FR 3102879 A1 20210507 FR 1912223 A 20191030 Système et procédé de gestion de la position d’un véhicule autonome. Procédé de gestion de la position d’un véhicule, comprenant les étapes suivantes : - estimation (E20) des premières positions du véhicule à différents instants, - mesure (E30) des deuxièmes positions du véhicule à ces mêmes différents instants, - en cas de discordance entre les premières et deuxièmes positions (E40), considération des premières positions comme positions courantes du véhicule à ces différents instants (E51), - incrémentation (E52) d’un compteur tant qu’il existe une discordance entre une première position et une deuxième position au même instant, - lorsque le compteur atteint une valeur seuil, mise du véhicule dans un mode sécurisé (E53). Figure pour l’abrégé : 1 Système et procédé de gestion de la position d’un véhicule autonome. L’invention concerne un système de gestion de la position d’un véhicule autonome. L’invention porte aussi sur un véhicule autonome comprenant un tel système de gestion. L’invention porte encore sur un procédé de gestion de la position d’un véhicule autonome. L’invention porte également sur un système d’alerte, notamment visuelle ou haptique ou sonore, pour un conducteur ou un opérateur à distance. L’invention porte enfin sur un système de synthèse de données. Dans un véhicule autonome, un certain nombre de capteurs est couramment prévu pour améliorer les performances du véhicule. Un système de localisation est habituellement prévu pour localiser le véhicule dans un repère local ou global. Des algorithmes de détection et de poursuite du déplacement du véhicule, ainsi qu’un planificateur de trajectoire, sont souvent liés à un tel système de localisation. Il apparaît donc important de prévoir un système de localisation précis pour un véhicule autonome. Toutefois, les capteurs additionnels habituellement utilisés dans les véhicules autonomes, comme par exemple à base de lidar, à base de RTK-DGPS ou à base de INS, présentent un coût élevé et peuvent subir des dysfonctionnements et/ou erreurs. Il en résulte un risque de perte de contrôle du véhicule. On connaît du document JP2004271293 un dispositif et un procédé de navigation utilisant une information de localisation fournie par GPS, acronyme d’origine anglo-saxonne pour «Global Positioning System », ainsi qu’un historique de localisation du véhicule. Les données GPS sont définies comme la position actuelle du véhicule seulement si elles sont comprises dans la gamme prévue de position du véhicule à partir des données de positions propres du dispositif et de l’historique de positions. Sinon, la position estimée du véhicule est définie comme la position actuelle du véhicule. Différents seuils sont déterminés pour l’angle d’orientation et la distance parcourue pour différentes valeurs de vitesse. La position estimée du véhicule est calculée à partir d’équations de déplacement basées sur des points pour une vitesse et un angle d’orientation donnés. Toutefois, cette solution présente des inconvénients. En particulier, l’état du véhicule peut être prévu seulement par rapport à l’état du véhicule actuel sans prendre en compte le contrôleur. Cette solution permet seulement de prévoir l’état du véhicule dans un unique intervalle de temps futur. Le but de l’invention est de fournir un système et un procédé de gestion de la position d’un véhicule autonome remédiant aux inconvénients ci-dessus et améliorant les systèmes et procédés connus de l’art antérieur. En particulier, l’invention permet de réaliser un système et un procédé qui soient fiables et qui permettent de s’affranchir de l’utilisation de capteurs supplémentaires et permettent de s’affranchir, en sécurité, d’erreurs temporaires d’un système de localisation. Pour atteindre cet objectif, l’invention porte sur un procédé de gestion de la position d’un véhicule, comprenant les étapes suivantes : - estimation des premières positions du véhicule à différents instants, - mesure des deuxièmes positions du véhicule à ces mêmes différents instants, - en cas de discordance entre les premières et deuxièmes positions, considération des premières positions comme positions courantes du véhicule à ces différents instants, - incrémentation d’un compteur tant qu’il existe une discordance entre une première position et une deuxième position au même instant, - lorsque le compteur atteint une valeur seuil, mise du véhicule dans un mode sécurisé. L’étape d’estimation peut comprendre : - combiner un modèle longitudinal et un modèle latéral du véhicule en boucle fermée de sorte à calculer des états de sécurité ultérieurs du véhicule, notamment des positions ultérieures du véhicule, et - générer des états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Le procédé peut comprendre une production d’un système de données de synthèse pour compenser des erreurs simples ou multiples d’un système de localisation automatisé d’un système de localisation. Le procédé peut comprendre une étape de stockage d’états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Le procédé peut comprendre une étape de détermination