FR 3133915 A1 20230929 FR 2202568 A 20220323 Procédé de détermination d'au moins un rayon de protection associé à au moins un paramètre de navigation, le procédé étant mis en œuvre par un dispositif électronique de détermination La présente invention concerne un procédé de détermination d’au moins un rayon de protection associé à au moins un paramètre de navigation d’un porteur. Le procédé comprend la réception (110) d’une mesure issue d’un capteur, une borne d’erreur, et d’une mesure inertielle. Le procédé comprend en outre, pour chaque instant de réception successif, la détermination (130) d’un vecteur d’état estimé à partir de la mesure issue du capteur et de la mesure inertielle. Le procédé comprend en outre, le calcul (140) d’une matrice de propagation d’erreur d’estimation, d’une matrice d’influence de l’erreur bornée, et le calcul de matrices de transfert à partir des matrices calculées. Le procédé comprend en outre la détermination (170) de paramètre de navigation à partir du vecteur d’état estimé et du rayon de protection associé à partir des matrices de transfert calculées. Figure pour l'abrégé : Figure 2 Procédé de détermination d'au moins un rayon de protection associé à au moins un paramètre de navigation, le procédé étant mis en œuvre par un dispositif électronique de détermination La présente invention a pour objet un procédé de détermination d’un rayon de protection associé à au moins un paramètre de navigation d’un porteur, tel que la position, la vitesse, les attitudes, et/ou le cap du porteur. La présente invention concerne également un dispositif électronique de détermination configuré pour mettre en œuvre un tel procédé de détermination. La présente invention a également pour objet un produit programme d’ordinateur propre à mettre œuvre un tel procédé de détermination. L’invention concerne le domaine de la localisation intègre d’un porteur, par exemple un porteur mobile. On entend par « localisation intègre », une estimation de paramètre(s) de navigation, tels que la position, la vitesse, les attitudes, et/ou le cap d’un porteur et la fourniture d’un rayon de protection associé au(x) paramètre(s) de navigation considéré(s). Ainsi, il est garanti qu’une erreur d’estimation du paramètre de navigation demeure comprise dans le rayon de protection, selon une probabilité prédéfinie. Il est connu d’estimer les paramètres de navigation tels que la position, la vitesse, les attitudes et le cap du porteur en effectuant une hybridation à partir d’une position GNSS (de l’anglais Global Navigation Satellite System ) estimée par un système de positionnement par satellites et de mesures inertielles issues d’une unité de mesure inertielle (UMI). Lors de la mise œuvre d’une telle estimation, des erreurs sont susceptibles de perturber l’estimation des paramètres de navigation du porteur. Ces erreurs sont décomposables en deux types d’erreur : d’une part des erreurs modélisées, dites rares et normales, et d’autre part des erreurs non-modélisées mais bornées. Le premier type d’erreur est généralement modélisé par une variable aléatoire qui suit une loi de probabilité continu. Il est souvent supposé que la distribution des erreurs du premier type suit une loi normale. Par définition, la loi normale est une distribution de probabilité, souvent appelée gaussienne. Dans ce cas, il est clair que les valeurs des erreurs du premier type ne sont pas bornées. Néanmoins, la distribution des erreurs du premier type étant connue, il est possible de déterminer une borne qui garantit, pour une probabilité prédéfinie, que les erreurs du premier type restent incluses dans ladite borne. Les erreurs du premier type sont appelées par la suite « erreurs rares et normales ». Physiquement, les erreurs rares et normales proviennent le plus souvent de caractéristiques intrinsèques des capteurs utilisés et qui ont un impact sur l’estimation des paramètres de navigation du porteur. On peut citer à titre d’exemple le bruit thermique du récepteur GNSS ou le bruit résiduel des mesures inertielles. Pour les erreurs rares et normales, il est déjà connu de déterminer un rayon de protection respectif d’au moins d’un paramètre de navigation du porteur, tel que la position, la vitesse, les attitudes et/ou le cap. Le deuxième type d’erreur concerne les erreurs bornées mais non modélisées. Les erreurs du deuxième type sont comprises dans un intervalle, formé par deux bornes, mais pour lesquels le modèle de distribution est inconnu. Les erreurs du deuxième type sont appelé « erreurs bornées » dans la suite de la description. Physiquement, les erreurs bornées correspondent par exemple à des erreurs liées à une utilisation d’éphémérides erronées pour le calcul de la position GNSS, ou à une panne d’horloge satellite dans l’un des satellites nécessaires au calcul de la position GNSS. Il n’est pas possible de connaître, ni de prédire la distribution ou l’évolution temporelle des erreurs du deuxième type. Seul l’intervalle d’évolution de l’erreur est connu avec une probabilité qui garantit que l’erreur reste comprise entre les bornes de cet intervalle avec un niveau de confiance caractérisé par cette probabilité. Le document US9341718B2 a par exemple tenté de fournir un modèle des erreurs bornées. De manière analogue, dans l’article « Merging Kalman Filtering and Zonotopic - State Bounding for Robust Fault Detection under Noisy Environment » de C. Combastel, une approche mathématiquement plus rigoureuse de modélisation des erreurs bornées a été proposée. Toutefois, dans les documents précités, la détermination du rayon de protection n’est pas optimale. Ainsi, un objet de l’invention est d’améliorer la détermination du rayon de protection associé à un paramètre de navigation. A cet effet, l’invention a pour objet un procédé de détermination destiné à borner une erreur induite sur au moins un paramètre de navigation d’un porteur, notamment une position, une vitesse, des attitudes, et/ou un cap du porteur, l’erreur étant induite par une erreur de mesure dont une évolution temporelle est inconnue mais dont une borne est connue et la probabilité de ne pas dépasser cette borne est également connue ; la borne et la probabilité