FR 3099841 A1 20210212 FR 2000174 A 20200109 Description Titre de l'invention : Procédé et dispositif d'anonymisation d'une séquence vidéo Domaine technique [0001] L'invention appartient au domaine du traitement des données personnelles comprises dans des séquences vidéo, et vise en particulier un procédé pour détecter et masquer des données personnelles apparaissant dans une séquence vidéo capturée depuis un véhicule en circulation. Art antérieur [0002] Le développement des véhicules connectés et autonomes et des techniques de car- tographie haute définition nécessite une collecte massive de données relatives à l'environnement dans lequel circulent les véhicules. La capacité de traitement embarquée dans les véhicules étant relativement faible, les données collectées sont transmises vers un service de traitement en ligne disposant de ressources adaptées. En particulier, des images capturées par des caméras montées sur des véhicules sont transmises vers des serveur de traitement pour y être analysées. [0003] Sur les images ainsi capturées apparaissent souvent d'autres véhicules ou des piétons. Les plaques d'immatriculation de ces véhicules ainsi que le visage des piétons permettent d'identifier et de localiser une personne à un instant donné, et constituent ainsi des données personnelles. Le traitement de telles données est de plus en plus souvent soumis à des contraintes réglementaires. [0004] Il est ainsi nécessaire d'appliquer un traitement sur les images capturées afin d'interdire l'identification des personnes ou des véhicules qui y apparaissent. [0005] De manière classique, des algorithmes de reconnaissance sont appliqués aux images capturées afin par exemple d'identifier dans chaque image des zones où apparaissent des plaques d'immatriculation ou des visages et d'appliquer un filtre à ces zones, par exemple un floutage. De cette façon, il n'est plus possible d'identifier les véhicules ou les personnes figurant dans les images capturées. [0006] De tels traitements nécessitant des ressources importantes, et il est nécessaire de trouver des optimisations. Ainsi, lorsque les données sont capturées sous la forme de séquences d'images, il est connu d'effectuer une reconnaissance sur une première image de la séquence afin d'identifier une zone à flouter, puis d'effectuer un suivi de la zone identifiée dans les images suivantes, sans appliquer une nouvelle fois l'algorithme de reconnaissance. Ainsi, le traitement coûteux n'est pas appliqué à chaque image, ce qui permet de limiter les ressources nécessaires pour l'anonymisation des séquences. [0007] Les algorithmes de détection peuvent cependant. détecter par erreur des zones qui ne 2 contiennent pas de données personnelles. Le fait de Bouter ou de masquer des zones ne nécessitant pas d'être masquée altère inutilement la qualité des images, ce qui peut nuire aux traitements appliqués ultérieurement. Il est ainsi nécessaire d'identifier des images dans lesquelles des zones ont été sélectionnées par erreur pour l'anonymisation. Les techniques actuelles de détection d'erreur se basent sur un suivi des objets détectés dans une séquence d'image ou sur une approche non structurée selon laquelle une détection d'erreur est réalisée pour chaque image. [0008] Dans le cas d'une détection d'erreur basée sur le suivi d'une zone identifiée dans unc pluralité d'images consécutives, les traitements ne peuvent pas être parallélisés, ce qui présente un inconvénient vue la quantité de données à traiter. L'approche non structurée peut facilement être répartie sur plusieurs processeurs, les images étant traitées indépendamment les unes des autres. Toutefois, l'information de contexte dans laquelle une image a été capturée est perdue, ce qui représente également un inconvénient auquel s'ajoute une complexité de traitement supplémentaire. [0009] Ainsi, il existe un besoin pour une solution pour détecter et masquer des zones d'intérêt dans une séquence vidéo, adapté pour identifier et signaler des erreurs de détection, qui ne présente pas les inconvénients précités. Résumé de l'invention [0010] A cet effet, il est proposé un procédé d'anonymisation d'une séquence vidéo, le procédé comportant les étapes suivantes : [0011] Pour au moins unc image de la séquence : Détection, à partir des données de l'image courante, d'au moins une zone d'intérêt dans l'image, Modification des pixels dc l'image dans la zone déterminée, Reconstruction dc la vidéo à partir des images altérées. [0012] Lc procédé est remarquable en cc que des caractéristiques relatives à au moins unc zone d'intérêt détectée dans une image courante sont mémorisées en association à l'image courante, et en ce qu'il comporte les étapes suivantes : [0013] Segmentation de la séquence vidéo en une pluralité de sous-séquences de durée prédéterminée, Calcul d'une distribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de la sous-séquence, Classification non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous séquence homogènes, Identification des distributions statistiques isolées, et [0014] Lorsqu'au moins une sous-séquence isolée est détectée, - - 3 [0015] - Contrôle des parties de la séquence principale comprises entre les instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [0016] De cette manière, le procédé permet d'identifier au sein d'une séquence vidéo capturée par un dispositif embarqué dans un véhicule, des éléments devant être masqués, comme par exemple des plaques minéralogiques ou des visages, et de signaler les parties de la vidéo dans lesquelles des erreurs de détection sont susceptibles de s'être produites. La détection des zones d'intérêt est par exemple réalisée par un détecteur entrainé spécifiquement pour identifier dans une image une plaque minéralogique. La détection étant effectuée sur la seule hase des données d'une image courante, le traitement peut être facilement parallélisé sur plusieurs unités de traitements. D'autre détecteurs peuvent en outre être mis en oeuvre afin de détecter par exemple