d’une ellipse de précision obtenue à partir des positions de sécurité calculées. L’étape d’estimation peut comprendre une étape de détermination d’une première position estimée du véhicule à partir de l’ellipse de précision, en faisant converger la pluralité de positions de sécurité calculées. Le procédé peut comprendre une étape dans laquelle on considère qu’il y a discordance par comparaison d’une deuxième position par rapport à l’ellipse de précision, notamment si la deuxième position est en dehors de l’ellipse de précision. L’invention porte aussi sur un système de gestion de la position d’un véhicule comprenant des moyens de mettre en œuvre le procédé défini précédemment. Le système peut comprendre : - un élément d’indication d’une erreur dans un système de localisation automatisé ; et - un élément d’activation d’une manœuvre de freinage d’urgence dans le cas d’une erreur dans le système de localisation automatisé. L’invention porte encore sur un véhicule automobile comprenant un système défini précédemment. L’invention porte également sur un produit programme d’ordinateur comprenant des instructions de code de programme enregistrées sur un support lisible par ordinateur pour mettre en œuvre les étapes du procédé défini précédemment lorsque ledit programme fonctionne sur un ordinateur ou sur un produit programme d’ordinateur téléchargeable depuis un réseau de communication et/ou enregistré sur un support de données lisible par un ordinateur et/ou exécutable par un ordinateur, comprenant des instructions qui, lorsque le programme est exécuté par l’ordinateur, conduisent celui-ci à mettre en œuvre le procédé défini précédemment. L’invention porte encore sur un support d’enregistrement de données, lisible par un ordinateur, sur lequel est enregistré un programme d’ordinateur comprenant des instructions de code de programme de mise en œuvre du procédé défini précédemment ou sur un support d'enregistrement lisible par ordinateur comprenant des instructions qui, lorsqu'elles sont exécutées par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé défini précédemment. L’invention porte enfin sur un signal d'un support de données, portant le produit programme d'ordinateur défini précédemment. Les dessins annexés représentent, à titre d’exemple, un mode de réalisation d’un système de gestion de la position selon l’invention et un mode d’exécution d’un procédé de gestion de la position selon l’invention. La figure 1 représente un ordinogramme d’un mode d’exécution d’un procédé de gestion de la position d’un véhicule. La figure 2 représente un mode de réalisation d’un système de gestion de la position d’un véhicule autonome. La figure 3 représente un mode de réalisation d’un module de position estimée de sécurité d’un système de gestion de la position du type de celui de la figure 2. La figure 4 est un graphique illustrant la prise en compte de la réponse longitudinale du véhicule par un modèle longitudinal du véhicule d’un module de position estimée de sécurité du type de celui de la figure 3. L’invention propose un système de gestion de la position d’un véhicule autonome adapté à vérifier en continu la sortie du système, ce qui permet notamment d’évaluer sa précision. Initialement, une donnée prévisionnelle de localisation du véhicule est calculée avec la dernière information de localisation fiable disponible. Cette prévision est réalisée en utilisant un modèle complet du véhicule, incluant la logique de contrôle interne du véhicule. Les données estimées et réelles sont comparées afin de déterminer si la nouvelle donnée de localisation est assez précise, permettant de détecter toute défaillance potentielle à la fréquence du système de mise en position de sécurité. En l’absence de détection de défaillance, la donnée estimée de sécurité est présumée être la position correcte du véhicule. Il en résulte deux fonctionnalités principales d’un tel système de gestion de la position d’un véhicule. Une première fonctionnalité du système réside dans le fait qu’il permet d’indiquer quand le système retrouve et fournit des valeurs de localisation exactes. Une deuxième fonctionnalité du système réside dans le fait qu’il permet de déterminer quand le système atteint ses limites, et de mettre éventuellement le véhicule dans un mode sécurisé, notamment en activant un freinage d’urgence. L’invention propose un système utilisant un modèle complet du véhicule et un algorithme de contrôle. Un tel système est capable d’estimer les positions de sécurité ultérieures du véhicule avec une fréquence supérieure à celles des systèmes de localisation couramment utilisés. Un tel système permet d’obtenir une ellipse d’enveloppe des points de position de sécurité prévisionnels dans laquelle la prochaine position du véhicule devrait se trouver. Une telle ellipse prend en compte la dynamique courante du véhicule et la dynamique future du véhicule estimée. Un tel système de gestion de la position d’un véhicule est apte à utiliser toutes les informations du véhicule disponibles. Le modèle complet du véhicule et l’algorithme de contrôle peuvent prendre en compte la dernière