FR 2805792 A1 20010907 FR 0002796 A 20000306 Présentation de l'invention La présente invention concerne un dispositif de sécurité pour véhicules à moteur permettant d'aider les conducteurs à respecter les limitations de vitesse, l'arrêt aux stops, et certaines interdictions de dépasser, d'empêcher les vols des véhicules, rendre possible une modification de la vitesse autorisée en fonction du besoin, aider les responsables de la circulation à détecter les conducteurs qui ne respectent pas le code de la route et améliorer la rapidité des secours en cas d'accident ou l'intervention en cas de vol du véhicule. Traditionnellement le respect du code de la route est réalisé par une attention soutenue du conducteur, à la lecture des panneaux de signalisation disposés sur le bord de la chaussée, sur le compteur de vitesse. La vitesse autorisée est figée (sauf cas de pluie et brouillard) et n'est pas toujours adaptée aux nécessités du moment. La vitesse des véhicules est généralement égale ou légèrement supérieure à la valeur à ne pas dépasser et très rarement en dessous. Par manque de moyens, les contrôles du code de la route sont réalisés sur les axes principaux par échantillonnage des véhicules. Ces contrôles sont généralement inexistants sur les voies secondaires. Les habitués aux dépassements de vitesse disposent d'écoutes et de transmission H.F, qui diminuent rapidement l'efficacité des contrôles. La sécurité contre le vol est assurée par une serrure à clé qui condamne les portières et le volant et de plus en plus souvent la mise en oeuvre du moteur nécessite un code d'accès. Parfois une alarme sonore complète ces dispositifs. La présente invention a pour but premier de réduire de manière drastique le nombre d'accidents graves que l'on déplore chaque année. En effet on sait, qu'avec le système actuel de limitation de vitesse et de contrôle par échantillonnage, on déplore en France chaque année autour de 8000 tués, que 15% des enfants qui naîtront en cours d'année auront, avant d'avoir atteint leur 25ième année, un accident grave ou seront tués. En adoptant une vitesse autorisée variable et adaptée eh permanence aux conditions de la circulation et en remplaçant le contrôle par échantillonnage actuel, par un contrôle systématique des infractions dangereuses, le nombre d'accidents importants devrait se réduire notablement. En effet la majorité des accidents graves ont pour origine directe ou indirecte une vitesse trop élevée. La vitesse est très souvent le facteur déclenchant de l'accident : vitesse supérieure à celle autorisée mais aussi vitesse permise trop importante à l'instant de l'accident (exemple cas du soleil rasant face à un conducteur, présence de verglas, brouillard épais ou encore état et limitation des capacités du conducteur ou du véhicule, flux de circulation trop dense, etc..). Le dispositif proposé ne remet pas en cause la prédominance du conducteur qui reste celui qui décide de la vitesse de son véhicule, mais au contraire renforce et engage sa responsabilité dans les suites de sa décision. Il n'est pas concevable de vouloir réduire massivement le nombre d'accidents en regardant et en agissant séparément sur chaque acteur. Excès de vitesse, Vitesse autorisée trop importante à l'instant de passage du véhicule, Stops non respectés, Interdictions de dépasser non respectés, Contrôles inefficaces ou mal compris, Falsifications des véhicules, Vol des véhicules, Délais des secours accidents trop importants ou renseignements incomplets, taux d'alcoolémie, sont des paramètres qui doivent être considérés ensemble dans un système global géré en temps réel par l'autorité responsable du droit et de la circulation. C'est à ce prix que l'on modifiera le comportement des conducteurs et que l'on réduira le nombre d'accidents. Le présent dispositif a été conçu pour être en parfaite harmonie avec ce concept comme le montre les objectifs explicités plus loin. Cependant pour être réalisable, il est nécessaire que le coût du concept soit faible, donc d'utiliser le plus possible une infrastructure existante. C'est pourquoi la réalisation s'appuie sur les techniques nouvelles existantes comme les satellites à travers le G.P.S. pour obtenir les coordonnées courantes du véhicule et le téléphone portable de type G.S.M. par exemple avec l'utilisation de la messagerie et ou d'une liaison Internet pour recevoir et transmettre les informations utiles pour le fonctionnement du dispositif. Moyens qui sont déjà plus ou moins disponibles sur les véhicules. D'autre part pour que le concept fonctionne correctement il faut que les informations qui transitent des véhicules vers les centres de contrôle soient de taille limitée pour éviter la saturation des liaisons, limiter les temps de calcul et occuper dans les véhicules une place en mémoire raisonnable. II faut donc exclure le transfert de cartes et se limiter à la fourniture de la position des points de signalisation remarquables. Enfin il faut que le dispositif soit ultra sécurisé pour éviter les erreurs et dissuader les conducteurs ou les voleurs éventuels de toutes tentatives de falsification. Les centres de contrôle sont des moyens étatiques à développer. Ils sont à la fois les dépositaires de la position des panneaux de signalisation ( vitesse, stop, interdiction de dépasser), les gestionnaires de la régulation du trafic (modulation de la vitesse autorisée, des interdictions de dépasser en fonction des besoins et des heures), les contrôleurs de la route (accidents, vol véhicule, infractions). Ils transmettent aux véhicules toutes les informations utiles pour leur sécurité : position : des points de modification de la vitesse autorisée, des stops, des interdictions de dépasser . Ils reçoivent des véhicules en temps réel : un message d'identification personnalisé et infalsifiable associant leur position actuelle, les demandes des positions futures des panneaux de signalisation ou des messages d'alarmes : accidents, vol, non-respect de la signalisation . Les centres locaux sont reliés à un ou à plusieurs sites principaux qui conservent (par exemple) les données des véhicules de leur département. Chaque véhicule a une base de