des visages ou tout autre information qu'il est souhaitable d'identifier. Un tel détecteur retourne par exemple les coordonnées et dimensions d'une zone rectangulaire contenant l'élément identifié. [0017] L'invention repose sur une analyse des distributions statistiques calculées à partir de caractéristiques des éléments détectés dans des sous-séquences de la vidéo. Lorsque qu'un distribution statistique isolée est calculée pour une sous séquence particulière, une alerte est déclenchée pour la sous-séquence. Il est ainsi possible de déceler et signaler des parties de la séquence vidéo dans laquelle se sont produites des erreurs de masquage. [0018] Le fait de calculer des distributions sur des sous-séquences vidéo plutôt que sur la séquence complète, par exemple sur une sous-séquence d'environ une minute, permet de placer l'information détectée dans un contexte dans lequel un détecteur a un comportement attendu particulier. En effet, la distribution des caractéristiques des zones détectées est dépendante du contexte dans lequel le véhicule circule. En effet, la position ou la fréquence de détection de visages par exemple est dépendante du contexte dans lequel le véhicule circule : il est peu probable de détecter des visages sur autoroute, alors qu'il est fréquent d'en détecter en ville. [0019] À l'inverse, utiliser une distribution statistique calculée sur toute la séquence vidéo ne permettra pas de révéler les détections anormales qui seront fondues parmi les différents contextes traversés par le véhicule. [0020] Par exemple, un panneau publicitaire sur l'autoroute et comportant un visage déformera la représentation statistique représentant cet évènement, et sera détecté comme singulier en comparaison aux représentations statistiques des séquences suivantes et précédentes (position de la zone d'intérêt, taille plus importante, ...). Sur la vidéo complète, et si par exemple, une zone urbaine a été traversée, des visages à droite du champ de vision auront été vus et donc l'évènement n'apparaitra pas comme anormal dans la représentation statistique de la séquence. [0021] Autrement dit, les détections anormales ont moins de poids lorsque la séquence complète est considérée et peuvent ne pas être isolées. [0022] Grâce au procédé, la confidentialité des données personnelles est améliorée, car des erreurs de masquage peuvent être détectées et signalées afin d'être corrigées. [0023] Selon un mode particulier de réalisation, le procédé est tel qu'une caractéristique associée à une zone d'intérêt est déterminée à partir d'un ou plusieurs éléments parmi les éléments suivants : [0024] Les dimensions de la zone d'intérêt, Le rapport entre la hauteur et la longueur d'une zone d'intérêt, Le rapport entre la surface de la zone d'intérêt et la surface de l'image, La position du centre de la zone d'intérêt, Un score de confiance déterminé lors de la détermination d'une zone d'intérêt, Un nombre de zone d'intérêt dans une image, et Gradient de couleur à l'intérieur d'une zone d'intérêt. [0025] Lors de la circulation d'un véhicule sur un réseau routier, les positions, dimensions ou proportions des zones d'intérêt détectées, telles que des plaques minéralogiques ou des visages, suivent une distribution particulière. [0026] Par exemple, des visages sont souvent localisés sur les côtés de l'image lorsqu'une caméra est tournée vers l'avant du véhicule car les piétons circulent généralement sur les trottoirs. De même, la distribution des emplacements des plaques minéralogiques détectées dans une séquence vidéo est contrainte pas les voies de circulation. Ainsi, lorsqu'une zone d'intérêt est détectée à un emplacement aberrant, la distribution des emplacements des zones d'intérêt dans la sous-séquence concernée est modifiée. De même, le rapport entre les dimensions d'une zone d'intérêt suit une distribution particulière : par exemple, les plaques minéralogiques possèdent des dimensions réglementaires et la détection d'une plaque dont les proportions sont aberrantes modifie la distribution des proportions dans la sous séquence dans laquelle elle a été détectée. [0027] Le nombre de zones d'intérêt détectées dans une image suit également une dis- tribution particulière et peut être utilisé pour mettre en évidence une détection erronée d'une zone d'intérêt. [0028] Un gradient de couleurs dans une zone d'intérêt détectée, par exemple dans une zone détectée comme étant une plaque minéralogique, suit également une distribution spécifique. En effet, une plaque minéralogique comprend généralement un nombre de couleurs ou de teintes prédéterminé. [0029] Une distribution anormale d'une de ces caractéristiques dans une sous séquence par rapport aux autres sous-séquences sera ainsi mise en évidence lors de l'étape de classification non supervisée et la sous-séquence concernée pourra être signalée comme comportant potentiellement une erreur de détection. [0030] Selon une réalisation particulière, le procédé est tel que l'étape de contrôle comprend la transmission, vers un terminal de contrôle, des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [0031] Ainsi, lorsqu'il a été déterminé qu'une partie de la vidéo principale est susceptible de comprendre au moins une erreur de masquage d'une zone d'intérêt, la ou les sous séquences correspondantes sont transmises vers un terminal de contrôle afin que par exemple, les sous-séquences puissent être vérifiées par un opérateur. [0032] Dans un mode particulier de réalisation, le procédé est tel que l'étape de contrôle comprend les étapes suivantes, appliquées aux images des sous-séquences dont les distributions de caractéristiques ont été considérées isolées : [0033] Détection, à partir des données d'une pluralité d'images consécutives, d'au moins une zone d'intérêt dans une image courante, Modification des pixels de l'image courante dans la zone déterminée. [0034] De cette façon, lorsqu'une sous séquence vidéo est susceptible de comprendre une erreur de masquage, une nouvelle étape de détection est