étant connues pour une pluralité d’instants auxquelles le procédé est mis en oeuvre, le fait de borner l’erreur induite étant obtenu par la détermination d’au moins un rayon de protection associé au(x) paramètre(s) de navigation du porteur, le procédé étant mis en œuvre par un dispositif électronique de détermination et comprenant les étapes suivantes : - réception, à des instants de réception successifs, d’une mesure issue d’un capteur, tel qu’un récepteur GNSS, notamment une position GNSS, d’au moins une borne d’erreur associée à la mesure issue du capteur et de mesure(s) inertielle(s) : - pour chaque instant de réception successif : - détermination d’un vecteur d’état estimé du porteur par application à la mesure issue du capteur et à la mesure inertielle d’un filtre d’estimation, le filtre d’estimation comprenant pour chaque instant de réception, un gain, une matrice d’observation et une matrice de propagation du vecteur d’état ; - calcul d’une matrice de propagation d’erreur d’estimation de l’état à partir de la matrice de propagation du vecteur d’état, du gain du filtre d’estimation et de la matrice d’observation, et calcul d’une matrice d’influence de l’erreur bornée à partir de la matrice de propagation du vecteur d’état et du gain ; - calcul de N matrices de transfert, à partir des N-1 matrices de transfert calculées à l’instant précédent l’instant de réception, de la matrice de propagation d’erreur d’estimation audit instant de réception et de la matrice d’influence de l’erreur bornée audit instant de réception, N étant le nombre d’instants de réception successifs ; et - détermination du paramètre de navigation à partir du vecteur d’état estimé et détermination du rayon de protection associé au paramètre de navigation, par sommation de contributions unitaires calculées pour au moins une partie des instants de réception, la contribution unitaire associée à chacun desdits instants étant calculée à partir de la matrice de transfert calculée pour cet instant et de la borne d’erreur reçue à cet instant de réception. Les étapes de calcul de N matrices de transfert et de détermination du rayon de protection à partir de ces N matrices de transfert permettent de prendre en compte, de manière simple et rapide, les erreurs bornées dans la détermination du rayon de protection. Ainsi, le risque que l’erreur sur le paramètre de navigation du porteur soit supérieure au rayon de protection est minimisé sans qu’une charge de calcul importante ne soit nécessaire. En particulier, le procédé a pour effet de borner l’erreur induite sur des paramètres de navigation d’un porteur, tels que la position, la vitesse, les attitudes et/ou le cap du porteur. L’erreur induite est engendrée par une erreur de mesure dont le modèle temporel n’est pas connu mais dont la borne est connue de manière déterministe ou avec une probabilité donnée de ne pas dépasser cette borne. Suivant d’autres aspects avantageux de l’invention, le procédé de détermination comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - pour chaque instant de réception, la mesure issue du capteur comprend M composantes, et le procédé comprend pour chaque instant de réception en outre, entre l’étape de réception et l’étape de détermination d’un vecteur d’état estimé, une étape d’évaluation comportant : - pour chaque composante de la mesure issue du capteur, calcul d’un gain unitaire du filtre ; et - évaluation d’un gain à partir des M gains unitaires, lors de l’étape de détermination du vecteur d’état estimé et de l’étape de calcul de la matrice de propagation d’erreur et de la matrice d’influence de l’erreur bornée, le gain du filtre d’estimation étant le gain évalué ; - pour chaque instant de réception, lors de la première étape de calcul, la matrice de propagation d’erreur d’estimation audit instant de réception est égale à : où : - F(T N ) est la matrice de propagation du vecteur d’état audit instant de réception ; - I est la matrice identité ; - K R (T N ) est le gain du filtre d’estimation audit instant de réception ; et - H(T N ) est la matrice d’observation audit instant de réception, la matrice d’influence de l’erreur bornée audit instant de réception étant égale à : - le procédé comprenant en outre, pour chaque instant de réception, une étape d’inscription de chaque matrice de transfert dans un registre à décalage de transfert et de chaque borne d’erreur reçue dans un registre à décalage de seuil(s), lors de l’étape de calcul, la Nième matrice de transfert étant égale à la matrice d’influence de l’erreur bornée audit instant de réception, et chacune des autres premières matrices de transfert étant calculée en multipliant la matrice de propagation d’erreur d’estimation dudit instant à chaque matrice de transfert calculée à l’instant de réception précédant ; - si lors de l’étape de réception, à un instant de perte la mesure issue du capteur n’est pas reçue, alors l’étape d’inscription de l’instant de perte comprend : - le figement du registre a décalage de seuil(s), et - l’inscription de chaque matrice de transfert dans le registre à décalage de transfert sans effectuer de décalage dans le registre à décalage de transfert ; - pour l’instant de perte, lors de la première étape de calcul, la matrice de propagation d’erreur d’estimation audit instant de perte est égale à la matrice de propagation du vecteur d’état audit instant de perte et la matrice d’influence de l’erreur bornée audit instant de recalage est égale à la matrice nulle ; - pour chaque instant de réception, lors de l’étape de détermination du rayon de protection, chaque contribution unitaire est déterminée à partir d’au moins une sous-matrice extraite de la matrice de transfert calculée à l’instant de réception pour l’un instant de réception précédent, le calcul de chaque contribution unitaire comportant de préférence un calcul de la ou des valeurs propres d’une des sous-matrices ; - lors de l’étape de réception, une contribution d’erreur(s) rare(s) et normale(s) au rayon de protection est reçue pour au moins un instant de réception ; et l’étape de détermination du rayon de protection comprenant le calcul de la somme entre la contribution d’erreur(s) rare(s) et normale(s) et