information disponible pour estimer le reste des variables. L’invention propose un procédé de gestion de la position d’un véhicule, comprenant les étapes suivantes : - estimation des premières positions du véhicule à différents instants, - mesure des deuxièmes positions du véhicule à ces mêmes différents instants, - en cas de discordance entre les premières et deuxièmes positions, considération des deuxièmes positions comme positions courantes du véhicule à ces différents instants, - incrémentation d’un compteur tant qu’il existe une discordance entre une première position et une deuxième position au même instant, - lorsque le compteur atteint une valeur seuil, mise du véhicule dans un mode sécurisé. Un mode d’exécution du procédé de gestion de la position d’un véhicule est décrit ci-après en référence à la figure 1. Dans une première étape E10, on initialise un compteur à l’instant t. Dans une deuxième étape E20, on réalise une estimation d’une position du véhicule à cet instant t, dite première position. Dans une troisième étape E30, on réalise une mesure d’une position du véhicule à ce même instant t, dite deuxième position. Dans une quatrième étape E40, on compare la première position estimée et la deuxième position mesurée. En cas de discordance entre la première position estimée et la deuxième position mesurée, dans une étape E51, on considère la première position estimée comme position courante du véhicule à cet instant t. Dans une étape E52, on incrémente le compteur. La première position estimée peut consister, comme il est expliqué plus bas, en un ensemble de positions contenues dans une figure géométrique, notamment une ellipse. On peut donc considérer qu’il y a discordance entre la première position estimée et la deuxième position mesurée, si la position mesurée se trouve hors de la figure géométrique. Après l’étape E52 d’incrémentation du compteur, si la valeur seuil n’est pas atteinte par le compteur, on réitère le procédé à partir de la deuxième étape E20. Si le compteur atteint la valeur seuil, dans une étape E53, on réalise la mise du véhicule dans un mode sécurisé. Dans le cas où il n’y a pas de discordance entre la première position estimée et la deuxième position mesurée, dans une étape E61, on considère la deuxième position mesurée comme position courante du véhicule à cet instant t. On peut donc considérer qu’il y a concordance entre la première position estimée et la deuxième position mesurée, si la position mesurée se trouve dans la figure géométrique. On réitère ensuite le procédé à partir de la première étape E10, en réinitialisant le compteur. Un mode de réalisation d’un système de gestion de la position d’un véhicule, comprend : - des moyens 7, 8 d’estimation des premières positions du véhicule à différents instants, - des moyens 3 de mesure des deuxièmes positions du véhicule à ces mêmes différents instants, - des moyens 9 de comparaison et d’interprétation, aptes à considérer, en cas de discordance entre les premières et deuxièmes positions, les premières positions comme positions courantes du véhicule à ces différents instants, et aptes à considérer, en cas de concordance entre les premières et deuxièmes positions, les deuxièmes positions comme positions courantes du véhicule à ces différents instants, - un compteur 23 apte à s’incrémenter tant qu’il existe une discordance entre une première position et une deuxième position au même instant et apte à s’initialiser en cas de concordance entre une première position et une deuxième position au même instant, - des moyens 25, 29 de mise du véhicule dans un mode sécurisé, lorsque le compteur atteint une valeur seuil. On parle d’erreur à court-terme ou d’erreur temporaire lorsque le compteur n’a pas encore atteint ladite valeur seuil. On parle d’erreur à long-terme ou de panne lorsque le compteur atteint ladite valeur seuil. Le compteur peut être un compteur d’occurrences de discordances ou un compteur de temps, notamment une temporisation. La valeur seuil peut être égale à 0,5 secondes ou à 5 secondes. Avantageusement, les moyens 7, 8 d’estimation comprennent : - des moyens 7 de combinaison d’un modèle longitudinal et un modèle latéral du véhicule en boucle fermée aptes à calculer des états de sécurité ultérieurs du véhicule, notamment des positions ultérieures du véhicule ; et - des moyens 8 de génération aptes à générer des états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Les moyens de mise du véhicule dans un mode sécurisé peuvent comprendre un système de freinage d’urgence 25. Les moyens de mesure 3 des deuxièmes positions du véhicule peuvent comprendre au moins un capteur de position, notamment de type GPS. Le système 1 peut comprendre en outre un module de stockage 6 apte à stocker des états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Le système 1 peut comprendre en outre un évaluateur de sécurité 8 apte à fournir une ellipse de précision à partir des positions de sécurité calculées par lesdits moyens de combinaison 7. Avantageusement, les moyens d’estimation sont aptes à déterminer une première position estimée p e du véhicule à partir de