FR3086075A1 - Systeme electronique de supervision d'un vehicule autonome, procede et programme d'ordinateur associes - Google Patents

Abstract

Système électronique de supervision d'un véhicule autonome (A) muni d'un module d'actionnement du véhicule et d'un module de conduite autonome (2) adapté pour déterminer et transmettre des commandes au module d'actionnement, pour, dans un premier mode de fonctionnement, autoriser la fourniture des commandes du module de conduite autonome vers le module d'actionnement et pour, dans un deuxième mode de fonctionnement, bloquer la fourniture des commandes du module de conduite autonome vers le module d'actionnement, ledit système électronique de supervision étant adapté pour, dès détection d'une défaillance du module de conduite autonome alors que le système électronique est dans le premier mode : - basculer dans le deuxième mode, et - déclencher une manœuvre d'arrêt d'urgence du véhicule autonome.

Description

Système électronique de supervision d’un véhicule autonome, procédé et programme d’ordinateur associés

La présente invention concerne le domaine des véhicules autonomes munis d’un module de conduite autonome déterminant, en fonction d’informations sur l’environnement du véhicule et, dans certains cas, en outre en fonction d’une trajectoire prédéfinie pour le véhicule, des commandes destinées aux systèmes de moteur, de direction et/ou de freinage du véhicule.

Les véhicules autonomes doivent avoir une fiabilité éprouvée.

Dans le cas des véhicules autonomes de niveau 2 ou 3, en cas de défaillance identifiée du module de conduite autonome, la défaillance est signalée au conducteur, qui doit être en mesure de reprendre le pilotage du véhicule.

Pour les véhicules autonomes de niveau 4 ou 5, cette action de reprise du pilotage ne peut être réalisée par un conducteur : elle est généralement assurée par une intelligence artificielle.

Une pratique commune est notamment de redonder les modules de conduite autonome, qui doivent alors être développés sur la base d’algorithmes différents, s’exécuter sur des calculateurs distincts, pour minimiser le risque de défaillance commune. L’un des modules de conduite autonome pilote effectivement le véhicule autonome. L’autre ne prendra le relais pour le pilotage en cas de défaillance du premier mais pendant que l’un des modules de conduite autonome pilote effectivement, l’autre est également fonctionnel et notamment détermine des commandes, qui ne sont pas utilisées pour piloter le véhicule tant que les commandes des deux modules concordent. En cas de conflit, i.e. quand les commandes de l’un des modules de conduite autonome ne concordent pas avec les commandes de l’autre des modules de conduite autonome, se pose la question de déterminer celui des deux modules qui est défaillant : généralement un troisième module de conduite autonome est alors nécessaire pour le déterminer, par mécanisme de vote (un contre deux).

Le but de l’invention suivant un aspect est de proposer une solution permettant, sans avoir besoin de recourir à de multiples modules de conduite autonome, de superviser le fonctionnement d’un module de conduite autonome et de garantir la sécurité des passagers du véhicule autonome et de l’environnement.

A cet effet, suivant un premier aspect, l’invention propose un système électronique de supervision d’un véhicule autonome muni d’un module d’actionnement du véhicule comprenant le moteur, la direction et le freinage du véhicule et d’un module de conduite autonome adapté pour déterminer et transmettre des commandes au module d’actionnement, ledit système électronique de supervision étant caractérisé en ce qu’il est adapté pour, dans un premier mode de fonctionnement, autoriser la fourniture des commandes du module de conduite autonome vers le module d’actionnement et pour, dans un deuxième mode de fonctionnement, bloquer la fourniture des commandes du module de conduite autonome vers le module d’actionnement, ledit système électronique de supervision étant adapté pour détecter une défaillance du module de conduite autonome et adapté pour, dès détection d’une défaillance du module de conduite autonome alors que le système électronique est dans le premier mode :

- basculer dans le deuxième mode, et

- déclencher une manoeuvre d’arrêt d’urgence du véhicule autonome.

L’invention permet ainsi de superviser le fonctionnement du module de conduite autonome et de mettre fin à son pilotage le cas échéant, sans avoir besoin d’un autre module d’intelligence artificielle, notamment d’un autre module de conduite autonome. Quand une défaillance du module de conduite autonome est détectée, une manoeuvre d’urgence (en anglais « Minimal Risk Manoeuver >> ou MRM ) est déclenchée afin d’arrêter le véhicule en urgence.