la somme des contributions unitaires. L’invention a également pour objet un dispositif électronique de détermination d’au moins un rayon de protection associé à un paramètre de navigation d’un porteur, le dispositif électronique de détermination comprenant des moyens techniques propres à mettre en œuvre un procédé de détermination tel que décrit ci-dessus. L’invention a également pour objet un produit programme d’ordinateur comprenant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, sont aptes à mettre en œuvre un tel procédé de détermination. Ces caractéristiques et avantages de l’invention apparaitront à la lecture de la description qui va suivre, donnée à titre d’exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : - la est une vue schématique d’un dispositif électronique de détermination selon l’invention, embarqué sur un porteur ; - la est un organigramme d’un procédé de détermination selon l’invention, mis en œuvre par le dispositif de détermination de la ; et - la est un schéma explicatif d’une étape d’inscription du procédé de la , illustrée sur un exemple. En référence à la , un porteur 5 est mobile dans un environnement. Le porteur 5 embarque un capteur propre à fournir des mesures, tel qu’un récepteur GNSS 10 apte à recevoir des signaux GNSS, un dispositif de positionnement inertiel 11 propre à fournir des mesures inertielles et un dispositif électronique de détermination 15 configuré pour déterminer au moins un rayon de protection associé à au moins un paramètre de navigation du porteur 5. On entend par l’expression « GNSS », un système de positionnement par satellites (de l’anglais Global Navigation Satellite System ). Alternativement, le récepteur 10 est un capteur barométrique, un capteur de Loch, un odomètre, un capteur de vision, un capteur LIDAR (de l’anglais, Laser Imagining Detection And Ranging ), un capteur SONAR (de l’anglais, S ound Navigation And Ranging ), un capteur RADAR (de l’anglais, Radio Detection And Ranging ), un capteur de vitesse Doppler DVL (de l’anglais, Doppler Velocity Log ), ou un tube de Pitot. Le porteur 5 est par exemple un aéronef, tel qu’un drone, un avion ou un hélicoptère, se déplaçant dans l’espace selon trois dimensions, ou alors un véhicule terrestre ou maritime se déplaçant dans un plan selon deux dimensions, ou alors par exemple un véhicule ferroviaire se déplaçant selon une seule direction en suivant une voie ferrée. Le récepteur GNSS 10 est configuré pour recevoir des signaux GNSS de la part de satellite(s) appartenant à un même système GNSS, tel que par exemple le système GPS. Le récepteur GNSS 10 comprend par exemple une antenne de réception 12 connue en soi et un module de calcul 13. L’antenne 12 est configurée pour recevoir des signaux GNSS issus d’une pluralité de satellites et les transmettre sous forme de signaux électriques au module de calcul 13. Sans perte de généralité, il sera considéré dans la suite de la description que la mesure issue du capteur est une position GNSS. Il est clair que ce qui sera décrit par la suite est également généralisable à d’autres types de mesures issues d’autres capteurs. Le module de calcul 13 est par exemple apte à déterminer une position GNSS du récepteur 10 à partir des signaux GNSS reçues par l’antenne 12, en utilisant des techniques connues en soi. La position GNSS a par exemple la forme d’un vecteur comprenant trois composantes : une longitude GNSS, une latitude GNSS et une altitude GNSS. La position GNSS inclut des erreurs rares et normales d’une part et des erreurs bornées d’autre part. Les erreurs bornées sont comprises dans un intervalle fini mais la probabilité qu’elles prennent certaines valeurs dans cet intervalle est indéterminable. Plus spécifiquement, les erreurs bornées liées à la position horizontale du porteur 5 sont comprises dans l’intervalle [-HIL ; HIL], où HIL est une valeur d’un seuil d’erreur horizontale propre à évoluer au cours du temps. De manière analogue, l’erreur bornée liée à la position verticale du porteur 5 est comprise dans l’intervalle [-VIL ; VIL], où VIL est une valeur d’un seuil d’erreur verticale propre à évoluer au cours du temps. Ces seuils sont par exemple directement fournis en sortie du récepteur 10 et sont par exemple calculés conformément à l’algorithme RAIM (de l’anglais Receiver Autonomous Integrity Monitoring ) défini par le standard RTCA DO-229. Le module de calcul 13 est configuré pour former une borne d’erreur S à partir des valeurs de seuils horizontal HIL et vertical VIL. A titre d’exemple, la borne d’erreur S comprend trois composantes, dont les deux premières sont égales au seuil d’erreur horizontale HIL. La troisième composante est alors égale à la valeur de seuil d’erreur verticale VIL. Le module de calcul 13 est en outre configuré pour envoyer, au dispositif de détermination 15, la position GNSS calculée ainsi que la borne d’erreur S. Le dispositif de positionnement inertiel 11 comprend par exemple une unité de mesure inertielle ou IMU (de l’anglais Inertial Measurement Unit ) configurée pour mesurer des accélérations linéaires et des vitesses angulaires du porteur 5 selon trois directions orthogonales entre elles. Le dispositif de positionnement inertiel 11 est configuré pour déterminer, à partir de ces accélérations et de ces vitesses angulaires, la position inertielle du porteur 5, selon une technique connue en soi, en appliquant par exemple une triple intégration. En particulier, cette technique comprend par exemple une première intégration de l’attitude du porteur 5 et puis, une projection de l’orientation de différents axes des capteurs et une double intégration des résultats. Cette technique permet donc d’obtenir successivement des informations de vitesse et de position. Ainsi, la position inertielle a par exemple la forme d’un vecteur de trois composantes : une longitude inertielle, une latitude inertielle et une altitude inertielle. Le dispositif de positionnement inertiel 11 est configuré pour en outre transmettre au dispositif de détermination 15, la position inertielle déterminée. Le dispositif de détermination 15 comprend un module d’entrée 17, un module de traitement 20 et un module de sortie 