l’ellipse de précision, en faisant converger la pluralité de positions de sécurité calculées par lesdits moyens de combinaison 7. Avantageusement, les moyens de détermination de la position courante du véhicule 9 sont aptes à considérer qu’il y a discordance par comparaison par rapport à l’ellipse de précision, notamment si la deuxième position mesurée est en dehors de l’ellipse de précision. Le système 1 peut comprendre un dispositif de mesure d’angle de roue directrice et un dispositif de mesure de vitesse angulaire de lacet ω ν . L’invention concerne également un véhicule autonome, notamment un véhicule automobile autonome 100, comprenant un système de gestion 1 de la position d’un véhicule du type de celui décrit ci-dessus. Un mode de réalisation d’un système 1 de gestion de la position d’un véhicule autonome 100 est décrit ci-après en référence à la figure 2. Le système de mise en position de sécurité 1 peut comprendre un système de localisation automatisé du véhicule 3. Le système de localisation automatisé du véhicule 3 comprend par exemple un ou plusieurs capteurs, notamment de position, par exemple de type GPS. Le système de localisation automatisé du véhicule 3 est apte à déterminer la position ou localisation courante du véhicule. Le système de mise en position de sécurité 1 peut comprendre deux étages principaux de fonctionnement 10, 20. Dans un premier étage 10, le système 1 comprend des moyens pour calculer au moins une position de sécurité fiable pour le véhicule. Ceci permet de garantir une localisation de sécurité pour le véhicule autonome. Dans un deuxième étage 20, le système 1 comprend des moyens pour évaluer la position du véhicule. Le deuxième étage 20 du système 1 permet soit de conserver le véhicule en mode de conduite autonome, soit de mettre le véhicule dans un mode sécurisé, notamment : - un mode sécurisé où la conduite n’est plus autonome mais commandée par un occupant du véhicule par ses actions sur une interface, et/ou - un mode sécurisé où le système active un système de freinage automatique de sécurité pour limiter la vitesse du véhicule et/ou arrêter le véhicule, et/ou - un mode sécurisé où le système avertit un conducteur ou un opérateur à distance grâce à un système d’alerte, notamment visuelle, indiquant que le système de localisation automatisé du véhicule 3 est défaillant. Le système d’alerte, au lieu d’être un système d’alerte visuelle, peut être d’un autre type, par exemple un système d’alerte sonore ou un système d’alerte haptique. L’interface peut inclure un volant de commande de direction du véhicule et/ou des pédales de commande de la vitesse du véhicule. Le deuxième étage 20 du système 1 peut comprendre des moyens d’affichage 21. Les moyens d’affichage 21 sont destinés à informer le conducteur du véhicule ou un opérateur à distance. Les moyens d’affichage 21 peuvent par exemple comprendre une interface homme-machine, notamment un affichage tête-haute. Les moyens d’affichage 21 peuvent par exemple être reliés à un centre de contrôle à distance. Le premier étage 10 du système 1 peut comprendre un module 9 de détermination d’une position du véhicule. Le deuxième étage 20 du système 1 peut comprendre un module évaluateur de position 23. Le module 9 utilise comme entrée principale la sortie du système de localisation automatisé du véhicule 3. Le système de localisation automatisé du véhicule 3 est destiné à fournir des informations sur le véhicule (coordonnées X-Y, position …). Pour des raisons de simplification, la description qui suit se focalise sur les coordonnées X-Y, mais elle peut être facilement appliquée à toute autre variable. Le premier étage 10 du système 1 peut comprendre en outre un bloc d’estimation de positions de sécurité 5. Le bloc 5 est destiné à calculer des positions de sécurité ultérieures multiples du véhicule, à partir d’informations de position de sécurité préalablement stockées dans un module de stockage 6. Le calcul de positions de sécurité ultérieures multiples dans le bloc 5 peut être réalisé à une fréquence inférieure ou égale à la fréquence maximale du bloc 5. Le module de stockage 6 comprend par exemple les positions précédentes t-θ du véhicule, θ étant l’horizon de temps maximum dans lequel le système 1 peut fonctionner. Le module de position estimée de sécurité 7 fournit µ fois θ positions du véhicule à l’instant t, µ étant la différence de fréquence entre le système 3 et le système 1. La fréquence du système 1 est par exemple de l’ordre de 10 Hz. Les positions de sécurité estimées obtenues en sortie du module 7 peuvent être regroupées dans un évaluateur de sécurité 8. L’évaluateur de sécurité 8 a pour fonction de fournir une ellipse de précision en fonction de θ, ce qui permet de faire converger toutes les estimations fournies par le module 7 en un unique point de position de sécurité du véhicule. Le module 9 est destiné à déterminer la position courante du véhicule. La position courante du véhicule est notamment destinée à être fournie aux autres modules automatisés du véhicule (perception, navigation ou contrôle). La position courante du véhicule est choisie dans