule automobile primaire VI a reçu des messages CAM des trois véhicules automobiles secondaires V2.1, V2.2 et V2.3 comprenant leur historique de trajectoire tr2.1, tr2.2, et tr2.3. En (c), on peut voir que la géométrie de la route R ne correspond pas aux trois historiques de trajectoire tr2.1, tr2.2, et tr2.3. L'intégrité des données primaires Dl de la carte haute définition HD a été contrôlée. Il y a eu des anomalies détectées. Cela indique que la carte haute définition HD a pu faire l'objet d'une cyber-attaque et que ses données primaires Dl n'ont pas été mises à jour, ont été modifiées ou supprimées. Bien entendu, d'autres données primaires Dl (limitation de vitesse, courbure de la route, nombre de voies etc.) et d'autres données secondaires D2 (vitesse, accélération, lacet, angle au volant, état allumé ou éteint des feux de signalisation etc.) auraient pu être utilisées. [0050] En fonction de la comparaison, le dispositif de vérification DISP génère un indice de confiance Idx. Ainsi, si la comparaison est positive (à savoir les données primaires Dl correspondent aux données secondaires D2), alors l'indice de confiance Idx comprend une valeur élevée, à savoir supérieure ou égale à une valeur seuil Vs, sinon sa valeur est faible, à savoir inférieure à la valeur seuil Vs. Ainsi, dans le premier exemple non limitatif de la figure 2, l'indice de confiance Idx est élevé, tandis que dans le deuxième exemple non limitatif de la figure 3, l'indice de confiance Idx est faible. Dans un exemple non limitatif, l'indice de confiance Idx est exprimé en pourcentage. Ainsi, dans un exemple non limitatif, au-delà d'une valeur seuil Vs de 70%, la valeur de l'indice de confiance Idx est considérée comme élevée. [0051] Enfin, lorsque l'indice de confiance Idx est faible, le dispositif de vérification DISP est configuré pour en outre envoyer un message d'alerte Msgl à toute unité de calcul électronique ECU2 du véhicule automobile primaire V1 qui utilise la carte haute définition HD (fonction illustrée TX(Msgi) sur la figure 1)). Dans des modes de réalisation non limitatifs, l'unité de calcul électronique ECU2 est un microprocesseur ou un ASIC. Dans un mode de réalisation non limitatif, ladite unité de calcul électronique ECU2 est un dispositif d'aide à la conduite. Ainsi, en fonction de la valeur de l'indice de confiance Idx, le véhicule automobile primaire V1 va appliquer une stratégie déterminée. Ainsi, il utilise ou non la carte haute définition HD pour exécuter une ou plusieurs fonctions d'aide à la conduite ou pour réaliser d'autres fonctions si c'est un véhicule autonome par exemple. Dans un exemple non limitatif, suite à un indice de confiance Idx faible, la stratégie appliquée sera d'utiliser l'information réelle donnée par les données secondaires D2 plutôt que les données primaires D1 de la carte haute définition HD. Dans un autre exemple non limitatif, si les données secondaires D2 d'un véhicule automobile secondaire V2 se trouvant devant le véhicule automobile primaire VI indiquent que la route va tout droit alors que les données primaires D1 de la carte haute définition HD indiquent que la route tourne, l'indice de confiance Idx sera faible et la stratégie appliquée sera celle de manoeuvre de risque minimum 11 nommée sous le terme anglo-saxon « minimum risk mancuver ». Dans un autre exemple non limitatif, si les données secondaires D2 d'un véhicule automobile secondaire V2 se trouvant devant le véhicule automobile primaire Vlindiquent une vitesse de 30 km/h (kilomètres par heure) et que les données primaires Dl de la carte haute définition HD indiquent que la vitesse est limitée à 90km/h, l'indice de confiance Idx sera faible et la stratégie appliquée sera de freiner doucement. Dans un autre exemple non limitatif, suite à un indice de confiance Idx faible, la stratégie appliquée sera de ne pas utiliser la carte haute définition HD et donc de basculer dans un mode dégradé de conduite : par exemple, le véhicule ne fera pas de manoeuvre complexe, comme doubler. [0052] Enfin, lorsque l'indice de confiance Idx est élevé, le dispositif de vérification DISP est configure pour en outre envoyer un message de confiance Msg2 à toute unité de calcul électronique ECU2 du véhicule automobile