réalisée. Cette seconde détection utilise de préférence un algorithme de détection différent. En particulier, la seconde détection se base sur plusieurs images consécutives afin d'obtenir une détection plus fiable. Cette seconde phase de détection étant plus coûteuse, notamment par ce qu'elle ne peut pas être parallélisée du fait que la détection est basée sur une pluralité d'images consécutives, elle n'est exécutée que lorsqu'une sous séquence est susceptible de contenir une erreur. Les ressources de calcul sont ainsi optimisées. [0035] Selon une réalisation particulière, le procédé est tel que les caractéristiques d'une zone d'intérêt détectée sont normalisées préalablement à l'étape de classification. [0036] Les valeurs des caractéristiques dont la distribution est étudiée sont ainsi comprises dans l'intervalle [0..1]. Une telle disposition permet avantageusement de calculer la distribution d'une combinaison de caractéristiques. [0037] Dans un mode de réalisation particulier, le modèle de distribution statistique utilisé est un mélange gaussien. [0038] Une telle disposition permet d'approcher la distribution d'une combinaison de carac- téristiques par combinaison des fonctions de densité des différentes caractéristiques étudiées. [0039] Selon une réalisation particulière, l'étape de classification non supervisée met en oeuvre un algorithme DBSCAN. [0040] Un tel algorithme permet d'effectuer des regroupements en s'adaptant à la densité des distributions de caractéristiques. Ainsi, des classes peuvent être déterminée à partir de données éparse (comme par exemple des visages sur un réseau secondaire rural) ou de données denses (par exemple des visages détectés en ville). En outre, l'algorithme 6 ne nécessite pas une connaissance préalable du nombre de classes et est capable de qualifier les distributions de caractéristiques isolées comme anomal igues. [0041] Selon un autre aspect, l'invention concerne un dispositif d'anonymisation d'une séquence vidéo, le dispositif comprenant un processeur et une mémoire dans laquelle sont enregistrées des instructions adaptées pour configurer le processeur pour exécuter les étapes suivantes : [0042] Pour au moins une image de la séquence : - Détection, à partir des données de l'image courante, d'au moins une zone d'intérêt dans l'image, - Modification des pixels de l'image dans la zone déterminée, [0043] Le dispositif est remarquable en cc que des caractéristiques relatives à au moins une zone d'intérêt détectée dans une image courante sont mémorisées et association à l'image courante, et en ce qu'il comporte les étapes suivantes : [0044] Segmentation de la séquence vidéo en une pluralité de sous-séquences de durée prédéterminée, Calcul d'une distribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de la sous-séquence, Classification non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous séquence homogènes, Identification des distribution statistiques isolées, et [0045] Lorsqu'au moins une sous-séquence isolée est détectée, [0046] Contrôle des parties de la séquence principale comprises entre les instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [0047] Selon encore un autre aspect, l'invention concerne un serveur comprenant un tel dispositif d'anonymisation. [0048] Enfin, l'invention concerne un support d'informations lisible par un processeur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé d'anonymisation tel que décrit ci-avant. [0049] Le support d'information peut être un support d'information non transitoire tel qu'un disque dur, une mémoire flash, ou un disque optique par exemple. [0050] Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker des instructions. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, RAM, PROM, EPROM, un CD ROM ou encore un moyen d'enregistrement magnétique, par exemple un disque dur. [0051] D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, 7 par radio ou par d'autres moyens. [0052] Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. [0053] Les différents modes ou caractéristiques de réalisation précités peuvent être ajoutés indépendamment ou en combinaison les uns avec les autres, aux étapes du procédé d'anonymisation. [0054] Les dispositifs, serveurs et supports d'informations présentent au moins des avantages analogues à ceux conférés par le procédé auquel ils se rapportent. Brève description des dessins [0055] D'autres caractéristiques, détails et avantages de l'invention apparaîtront à la lecture de la description détaillée ci-après, et à l'analyse des dessins annexés, parmi lesquels : [0056] [fig.1] La figure 1 représente un contexte de mise en oeuvre du procédé d'anonymisation selon un mode particulier de réalisation, [0057] [fig.] La figure 2 illustre les principales étapes du procédé d'anonymisation selon un mode de réalisation particulier, [0058] [fig.3] La figure 3 représente trois sous-séquence issues d'une séquence vidéo complète, et pour chacune des sous séquences, une distribution statistique spatiale des emplacements de détection de plaques minéralogiques. [0059] [fig.4] La figure 4 représente une architecture simplifiée d'un dispositif d'anonymisation selon une réalisation particulière. [0060] Description détaillée d'un mode de réalisation [0061] La figure 1 représente un véhicule 100 circulant sur une route 101. Le véhicule 100 est équipé d'une caméra 102, par exemple une caméra d'un système ADAS (Advanced Driver Assistance Systems) adaptée pour capturer des images de la chaussée devant le véhicule dans un champ de vision 103. Les images ainsi capturées sont par exemple transmises à un serveur de traitement 105 d'un réseau de communication 106 par l'intermédiaire d'un réseau d'accès cellulaire 107. Les traitements effectués par le serveur 105 à partir de la séquence vidéo capturée par le véhicule 100 permettent par exemple de construire des cartes haute définition du réseau routier ou d'offrir des services à valeur ajoutée aux véhicules tels que le véhicule 100. [0062] La succession