L’utilisation de l’invention dans un véhicule autonome permet en outre de pouvoir garantir la réaction du véhicule en cas de problème d’une façon plus stable que si la réaction était laissée aux mains d’une intelligence artificielle qui par définition est évolutive, et donc de permettre l’homologation du véhicule autonome par l’homologation de son système de supervision.

L’utilisation dans un véhicule autonome d’un tel système de supervision permet de réduire le temps de développement des évolutions liées à la conduite autonome et de tester de nouvelles fonctionnalités, tout en assurant la sécurité requise des passagers et de l’environnement du véhicule autonome.

- Dans des modes de réalisation, le système électronique de supervision suivant l’invention comporte en outre une ou plusieurs des caractéristiques suivantes :le système électronique de supervision d’un véhicule autonome est adapté pour effectuer un traitement parmi : une détection de risque de collision du véhicule autonome, une comparaison d’une position du véhicule autonome issue d’une commande du module de conduite autonome par rapport à un bord de la voie de circulation du véhicule autonome et/ou à une position cible prédéterminée du véhicule autonome, une comparaison d’une vitesse du véhicule autonome issue d’une commande du module de conduite autonome par rapport à une vitesse limite, ledit système électronique de supervision étant adapté pour détecter une défaillance du module de conduite autonome en fonction d’au moins un desdits traitements ;

- le système électronique de supervision d’un véhicule autonome est adapté pour détecter une défaillance du module de conduite autonome dès réception d’un message d’alerte du module de conduite autonome signalant une anomalie détectée par ledit module de conduite autonome ;

- le véhicule autonome est propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, et le système électronique de supervision est adapté pour détecter une défaillance du module de conduite autonome par détermination d’un écart supérieur à un seuil prédéterminé entre un vecteur de déplacement réel du véhicule autonome et le vecteur de référence associés au tronçon considéré ;

- le véhicule autonome est propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, comprenant un dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence, automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprenant :

un module de calcul d’au moins une consigne de déplacement automatique du véhicule autonome pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence associés chacun à un tronçon distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence :

o d’un dernier vecteur de déplacement réel du véhicule autonome mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome mémorisée, et délivrée par au moins un capteur du véhicule autonome, un module de pilotage d’urgence propre à diriger le véhicule autonome selon ladite au moins une consigne. Suivant un deuxième aspect, la présente invention propose un procédé de supervision d’un véhicule autonome muni d’un module d’actionnement comprenant le moteur, la direction et le freinage du véhicule, d’un module de conduite autonome adapté pour transmettre des commandes au module d’actionnement, et d’un système électronique de supervision, ledit procédé comprenant les étapes suivantes mises en oeuvre par le système électronique de supervision :

dans un premier mode de fonctionnement, autoriser la fourniture des commandes du module de conduite autonome vers le module d’actionnement, dans le premier mode, détecter une défaillance du module de conduite autonome et dès détection d’une défaillance du module de conduite autonome : o basculer dans un deuxième mode de fonctionnement et bloquer la fourniture des commandes du module de conduite autonome vers le module d’actionnement, et o déclencher une manoeuvre d’arrêt d’urgence du véhicule autonome.

Dans des modes de réalisation du procédé selon l’invention, il comporte en outre une ou plusieurs des caractéristiques suivantes :

- il comprend une étape de traitement parmi : une détection de risque de collision du véhicule autonome, une comparaison d’une position du véhicule autonome issue d’une commande du module de conduite autonome par rapport à un bord de la voie de circulation du véhicule autonome et/ou à une position cible prédéterminée du véhicule autonome, une comparaison d’une vitesse du véhicule autonome issue d’une commande du module de conduite autonome par rapport à une vitesse limite, la détection d’une défaillance du module de conduite autonome étant effectuée en fonction d’au moins un desdits traitements ;

- le véhicule autonome étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, une défaillance du module de conduite autonome est détectée par détermination d’un écart supérieur à un seuil prédéterminé entre un vecteur de déplacement réel du véhicule autonome et le vecteur de référence associés au tronçon considéré ;

- le véhicule autonome étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, le procédé comprend une étape de détermination d’une trajectoire d’arrêt d’urgence automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprenant :

le calcul d’au moins une consigne de déplacement automatique du véhicule autonome pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence associés chacun à un tronçon distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence :

d’un dernier vecteur de déplacement réel du véhicule autonome mémorisé, de la trajectoire prédéfinie de déplacement du véhicule autonome, et d’une dernière donnée de localisation du véhicule autonome mémorisée, et délivrée par au moins un capteur du véhicule autonome, le pilotage d’urgence du véhicule autonome en dirigeant le véhicule autonome (A) selon ladite au moins une consigne.