25. Selon un mode de réalisation privilégié, le module d’entrée 17, le module de traitement 20 et le module de sortie 25 sont réalisés chacun sous la forme d’un logiciel stocké dans un ou plusieurs moyens de stockage (tel qu’un disque dur ou un disque flash) et implémenté par un ou plusieurs processeurs, mémoire (RAM) et autres composants d’ordinateur connus en soi. Ces composants sont alors inclus dans un même ordinateur ou dans différents ordinateurs/serveurs. Dans ce dernier cas, les ordinateurs/serveurs sont connectés par un réseau local ou global. En outre ou de manière alternative, au moins une partie de ces modules 17, 20 et 25 prend la forme, au moins partiellement, d’un composant électronique indépendant, tel que par exemple un circuit logique programmable de type FPGA (de l’anglais field-programmable gate array ) ou autre. Le module d’entrée 17 est configuré pour recevoir, à une pluralité d’instants de réception T N , la position GNSS et la borne d’erreur S(T N ) depuis le récepteur GNSS 10, et la position inertielle depuis le dispositif de positionnement inertiel 11. Le module d’entrée 17 est configuré pour transmettre au module de traitement 20, les informations reçues, à savoir : la position GNSS, la borne d’erreur S(T N ) et la position inertielle reçus à l’instant de réception T N . Dans la suite de la description, pour toute grandeur « W », la formulation « W(T N ) » désigne la valeur de la grandeur « W » à l’instant de réception T N . De plus, la formulation « (T i ) i=1,…,N » désigne l’ensemble des instants de réception compris entre un premier instant de réception « T 1 » et un instant de réception courant « T N ». Par analogie, la formulation « (W(T i )) i=1,…,N » désigne l’ensemble des valeurs de la grandeur « W » à chacun des instants de réception « (T i ) i=1,…,N ». Le module de traitement 20 est configuré pour traiter les informations reçues pour déterminer le rayon de protection RP(T N ) associé à un paramètre de navigation du porteur 5. On entend par « paramètre de navigation » un paramètre de localisation du porteur 5, tel que la position horizontale, la position verticale, la vitesse horizontale, la vitesse verticale, l’accélération horizontale ou l’accélération verticale ou encore le roulis, le tangage ou le cap, cette liste étant non exhaustive. Pour cela, le module de traitement 20 est configuré pour procéder au traitement des informations reçues telles que décrites ci-après en relation avec le procédé de détermination selon l’invention. Le module de traitement 20 inclut un filtre d’estimation, comprenant un gain K R , une matrice d’observation H et une matrice de propagation F d’un vecteur d’état estimé X. Le gain K R , la matrice d’observation H, la matrice de propagation F et le vecteur d’état estimé X sont propres à évoluer au cours du temps. Pour cette raison, ils seront par la suite respectivement dénotés sous les références K R (T N ), H(T N ), F(T N ), et X(T N ). Le filtre d’estimation est par exemple un filtre de Kalman sous une de ses formes comme par exemple un filtre de Kalman étendu (de l’anglais, Extended Kalman Filter ). Le module de traitement est notamment configuré pour réaliser pour chaque instant de réception T N , une fusion de données entre la position GNSS et la position inertielle, à partir du filtre d’estimation et selon une technique connue en soi. Cette fusion de données permet d’estimer le vecteur d’état estimé X(T N ). La matrice d’observation H(T N ) est la matrice déterminant les composantes observables du vecteur d’état estimé X(T N ). On entend par « composantes observables » les composantes mesurées du vecteur d’état estimé. Dans l’exemple présenté, les composantes observables correspondent aux positions du porteur 5. La matrice de propagation F(T N ) est la matrice reliant le vecteur d’état estimé X(T N ) à l’instant de réception T N au vecteur d’état estimé X(T N+1 ) à l’instant de réception suivant T N+1 . La formulation classique du filtre de Kalman permet de recaler l’estimée d’un vecteur d’état à chaque instant de réception T N en utilisant un vecteur de mesure z(T N ) par exemple égal à la différence entre la position GNSS et la position inertielle reçues à l’instant de réception T N . Il est connu de recaler toutes les composantes du vecteur d’état estimé X(T N ) simultanément à partir du gain K R (T N ) du filtre d’estimation, par exemple selon les équations : où P(T N ) est la matrice de covariance associée à l’erreur d’estimation du vecteur d’état estimé X(T N ) à l’instant de réception T N . L’homme du métier sait que la matrice de covariance est symétrique définie positive. Les équations 1 sont récursives, c’est-à-dire que la connaissance des variables d’état X(T N ), du gain K R (T N ), du vecteur de mesure z(T N ), de la matrice d’observation H(T N ) et de la matrice de covariance P(T N ) pour l’instant de réception T N sont nécessaires au calcul du vecteur d’état estimé X(T N+1 ) et à la matrice de covariance P(T N+1 ) pour l’instant de réception suivant T N+1 . De plus, le module de traitement inclut préférentiellement dans sa mémoire un registre a décalage de matrice de transfert et un registre à décalage de seuil dont l’utilité sera détaillée ci-après Le module de sortie 25 est connecté au module de traitement 20. Le module de sortie 25 est configuré pour transmettre à un utilisateur ou à un autre dispositif électronique non représenté, le rayon de protection RP(T N ) déterminé et optionnellement le paramètre de navigation auquel est associé le rayon de protection RP(T N ). Si le module de sortie 25 est configuré pour communiquer avec un utilisateur, cette communication s’effectue, par exemple, à l’aide d’un écran non-représenté. Le procédé de détermination mis en œuvre par le dispositif électronique de détermination 15 selon l’invention sera désormais expliqué en référence à la présentant un organigramme de ce procédé et à la illustrant une étape de ce procédé. Initialement, le porteur 5 se déplace dans un environnement et le récepteur GNSS 10 reçoit, par son antenne 12, des signaux GNSS issus d’une pluralité de satellites. Le module de calcul 13 calcule les informations mentionnées ci-dessus et les