d'images capturées constitue une séquence vidéo principale. Cette séquence comprend des images sur lesquelles apparaissent d'autres véhicules, comme par exemple le véhicule 104 qui précède le véhicule 100 sur la route 101. Sur ces images, des plaques d'immatriculation de véhicules peuvent ainsi être lisibles. Afin d'assurer le respect de la vie privée, le serveur 105 met en oeuvre le procédé d'anonymisation selon une réalisation particulière afin de masquer des informations 8 telles que les plaques d'immatriculation ou des visages pouvant apparaître dans les vidéos capturées. [0063] La figure 1 représente également un dispositif d'alerte 104, par exemple un terminal de type ordinateur personnel adapté pour communiquer avec le serveur 105 au travers du réseau de communication 105. [0064] Selon une réalisation particulière, le procédé d'anonymisation est mis en oeuvre par le serveur 105. Le serveur 105 comprend une mémoire, une unité de traitement et une interface de communication, par exemple une interface Ethernet lui permettant d'échanger des messages avec d'autres dispositifs et en particulier de recevoir une séquence vidéo à anonymiscr. La séquence vidéo est par exemple une séquence vidéo capturée par la caméra 102 équipant le véhicule 100 circulant sur la route 101, et transmise au serveur par l'intermédiaire d'un dispositif de communication du véhicule adapté pour transmettre des données au travers du réseau d'accès cellulaire 107 de type 3G, 4G ou LTE. [0065] Une réalisation particulière du procédé d'anonymisation va maintenant être décrite en référence à la figure 2. [0066] Lors d'une étape 200, le serveur 105 met en oeuvre au moins un détecteur adapté pour détecter des éléments dans une séquence vidéo. Le détecteur comprend un algorithme de reconnaissance adapté pour détecter des zones d'intérêt comme des plaques d'immatriculation de véhicules à partir des données d'une image courante, indépendamment des images précédentes ou suivantes. Le serveur 105 est en outre adapté pour appliquer, lors d'une étape 201, une déformation, un masquage ou un flou sur les zones d'intérêt ainsi identifiées. L'algorithme de reconnaissance utilisé est par exemple un réseau de neurone convolutif profond. De cette façon, il est possible d'obtenir une nouvelle séquence vidéo dans laquelle la vie privée des usagers du domaine publique est préservée. Le serveur peut également mettre en oeuvre un détecteur adapté pour déterminer des visages ou tout autre information qu'il est souhaitable de masquer dans une séquence vidéo. De tels détecteurs sont connus et mettent par exemple en oeuvre des réseaux de neurones convolutifs. [0067] A l'étape 202, le serveur détermine des caractéristiques associées au zones d'intérêt identifiées dans les images de la séquence et mémorise ces caractéristiques en as- sociation avec les images dans lesquelles les zones d'intérêt ont été identifiées. [0068] Selon une réalisation particulière, une caractéristique déterminée est représentative de la position dans l'image des différentes zones d'intérêt identifiées. La position correspond par exemple à l'intersection des diagonales d'une zone d'intérêt rectangulaire. Ainsi, lorsqu'une zone d'intérêt telle qu'une plaque d'immatriculation est identifiée dans une image, le serveur en calcule le point central et mémorise, en association avec l'image dans laquelle la zone d'intérêt est identifiée, une indication sur 9 la zone d'intérêt de type « plaque d'immatriculation est détectée dans l'image » à l'emplacement calculé. Il est ainsi possible d'obtenir pour chaque image de la séquence, une liste de zones d'intérêt détectées avec leur position dans l'image. [0069] Le serveur peut déterminer d'autres caractéristiques d'une zone d'intérêt et les associer à l'image correspondante. En particulier, le serveur peut déterminer les dimensions d'une zone n'intérêt, par exemple sa hauteur et sa largeur en pixels, ou encore calculer un rapport entre la hauteur et la largeur, la surface de la zone d'intérêt, un rapport entre la surface calculée et la surface de l'image, un gradient de couleur calculé à partir des pixels compris dans une zone d'intérêt, ou encore un score de confiance, correspondant par exemple à une probabilité de détection correcte, donnée par le détecteur pour une zone d'intérêt particulière. Le serveur peut également associer à chaque image le nombre de zones d'intérêt identifiées dans l'image par un détecteur particulier. [0070] Selon une réalisation particulière, les caractéristiques déterminées par le serveur pour une zone d'intérêt particulière sont normalisées dans un intervalle de valeur particulier, par exemple dans l'intervalle [0..1]. Par exemple, une zone d'intérêt identifiée à l'abscisse 240 dans une image de largeur 480 pixels a une abscisse de 0.5 après normalisation. L'étape de normalisation est appliquée selon le même principe aux différentes caractéristiques énoncées ci-avant. [0071] A l'étape 203, le serveur segmente la séquence vidéo principale en une pluralité de sous-séquences de durée sensiblement égale. Par exemple, la séquence principale est segmentée en sous-séquences d'environ une minute. [0072] La figure 3 représente trois sous-séquences vidéo 300, 301, 302 obtenues par seg- mentation d'une séquence vidéo principale. La séquence vidéo principale a par exemple été capturée par une caméra montée sur un véhicule et orientée vers l'avant du véhicule. Il s'agit par exemple d'une caméra d'un système ADAS (Advanced Driver Assistance Systems). La séquence vidéo a par exemple une résolution temporelle de trente images par seconde et les sous-séquences ont une durée d'une minute. Ainsi, chaque sous-séquence 300 à 302 comporte 1800 images. Chaque image de la séquence principale est analysée au préalable par le serveur afin d'identifier, au moyen d'un détecteur entrainé à cet effet, des plaques minéralogiques. Les images étant analysée indépendamment, il est possible de paralléliser le processus de détection en répartissant le traitement