Suivant un troisième aspect, la présente invention propose un programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en oeuvre un procédé tel que défini ci-dessus.

Ces caractéristiques et avantages de l’invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d’exemple, et faite en référence aux dessins annexés, sur lesquels :

- la figure 1 est une représentation schématique de la détermination d’une trajectoire d’arrêt d’urgence classiquement mis en œuvre ;

- la figure 2 est une représentation schématique d’un véhicule autonome A, d’une plate-forme de conduite autonome du véhicule A comprenant un système de supervision dans un mode de réalisation de l’invention et illustrant en outre la détermination d’une trajectoire d’arrêt d’urgence selon un mode de réalisation de la présente invention ;

- la figure 3 est une représentation schématique du déport d’un véhicule autonome par rapport à la trajectoire prédéfinie à suivre ;

- la figure 4 est un organigramme d’un procédé, selon un mode de réalisation de l’invention, de détermination d’une trajectoire d’arrêt d’urgence selon la trajectoire d’arrêt d’urgence de la figure 2 ;

- la figure 5 illustre le déport latéral du véhicule autonome en fonction de la vitesse du véhicule autonome initiale précédant la mise en œuvre du procédé selon un mode de réalisation de l’invention et en fonction de l’erreur de cap propre à chaque véhicule autonome ;

- la figure 6 est un organigramme d’un procédé de supervision d’un véhicule autonome, selon un mode de réalisation de l’invention.

Sur la figure 2, on considère un véhicule autonome A, ici une automobile par exemple.

Le véhicule automobile A comprend, de manière connue, des roues arrière, des roues avant, un moteur (non représenté) relié mécaniquement via une chaîne de transmission (non représentée) aux roues arrière et/ou avant pour l’entraînement desdites roues en rotation autour de leur axe, un système de direction (non représenté), adapté pour agir sur les roues du véhicule A de manière à modifier l’orientation de sa trajectoire, et un système de freinage (non représenté), adapté pour exercer une force de freinage sur les roues du véhicule A.

Le véhicule automobile est typiquement constitué par un véhicule à traction et/ou à propulsion électrique. A cet effet, le moteur est constitué par un moteur électrique, et le véhicule A comprend une batterie électrique (non représentée) raccordée électriquement au moteur pour l’alimentation du moteur en électricité.

Classiquement, le véhicule autonome A se déplace sur une route dont le tracé constitue une trajectoire prédéfinie propre à être stockée au sein du véhicule autonome A. Une telle trajectoire prédéfinie de déplacement comprend une pluralité de vecteurs de référence V₁₅ V₂, V₃, V₄, V₅ associés respectivement à des tronçons P_1; P₂, P₃, P₄, P₅ distincts successifs. En d’autres termes, sur le tronçon P_1s en situation nominale, le véhicule autonome A est propre à suivre sensiblement le vecteur tandis que sur la portion de virage P₄ le véhicule autonome A est propre à suivre sensiblement le vecteur V₄ etc.

Le véhicule automobile A étant un véhicule autonome à cet effet comprend, dans le mode de réalisation considéré, une plate-forme 1 de conduite autonome du véhicule A.

La plate-forme 1 de conduite autonome comprend un dispositif électronique de conduite autonome 2 adapté pour piloter le véhicule de manière autonome en recevant des informations sur l’environnement du véhicule par l’intermédiaire de capteurs (non représentés) et en agissant sur le moteur, le système de direction et le système de freinage, de manière à modifier la vitesse, l’accélération et la trajectoire du véhicule en réaction aux informations reçues.

A cette fin, le dispositif électronique de conduite autonome 2 est adapté pour déterminer et fournir des commandes destinées au moteur, au système de direction et au système de freinage.

La plate-forme 1 de conduite autonome comprend en outre un système électronique de supervision 3 selon l’invention.

Le système électronique de supervision 3 comprend, dans le mode de réalisation considéré, un dispositif électronique superviseur 4 et un dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10.