données unique qui peut être modifiée si besoin par un centre de contrôle local. Le dispositif a pour objectif général la diminution du nombre de tués sur les routes par # Premier objectif : une réduction générale de la vitesse sans modifier les valeurs autorisées, le respect de l'arrêt aux stops et par effet secondaire interdire les dépassements non autorisés. Le dispositif n'empêche pas le véhicule de rouler au-dessus de la vitesse limite autorisée, mais par la fréquence des rappels au conducteur d'obligation de "lever le pied " chaque fois que la vitesse autorisée est dépassée, et le risque d'établissement et de transfert vers le centre de contrôle d'un constat d'infraction si les injonctions du calculateur ne sont pas suivies, aura pour premier effet une réduction presque générale de la vitesse réelle. Le rappel sonore peut aussi réveiller les somnolents et leur éviter un accident, c'est la raison de l'ajout dans la réalisation d'une commande à partir du tableau de bord permettant l'introduction d'une vitesse minimum qui alimente une alarme sonore si la vitesse du véhicule est inférieure à cette valeur (pour une conduite sur autoroute : la vitesse haute est celle autorisée). Le dispositif n'a pas pour but de remplacer les panneaux de signalisation, mais de renforcer leur action. Ceci est principalement vrai pour les stops et les interdictions de dépasser. La précision de localisation du véhicule sera dans de nombreux cas meilleure que 100 mètres (plutôt 20 à 30 mètres), elle reste cependant insuffisante dans le cas du stop, elle ne le remplace pas et n'a pas vocation de le faire. Elle permet en rase campagne de prévenir le conducteur à l'avance et lui rappeler l'approche imminente d'un stop. Elle vérifie que celui- ci le respecte. Dans un milieu urbain très dense en panneaux de stop, le dispositif se limitera sans doute au contrôle des carrefours les plus dangereux et au dépassement de la vitesse autorisée. De plus, par le fait que le dispositif ne tolère aucun dépassement de la vitesse autorisée dans les zones où il est interdit de dépasser, il contribue au respect de cette consigne. # Deuxième objectif : une réduction des risques de falsification du dispositif. Il est donc nécessaire qu'il soit suffisamment protégé contre les malveillances. L'efficacité est obtenue Par l'utilisation d'un calculateur de bord protégé comme moyen de calcul et de contrôle des processus de motorisation, associé aux moyens de communication du véhicule. Grâce à des contrôles performants portant sur l'ensemble du dispositif qui délivrent en temps réel dans une boite noire d'enregistrement et via les moyens de transmission du véhicule au centre de contrôle, en cas d'erreur, des messages d'alertes qui identifient le véhicule et précisent sa position. La sécurité est assurée par trois contrôles différents Accès au véhicule : cette fonction interdit l'accès à une personne non identifiée et la mise en oeuvre du véhicule. Elle est fonctionnelle à l'arrêt du véhicule, Statiques ( hors environnement) : contrôle de la présence des moyens utilisés par le dispositif, Dynamiques (dans l'environnement) contrôle du fonctionnement global du dispositif utilisant des messages de reconnaissance, avec le centre de contrôle, pseudo aléatoires et inconnus du conducteur à partir d'une fonction spécifique intégrée (puce microélectronique dédiée). Selon le résultat de ces contrôles, le calculateur interdit immédiatement la motorisation ou l'autorise momentanément en relation avec le centre de contrôle. : Troisième objectif : réduction du vol des véhicules. L'aspect sécurité est moins évident, ependant il est plus facile de falsifier un véhicule volé que son propre véhicule. Réduire le nombre de vols c'est donc aussi améliorer la sécurité du dispositif. Comme les moyens de sécurité mis en oeuvre ci-dessus pour protéger le dispositif ont comme conséquence de rendre très difficile le vol des véhicules il est de l'intérêt général de renforcer leur action. En effet toutes les tentatives d'effraction mettront, en plus des sécurités de démarrage, immédiatement en relation, par la liaison téléphonique, le véhicule avec le centre de contrôle (si le véhicule est volé à l'arrêt), et par un relais avec son conducteur habituel si le véhicule a été volé moteur tournant (le conducteur peut aussi directement prévenir le centre de contrôle). Cette option nécessite que les antennes soient protégées lorsque le véhicule est à l'arrêt. # Quatrième objectif : une amélioration de la rapidité des interventions de secours dans les cas d'accidents graves sur la route par les moyens mis en oeuvre pour les deux premiers objectifs. Il peut être atteint par la détection d'une décélération anormale du véhicule qui déclenche un message d'alerte vers le centre de contrôle mais aussi par tous les senseurs de sécurité présents sur le véhicule. Le message transmis précise la position du véhicule, l'heure et les senseurs qui ont déclenché l'alarme. Description technique L'invention concerne un dispositif de sécurité pour véhicule à moteur représenté par le synoptique joint qui comporte des moyens de détection de la vitesse instantanée du véhicule (6), des moyens de détection de l'accélération instantanée du véhicule (6 bis), des moyens d'action sur les organes fonctionnels de traction du véhicule (7), des moyens de visualisation et de commande (8) (tableau de bord par exemple) des consignes que devra respecter le conducteur et des risques qu'il encoure s'il n'obtempère pas, des moyens sonores (9) en complémentarité avec les moyens visuels, de moyens de mesure précis de la position courante du véhicule (11)( comme un G.P.S par exemple), des moyens de réception (10) des données nécessaires au conducteur pour réguler sa vitesse : position des emplacements où la vitesse autorisée est modifiée, position des stops et des interdictions de dépasser et de renseignements complémentaires facultatifs divers comme : la date, nouveau conducteur etc.. Venant du centre de contrôle (17), des moyens de transmission (10) (comme un G.S.M par exemple) vers le centre de contrôle, d'informations diverses comme : un message d'identification, une demande