de la séquence sur une pluralité de serveurs. [0073] Lors d'une étape 204, le serveur calcule, pour chaque sous-séquence, une distribution statistique des caractéristiques des zones d'intérêt associées aux images de la sous-séquence. Pour cela, le serveur met en oeuvre un estimateur de maximum de vraisemblance ou un algorithme de type Esperance-Maximisation (en anglais expectationmaximization algorithm, EM) afin de déterminer les paramètres d'une loi de pro- habilité associée aux caractéristiques considérées des zones d'intérêt identifiées dans chaque image d'une sous-séquence. Par exemple, le serveur détermine les paramètres d'un modèle de mélange gaussien à partir de l'algorithme EM. Le serveur détermine en outre le nombre de groupes G du mélange gaussien à partir du nombre moyen de zones d'intérêt identifiées dans chacune des images de la séquence. Plus spécifiquement, dans un mode de réalisation particulier, le nombre de groupe G est le nombre moyen de zones d'intérêt détecté dans une image de la sous-séquence, arrondi à l'entier supérieur, sauf si aucune zone d'intérêt n'a été détecté, auquel cas le nombre de groupe G est nul. [0074] Dans un autre mode de réalisation particulier, le nombre de groupe est le nombre maximum de zones d'intérêt détecté dans une image de la sous-séquence. [0075] De telles dispositions permettent d'assurer que chaque observation peut être affectée à un groupe. [0076] Dans un mode particulier de réalisation, lorsqu'au moins deux caractéristiques sont étudiées (par exemple un nombre de zones d'intérêt identifiées dans une image d'une part et le rapport entre la longueur et la largeur des zones d'intérêt d'autre part), ou bien lorsqu'une caractéristique comprend au moins deux composantes (par exemple la position d'une zone d'intérêt comprend une abscisse et une ordonnée) le procédé comporte une étape de calcul d'une matrice de covariance. [0077] Le nombre de dimensions de la matrice de covariance dépend du nombre de caracté- ristiques étudiées et du nombre de composantes de chacune de ces caractéristiques. Par exemple, en considérant qu'une zone d'intérêt n'est associé qu'à la seule caractéristique relative à sa position dans l'image, la matrice de covariance calculée comporte deux dimensions correspondant à la largeur et la longueur de la zone identifiée. Une telle matrice permet d'étudier la variance de la composante de largeur par rapport à la composante de longueur. [0078] Dans le cas où le serveur prend en compte toutes les caractéristiques décrites ci- avant, c'est-à-dire par exemple les dimensions de la zone d'intérêt (2 composantes, largeur et longueur), le rapport entre la hauteur et la longueur d'une zone d'intérêt G composante), le rapport entre la surface de la zone d'intérêt et la surface de l'image (1 composante), la position du centre de la zone d'intérêt (2 composantes, abscisse et ordonnée), un score de confiance déterminé lors de la détermination d'une zone d'intérêt (1 composante), un nombre de zone d'intérêt dans une image (1 composante), et un gradient de couleur à l'intérieur d'une zone d'intérêt (2 composantes), la matrice peut comporter dix dimensions. [0079] En référence à la figure 3, on remarque trois véhicules 307, 308 et 309 circulant sur la chaussée dans le champ de vision de la caméra. Ces véhicules comportent des plaques minéralogiques susceptibles d'être détectées par le détecteur mis en oeuvre par 11 le serveur. Lorsqu'une telle plaque est détectée, le serveur détermine et mémorise des caractéristiques de la zone de l'image correspondant à la plaque. Par exemple, le serveur détermine et mémorise les positions correspondant aux zones de l'image dans lesquelles des plaques sont détectées, les dimensions ou les proportions de ces zones, et/ou toute autre caractéristique décrites ci-avant. Ces caractéristiques sont mémorisées en association avec l'image dans laquelle la zone correspondante est détectée. [0080] L'image 303 de la figure 3 est une représentation graphique un exemple de dis- tribution statistique des positions auxquelles sont détectées des plaques d'immatriculation dans la sous-séquence 300. On remarque que la probabilité de détection d'une plaque est maximale dans les régions 310 et 311. Ces régions correspondent aux voies de circulations sur lesquelles circulent habituellement les véhicules apparaissant dans le champ de vision de la caméra. De telles régions sont également mises en évidence sur les représentations graphiques 304 et 305 établies à partir des distributions statistiques des caractéristiques des zones d'intérêt respectivement détectées dans les sous séquences 301 et 302. On note en effet deux zones 312 et 313 sur la représentation 304 correspondant à une probabilité maximale de détection d'une plaque minéralogique dans la sous séquence 301. De même, deux zones 315 et 316 correspondant à une probabilité maximale de détection d'une plaque minéralogique dans la sous séquence 301 apparaissent sur la représentation 305. [0081] On remarque cependant sur la représentation 304 une région supplémentaire 314 qui n'apparait pas sur les représentations 304 et 305. Cette région est due à une détection erronée du panneau 306 comme étant une plaque minéralogique. Cette détection erronée génère une probabilité de détection d'une plaque sur le côté droit de la chaussée. La distribution des emplacements des zones d'intérêt est donc modifiée par la détection de ce panneau comme une plaque d'immatriculation. [0082] On rappelle ici qu'une détection du panneau comme étant une plaque d'immatriculation va déclencher le masquage du panneau et détruire inutilement une information potentiellement importante. Par exemple, il existe des méthodes de localisation utilisant la signalisation routière pour corriger des dérives inhérentes à un système de navigation GNSS (Global Navigation Satellite System). En détruisant l'information du panneau par erreur, un système d'anonymisation peut réduire les performances d'un tel système de localisation. [0083] A