le module 9 en fonction de la position p m du véhicule obtenue en sortie du système 3 par rapport à l’ellipse de précision calculée dans l’évaluateur de sécurité 8. Si la position p m du véhicule obtenue en sortie du système 3 se trouve en dehors de l’ellipse de précision calculée dans l’évaluateur de sécurité 8, la position courante p f du véhicule fournie par le module 9 correspond au point de position de sécurité p e calculé dans l’évaluateur de sécurité 8. Si la position p m du véhicule obtenue en sortie du système 3 se trouve dans l’ellipse de précision calculée dans l’évaluateur de sécurité 8, la position courante p f du véhicule fournie par le module 9 correspond à la position p m du véhicule obtenue en sortie du système 3. Le module 9 fournit la valeur choisie p f au module évaluateur de position 23 du deuxième étage 20 du système 1, et au module de stockage 6 du premier étage 10 du système 1 (par rétroaction). Quand la médiane p e générée dans l’évaluateur de sécurité 8 est considérée comme la position courante p f du véhicule, toutes ses valeurs précédentes sont également collectées dans le module de stockage 6. Toutes les données fournies par le module 9 peuvent être stockées dans le module 6 jusqu’à l’horizon de temps θ, dans le but de faire la distinction entre une défaillance isolée du cycle (c’est-à-dire des défauts mineurs) et des défaillances plus longues, ce qui permet de déterminer si le système 3 fournit des données exactes ou présentant des défauts et/ou défaillances au cours de l’horizon de temps θ. Ces données sont soit les dernières données de localisation fiables si elles sont situées dans l’ellipse de points où le véhicule devrait se trouver, soit plusieurs états précédents de sécurité prévus du véhicule si elles sont situées en dehors de l’ellipse, c’est-à-dire qu’elles correspondent à un dysfonctionnement du système 1 du véhicule. Ceci permet d’obtenir une évaluation d’une position de sécurité à court terme et à long terme. Ceci permet de déterminer la position courante du véhicule et l’écart potentiel par rapport à une position exacte. Si nécessaire, ces données peuvent être utilisées pour mettre le véhicule dans un mode sécurisé, notamment activer un système de freinage automatique. Avantageusement, le deuxième étage 20 du système 1 peut comprendre un système de freinage de sécurité automatisé 25, ou système de freinage d’urgence, dont l’entrée est reliée à la sortie du module évaluateur de position 23. Avantageusement, le module évaluateur de position 23 du deuxième étage 20 du système 1 peut comprendre un compteur. Le compteur du module évaluateur de position 23 est destiné à se déclencher dès qu’un dysfonctionnement est détecté dans le système 3. Cette information est obtenue à partir de la position p f du véhicule fournie en sortie du module 9. Le compteur peut être basé sur un horizon donné de temps ou de distance, prenant en compte la position p f du véhicule fournie avec une précision acceptable. Le module évaluateur de position 23 peut fournir deux sorties possibles. Une première sortie du module 23 correspond au cas où le système 3 fournit à nouveau des données exactes, ce qui stoppe le compteur. Une deuxième sortie du module 23 correspond au cas où la valeur fournie par le compteur dépasse un seuil donné, ce qui active le système de freinage de sécurité automatisé 25. Le deuxième étage 20 du système 1 peut comprendre en outre un planificateur de trajectoire du véhicule 27. Il peut également être fourni, en entrée du module évaluateur de position 23, la sortie du planificateur de trajectoire 27. Le deuxième étage 20 du système 1 peut présenter deux fonctions. Une première fonction est de signaler un dysfonctionnement dans le système 1 grâce un signal d’alerte inclus dans l’affichage tête-haute ou l’interface homme-machine 21 du véhicule (ou un centre de contrôle à distance). Une deuxième fonction réside dans l’activation du système de freinage de sécurité automatisé 25. De préférence, le deuxième étage 20 du système 1 peut comprendre en outre des actionneurs 29 reliés à la sortie du système de freinage de sécurité automatisé 25. Les actionneurs 29 sont notamment destinés à corriger la position du véhicule en cas d’erreurs temporaires. Le système de freinage de sécurité automatisé 25 peut comprendre un algorithme de contrôle adaptatif. Un tel algorithme de contrôle adaptatif permet de générer une manœuvre de freinage en douceur en fonction du dernier trajet fiable obtenu en sortie du planificateur de trajectoire du véhicule 27. Le deuxième étage 20 du système 1 permet de maximiser la distance parcourue sans danger ou en toute sécurité dans un état dégradé. Ceci permet de réduire au maximum la décélération longitudinale du véhicule. Il en résulte un confort accru des passagers lors de la mise du véhicule dans un mode sécurisé. La première fonction d’alerte et la deuxième fonction de freinage du deuxième étage 20 du système 1 contribuent chacune à avertir de façon progressive le conducteur ou un opérateur à distance et à arrêter le véhicule si besoin. Un avantage d’un système de gestion de la position