de renouvellement de la table des données, un excès de vitesse, un arrêt au stop non effectué ou une non reconnaissance du code d'accès, la position du véhicule , de moyens de stockage des messages sécurité de type boite noire (12), de moyens de calcul, de comparaison, de synchronisation (1), de programmation (3), de stockage des données (4), de moyens protégés (2) : F.I.S.S (Fonction Intégrée Spécifique de Sécurité) permettant les calculs, les comparaisons, la vérification d'heure, l'espionnage du bus de données, la mémorisation de données à protéger et les programmes de sécurité (2), de moyens d'interface d'entrée / sortie des données, interface (5 ) pour relier les moyens du véhicule (6 à 12) qui disposent d'un bus numérique au calculateur (bus numérique d'adresses et de données 15 et 16), interface (5 bis) qui permet d'activer les moyens (6 à 12) qui ne disposent pas de décodeurs d'adresses au bus de données. L'interface (5 bis) est aussi équipée pour relier les moyens analogiques au calculateur de bord, de convertisseurs A/D et D/A et de plusieurs ports d'entrée et sortie. Les moyens (1 à 5 bis) sont reliés entre eux par un bus numérique rapide (données 13, et d'adresses 14). L'ensemble 1 à 5 bis et le bus rapide constitue le calculateur de bord. L'ensemble de ces moyens est adapté pour assurer le fonctionnement de l'invention Permettre à l'autorité compétente d'augmenter ou de réduire la vitesse autorisée en fonction des risques encourus par les usagers. Prévenir à l'avance le conducteur de l'arrivée imminente d'une interdiction ou vice versa. Avertir le conducteur en infraction pour lui permettre de revenir à une conduite normale. Examiner si le conducteur respecte les limitations de vitesse, les stops et certaines interdictions de dépasser. Détecter un accident provoqué par un choc important et déclencher à l'instant du drame l'alerte accident. Prévenir les responsables de la circulation si le code de la route malgré les recommandations répétées du système n'est pas respecté et verbaliser le cas échéant. Vérifier si le véhicule n'est pas volé ou falsifié, c'est à dire savoir si un élément vital du dispositif n'a pas été endommagé ou débranché, par des tests : d'entrées, statiques et dynamiques. Interdire la traction du véhicule immédiate ou à terme si ces tests sont négatifs. Localiser une effraction et intervenir plus rapidement sur les lieux. Signaler une augmentation ou une réduction non préméditée de la vitesse par une alarme sonore dans le but de réveiller un conducteur somnolent (pour une conduite sur autoroute). Fonctionnement détaillé Etape 1 : mise en ceuvre, contrôle d'accès, contrôle statique La mise en oeuvre est déclenchée par l'arrivée d'un caractère sur un registre (5 bis) scruté en permanence par (2). Ce caractère est délivré par une demande d'ouverture des portes par télécommande ou par un clavier avant le démarrage du véhicule ou par la mise en alerte d'une alarme intérieure. L'entrée d'un mot de passe correct donne accès aux commandes du véhicule et enclenche la phase de contrôle statique effectué par le F.I.S.S (2) du calculateur de bord. Ce circuit intégré spécifique assure les fonctions de sécurité du matériel (espionnage du bus de données, stockage des programmes sécurisés et des données spécifiques ( code d'accès, code matériel). Il est constitué d'un microprocesseur, de registres internes, de mémoires RAM, ROM, EEPROM ou autres et peut prendre le contrôle du microprocesseur principal lorsque les contrôles statiques et dynamiques (ce dernier contrôle est explicité au paragraphe sécurité) sont négatifs. L'utilisateur peut personnaliser ses codes d'accès par une télécommande équipée d'un clavier ou d'un clavier adaptable ou fixé sur le tableau de bord (8). Un changement de code secret nécessite de connaître le code actif et de mettre en oeuvre la procédure d'échange par le transfert à (2), via le dispositif d'accès, du code autorisant le chargement d'une nouvelle consigne (par exemple FFFF, valeur stockée dans (2). Ensuite l'utilisateur tape le code à modifier puis le nouveau code. Il est prévenu du résultat par une indication transmise par (1) sur le tableau de bord (8). La modification est possible si le code à modifier et la consigne sont identiques. Le mot d'entrée est constitué de lettres et ou de chiffres. Le contrôle du mot entré est effectué par une comparaison bit à bit de chaque caractère avec ceux de consigne (première clé stockée dans la mémoire non destructible de (2) (EEPROM par exemple). Le nombre d'erreurs d'entrée autorisées est limité à une valeur P (avec P Cela suppose que le F.I.S.S. (2) reste en veille à l'arrêt du véhicule. L'arrivée du premier caractère (faux ou correct) met temporairement, en mode fonctionnement (s'il ne l'est pas déjà) le calculateur de bord, et les moyens de transmission (10), en attendant la confirmation par la clé de contact enclenchée. Si le code est reconnu le F.I.S.S.(2) et son programme interne engage ensuite les programmes d'autotests du contrôle statique : du calculateur de bord (là 5 bis), des liaisons et du raccordement des moyens du véhicule (6 à 12) à celui-ci. Ce programme lance des stimuli à (1 à 12) et compare les réponses reçues avec celles stockées dans (2). Cette fonction suppose évidemment que les moyens ont été conçus pour être testés à distance et qu'ils possèdent des fonctions internes d'autotests. Ce test n'est pas indispensable au fonctionnement de la réalisation mais sécurise notablement le système. En cas de succès du contrôle statique le F.I.S.S. initialise le microprocesseur principal, lui libère le bus de données et commute du mode actif au mode espion. La première action du calculateur est de demander au conducteur par l'intermédiaire du tableau de bord (7) de préciser le domaine de validité de son permis : (A) permis classique, (B) permis débutant, (C) autre. Cette action permet au calculateur de bord de calculer une vitesse autorisée pondérée. Pondération dépendant de A, B ou C. Par la suite il est sous- entendu que la vitesse a autorisée est la vitesse pondérée. Par défaut, le critère retenu est celui du conducteur principal (valeur mémorisée ou