l'étape 205, le serveur effectue une classification non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous-séquences homogènes. La classification non supervisée est par exemple mise en oeuvre par un algorithme de type DBSCAN en entrée duquel le serveur fourni une représentation des distributions statistiques de caractéristiques considérées. Selon une réalisation particulière, le serveur construit une table comportant une ligne par sous- 12 séquence, les colonnes correspondant aux variances de chaque couple de caractéristiques calculées. Par exemple, une ligne peut comprendre les données de la matrice de covariance calculée pour la sous-séquence correspondante agencée sous forme d'un vecteur ainsi que les différentes composantes de ma moyennep des caractéristiques. La table ainsi construite est alors fournie en entrée à l'algorithme DBSCAN. [0084] L'application d'une telle classification non supervisée aux distributions de caracté- ristiques calculées à partir des sous-séquences 300 à 302 de la figure 3 et représentées visuellement sur les représentations 303 à 305, la séquence 301 va être identifiée comme ayant une distribution anormale par rapport aux autres sous-séquences 300 à 302 issues de la séquence principale. En effet, en appliquant l'algorithme DBSCAN aux distributions déterminées pour les différentes séquences 300, 301 et 302, les distributions des caractéristiques des zones détectées dans les sous séquences 300 et 302 seront regroupées en une unique classe alors que la distribution des caractéristiques des zones détectées dans la sous séquence 301 sera isolée, car différente. [0085] Lors d'une étape 206, le serveur analyse les données générées par l'algorithme de classification non supervisée afin d'identifier des sous-séquences comprenant une distribution particulière des caractéristiques dont la distribution dont la distribution. Un algorithme de classification non supervisé (ou un algorithme de « Clustering » en anglais) comme l'algorithme DBSCAN permet d'effectuer des regroupements et d'identifier des éléments isolés considérés comme du bruit dans le jeu de données soumis. Ainsi, l'algorithme DBSCAN identifie les lignes de la table soumise en entrée lors de l'étape 205 qui décrivent une distribution des caractéristiques qui n'est pas homogène avec les distributions de caractéristiques décrites dans les autres lignes de la table. Autrement dit, l'algorithme de classification détermine les sous-séquences dans lesquelles des zones d'intérêts comportant des caractéristiques de faible probabilité ont été identifiées. [0086] Par exemple, en référence à la figure 3, on constate que la distribution 304 des carac- téristiques des plaques minéralogiques détectées dans la sous-séquence 301 diffère des distributions calculées pour les sous séquences 300 et 302. La différence s'explique ici par une détection erronée d'un panneau de signalisation 306 comme étant une plaque minéralogique. La détection d'une plaque minéralogique dont la position est à droite dans le contexte de la séquence vidéo (par exemple un contexte d'autoroute) déforme la distribution de la caractéristique « position ». En revanche, dans un contexte urbain, la détection de plaques minéralogiques positionnées à droite, due par exemple à des véhicules stationnés le long de la voie de circulation, aurait donné lieu à une distribution homogène et n'aurait pas levé d'alerte. [0087] A l'étape 207, le serveur effectue un contrôle des séquences dont les distributions de caractéristiques ont été considérées isolées. Selon un mode particulier de réalisation, 13 l'étape de contrôle comprend la transmission à un dispositif de contrôle d'un message comportant les instants de début et de fin, et/ou les données des sous séquences comportant une distribution isolée des caractéristiques des zones d'intérêt identifiées. Le dispositif de contrôle est par exemple un terminal informatique 104 disposant d'une interface utilisateur permettant de signaler à un opérateur qu'une partie d'une séquence vidéo est susceptible de contenir une erreur de masquage et nécessite d'être contrôlée. [0088] Selon un mode de réalisation particulier, l'étape de contrôle comprend la détection, à partir des données d'une pluralité d'images consécutives, d'au moins une zone d'intérêt dans une image courante, et une modification des pixels de l'image courante dans la zone déterminée. Autrement dit, le serveur effectue une nouvelle détection de zones d'intérêt lorsqu'une sous séquence est identifiée comme comportant une erreur. Cette nouvelle détection peut être réalisée par un algorithme plus complexe basé par exemple sur un suivi des zones détectées dans une pluralité d'images consécutives, sans impact notable sur le coût du traitement global de la séquence vidéo principale. En effet, les traitements les plus complexes ne sont appliqués qu'aux sous-séquences susceptibles de contenir des erreurs. [0089] Selon un mode particulier de réalisation, les étapes 200 à 202 sont mises en oeuvre par le véhicule 100. Pour cela, lors de l'acquisition d'une séquence vidéo par une caméra embarquée, le véhicule 100 détecte des zones d'intérêt telles que des plaques minéralogiques ou des visages à partir d'un algorithme approprié. L'algorithme est mis en oeuvre par un calculateur du véhicule configuré par des instructions appropriées pour effectuer, outre l'identification de zones d'intérêt, la modification des pixels des zones identifiées. Le calculateur du véhicule met également en oeuvre l'étape 202 de détermination de caractéristiques des zones d'intérêt détectées et d'association de ces caractéristiques aux images dans lesquelles elles sont détectées. La séquence vidéo ainsi anonymisée et les caractéristiques des zones d'intérêts détectées sont transmises au serveur 105 par l'intermédiaire d'une interface de communication du véhicule. Le serveur met en oeuvre les étapes 203 à 207 décrites ci-avant à partir des données reçues. Des zones d'intérêt étant déjà masquée dans la séquence