transmet au dispositif de détermination 15. De même, le dispositif de positionnement inertiel 11 calcule la position inertielle et la transmet au module d’entrée 17. Lors d’une étape de réception 110, le module d’entrée 17 reçoit à une pluralité d’instants de réception successifs (T i ) i=1,…,N , la position GNSS du porteur 5, la position inertielle du porteur 5 et la borne d’erreur S(T N ). N est le nombre d’instants de réception T i . Puis, pour chaque instant de réception T N successif, le procédé comprend les étapes suivantes. Lors d’une étape facultative d’évaluation 120, le module de traitement 20 comprend l’évaluation d’un gain K R (T N ) du filtre d’estimation. L’étape d’évaluation 120 est avantageusement un calcul du gain K R (T N ) du filtre d’estimation, à partir des gains unitaires (K j (T N )) j=1,…,M . Les gains unitaires correspondent aux gains utilisés lors des recalages successifs composante par composante du vecteur de mesure reçu à l’instant de réception T N . Le module de traitement 20 détermine le gain K R (T N ) à partir des gains unitaires (K j (T N )) j=1,…,M . Pour cela, le module de traitement applique par exemple l’équation suivante, récursive sur le nombre de mesure : où : - I est la matrice identité, - désigne le produit matriciel, - (T N ) est le gain calculé à l’instant de réception T N pour un vecteur de mesure z(T N ) comprenant « M » composante(s), et est la matrice d’observation associée au gain unitaire K j+1 (T N ) calculé à l’instant de réception T N pour la j+1-ième composante du vecteur de mesure z(T N ). L’équation 2 a pour origine le fait que le gain K R (T N ) doit respecter l’équation suivante : où : - pour tout j, est la j-ième colonne du gain K R (T N ), et - pour tout j, H j (T N ) est la j-ième ligne de la matrice d’observation H(T N ). Dans l’exemple proposé dans lequel les positions GNSS et inertielles sont reçues lors de l’étape de réception 110, le vecteur de mesure z(T N ) comprend trois composantes puisque la position GNSS et la position inertielle comprennent respectivement trois composantes. Ainsi, l’application de l’équation 2 à ce cas, donne un gain K R (T N ) égal à : Puis, lors d’une première étape de détermination 130, selon une technique connue en soi, le vecteur d’état estimé (X(T N )) du porteur 5 est déterminé à partir du gain K R (T N ) évalué lors de l‘étape d’évaluation 120, la matrice d’observation H(T N ) et la matrice de propagation F(T N ), par exemple selon l’équation 1 en initialisant le vecteur d’état estimé X(T 1 ) à zéro pour le premier instant de réception T 1 . Puis, lors d’une première étape de calcul 140, le module de traitement 20 calcule une matrice de propagation d’erreur d’estimation A(T N ) de l’état à partir de la matrice de propagation du vecteur d’état F(T N ), du gain K R (T N ) du filtre d’estimation et de la matrice d’observation H(T N ). Par exemple, la matrice de propagation d’erreur d’estimation A(T N ) est calculée selon l’équation suivante : La matrice de propagation d’erreur d’estimation A(T N ) est calculée à partir du gain K R (T N ) du filtre d’estimation. Toujours lors de la première étape de calcul 130, le module de traitement 20 calcule une matrice d’influence de l’erreur bornée B(T N ) par exemple selon l’équation suivante : Les matrices de propagation d’erreur d’estimation A(T N ) et d’influence d’erreur bornée B(T N ) sont issues de l’équation suivante d’évolution du vecteur d’état estimé X(T N ) : où est un vecteur d’erreurs bornées comprenant les valeurs des erreurs bornées à l’instant T N . Il est clair que le vecteur d'erreurs bornées est inconnu puisque uniquement la borne d’erreur S(T N ) est connue. Ainsi, chaque erreur bornée du vecteur d’erreurs bornées a une valeur inconnue, comprise entre la valeur HIL ; VIL de la composante associée dans la borne d’erreur S(T N ) et l’opposée de la valeur –HIL ; -VIL de la composante associée dans la borne d’erreur S(T N ). L’homme du métier remarquera qu’en utilisant les équations 5 et 6, l’équation 7 s’écrit sous la forme : Puis, lors d’une deuxième étape de calcul 150, le module de traitement 20 calcule N matrices de transfert (V(N,i)) i=1..,N . A cet effet, le module de traitement 20 calcule les matrices de transfert (V(N,i)) i=1,…,N à partir des N-1 matrices de transfert (V(N-1, i)) i=1,…,N-1 calculées à l’instant de réception précédent T N-1 , de la matrice de propagation d’erreur d’estimation A(T N ) audit instant de réception T N et de la matrice d’influence de l’erreur bornée B(T N ) audit instant de réception T N . Par exemple, le module de traitement 20 calcule les matrices de transfert (V(N,i)) i=1,…,N selon l’équation suivante : Il est clair que pour le premier instant de réception T 1 , i.e. si N est égal à 1, le module de traitement 20 calcule uniquement la matrice de transfert V(1,1) comme étant égale à la matrice d’influence de l’erreur bornée B(T 1 ). A titre d’exemple, au deuxième instant de réception T 2 , le module de traitement calcule les matrices de transfert suivantes V(2,2) et V(2,1) selon les équations suivantes : De même, au troisième instant de réception T 3 , le module de traitement 20 calcule les matrices de transfert V(3,3), V(3,2), et V(3,1) selon les équations suivantes : Puis, lors d’une étape facultative d’inscription 160, le module de traitement inscrit chaque matrice de transfert (V(N,i)) i=1,…,N dans le registre à décalage de transfert et chaque borne d’erreur (S(T i )) i=1,…,N dans le registre à décalage de seuil(s). Ainsi, selon le complément facultatif dans lequel le procédé comprend l’étape d’inscription 160, la deuxième étape de calcul 150 et l’étape d’inscription 160 sont préférentiellement mises en œuvre simultanément. En effet, en référence à la partie gauche de la , lors de ces étapes 150, 160, le registre à décalage de transfert est initialement rempli par les valeurs des matrices de transfert calculées (V(N-1,i)) i=1,…N-1 à l’instant de réception précédent T N-1 et le registre à décalage de seuil(s) est rempli avec les vecteurs de seuil(s) (S(T i )) i=1,…,N-1 reçus entre le premier instant de réception T 1 et l’instant de réception précédent T N-1 . Puis, le module de traitement 20 