transmise par le centre de contrôle). La valeur choisie est stockée dans la boite noire (12). Le programme du calculateur de bord par (1) procède ensuite à la récupération des données stockées et sécurisées dans ( 2) avant l'arrêt du véhicule, en particulier, la vitesse autorisée (a), l'état de l'information d'interdiction ou d'autorisation de doubler, la position antérieure du véhicule, le prochain numéro d'appel du centre de contrôle (s'il est changé) et le précédent numéro dans le cas où le véhicule serait revenu dans son secteur d'origine. En parallèle, le programme de (2) commence le contrôle dynamique explicité plus en détail au paragraphe sécurité. Il vérifie le fonctionnement dynamique des moyens du dispositif. Pour cela il espionne les données qui sont transmises par les moyens (6 à12) sur le bus. Si le contrôle du code d'accès ou celui statique est négatif, le F.I.S.S. (2) procède comme cela a été dit à la mise hors circuits des éléments moteurs (7) qui permettent la traction (coupure arrivée d'essence, régulation du carburateur, etc.. les choix sont à la discrétion du motoriste) pour une période variable qui dépendra du nombre de tentatives infructueuses pour entrer et trouver le mot d'accès correct. Le programme interne de (2) active un indicateur " mauvais contrôle " et dans la boite noire (12) écrit un message d'alerte qui est transféré, via le transmetteur (10), vers le centre de contrôle (17), puis il positionne son programme sur une boucle d `attente "réparation". Il conserve la maîtrise du bus de données. Il est supposé pour le vol que les antennes sont protégées. Si le défaut provient du contrôle statique (une panne d'un des circuits testés par exemple), le conducteur dispose d'une seconde clé pour sortir temporairement le programme de la boucle d'attente (par le test d'un mot de contrôle différent du précédent, mais, en ce qui concerne le nombre de tentatives, protégé de façon identique à l'introduction de la première clé). Ce mot peut être modifié par l'utilisateur par la même procédure que celle décrite précédemment. Etape 2 : Sélection des données Le microprocesseur (1) en association avec son programme (3) lit dans (4) la table des données fournie par le centre de contrôle et associe à chaque couple de position Xi, Yi, l'information qui lui est associée (vitesse, dépassement, stop). Il compare ensuite les coordonnées du véhicule Xv, Yv (11) à chacune de ces positions et met en place un indicateur de passage lorsque le véhicule passe sur l'une d'elles. Le programme considère qu'il y a coïncidence de position si l'écart est à l'intérieur d'un cercle de rayon 70 mètres défini par l'équation suivante (Xi-Xv)2+(Yi-Yv)2 Etape 3 : Phase de contrôle vitesse-stop et d'affichage des données Le microprocesseur (1) en association avec son programme (3) effectue une comparaison entre la vitesse réelle (vr) et celle autorisée (vitesse a). Il enclenche l'alarme dépassement vitesse si la vitesse réelle (vr) est supérieure à a ( test vr-a>0). L'alarme est indiquée au conducteur par un affichage sur le tableau de bord (8) ou (et) par l'émission d'un son particulier (9). L'alarme sonore pouvant gêner la conduite de certains conducteurs, il est laissé à ceux-ci la possibilité de la déconnecter par action sur une commande du tableau de bord (8). En fait, compte tenu de la présence éventuelle d'un stop, le calculateur opère une double comparaison vitesse. La première si l'indicateur "stop" est activé pour tester l'arrêt au stop (vr=0) et la seconde pour tester le dépassement vitesse ( vr>a avec (X>0 ). Les résultats de ces comparaisons sont ajoutés aux données d'entrée de (1). Pendant cette phase (1) teste aussi si une donnée vitesse minimum a été introduite par le conducteur dans (8). Si cela est le cas, elle est prise en compte par (1) et comparée avec la vitesse courante du véhicule (vr). Si vr Etape 4 : Contrôle du code de la route Lorsqu'un dépassement vitesse a été constaté par le calculateur de bord, cette phase a pour objet de donner du temps au conducteur pour revenir à la vitesse imposée et alerter les responsables de la circulation si le conducteur ne tient aucun compte des recommandations du calculateur. En cas d'excès temporaire de la vitesse, le programme distingue l'infraction due à une augmentation de vitesse à partir d'une allure de croisière (a ) et celle engendrée par une action de dépassement d'un autre véhicule. Pour ce dernier cas, le programme vérifie l'état de l'indicateur de dépassement. Si le dépassement était autorisé, l'activation du clignotant gauche (8) permet au conducteur de dépasser la vitesse limite a pour doubler pendant un temps t1 ( avec tl=100/delta et delta l'écart de vitesse minimum autorisée pour dépasser un véhicule soit 5 m/s par exemple). Si pendant l'exécution de la manoeuvre de dépassement la valeur de la consigne passe de a à (3, le temps est majoré de la quantité t2= 200/(a-P) ( avec a>(3, a et (3 sont exprimés en m/s). Au-delà de ce temps, le dépassement de la vitesse est consigné comme une infraction. Un nouvel indicateur est activé dans le programme. Pendant tout le processus, le conducteur est en permanence prévenu de sa vitesse courante par un affichage sur le tableau de bord (8) et du temps lui restant pour revenir, sans pénalisation, à la valeur de la consigne, par le décompte des temps t1 et t2 dans un sous programme d'interruption stocké dans (3). Le non respect de l'arrêt au stop (résultat de la comparaison sur une valeur à vitesse nulle non respectée) engendrera une infraction après le franchissement du stop par le véhicule. Il est considéré que le stop a été franchi par le véhicule s'il se trouve à l'extérieur d'un cercle de rayon 150 mètres défini par l'équation suivante (Xi-Xv)2+(Yi-Yv)2 >k2 avec k rayon du cercle de centre Xi, Yi. L'indicateur de stop est désactivé par le passage à zéro de la vitesse du véhicule ou par l'activation de l'indicateur d'infraction. Les infractions sont stockées dans la boite noire 12 avec un compte rendu précisant la date, l'heure et le lieu ainsi que l'historique du dépassement. Un indicateur est aussi activé dans F.I.S.S. (2) . De plus ces informations sont