d’un véhicule du type de celui décrit ci-dessus réside dans le fait que l’état du véhicule peut être prévu à court-terme et à long-terme, ce qui permet de prendre une décision appropriée, par exemple attendre que le système 3 fonctionne à nouveau ou mettre le véhicule en position de sécurité. Un mode de réalisation d’un module de position estimée de sécurité 7 d’un système 1 de gestion de la position d’un véhicule du type de celui de la figure 2 est décrit plus en détails ci-après en référence à la figure 3. Le module de position estimée de sécurité 7 utilise un modèle complet du véhicule et un système de contrôle pour déterminer les positions de sécurité à partir des positions précédentes connues. L’invention propose un module de position estimée de sécurité 7 utilisant un modèle longitudinal et un modèle latéral du véhicule combinés, les modèles longitudinal et latéral étant associés respectivement à un contrôleur longitudinal et latéral, pour générer de multiples positions de sécurité du véhicule à partir de l’information stockée dans le module 6. Pour cela, le module 7 peut comprendre des moyens pour combiner un modèle longitudinal et un modèle latéral du véhicule en boucle fermée de sorte à calculer des états de sécurité ultérieurs du véhicule, notamment des positions de sécurité ultérieures du véhicule. Avantageusement, le module 7 peut comprendre un bloc latéral 71 comprenant un modèle latéral 30 du véhicule et un un bloc longitudinal 72 comprenant un modèle longitudinal 40 du véhicule. Le bloc latéral 71 du module 7 comprenant le modèle latéral 30 du véhicule est décrit ci-dessous. Le bloc latéral 71 du module 7 peut comprendre un sélecteur 31 d’information d’angle de roue directrice. Le modèle latéral 30 du véhicule est destiné à recevoir en entrée une valeur de mesure d’angle de roue directrice fournie par le sélecteur 31. Le bloc latéral 71 du module 7 peut comprendre en outre un modèle d’actionneur de roue directrice 33. Le sélecteur 31 est destiné à vérifier, à la fréquence du module de position estimée de sécurité 7, si une nouvelle mesure d’angle de roue directrice est disponible. Si ce n’est pas le cas, la valeur générée par le modèle d’actionneur de roue directrice 33 est utilisée comme entrée du modèle latéral 30 du véhicule en tant que mesure d’angle de roue directrice. La fréquence du module de position estimée de sécurité 7 est par exemple de l’ordre de 100Hz. Le modèle latéral 30 du véhicule est notamment destiné à fournir une valeur mesurée de vitesse angulaire de lacet ω ν . Pour cela, les équations suivantes peuvent être utilisées : avec : u ν la commande d’angle de roue directrice. Le vecteur d’état est : avec : y ν la position latérale du véhicule, ν y la vitesse latérale, ψ ν l’angle de lacet, ω ν la vitesse angulaire de lacet. Les matrices A ν , B ν et C ν du système sont décrites ci-dessous : avec : C f et C r la rigidité de virage dans la roue avant et arrière respectivement, ν x la vitesse du véhicule, m la masse du véhicule, I z le moment d’inertie, a et b la distance entre le centre de gravité du véhicule et la roue avant et arrière respectivement. Le modèle latéral 30 utilise comme entrée la mesure de l’angle de la roue directrice d’une part et la vitesse longitudinale obtenue à partir du modèle longitudinal 40 d’autre part. On obtient en sortie du modèle latéral 30 la vitesse latérale ν y et la vitesse angulaire de lacet ω ν . Ces deux données de sorties du modèle latéral 30, vitesse latérale ν y et vitesse angulaire de lacet ω ν , sont utilisées pour calculer les positions ultérieures du véhicule dans un calculateur 50 de position de sécurité. Le bloc latéral 71 du module 7 peut comprendre en outre un contrôleur latéral 35 pour véhicules autonomes. Le fonctionnement d’un tel contrôleur latéral 35 peut être basé sur une minimisation de la vitesse angulaire de lacet ω ν entre la trajectoire actuelle du véhicule et la trajectoire souhaitée du véhicule. La trajectoire souhaitée peut être calculée à partir de la donnée d’une caméra (ou de tout autre capteur) pour générer un ensemble de points de cheminement. Le contrôleur latéral 35 est destiné à recevoir en entrée la vitesse angulaire de lacet ω ν fournie par le modèle latéral 30 d’une part et une vitesse angulaire de lacet fournie par un autre modèle du véhicule (correspondant à une trajectoire de référence). Le contrôleur latéral 35 est destiné à comparer ces deux valeurs de vitesse angulaire de lacet correspondant respectivement à la trajectoire souhaitée et à la trajectoire de référence. Ceci permet de réguler la performance du contrôleur latéral 35, notamment selon l’équation suivante : avec : k gain un paramètre, dépendant de la vitesse, permettant d’obtenir une bonne performance de poursuite de la trajectoire souhaitée. La commande d’angle de roue directrice u ν obtenue en sortie du contrôleur latéral 35 est fournie en entrée du modèle d’actionneur de roue directrice 33. On obtient ainsi un bloc 71 ou système global latéral, comprenant le modèle latéral 30 du véhicule, le contrôleur latéral du véhicule 35 et le modèle d’actionneur de roue