reçue par le serveur, la confidentialité est améliorée. [0090] La figure 4 représente l'architecture d'un dispositif 400 adapté pour mettre en oeuvre le procédé d'anonymisation selon un mode de réalisation particulier. Le dispositif 400 comprend un espace de stockage 402, par exemple une mémoire MEM, une unité de traitement 401 équipée par exemple d'un processeur PROC. L'unité de traitement peut être pilotée par un programme 403, par exemple un programme d'ordinateur PGR, mettant en oeuvre le procédé d'anonymisation décrit précédemment en référence à la figure 2, et notamment pour chaque image de la séquence, les étapes de détermination, par classification supervisée, d'au moins une zone d'intérêt dans l'image, de modi- 14 fication des pixels de l'image dans la zone déterminée et les étapes de calcul et de détection et de mémorisation de caractéristiques relatives à au moins une zone d'intérêt dans une image courante, de segmentation de la séquence vidéo en une pluralité de sous-séquences de durée prédéterminée, de calcul d'une distribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de la sous-séquence, de classification non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous séquence homogènes, d'identification des distributions statistiques isolées, et lorsqu'au moins une sous-séquence isolée est détectée, de transmission des instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [0091] À l'initialisation, les instructions du programme d'ordinateur 403 sont par exemple chargées dans une mémoire RAM (Random Access Mcmory en anglais) avant d'être exécutées par le processeur de l'unité de traitement 401. Le processeur de l'unité de traitement 401 met en oeuvre les étapes du procédé d'anonymisation selon les instructions du programme d'ordinateur 403. [0092] Pour cela, outre la mémoire et le processeur, le dispositif 400 comprend des moyens de communication 404, par exemple une interface réseau Ethernet, permettant au dispositif d'échanger des messages avec d'autres dispositifs au travers d'un réseau de communication, et en particulier de recevoir une séquence de vidéo transmise par un véhicule conformément à un protocole de communication comme TCP/IP. [0093] Le dispositif 400 comprend un module de détection 405 adapté pour détecter au moins une zone d'intérêt dans au moins une image courante de la séquence vidéo reçue par le module de communication 404. Le module 405 est par exemple mis en oeuvre par des instructions de programme d'ordinateur enregistrées dans la mémoire 402 du dispositif. Ces instructions sont configurées pour mettre en oeuvre un algorithme de reconnaissance de plaques minéralogiques et/ou de visages, ou de tout autre élément qu'il est souhaitable de détecter dans une image courante de la séquence vidéo, lorsqu'elles sont exécutées par le processeur de l'unité de traitement 401. [0094] Le dispositif 400 comprend aussi un module de masquage 406 adapté pour modifier la valeur de pixels appartenant à une zone d'intérêt identifiée par le module 405. Le module 406 est mis en oeuvre par des instructions exécutées par l'unité de traitement 401 et par exemple configurées pour appliquer un floutage de l'image dans la zone identifiée, en affectant par exemple à chaque pixel courant de la zone d'intérêt une valeur de couleur correspondant à la une valeur de couleur moyenne calculée sur un ensemble de pixels voisins du pixel courant. Bien entendu, le module de masquage peut mettre en oeuvre tout autre algorithme permettant de masquer des éléments d'une zone d'intérêt. [0095] Le dispositif 400 comprend également un module 407 adapté pour déterminer au moins une caractéristique de chaque zone d'intérêt identifiée et pour associer ces caractéristiques aux images dans lesquelles les zones d'intérêt correspondantes ont été identifiées. Par exemple, le module 407 est mis en oeuvre par des instructions de programme d'ordinateur configurées pour déterminer au moins une caractéristique de chaque zone d'intérêt identifiée par le module 405. Les instructions sont par exemple configurées pour calculer un ratio entre la largeur et la longueur d'une zone d'intérêt, ou tout autre caractéristique décrite ci-avant en référence à l'étape 202, et pour associer les caractéristiques calculées à l'image dans laquelle la zone d'intérêt est issue. L'association est par exemple mémorisée en mémoire RAM, dans une hase de données, ou dans un fichier de données au format JSON ou XML. Une valeur de caractéristique est ainsi mise en relation avec un identifiant d'image de la séquence, comme un numéro de séquence de l'image. [0096] Le dispositif 400 comprend aussi un module 408 de segmentation vidéo. Le module de segmentation vidéo est adapté pour découper la séquence vidéo principale reçue par le dispositif en une pluralité de segment de même durée, par exemple en une pluralité de séquences d'une minute. Un tel module peut être mis en oeuvre par des instructions de programme adaptées analyser des métadonnécs de la séquence vidéo et déterminer la durée de présentation de chaque image. Les instructions du module 408 sont également configurées pour déterminer, à partir de la fréquence déterminée, un nombre d'images nécessaires pour obtenir un segment de durée prédéterminé, par exemple d'une minute, et scinder la vidéo principale en une pluralité de telles sous-séquences. Pour cela, le module 408 peut avantageusement mettre en oeuvre un décodeur vidéo adapté pour manipuler la séquence vidéo. [0097] Le dispositif 400 comprend également un module 409 adapté pour calculer une dis- tribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de chaque sous séquence générée par le module 408. Pour cela, le module 409 comprend des instructions de programme configurées pour mettre en oeuvre un estimateur de maximum de vraisemblance ou un algorithme de type Esperance-Maximisation (en anglais expectation-maximization algorithm, EM) pour déterminer les paramètres d'une loi de probabilité associée aux caractéristiques considérées des zones d'intérêt identifiées par le module 405 dans chaque image d'une sous-séquence. [0098] Le dispositif 400 comprend aussi un module 410 de classification non supervisée des distributions statistiques calculées par le module 409 pour la pluralité de sous-séquences déterminer des groupes de sous séquence homogènes et identifier des distributions statistiques isolées. Par exemple, le module 410 est mis en oeuvre par des instructions de programme d'ordinateur configurées pour mettre en oeuvre un algorithme de type DBSCAN lorsqu'elle sont exécutées par l'unité de traitement 401. 