transmises en temps réel, via le transmetteur de données du véhicule (10) au centre de contrôle ( ou à sa boite postale Internet) de la localité traversée ou au central du lieu de résidence habituel du véhicule (17). Un accusé de réception est transmis au conducteur (10). La réponse est rangée dans la boite noire (l2) du véhicule et le numéro de transmission est aussi stocké dans (2). Ils serviront en cas de contestation pour faire ressortir la vérité. En cas de non-respect prolongé, l'infraction est répétée pour confirmation au centre de contrôle (par exemple après 1 minute et toutes les minutes). Etape 5 : Renouvellement des données Lorsque le véhicule a besoin de renouveler ses données, il reçoit du centre de contrôle (17), sur son récepteur de données (10), les coordonnées des points de modification de la vitesse de la zone sur laquelle il circule. Pour cela il suffit au calculateur de bord (1) de faire une demande de renouvellement de sa base de données via son transmetteur (10), au centre de contrôle (17), en lui précisant sa position courante et future (11). Nécessairement cette demande doit être faite avant épuisement des ressources du véhicule. Elle nécessite par conséquent un programme de gestion des ressources quia pour but de faire l'historique du trajet et prévoir les coordonnées futures des points remarquables que le véhicule peut rencontrer. Le programme procède au suivi de la trajectoire du véhicule. Cette partie du programme consiste à calculer les coordonnées du point suivant probable à un instant futur, à partir de sa position courante et de ses positions antérieures, par un algorithme d'estimation de la meilleure droite. Ensuite le programme compare dans (1) ce point calculé avec les positions des interdictions mémorisées et isole les points de passage possibles. Si la quantité de ces points est faible, il commande via son transmetteur (10), comme indiqué ci-dessus, une autre table de données à son centre de contrôle (17). Pour obtenir un fonctionnement correct, les coordonnées transmises par le centre doivent être compatibles directement ou par conversion avec les moyens de détection de la position du véhicule ((11) G.P.S. par exemple). Pour des raisons de sécurité explicitées plus loin, une nouvelle table de données doit être demandée à chaque mise en oeuvre du véhicule pour activer le suivi du véhicule par le centre de contrôle (17) et la transmission des données vers le véhicule. La liaison entre le véhicule et le centre de contrôle (17) est coupée si aucune demande de renouvellement de la table de données n'a été effectuée pendant plus d'une heure. A titre d'exemple l'entête de la table transmise par le centre de contrôle (17) contient : les codes d'identification explicités au paragraphe sécurité, le numéro d'envoi, la date et l'heure, le prochain numéro d'appel du centre de contrôle. Cette entête est suivie des données : coordonnée Xi-p, coordonnée Yi-p, Information(i-p), coordonnée Xi-p+ l, coordonnée Yi-p+l, Information(i-p+l), ..., coordonnée Xi-l, coordonnée Yi-1, Information(i-1), etc.. Un caractère spécifique lié à chaque information transmise pourrait si besoin assurer leur reconnaissance. La longueur des mots est choisie de manière que le bit de poids faible permet d'avoir une précision des coordonnées meilleure que 10 mètres. L'information autorisation de doubler correspond à l'envoi d'un mot binaire qui suit le caractère de reconnaissance, avec tous les bits de poids forts à un et les poids faibles à zéro, son interdiction consiste à prendre le complément restreint à 2. Le stop correspond à une information vitesse nulle avec tous les bits à zéro. L'ensemble de ces informations constitue la table des données transmise par le centre de contrôle au calculateur de bord du véhicule (via 10) dans (4) et exploitée lors de l'étape 2. En plus de ces messages il peut transmettre d'autres informations comme la date, l'heure, des indications sur les compétences du conducteur ( nouveau conducteur principalement) et d'autres données si besoin. L'ensemble du système n'est viable que si la transmission des données est entourée de protections suffisantes qui garantissent sa fiabilité et sa résistance aux perturbations atmosphériques urbaines. Pour fiabiliser la transmission un contrôle des données est effectué sur chaque table reçue. Les erreurs de transmission peuvent avoir plusieurs origines, mais les plus probables seront dues à un évanouissement de l'onde provoqué par des obstacles créant des phénomènes de diffraction ou de réflexion. Ces pertes de signaux ne sont pas rédhibitoires pour l'invention, mais nécessitent quelques précautions. En premier lieu le programme associe au message des bits supplémentaires pour détecter les erreurs de transmission de chaque mot transmis. Il ajoute aussi un mot supplémentaire en fin du message pour effectuer un contrôle croisé du message complet ( sur N mots).Ce contrôle (1) fait l'objet d'un premier sous programme stocké dans (3). Il est déclenché à chaque arrivée de table. Comme la vitesse de transmission n'est pas un objectif majeur pour l'application ( Objectif :Transmission d'une table de données tous les 20 ou 50 Km ), les transmissions entre le véhicule et le centre de contrôle sont répétées 4 fois (ces valeurs sont données à titre d'exemple, l'expérience peut montrer que ces précautions sont excessives). Un second sous programme stocké dans (3) compare ensuite dans (1) les mots reçus corrects au sens du premier contrôle à travers les 4 tables mémorisées. Un mot est considéré comme correct s'il est identique dans deux tables. Ce contrôle crée la table active qui sera conservée en mémoire par (4), les autres sont effacées ou placées dans une zone à lecture temporaire. Normalement les zones de transmission mauvaise ne devraient pas exister ou poser de problèmes compte tenu de l'importante couverture actuelle des téléphones portables, couverture qui ne peut dans l'avenir que s'améliorer. Si les données reçues sont correctes le calculateur de bord du véhicule par son moyen de transmission (10) transfert un accusé de réception au centre de contrôle, puis incrémente le registre pseudo aléatoire