directrice 33. Un avantage d’un tel bloc latéral 71 comprenant un modèle latéral 30 du véhicule est lié au fait qu’il prend en compte différentes limitations, ce qui permet d’obtenir un modèle réaliste. Le contrôleur latéral du véhicule 35 et le modèle d’actionneur de roue directrice 33 jouent un rôle clef puisque le modèle latéral du véhicule 30 seul fournit des résultats trop optimistes par rapport à la performance de route réelle. Le bloc longitudinal 72 du module 7 comprenant le modèle longitudinal 40 du véhicule est décrit ci-dessous. Le bloc longitudinal 72 du module 7 peut comprendre un sélecteur d’information de vitesse 41. Le bloc longitudinal 72 du module 7 peut comprendre en outre un contrôleur longitudinal 45 pour véhicules autonomes. Le modèle longitudinal 40 du véhicule est destiné à recevoir en entrée une commande de vitesse fournie par le contrôleur longitudinal 45 du véhicule. Le fonctionnement du contrôleur longitudinal 45 du véhicule peut être basé sur une minimisation de l’erreur de vitesse entre la vitesse longitudinale ν x fournie par le sélecteur d’information de vitesse 41 et la vitesse souhaitée sur la trajectoire de référence. La valeur de vitesse longitudinale ν x , utilisée dans le contrôleur longitudinal 45 du véhicule, dans le modèle latéral 30 du véhicule et dans le calculateur de position de sécurité 50, peut être fournie par le sélecteur d’information de vitesse 41. Une fonction du sélecteur d’information de vitesse 41 est de vérifier, à la fréquence du module de position estimée de sécurité 7, si une nouvelle mesure de vitesse longitudinale est disponible. Si ce n’est pas le cas, c’est la valeur mesurée de vitesse de sécurité générée par le modèle longitudinal 40 du véhicule qui est utilisée. Le modèle longitudinal 40 du véhicule est destiné à fournir en sortie une mesure de vitesse de sécurité V x . Le modèle longitudinal 40 du véhicule peut être décrit par une fonction de transfert du second ordre reliant la commande de vitesse V c (s) à la mesure de vitesse V x (s) : avec : ω n la fréquence naturelle en rad/s, ζ le facteur d’amortissement. Ces valeurs dépendent notamment de la conception du contrôleur bas-niveau, d’étranglement et des décalages des pédales de frein. Un avantage d’un modèle longitudinal 40 du véhicule du type de celui décrit ci-dessus réside dans le fait qu’il permet de prendre en compte de façon optimale la réponse longitudinale du véhicule. La figure 4 permet de comparer un profil de commande de vitesse donné V c (courbe 101), la vitesse mesurée par un capteur embarqué (courbe 102) et la vitesse V x obtenue à partir du modèle longitudinal 40 du véhicule (courbe 103). Comme cela est bien visible sur la figure 4, le modèle longitudinal 40 suit parfaitement la réponse réelle du véhicule. Une fois la vitesse angulaire de lacet ω ν et la vitesse latérale ν y obtenues à partir du bloc latéral 71 et la vitesse longitudinale ν x obtenue à partir du bloc longitudinal 72, ces valeurs sont utilisées comme entrées dans le calculateur de position de sécurité 50. Le calculateur de position de sécurité 50 permet d’obtenir les dérivées , des coordonnées de position de sécurité, notamment à partir des équations globales de mouvement ci-dessous : [Math 9] [Math 9] Les coordonnées de position de sécurité X, Y sont obtenues par intégration de leur dérivée respective , . Les valeurs X, Y obtenues en sortie du calculateur de position de sécurité 50 sont les sorties du module de position estimée de sécurité 7. A partir de la dernière position fiable, le module 7 estime la position suivante à sa fréquence, actualisant les données disponibles (trajectoire ou vitesse ou mesures de l’angle de roue directrice) entre deux points de position consécutifs. On obtient ainsi un ensemble de positions X, Y qui sont ensuite transmises à l’évaluateur de sécurité 8 pour obtenir l’ellipse dans laquelle le véhicule devrait se trouver et sa médiane. La sortie de l’évaluateur de sécurité 8 est vérifiée par comparaison avec la position actuelle du véhicule obtenue à partir du système 3, ce qui permet de déterminer la qualité de la position actuelle du véhicule obtenue à partir du système 3 et de fournir la position finale p f du véhicule à cet instant. La sortie du module 9 est utilisée comme nouvelle position du véhicule qui est retournée (par rétroaction) au module de stockage de position de sécurité 6 soit en tant qu’unique point (dans le cas où la position actuelle du véhicule obtenue à partir du système 3 est fiable) soit en tant que nuage de points (lorsque le système 3 fournit plus d’une valeur de position erronée). Un avantage d’un système 1 du type de celui décrit ci-dessus réside dans le fait qu’il permet de prévoir l’état du véhicule en tenant compte d’un modèle dynamique du véhicule et d’un contrôleur dans un horizon de temps futur. Il en résulte que le déplacement du véhicule peut être prévu en prenant en compte l’action du contrôleur dans le futur. Ceci permet d’améliorer la réponse latérale du véhicule en supprimant les oscillations du système 1. Un autre avantage d’un système 1 du type de celui décrit ci-dessus