Le dispositif électronique superviseur 4 comprend un module de traitement des commandes 41 et un module de détection de défaillances 42.

Le module de traitement des commandes 41 est adapté pour fonctionner selon au moins deux modes opérationnels.

Dans un premier mode, le module de traitement des commandes 41 est adapté pour autoriser la délivrance au moteur, au système de direction et au système de freinage, des commandes déterminées par le dispositif électronique de conduite autonome 2 : les commandes, destinées au moteur, au système de direction et au système de freinage et fournies par le dispositif électronique de conduite autonome 2, parviennent effectivement en entrée du moteur, du système de direction et du système de freinage et y sont traitées, modifiant ainsi en fonction de ces commandes la vitesse, et/ou l’accélération et/ou la trajectoire du véhicule.

Dans un deuxième mode, le module de traitement des commandes 41 est adapté pour bloquer la délivrance au moteur, au système de direction et au système de freinage, des commandes déterminées par le dispositif électronique de conduite autonome 2 : les commandes, destinées au moteur, au système de direction et au système de freinage et fournies par le dispositif électronique de conduite autonome 2, ne leur sont pas remises.

A ces commandes sont substituées d’autres commandes, délivrées au moteur, au système de direction et au système de freinage par le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10, pour effectuer un arrêt d’urgence du véhicule autonome A, comme décrit plus loin.

Dans un mode de réalisation, les commandes fournies par le dispositif électronique de conduite autonome 2 transitent systématiquement par le dispositif électronique superviseur 4, qui, selon que le module de traitement des commandes 41 est dans le premier ou le deuxième mode opérationnel, fait suivre ou non ces commandes au moteur, au système de direction et au système de freinage.

Dans un autre mode de réalisation, le dispositif électronique superviseur 4 est adapté pour piloter, en fonction du mode opérationnel du module de traitement des commandes 41, un module de réception des commandes issues du dispositif électronique de conduite autonome 2 (non représenté), le module de réception étant interposé entre le dispositif électronique de conduite autonome 2 et l’ensemble comprenant le moteur, le système de direction et le système de freinage et agissant comme un interrupteur : dans le premier mode opérationnel, le module de réception des commandes laisse passer les commandes vers l’ensemble, dans le deuxième mode, le module de réception des commandes les bloque et ne permet pas leur délivrance.

Le module de détection de défaillances 42 est adapté pour vérifier qu’il n’y a pas de défaillance du dispositif électronique de conduite autonome 2, pour détecter une défaillance du dispositif électronique de conduite autonome 2 et pour, dès détection d’une telle défaillance, et si le module de traitement des commandes 41 est dans le premier mode :

- déclencher le basculement du module de traitement des commandes 41 dans le deuxième mode, et

- déclencher une manoeuvre d’arrêt d’urgence du véhicule autonome en envoyant une instruction d’arrêt d’urgence au dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10.

Le module de traitement des commandes 41 demeure dans le deuxième mode jusqu’à ce que le dispositif électronique de conduite autonome 2 aura été considéré comme à nouveau fiable par l’opérateur du véhicule autonome, par exemple suite à la mise en oeuvre de tests de fiabilité et sécurité vérifiant son aptitude à piloter le véhicule autonome.

La détection des défaillances du dispositif électronique de conduite autonome 2 comprend par exemple un ou plusieurs des traitements suivants effectués par le module de détection de défaillances 42.

Un traitement comprend la détection de risque de collision du véhicule autonome A : dans un tel cas, le module de détection de défaillances 42 est adapté pour, en fonction de données courantes provenant de capteurs (capteurs d’image, ou capteurs à ultrasons etc.) dont est équipé le véhicule autonome, déterminer la proximité d’obstacles autour du véhicule A et pour lorsque la proximité est grande, détecter qu’il y a un risque de collision, et donc détecter la présence d’une défaillance du dispositif électronique de conduite autonome 2 (par exemple un risque de collision est détecté lorsque la collision est prévue dans un temps inférieur à un seuil temporel compris par exemple entre 400 millisecondes (ms) et 1 seconde (s), par exemple 700 ms, par exemple pour une vitesse de déplacement du véhicule A comprise entre 15 et 70 km/heure ).