défini au paragraphe sécurité : contrôle d'identité du véhicule. En cas de mauvaise réception, le calculateur de bord renouvelle sa demande. Etape 6 Reconnaissance accident Cette phase assure un contrôle permanent de la décélération du véhicule. L'accélération courante du véhicule qui est délivrée par (6 bis) est stockée dans la mémoire (4) du calculateur, puis filtrée par (1) à l'aide d'un sous-programme de filtrage passe-bas numérique ( 3), pour supprimer d'éventuels parasites cause de fausses alarmes. L'accélération filtrée est comparée à la valeur de consigne (1). La consigne est déterminée compte tenu des déformations propres à chaque véhicule en cas de choc frontal ; elle est programmée par le constructeur du véhicule. Rien n'interdit d'ajouter des accéléromètres latéraux pour détecter les autres types de chocs et de comparer leurs valeurs courantes avec d'autres consignes ou d'utiliser tous les senseurs disponibles sur le véhicule. L'application prévoit la gestion de 3 senseurs pour couvrir le plan x,y,z mais le nombre pourrait être augmenté. Le calculateur (1) active un indicateur et déclenche l'alarme accident dès qu'un des senseurs dépasse les valeurs de la consigne. L'activation de l'alarme entraîne immédiatement l'émission d'un message vers le centre de contrôle précisant le lieu de l'accident ( la position est donnée par 11), la date et l'heure. Il va de soi que le fonctionnement correct de ce dispositif implique que le calculateur, le téléphone portable ( 10 ) soient correctement protégés des chocs. Les données relatives à l'accident sont aussi transmises à la boite noire (12). Etape 7 Les systèmes de sécurité Généralité L'application complète pratique et en masse de l'invention ne semble pas imaginable avant, au mieux, une dizaine d'années, bien que sa mise en oeuvre soit possible immédiatement; c'est la raison pour laquelle l'application préférée a été orientée vers une architecture électrique des véhicules à moteur plus proche des années 201 0 que celle en vigueur actuellement. Comme le montre le synoptique les liaisons fil à fil ont été remplacées par un bus numérique, bus rapide interne au calculateur, associé à un bus numérique plus lent pour commander et gérer les organes qui lui sont extérieurs. Une liaison discrète fil à fil a cependant été ajoutée pour transporter des données analogiques et numériques des moyens (6 à 12) qui ne disposent pas de décodeurs d'adresses. Cette liaison peut aussi être utilisée pour ajouter des moyens annexes, comme une alarme d'effraction. Les fonctions qui sont actuellement effectuées par les cartes de traitement de la motorisation du véhicule ont été pour la plupart déplacées dans le calculateur. Pour améliorer la sécurité du fonctionnement, tant pour les contrôles du code de la route que pour empêcher le vol des véhicules, il a été recherché, en plus du contrôle statique, des procédures pour le contrôle dynamique qui vérifient en permanence le fonctionnement du système à partir d'un environnement protégé (2). Il est cependant évident que les fonctions effectuées par (2) pourraient l'être par le calculateur de bord (1) sans nuire au fonctionnement général. Le choix entre (1) et (2) repose sur le degré de sécurité que le constructeur du véhicule choisit ou lui est imposé. Contrôle dynamique Le contrôle dynamique nécessite la présence de tout l'environnement. Il concerne les liaisons "véhicule vers le centre de contrôle et vice versa et le fonctionnement du dispositif'. Les procédures vérifient l'état des fonctions à partir de: # La transmission des données (transfert de la table) du centre de contrôle (17) vers le véhicule (10). L'émission du centre est initialisée par le véhicule. # L'émission des données du véhicule (10) vers le centre de contrôle (17) Demande d'une nouvelle table comprenant des messages de reconnaissance spécifiques et pseudo-aléatoires pour interdire la falsification de la signature du véhicule et inconnus du conducteur. # Contrôle par (2) des déplacements du véhicule. Ces procédures assurent grâce à leurs trois secteurs de vérification la sécurité du fonctionnement de l'ensemble du système. 1- Elles provoquent l'arrêt du véhicule (après un avis important), si la transmission des données entre le véhicule et le centre de contrôle (17) est coupée, 2- Elles provoquent l'arrêt de la transmission des données du centre de contrôle (17) vers le véhicule si le véhicule n'émet plus, 3- Elles assurent un contrôle de l'identité du véhicule à deux étages : immatriculation et mot spécifique non prédictible (mot caché). Premier niveau : Arrêt véhicule, Ce programme a pour but de vérifier que le véhicule n'a pas été falsifié. C'est à dire que la distance et la vitesse affichée par (8) sont correctes, que le véhicule passe sur les positions des panneaux de signalisation et que la table des coordonnées est renouvelée au moins une fois toutes les heures. Pour vérifier le couple vitesse distance et le passage du véhicule sur les positions des panneaux par (2) on teste quel @ (x; -x,,)2+ (y;- y,,)2 k12 au moins 1 fois Daff - N x,-,)2+(y,-yi-i)j 0 .s)/ Daff que : (Daff-Y-( vr,, * A T)) / Daff k2 et que : ( -[(x,- Avec: Daffdistance parcourue (8) depuis la mise en oeuvre dû véhicule et v =l, x;, y; positions des panneaux de signalisation; x,,, y,, positions G.P.S (11) du véhicule. AT période d'échantillonnage, k1, k2, k3 erreurs tolérées, N, Q bornes du calcul. Si les paramètres sont incorrects les comparateurs kl, k2 et k3 activent l'indicateur de falsification (F). Après un parcours de X1 kilomètres (actuellement X1 =20 Km), si F est actif, le programme transmet un message d'alerte au conducteur par (8 et 9). Lorsque X1 atteint 50 Km le programme arrête le véhicule par une action sur (7) si l'indicateur est toujours activé. Un message d'alerte est aussi transmis au centre de contrôle. Le conducteur est prévenu entre les deux valeurs de X1, des kilomètres qu'il peut encore effectuer avant l'immobilisation de son véhicule. Dans le cas d'un disfonctionnement des moyens de transmission dans une zone déterminée le centre de contrôle pourra avant l'entrée du véhicule dans ce secteur débrancher ce niveau de