effectue le décalage de chaque registre à décalage pour libérer une case mémoire dans chaque registre à décalage. Enfin et comme visible sur la partie droite de la , le module de traitement 20 multiplie chacune des N-1 premières valeurs du registre à décalage de transfert par la matrice de propagation de l’erreur A(T N ) calculée à l’instant de réception T N et inscrit dans la case libérée de ce registre la matrice d’influence de l’erreur bornée B(T N ) calculée audit instant de réception T N . En accord avec l’équation 9, le registre à décalage de transfert comprend alors les valeurs des matrices de transfert (V(N,i)) i=1,…,N calculées à l’instant de réception T N et pour chaque instant de réception (T i ) i=1,…,N précédent ou égal audit instant de réception T N . Parallèlement à cette inscription, le module de traitement 20 inscrit, dans la case libérée du registre de seuil(s), la borne d’erreur S(T N ) reçue à l’instant de réception T N . En variante, chaque registre à décalage comprend un nombre prédéterminé de cases mémoires. Ce nombre prédéterminé de cases mémoires est également appelé « profondeur du registre à décalage ». Ainsi, lorsque le module de traitement 20 effectue le décalage de chaque registre à décalage, la matrice de transfert V(N-1,L) calculée à l’instant précédent T N-1 et pour l’instant le plus ancien T L présent dans le registre à décalage de transfert, est expulsée du registre à décalage de transfert. De même, lors de ce décalage, la borne d’erreur S(T L ) reçue au même instant le plus ancien T L , est expulsé du registre à décalage de seuil(s). La profondeur du registre à décalage est donc égale à N-L+1. A titre d’exemple, selon la précédente variante, la profondeur de chaque registre à décalage est par exemple égale à 100, 50 ou 10. Si la profondeur est égale à 10, le registre à décalage de transfert comprend, pour chaque instant de réception T N , uniquement les matrices de transfert (V(N,i) i=N-9,…,N calculées entre les instants de réception T N-9 et T N . De même, le registre à décalage de seuil(s) comprend les vecteurs de seuil (S(T i )) i=N-9,…,N reçues entre ces mêmes instants de réception. Lors d’une deuxième étape de détermination 170, le module de traitement 20 détermine le paramètre de navigation du porteur 5 à partir du vecteur d’état estimé X(T N ). Par exemple, le paramètre de navigation est la position horizontale du porteur 5, c’est-à-dire sa longitude et latitude. Selon un autre exemple, le paramètre de navigation est la position verticale du porteur 5, c’est-à-dire son altitude. Le module de traitement 20 détermine le paramètre de navigation comme étant égal à une ou plusieurs des composantes du vecteur d’état estimé X(T N ), ou à une combinaison d’une ou plusieurs des composantes du vecteur d’état estimé X(T N ), telle qu’une combinaison linéaire. Lors de la deuxième étape de détermination 170 toujours, le module de traitement 20 détermine le rayon de protection RP(T N ) associé au paramètre de navigation déterminé, à partir des matrices de transfert calculées (V(N,i)) i=1,…,N . Pour cela, si le paramètre de navigation est la position horizontale, le module de traitement 20 effectue les actions suivantes. Le module de traitement 20 extrait depuis chaque matrice de transfert (V(N,i)) i=1,…,N , une sous-matrice de transfert horizontal-horizontal comprenant les coefficients de la matrice transfert V(N,i) dont les lignes correspondent aux lignes des composantes associées à la position horizontale dans le vecteur d’état estimé X(T N ), et dont les colonnes correspondent aux lignes associées à la position horizontale dans la borne d’erreur S(T N ). Chaque sous-matrice de transfert horizontal-horizontal est donc une matrice de dimensions 2-2. De même, le module de traitement extrait depuis chaque matrice de transfert (V(N,i)) i=1,…,N , une sous-matrice de transfert horizontal-vertical comprenant les coefficients de la matrice de transfert V(N,i) dont les lignes correspondent aux lignes des composantes associées à la position horizontale dans le vecteur d’état estimé X(T N ), et dont la colonne correspond à la ligne associée à la position verticale dans la borne d’erreur S(T N ). Chaque sous-matrice de transfert horizontal-vertical est donc une matrice de dimensions 2-1. Puis, le module de traitement 20 calcule une contribution unitaire PL(T i ) pour au moins une partie des instants de réception (T i ) i=j,…,N , par exemple pour chaque instant de réception (T i ) i=1,…,N ou pour les instants de réception (T i ) i= L,…,N pour lequel une matrice de transfert V(N,i) est présente dans le registre à décalage de transfert. La variable en indice est soit égale à 1 si la profondeur du registre à décalage est supérieure au nombre de valeurs stockées dans ledit registre, ou à L si le registre à décalage est déjà complet et que la profondeur du registre est égale N-L+1. La module de traitement 20 calcule par exemple chaque contribution unitaire PL(T i ) à partir de l’équation suivante : où : - est la fonction racine carré, - est la fonction de calcul de la ou des valeurs propres, - est la fonction maximum, et - est la transposée matricielle. En variante, si le paramètre de navigation est la position verticale, le module de traitement 20 effectue les actions suivantes. Le module de traitement 20 extrait depuis chaque matrice de transfert (V(N,i)) i= j ,…,N , une sous-matrice de transfert vertical-horizontal comprenant les coefficients de la matrice transfert V(N,i) dont la ligne correspond à la ligne de la composante associée à la position verticale dans le vecteur d’état estimé X(T N ), et dont les colonnes correspondent aux lignes associées à la position horizontale dans la borne d’erreur S(T N ). Chaque sous-matrice de transfert vertical-horizontal est donc une matrice de dimensions 1-2. De même, le module de traitement extrait de chaque matrice de transfert (V(N,i)) i= j ,…,N , une sous-matrice de transfert vertical-vertical comprenant le coefficient de la matrice transfert V(N,i) dont la ligne correspond à la ligne de la composante associée à la position verticale dans le vecteur d’état X(T N ), et dont la colonne correspond à la ligne associée à la