primaire V1 qui utilise la carte haute définition HD (fonction illustrée TX(Msg2) sur la figure 1)). Dans un mode de réalisation non limitatif, ladite unité de calcul électronique ECU2 est un dispositif d'aide à la conduite. Ainsi, ledit dispositif d'aide à la conduite peut exécuter les fonctions d'aide à la conduite ou toute autre fonction en utilisant la carte haute définition HD. Dans un mode de réalisation non limitatif, le dispositif de vérification DISP fait partie du dispositif d'aide à la conduite ECU2. Dans ce cas, il n'est pas nécessaire d'envoyer un message d'alerte Msgl ou de message de confiance Msg2. On notera que les fonctions d'envoi de message d'alerte Msgl ou de message de confiance Msg2 étant optionnelles, elles sont illustrées en trait discontinus sur les figures 1, 4 et 5. [0053] Ainsi, le dispositif de vérification DISP permet la mise en oeuvre d'un procédé de vé- rification PR d'une carte haute définition HD d'un véhicule automobile primaire VI, ladite carte haute définition HD étant mémorisée dans ledit véhicule automobile primaire VI et comprenant des données primaires Dl décrivant l'environnement dudit véhicule automobile primaire VI. Le procédé de vérification PR est illustré sur la figure 6. Il comprend : a. la réception El° de données secondaires D2 de l'environnement du véhicule automobile primaire Vi provenant d'un dispositif extérieur DE audit véhicule automobile V1, b. la comparaison E20 desdites données secondaires D2 avec lesdites données primaires Dl de ladite carte haute définition HD, et c. la génération E30 d'un indice de confiance Idx en fonction de ladite comparaison. [0054] Dans un mode de réalisation non limitatif, le procédé de vérification PR comprend en outre l'authentification El I des données secondaires D2. Dans un mode de réalisation non limitatif, le procédé de vérification PR comprend en outre la filtration E12 et/ou 12 l'agrégation El3 des données secondaires D2. Dans un mode de réalisation non limitatif, le procédé de vérification PR comprend en outre l'envoi E40 d'un message d'alerte Msgl à une unité de calcul électronique ECU2 dudit véhicule automobile primaire V1 qui utilise ladite carte haute définition HD, lorsque ledit indice de confiance Idx est faible. Dans un mode de réalisation non limitatif, le procédé de vérification PR comprend en outre l'envoi E50 d'un message de confiance Msg2 à une unité de calcul électronique ECU2 dudit véhicule automobile primaire V1 qui utilise ladite carte haute définition HD, lorsque ledit indice de confiance Idx est élevé. On notera que les étapes El 1, E12, E13, E40 et E50 étant optionnelles, elles sont illustrées en traits discontinus. [0055] Bien entendu la description de l'invention n'est pas limitée aux modes de réalisation décrits ci-dessus et au domaine décrit ci-dessus. Ainsi, d'autres messages V2V, C2V, P2V ou T2V, autres que les messages CAM ou MAP, peuvent être utilisés tels que dans des exemples non limitatifs des messages DENM définies dans les standards ETSI TS 102 637-3 et ETSI EN 302 637-3(qui indiquent les dangers routiers), des messages IVI définis dans le standard TSO/TS 19321 (qui indiquent les panneaux de signalisation et d'autres informations routières à destination des conducteurs, ou des messages SPAT définis dans les standards ISO/TS 19091 et ETSI 302 637-3 (qui indiquent l'état des feux de circulation) ou des messages TPEG de circulation définis par le protocole de transport nommé TPEG « Transport Protocol Expert Group » et reçus par le protocole de communication sans fil. Ainsi, dans un autre mode de réalisation non limitatif, le protocole de communication sans fil utilisé peut être une diffusion audio numérique, tout autre type cellulaire, ou BluetoothTM [0056] Ainsi, l'invention décrite présente notamment les avantages suivants : a. elle permet de vérifier si les données primaires Dl de la carte haute définition HD sont intègres, à savoir si elles n'ont pas subies de cyber-attaque, et sont à jour, à savoir elles correspondent à la réalité, en utilisant des données indépendantes de la carte haute définition HD, b. elle permet de réaliser des fonctions d'aide à la conduite en utilisant les données primaires Dl ainsi vérifiées. 13 [Revendication I]