réside dans le fait qu’il permet de maximiser la sécurité du véhicule autonome tout en s’affranchissant de l’utilisation de capteurs de conduite autonome. Un autre avantage d’un système 1 du type de celui décrit ci-dessus réside dans le fait qu’il permet d’estimer la position future du véhicule avec une précision accrue. Un tel système 1 est capable d’estimer les positions de sécurité ultérieures du véhicule avec une fréquence pouvant atteindre 100 Hz, c’est-à-dire nettement supérieure à la fréquence des systèmes de localisation couramment utilisés. Un tel système 1 est développé dans un horizon à court-terme et à long-terme pour identifier des défauts temporaires (c’est-à-dire des périodes courtes d’erreur) ou des pannes (c’est-à-dire des périodes longues d’erreur) dans le système de localisation automatisé du véhicule 3, afin de corriger ces erreurs ou de générer des actions pour mettre le véhicule dans un mode sécurisé, notamment des manœuvres de freinage automatique de sécurité en cas de panne. On parle d’erreur à court-terme ou d’erreur temporaire lorsque le compteur n’a pas encore atteint ladite valeur seuil. On parle d’erreur à long-terme ou de panne lorsque le compteur atteint ladite valeur seuil. Le système 1 peut comprendre des moyens pour corriger la position du véhicule en cas d’erreurs temporaires. Le système 1 peut comprendre un système d’alerte, notamment visuelle ou haptique ou sonore, pour un conducteur ou un opérateur à distance pour indiquer une erreur à long-terme ou panne et activer une manœuvre de freinage d’urgence. Le système d’alerte, notamment visuelle ou haptique ou sonore, peut comprendre un indicateur qui peut être installé dans les moyens d’affichage 21. Bien que l’invention ait été décrite dans le cas d’un véhicule automobile autonome, l’invention s’applique bien entendu à tout type de véhicule autonome, par exemple des bus ou des camions. Procédé de gestion de la position d’un véhicule (100), comprenant les étapes suivantes : - estimation (E20) des premières positions du véhicule à différents instants, - mesure (E30) des deuxièmes positions du véhicule à ces mêmes différents instants, - en cas de discordance entre les premières et deuxièmes positions (E40), considération des premières positions comme positions courantes du véhicule à ces différents instants (E51), - incrémentation (E52) d’un compteur tant qu’il existe une discordance entre une première position et une deuxième position au même instant, - lorsque le compteur atteint une valeur seuil, mise du véhicule dans un mode sécurisé (E53). Procédé selon la revendication précédente, caractérisé en ce que l’étape d’estimation (E20) comprend : - combiner un modèle longitudinal (40) et un modèle latéral (30) du véhicule en boucle fermée de sorte à calculer des états de sécurité ultérieurs du véhicule, notamment des positions ultérieures du véhicule, et - générer des états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Procédé selon la revendication 1 ou 2, caractérisé en ce qu’il comprend une production d’un système de données de synthèse pour compenser des erreurs simples ou multiples d’un système de localisation automatisé (3) d’un système de localisation. Procédé selon l’une quelconque des revendications 1 à 3, comprenant une étape de stockage d’états de sécurité du véhicule, notamment des positions de sécurité du véhicule. Procédé selon l’une quelconque des revendications précédentes, comprenant une étape de détermination d’une ellipse de précision obtenue à partir des positions de sécurité calculées. Procédé selon la revendication précédente, caractérisé en ce que l’étape d’estimation comprend une étape de détermination d’une première position estimée (p e ) du véhicule à partir de l’ellipse de précision, en faisant converger la pluralité de positions de sécurité calculées. Procédé selon la revendication précédente, comprenant une étape dans laquelle on considère qu’il y a discordance par comparaison d’une deuxième position par rapport à l’ellipse de précision, notamment si la deuxième position est en dehors de l’ellipse de précision. Système (1) de gestion de la position d’un véhicule comprenant des moyens de mettre en œuvre le procédé selon l’une quelconque des revendications 1 à 7. Système selon la revendication précédente, le système comprenant : - un élément d’indication d’une erreur dans un système de localisation automatisé (3) ; et - un élément d’activation d’une manœuvre de freinage d’urgence dans le cas d’une erreur dans le système de localisation automatisé (3). Véhicule automobile (100) comprenant un système (1) selon la revendication 8 ou 9. Produit programme d’ordinateur comprenant des instructions de code de programme enregistrées sur un support lisible par ordinateur pour mettre en œuvre les étapes du procédé selon l’une des revendications 1 à 7 lorsque ledit programme fonctionne sur un ordinateur. Support (23) d’enregistrement de données, lisible par un ordinateur, sur lequel est enregistré un programme d’ordinateur comprenant des instructions de code de programme de mise en œuvre du procédé selon l’une des revendications 1 à 7.