Un traitement comprend une comparaison d’une position du véhicule autonome par rapport à un bord de la voie de circulation du véhicule autonome, et le module de détection de défaillances 42 est adapté pour détecter la présence d’une défaillance du dispositif électronique de conduite autonome 2 par comparaison entre la position du véhicule autonome et le bord de la voie de circulation : dans un mode de réalisation, lorsque la position du véhicule autonome et le bord de la voie de circulation sont tels que le franchissement du bord de la voie par le véhicule est estimé à un temps inférieur à un seuil donnée, par exemple compris entre 20 ms et 300 ms.

Un traitement comprend une comparaison d’une position du véhicule autonome par rapport à la trajectoire prédéfinie, i.e. à une position cible prédéterminée du véhicule autonome que le véhicule devrait avoir à la place de ladite position : par exemple, le module de détection de défaillances 42 détecte que le véhicule aurait dû tourner alors qu’il continue à aller tout droit. Et le module de détection de défaillances 42 est adapté pour détecter la présence d’une défaillance du dispositif électronique de conduite autonome 2 lorsque l’écart entre la position du véhicule et la trajectoire théorique dépasse une limite prédéterminée (par exemple un écart entre le milieu de la voie suivie par le véhicule et le milieu de la voie correspondant à la trajectoire théorique supérieur à une limite comprise dans la plage [10 cm, 60 cm]).

Ou encore, par exemple, une défaillance du dispositif de conduite autonome est détectée, pour un tronçon P₂ de déplacement considéré, par détermination d’un écart supérieur à un seuil prédéterminé entre le vecteur de déplacement réel du véhicule autonome A et le vecteur de référence associés au tronçon considéré (par exemple un seuil compris dans la plage d’angles [5°, 20°]).

Le seuil prédéterminé correspond, par exemple, à une valeur maximale de déport latéral 24 du véhicule par rapport à la trajectoire prédéfinie tel qu’illustré par la figure 3.

La figure 3 est une représentation schématique du déport d’un véhicule autonome A par rapport à la trajectoire prédéfinie à suivre. Plus précisément, on considère un véhicule autonome A se dirigeant selon une direction de déplacement 22 avec une vitesse V,. Chaque véhicule autonome est caractérisé par un autre paramètre intrinsèque d’erreur de cap 24 généralement exprimé en degrés qui représente l’angle entre la trajectoire prédéfinie et le déport latéral 26 maximal autorisé du véhicule par rapport à la trajectoire prédéfinie.

Par exemple, si l’on considère une voie dont la largeur de chaussée est de 3 mètres et un véhicule de 2 mètres de large, le déport latéral maximal 26 est de 50 centimètres.

La position du véhicule autonome considérée pour les comparaisons mentionnées ci-dessus est la position courante, ou encore la position qui résulterait de la dernière commande du dispositif électronique de conduite autonome 2 fournie par ce dernier et non encore transmise en entrée de l’ensemble comprenant le moteur, le système de freinage et le système de direction.

Un traitement comprend une comparaison d’une vitesse du véhicule autonome (délivrée par un capteur de vitesse embarqué dans le véhicule autonome ou évaluée en fonction d’autres informations, par exemple des images successives d’un capteur d’images, embarqué dans le véhicule ou non suivant les modes de réalisation) par rapport à une vitesse limite. La vitesse limite est une vitesse stockée dans une mémoire du dispositif électronique superviseur 4 par l’opérateur du véhicule autonome comme vitesse à ne jamais dépasser, ou encore est une valeur de vitesse maximale respectivement associée au tronçon considéré de trajectoire prédéfinie, ou encore est une valeur de vitesse figurant sur un panneau sur la voie et qui a été détectée par les capteurs et modules de traitement du véhicule autonome et délivrée au dispositif électronique superviseur 4. Et le module de détection de défaillances 42 est adapté pour détecter la présence d’une défaillance du dispositif électronique de conduite autonome 2 lorsque la vitesse du véhicule autonome dépasse la vitesse limite.

La vitesse du véhicule autonome considérée pour les comparaisons est la vitesse réelle courante, ou encore la vitesse qui résulterait de la dernière commande du dispositif électronique de conduite autonome 2 fournie par ce dernier et non encore transmise en entrée de l’ensemble comprenant le moteur, le système de freinage et le système de direction.