sécurité par un message connu, spécifique à chaque véhicule et stocké dans (2), par exemple le mot caché de rang N-2 explicité plus loin qui libèrera temporairement la sécurité. Dans le cas contraire la clé utilisateur déjà citée sera utilisée par le conducteur pour augmenter son autonomie de roulage. La clé de secours force X1 à 20 Kilomètres (elle ne peut pas être utilisée de manière répétitive). Second niveau : Arrêt de la transmission des données du centre de contrôle, Le second niveau coupe la transmission des données du centre de sécurité vers le véhicule si le centre ne reçoit pas d'informations venant du véhicule pendant plus d'une heure. En conséquence l'émetteur du véhicule ne peut être supprimé par malveillance. En cas de non- fonctionnement la clé utilisateur précédente est l'assurance pour le conducteur de pouvoir rallier le garage le plus proche sans difficulté. Troisième niveau : Contrôle de l'identité du véhicule à deux étages Pour accroître la sécurité la demande contient les informations suivantes Numéro immatriculation du véhicule, Numéro du F.I.S.S, Numéro mot caché de rang N, Numéro mot caché de rang N-l, Coordonnées du véhicule, Coordonnées futures du véhicule. Le mot caché de référence (rang 0) est réalisé en hard dans le F.I.S.S et ne peut être lu d'aucune manière, le numéro de série du F.I.S.S.est réalisé de la même façon. Ce mot de L caractères (25 par exemple) est spécifique pour chaque véhicule. Les mots cachés transmis sont une suite des L caractères du mot de référence modifiés en valeur (modulo 16) et en position (modulo 25) par une valeur définie par l'état d'un registre pseudo aléatoire de M bits qui est spécifique au véhicule ( si M=25). Ce registre est incrémenté après chaque transmission de message avec le centre de contrôle. Il fournit une valeur différente après chaque échange. Un registre pseudo aléatoire d'une longueur de 25 bits permet de générer environ 300 codes différents de 1 à 30 millions de combinaisons chacun. La transmission du numéro de série du F.I.S.S. identifie le code utilisé par le véhicule et le mot caché de référence. Le numéro d'immatriculation du véhicule est entré et stocké dans (2) de la même manière que la deuxième clé utilisateur. Le F.I.S.S (2), représente en quelque sorte la carte microélectronique génétique du véhicule. Le centre de contrôle vérifie l'identité du demandeur avant de transmettre la table. Il commence par l'immatriculation du véhicule qu'il compare à la liste des immatriculations autorisées à circuler. Ensuite, il vérifie si l'immatriculation correspond au véhicule en vérifiant le numéro de série du F.I.S.S qui lui permet d'accéder au code pseudo aléatoire et au mot caché de référence. Il recherche ensuite si le mot caché de rang N transmis est celui qui suit les mots cachés de rang N-1 et N-2 stockés aux messages précédents. Pour cela il lit dans le précédent message reçu du véhicule le mot caché de rang N-1 et le compare avec le nouveau. S'il est identique il calcule ou recherche le mot caché de rang N qu'il aurait dû recevoir et le compare avec le mot caché du message de rang N (en cours d'identification). Pour effectuer ce travail, soit il connait l'adresse de rang N du registre pseudo-aléatoire image de celui du véhicule pour trouver le mot de rang N, soit connaissant le code générateur, il déroule les 2L-'-1 combinaisons, repère les mots de rang N-2 et N-1 et en déduit le mot de rang N. Si le résultat est correct, après avoir transmis sa table de données et reçu du véhicule un avis de bonne réception, il incrémente l'adresse du registre pseudo aléatoire image d'une unité (dans le cas de la première hypothèse seulement)et il stocke le mot caché de rang N qui devient le nouveau mot caché de rang N-1, celui à N-1 passant au rang N-2. Si le numéro du F.I.S.S et ou le mot caché ne correspondent pas, le véhicule devient suspect et nécessite sans doute un contrôle. Si l'erreur constatée persiste le véhicule peut être stoppé en arrêtant la transmission des données vers le véhicule. Les contrôles effectués pour la transmission de la table du véhicule vers le centre de contrôle restent ici parfaitement valables et applicables. Si le mot caché et le numéro du F.I.S.S sont valides et correspondent à l'immatriculation du véhicule, ils certifient de son identité. Pour cela il est nécessaire que le générateur de code pseudo aléatoire ainsi que le numéro du F.I.S.S. et le mot caché de référence soient indétectables et infalsifiables par l'utilisateur (la table des mots cachés ainsi que l'état du registre pseudo aléatoire et le type de codage sont des informations non lisibles par le calculateur (1)). Cette raison justifie pleinement la présence d'une fonction spécifique intégrée dans le calculateur (F.I.S.S (2)). L'idéal serait que le F.I.SS. soit intégré dans la puce du microprocesseur principal (1). Pour compléter la sécurité du dispositif le programme de (2) vérifie avant de transmettre le mot caché courant et de rang N-1, que l'adresse postale numérique du destinataire (centre de contrôle) est bien une de celles mémorisées dans (2) et la bonne ( à partir de la position courante du véhicule). Le programme (2) en interdira la transmission en prenant le contrôle du processeur principal si l'adresse postale est incorrecte. Cette puce contient aussi les programmes sensibles qui ne doivent en aucun cas être modifiés et qui assurent le contrôle de la sécurité interne du calculateur. Elle est un espion intelligent sur le bus de données du calculateur. Ces trois niveaux de sécurité sont nécessaires pour garantir l'intégrité de l'application. Remarques La description qui a été faite porte sur une réalisation préférée qui durcie la lutte contre le vol et la falsification des véhicules par l'intégration des traitements"moteur" dans le calculateur et par le fait que la liaison du calculateur avec les éléments mécaniques du véhicule s'effectue par un bus numérique. Le dispositif assure, par ses contrôles de démarrage ( clé et statique) et permanent du dispositif (dynamique) en liaison avec le centre de contrôle, une alarme performante contre le vol et la falsification. La localisation et