position verticale dans la borne d’erreur S(T N ). Chaque sous-matrice de transfert vertical-vertical est donc une matrice de dimension 1-1. Autrement dit, chaque matrice de transfert vertical-vertical est un nombre scalaire. Puis, le module de traitement 20 calcule une contribution unitaire PL(T i ) pour au moins une partie des instants de réception (T i ) i=j,…,N , par exemple pour chaque instant de réception (T i ) i=1,…,N ou pour les instants de réception (T i ) i=L,…,N pour lequel une matrice de transfert V(N,i) est présente dans le registre à décalage de transfert. Le module de traitement calcule par exemple chaque contribution unitaire PL(T i ) à partir de l’équation suivante : où est la fonction valeur absolue. Puis, toujours lors de la deuxième étape de détermination 170, le module de traitement 20 détermine le rayon de protection RP(T N ) à partir de chaque contribution unitaire (PL(T i )) j=1,…,N calculée, indépendamment de la manière dont les contributions unitaires ont été calculées. A cet effet, le module de traitement 20 détermine le rayon de protection RP(T N ) par exemple selon l’équation suivante : où : - est le premier indice pour lequel une contribution unitaire PL(T i ) est calculée, - est la somme sur l’indice évoluant entre et N, et Puis, lors d’une étape de transmission 180, le module de sortie 25 transmet à l’utilisateur ou à l’autre dispositif électronique non représenté, le rayon de protection RP(TN) déterminé et optionnellement le paramètre de navigation auquel est associé le rayon de protection. Selon une première variante de réalisation, lors de l’étape de réception 110, le module d’entrée 17 reçoit également la contribution au rayon de protection PL FF (T N ) issue des erreurs rares et normales. Selon cette première variante de réalisation, lors de la deuxième étape de détermination 170, le rayon de protection RP(T N ) est alors par exemple calculée par l’équation suivante : Une deuxième variante de réalisation, par exemple combinable avec la première variante de réalisation est maintenant présentée. Cette variante est par exemple utilisable pour chaque instant de perte T P pour lequel la position GNSS et/ou la borne d’erreur S(T P ) est perdue ou invalidée. Pour ces instants, le procédé ne comprend pas l’étape d’évaluation 120. Selon cette deuxième variante, lors de la première étape de détermination 130, le vecteur d’état estimé X(T P ) est déterminé seulement par prédiction, c’est-à-dire sans recalage. Cela revient à mettre le gain K R (T N ) à zéro pour ces instants. Selon cette deuxième variante toujours, lors de l’étape de calcul 140, la matrice de propagation d’erreur d’estimation A(T N ) et la matrice d’influence de l’erreur bornée B(T N ) sont calculées par exemple selon l’équation suivante : Puis, lors de l’étape de calcul 150, chaque matrice de transfert (V(P,i)) i= j ,…,P -1 est calculée par exemple selon l’équation suivante : Il est clair que lors de la deuxième étape de calcul 150, au maximum P-1 matrices de transfert V(P,i) sont calculées. Puis, lors de l’étape d’inscription 160, le module de traitement 20 fige le registre à décalage de seuil. Autrement dit, le module de traitement n’effectue aucun décalage du registre à décalage de seuil. Lors cette étape d’inscription 160, le module de traitement 20 inscrit chaque matrice de transfert (V(P,i)) i= j ,…P-1 calculée, dans le registre à décalage de transfert sans effectuer de décalage préalable de ce registre. Avec le procédé selon l’invention, la détermination du rayon de protection RP(T N ) est améliorée. Avec le rayon de protection RP(T N ) déterminé par le procédé selon l’invention, la probabilité que l’erreur sur le paramètre de navigation soit supérieure au rayon de protection RP(T N ), est, par exemple, inférieure à 10 -7 /h. Avec le procédé selon l’invention, le calcul du rayon de protection RP(T N ) est simple et rapide à mettre œuvre. Il est ainsi possible de mettre en œuvre le procédé selon l’invention sur le dispositif électronique de détermination 10 embarqué à bord du porteur 5. L’étape facultative d’évaluation 120 permet un recalage en temps réel en utilisant le gain K R (T N ) du filtre d’estimation en limitant le risque que des approximations numériques n’affectent la ou les caractéristiques des matrices du filtre d’estimation. Avec le procédé selon la première variante de réalisation, la détermination du rayon de protection RP(T N ) est encore améliorée puisqu’elle prend en compte les erreurs bornées d’une part et les erreurs rares et normales d’autre part. Avec le procédé selon la troisième variante de réalisation, le procédé de détermination est plus robuste puisqu’il permet de continuer à déterminer le rayon de protection même lors de la perte de la position GNSS. Procédé destiné à borner une erreur induite sur au moins un paramètre de navigation d’un porteur (5), notamment une position, une vitesse, des attitudes, et/ou un cap du porteur (5), l’erreur étant induite par une erreur de mesure dont une évolution temporelle est inconnue mais dont une borne est connue et la probabilité de ne pas dépasser cette borne est également connue ; la borne et la probabilité étant connues pour une pluralité d’instants auxquelles le procédé est mis en oeuvre, le fait de borner l’erreur induite étant obtenu par la détermination d’au moins un rayon de protection associé au(x) paramètre(s) de navigation du porteur (5), le procédé étant mis en œuvre par un dispositif électronique de détermination (15) et comprenant les étapes suivantes : - réception (110), à des instants de réception successifs (T N ), d’une mesure issue d’un capteur, tel qu’un récepteur GNSS, notamment une position GNSS, d’au moins une borne d’erreur ( ) associée à la mesure issue du capteur et de mesure(s) inertielle(s) : - pour chaque instant de réception (T N ) successif : - détermination (130) d’un vecteur d’état estimé (X(T N )) du porteur par application à la mesure issue du capteur et à la mesure inertielle d’un filtre d’estimation, le filtre d’estimation comprenant pour chaque instant de réception ((T i ) i=1,…,N ), un gain (K R (T i )), une matrice d’observation (H(T i )) et une matrice de propagation du vecteur