16 [0099] Enfin, le dispositif 400 comprend un module 411 de contrôle des parties de la séquence principale comprises entre les instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées par le module 410. Le module de contrôle est par exemple mis en oeuvre par des instructions adaptées pour exécuter un algorithme de détection de plaques et/ou de visages distinct de l'algorithme mis en oeuvre par le module de détection 405, comme par exemple un algorithme mettant en oeuvre le suivi d'une zone détectée dans une pluralité d'images consécutives de la séquence vidéo. [0100] Dans un mode de réalisation, le dispositif 400 est intégré dans un serveur de traitement. [0101] Selon un mode de réalisation alternatif, les modules 405, 406 et 407 sont mis en oeuvre par un calculateur embarqué dans un véhicule équipé d'une caméra, les résultats du module 407 étant transmis à serveur mettant en oeuvre les modules 408 à 411. 17 [Revendication 1] [Revendication 2] REVENDICATIONSProcédé d'anonyrnisation d'une séquence vidéo principale, le procédé comportant les étapes suivantes : Pour au moins une image courante de la séquence vidéo principale: Détection (200), à partir des données de l'image courante, d'au moins une zone d'intérêt dans l'image, Modification (201) des pixels de l'image dans la zone détermi née, le procédé étant caractérisé en ce que des caractéristiques relatives à au moins une zone d'intérêt détectée dans une image courante sont mémorisées (202) en association à l'image courante, et en cc qu'il comporte les étapes suivantes : Segmentation (203) de la séquence vidéo en une pluralité de sous-séquences de durée prédéterminée, Calcul (204) d'une distribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de la sous-séquence, Classification (205) non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous séquence homogènes, Identification (206) des distributions statistiques isolées, et Lorsqu'au moins une sous-séquence isolée est détectée, Contrôle (207) des parties de la séquence principale comprises entre les instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. Procédé selon la revendication 1 dans lequel une caractéristique associée à une zone d'intérêt est déterminée à partir d'un ou plusieurs éléments parmi les éléments suivants : Les dimensions de la zone d'intérêt, Le rapport entre la hauteur et la longueur d'une zone d'intérêt, Le rapport entre la surface de la zone d'intérêt et la surface de - - 18 l'image, La position du centre de la zone d'intérêt, Un score de confiance déterminé lors de la détermination d'une zone d'intérêt, Un nombre de zone d'intérêt dans une imago, et Gradient de couleur à l'intérieur d'une zone d'intérêt. [Revendication 3] Procédé selon l'une quelconque des revendications précédentes dans lequel l'étape de contrôle comprend la transmission, vers un terminal de contrôle, des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [Revendication 4] Procédé selon l'une quelconque des revendications 1 à 2 dans lequel l'étape de contrôle comprend les étapes suivantes, appliquées aux images des sous-séquences dont les distributions de caractéristiques ont été considérées isolées : Détection, à partir des données d'une pluralité d'images consécutives, d'au moins une zone d'intérêt dans une image courante, Modification des pixels de l'image courante dans la zone déterminée. [Revendication 5] [Revendication 6] Procédé selon l'une quelconque des revendications précédentes dans lequel le modèle de distribution statistique utilisé est un mélange gaussien. Dispositif d'anonymisation d'une séquence vidéo principale, le dispositif comprenant des moyens de communication (404), un processeur (401) et une mémoire (402) dans laquelle sont enregistrées des instructions de programme d'ordinateur, les instructions étant adaptées pour configurer le processeur et les moyens de communication pour exécuter les étapes suivantes : Pour au moins une image de la séquence : - Détermination, par un premier détecteur, d'au moins une zone d'intérêt dans l'image, - Modification des pixels de l'image clans la zone déterminée, Reconstruction de la vidéo à partir des images altérées, 19 le dispositif étant caractérisé en cc que des caractéristiques relatives à au moins une zone d'intérêt détectée dans une image courante sont mémorisées et association à l'image courante, et en ce que les instructions sont en outre adaptées pour configurer le processeur pour exécuter les étapes suivantes : Segmentation de la séquence vidéo en une pluralité de sous-séquences de durée prédéterminée, Calcul d'une distribution statistique représentant les caractéristiques des zones d'intérêt associées aux images de la sous-séquence, Classification non supervisée des distributions statistiques calculées pour la pluralité de sous-séquences pour déterminer des groupes de sous séquence homogènes, Identification des distribution statistiques isolées, et Lorsqu'au moins une sous-séquence isolée est détectée, Contrôle des parties de la séquence principale comprises entre les instants de début et de fin des sous-séquences dont les distributions de caractéristiques ont été considérées isolées. [Revendication 7] Serveur comprenant un dispositif d'anonymisation selon la reven- dication 6. [Revendication 8] Support d'informations lisible par un processeur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé d'anonymisation selon l'une quelconque des revendications 1 à 5.