l'interception des véhicules sont améliorées par la présence de la liaison avec le centre de contrôle qui permet un suivi discret du véhicule si un doute de l'état du véhicule ou de son utilisateur est effectif. La reconnaissance du véhicule par le centre de contrôle par la transmission de mots différents, non prédictibles et inconnus du conducteur à chaque nouveau dialogue, renforce la difficulté de falsifier le dispositif. Il est entendu ici, et l'homme de l'art comprendra aisément que de nombreux changements et variantes peuvent y être apportés sans pour autant sortir du cadre de l'invention. REVENDICATIONS 1- Dispositif de surveillance du respect du code de la route en liaison avec un centre de contrôle et d'avertissement par des moyens dynamiques visuels et sonores attirant l'attention du conducteur sur sa vitesse par rapport à celle autorisée, sur l'arrêt au stop, sur l'interdiction de dépasser. Le dispositif est caractérisé par l'ensemble des moyens constitutifs de l'invention (1 à 17) avec leurs fonctions, un calculateur de bord (1 à 5 bis ) qui calcule, compare les données qu'il reçoit ou transmet les résultats, par les bus numériques (13 et 14, 15 et 16 ou l'interconnexion discrète) aux moyens suivants Moyens standards du véhicule : (6 et 6 bis) : mesure de la vitesse et ou d'accélération instantanée, (7) traction, (8) tableau de bord : commandes et visualisation, (9) moyens sonores additionnels , # Moyens extérieurs : (17) centre de contrôle qui fournit les informations suivantes par une liaison G.SM par exemple : vitesse maximum autorisée modulable en fonction du contexte routier, coordonnées de la position des points de modification de la vitesse autorisée et de la présence des stops et des interdictions de dépasser, autres données utiles, accusé de réception et qui conserve les codes et données d'identification de chaque véhicule. # Moyens particuliers : (10) émetteur- récepteur GSM comme par exemple un téléphone portable avec sa messagerie associée et ou avec sa liaison Internet qui transmet les informations d'identification et de protection du véhicule, les messages d'alerte "vol ou effraction", les demandes de transfert de nouvelles tables de données vers (17) et reçoit les informations venant de (17), (11) moyen de détection de la position précise du véhicule comme par exemple un récepteur G.P.S, (12) moyen d'enregistrements préservés : boite noire qui reçoit le double des messages d'alertes "vol ou infraction ou accidents". Le dispositif compare en permanence la vitesse courante à la valeur autorisée, la position du véhicule aux positions des obligations (vitesse, stop, interdiction de dépasser), délivre des informations visuelles à (8) et sonores à (9) à l'intention du conducteur en cas de refus d'obtempérer et informe, via son transmetteur (10), le centre de contrôle (17) et mémorise ces messages dans une boite noire (12) ; en plus il calcule le point futur du véhicule. Le dispositif par son F.I.S.S. (2) scrute en permanence à l'arrêt et pendant la conduite le fonctionnement des moyens qu'il utilise, délivre par (10) des messages d'alertes au centre de contrôle (17). Il peut interrompre la traction du véhicule (7) pour éviter son vol ou si un élément vital au dispositif a été endommagé ou modifié ou débranché. 2- Dispositif selon la revendication 1 de détection des vols de véhicules caractérisé par le contrôle du code d'accès, le contrôle statique et le contrôle dynamique effectués par son calculateur de bord (1 à 5 bis) et de son F.I.S.S.( 2), ses moyens de réception et de transmission de données (10) en liaison avec le centre de contrôle (17) et son conducteur. 3- Dispositif selon la revendication 1 caractérisé par son calculateur et le tableau de bord permettant au conducteur de brancher ou débrancher l'alarme sonore par (9). 4- Dispositif selon la revendication 2 caractérisé par son calculateur, le tableau de bord et un clavier, permettant au conducteur d'avoir un code d'accès personnel (première clé informatique modifiable) pour autoriser le démarrage du véhicule et disposer d'une deuxième clé informatique modifiable pour pallier une panne. 5 - Dispositif selon les revendications let 2 caractérisé par son calculateur de bord et sa fonction spécifique intégrée (2), ses moyens de réception et de transmission de données (10) en liaison avec le centre de contrôle (17) permettant un dialogue entre le véhicule et le centre de contrôle (17) sur les 3 niveaux de contrôle dynamique : initialisation de l'émission du centre de contrôle (17) par le véhicule et arrêt de la motorisation sans réception de messages venant du centre de contrôle (17), arrêt des émissions de ce dernier si l'émetteur (10) du véhicule devient silencieux, contrôle par le centre de contrôle (17) de l'identité du véhicule et vérification par (2) que les fonctions du dispositif n'ont pas été modifiées , possibilité par la deuxième clé personnelle d'inhiber temporairement les sécurités en cas d'incidents. 6- Dispositif selon la revendication 5 caractérisé par son calculateur de bord et sa fonction spécifique intégrée (2), ses moyens de réception et de transmission de données (10) en liaison avec le centre de contrôle (17) permettant l'émission de messages de reconnaissance pseudo-aléatoires inconnus du conducteur et impossibles à connaître si l'on ne dispose pas du dernier message transmis. 7- Dispositif selon la revendication 1 caractérisé par son calculateur de bord (1 à 5 bis), ses moyens de réception et de transmission de données (10) en liaison avec le centre de contrôle (17) et permettant un dialogue entre le véhicule et le centre de contrôle pour délivrer des messages d'alerte "secours d'urgence" à partir de la comparaison, du résultat entre une décélération de consigne et la décélération courante du véhicule ( plans x, y, z) par (6 bis) ou autres senseurs. 8- Dispositif selon la revendication 1 caractérisé par son calculateur de bord, son tableau de bord, permettant au conducteur d'entrer une vitesse minimum par (8) et de mettre en oeuvre une alarme sonore (9) en cas de somnolence du conducteur provoquant une augmentation ou une diminution involontaire de sa vitesse.