d’état (F(T i )) ; - calcul (140) d’une matrice de propagation d’erreur d’estimation (A(T N )) de l’état à partir de la matrice de propagation du vecteur d’état (F(T N )), du gain (K R (T N )) du filtre d’estimation et de la matrice d’observation (H(T N )), et calcul d’une matrice d’influence de l’erreur bornée (B(T N )) à partir de la matrice de propagation du vecteur d’état (F(T N )) et du gain (K R (T N )) ; - calcul (150) de N matrices de transfert (V(N,i) i= 1..,N ), à partir des N-1 matrices de transfert (V(N-1, i) i=1,…,N-1 ) calculées à l’instant précédent (T N-1 ) l’instant de réception (T N ), de la matrice de propagation d’erreur d’estimation (A(N)) audit instant de réception (T N ) et de la matrice d’influence de l’erreur bornée (B(N)) audit instant de réception (T N ), N étant le nombre d’instants de réception successifs ((T i ) i=1,…,N ) ; - détermination (170) du paramètre de navigation à partir du vecteur d’état estimé (X(T N )) et détermination du rayon de protection (RP(T N )) associé au paramètre de navigation, par sommation de contributions unitaires ((PL(T i )) i=j,….,N ) calculées pour au moins une partie des instants de réception ((T i ) i=j,…,N ), la contribution unitaire (PL(T i )) associée à chacun desdits instants ((T i ) i=j,…,N ) étant calculée à partir de la matrice de transfert (V(N,i)) calculée pour cet instant (T i ) et de la borne d’erreur (S(T i )) reçue à cet instant de réception (T i ). Procédé selon la revendication précédente, dans lequel pour chaque instant de réception (T N ), la mesure issue du capteur comprend M composantes, et dans lequel le procédé comprend pour chaque instant de réception (T N ) en outre, entre l’étape de réception (110) et l’étape de détermination (130) d’un vecteur d’état estimé (X(T N )), une étape d’évaluation (120) comportant : pour chaque composante de la mesure issue du capteur, calcul d’un gain unitaire (K j (T N )) du filtre ; et évaluation d’un gain (K R (T N )) à partir des M gains unitaires ((K j (T N )) j=1,…,M ), lors de l’étape de détermination du vecteur d’état estimé (X(T N )) et de l’étape de calcul de la matrice de propagation d’erreur (A(T N )) et de la matrice d’influence de l’erreur bornée (B(T N )), le gain (K R (T N )) du filtre d’estimation étant le gain évalué. Procédé selon la revendication 2, dans lequel pour chaque instant de réception (T N ), lors de la première étape de calcul (140), la matrice de propagation d’erreur d’estimation (A(T N )) audit instant de réception (T N ) est égale à : où : - F(T N ) est la matrice de propagation du vecteur d’état audit instant de réception (T N ) ; - I est la matrice identité ; - K R (T N ) est le gain du filtre d’estimation audit instant de réception (T N ) ; et - H(T N ) est la matrice d’observation audit instant de réception (T N ), la matrice d’influence de l’erreur bornée (B(T N )) audit instant de réception (T N ) étant égale à : Procédé selon l’une quelconque des revendications précédentes, comprenant en outre, pour chaque instant de réception (T N ), une étape d’inscription (160) de chaque matrice de transfert (V(N,i) i=1,…,N ) dans un registre à décalage de transfert et de chaque borne d’erreur reçue (S(T N )) dans un registre à décalage de seuil(s), lors de l’étape de calcul, la Nième matrice de transfert (V(N,N)) étant égale à la matrice d’influence de l’erreur bornée (B(T N )) audit instant de réception (T N ), et chacune des autres premières matrices de transfert ((V(N,i) i=j ,…,N-1 ) étant calculée en multipliant la matrice de propagation d’erreur d’estimation (A(T N )) dudit instant (T N ) à chaque matrice de transfert (V(N-1, j) j=1,…,N-1 ) calculée à l’instant de réception précédant (T N-1 ). Procédé selon la revendication précédente, dans lequel si, lors de l’étape de réception (110), à un instant de perte (T P ) la mesure issue du capteur n’est pas reçue, alors l’étape d’inscription (160) de l’instant de perte (T P ) comprend, : - le figement du registre a décalage de seuil(s), et - l’inscription de chaque matrice de transfert (V(P,i) j =1,…,P -1 ) dans le registre à décalage de transfert sans effectuer de décalage dans le registre à décalage de transfert. Procédé selon la revendication précédente, dans lequel, pour l’instant de perte (T P ), lors de la première étape de calcul (140), la matrice de propagation d’erreur d’estimation (A(T P )) audit instant de perte (T P ) est égale à la matrice de propagation du vecteur d’état (F(T P )) audit instant de perte (T P ) et la matrice d’influence de l’erreur bornée (B(T P )) audit instant de perte (T P ) est égale à la matrice nulle. Procédé selon l’une quelconque des revendications précédentes, dans lequel pour chaque instant de réception (T N ), lors de l’étape de détermination (170) du rayon de protection (RP(T N )), chaque contribution unitaire est déterminée à partir d’au moins une sous-matrice ( , ; , ) extraite de la matrice de transfert (V(N,i)) calculée à l’instant de réception (T N ) pour l’un instant de réception précédent (T i ), le calcul de chaque contribution unitaire (PL i (T N )) comportant de préférence un calcul de la ou des valeurs propres d’une des sous-matrices ( ). Procédé selon l’une quelconque des revendications précédentes, dans lequel lors de l’étape de réception (110), une contribution (PL FF (T N )) d’erreur(s) rare(s) et normale(s) au rayon de protection (RP(T N )) est reçue pour au moins un instant de réception (T N ), l’étape de détermination (17&0) du rayon de protection (RP(T N )) comprenant le calcul de la somme entre la contribution (PL FF (T N )) d’erreur(s) rare(s) et normale(s) et la somme des contributions unitaires (PL i (T N )). Dispositif (15) électronique de détermination d’au moins un rayon de protection (RP(T N )) associé à un paramètre de navigation d’un porteur (5), le dispositif électronique de détermination (15) comprenant des moyens techniques propres à mettre en œuvre un procédé de détermination selon l’une quelconque des revendications précédentes. Programme d’ordinateur comprenant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, sont aptes à mettre en œuvre un procédé de détermination selon l’une quelconque des revendications 1 à 8.