Un traitement comprend la réception par le dispositif électronique superviseur 4 d’un message d’alerte du module de conduite autonome 2 signalant une défaillance autodétectée par ledit module de conduite autonome lui-même. Et le module de détection de défaillances 42 est adapté pour en déduire la présence d’une défaillance du dispositif électronique de conduite autonome 2.

Le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 est adapté pour recevoir une instruction d’arrêt d’urgence émise par le dispositif électronique superviseur 4 et pour commander, en réponse immédiate à cette instruction, un freinage, puis un arrêt du véhicule autonome A, dans des conditions définies, par exemple en fonction du dernier vecteur de déplacement réel du véhicule, comme connu de l’art antérieur ou comme décrit plus loin dans un mode de réalisation particulier de l’invention.

Les commandes déterminées par le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 sont envoyées par ce dernier à l’ensemble comprenant le moteur, le système de direction et le système de freinage où elles sont traitées.

Dans le mode de réalisation considéré, l’un et/ou l’autre du module de traitement des commandes 41 et du module de détection de défaillances 42 est réalisé sous la forme d’un module logiciel, comprenant des instructions logicielles. Dans un tel cas, le dispositif électronique superviseur 4 comprend une mémoire et un microprocesseur (non représentés). Les instructions logicielles des modules logiciels 41,42 sont alors stockées dans cette mémoire et elles sont exécutées sur le processeur, donnant lieu à la mise en oeuvre du fonctionnement du module de traitement des commandes 41 et du module de détection de défaillances 42 tel que décrit ci-dessus et notamment à la mise en oeuvre des étapes décrites en référence à la figure 6.

La figure 6 illustre les étapes d’un procédé de supervision d’un véhicule autonome A dans un mode de réalisation de l’invention, effectuant un trajet le long d’une voie.

Dans une étape 101, le dispositif électronique de conduite autonome 2 pilote le véhicule de manière autonome : il détermine des commandes en fonction des informations sur l’environnement du véhicule obtenues notamment par l’intermédiaire de capteurs (non représentés) ; il délivre ces commandes qui sont destinées au moteur, au système de direction et/ou au système de freinage, visant à modifier la vitesse, l’accélération et/ou la trajectoire du véhicule en réaction aux informations reçues.

Dans une étape 102, qui se déroule parallèlement à l’étape 101, le module de traitement des commandes 41, tant qu’il fonctionne selon son premier mode opérationnel, autorise la délivrance au moteur, au système de direction et au système de freinage, des commandes déterminées par le dispositif électronique de conduite autonome 2 qui leur sont destinées : les commandes, destinées au moteur, au système de direction et au système de freinage et fournies par le dispositif électronique de conduite autonome 2, parviennent alors effectivement en entrée du moteur, du système de direction et du système de freinage et y sont traitées, modifiant ainsi en fonction de ces commandes la vitesse, et/ou l’accélération et/ou la trajectoire du véhicule.

En outre, en parallèle, et par exemple de manière sensiblement continue (par exemple à une fréquence égale à une valeur comprise par exemple entre une fois toutes les 200 ms et une fois toutes les 5 ms, le module de détection de défaillances 42 surveille le bon fonctionnement du dispositif électronique de conduite autonome 2. Tant qu’aucune défaillance du dispositif électronique de conduite autonome 2 n’est détectée, le module de traitement des commandes 41 reste dans son premier mode opérationnel.

Dès détection, par le module de détection de défaillances 42, d’une défaillance du dispositif électronique de conduite autonome 2, et si le module de traitement des commandes 41 est dans le premier mode, dans une étape 103, le module de détection de défaillances 42 déclenche le basculement du module de traitement des commandes 41 dans son deuxième mode opérationnel, et déclenche une manoeuvre d’arrêt d’urgence du véhicule autonome en envoyant une instruction d’arrêt d’urgence au dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10.

Dès qu’il fonctionne dans son deuxième mode opérationnel, le module de traitement des commandes 41 bloque la délivrance au moteur, au système de direction et au système de freinage, de toute commande déterminée par le dispositif électronique de conduite autonome 2 : les commandes, destinées au moteur, au système de direction et au système de freinage et fournies par le dispositif électronique de conduite autonome 2, ne leur sont dès lors plus remises.

Le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10, dès réception de l’instruction d’arrêt d’urgence, commande, en réponse immédiate à cette instruction, un freinage, puis un arrêt du véhicule autonome A, dans des conditions définies, par exemple en fonction du dernier vecteur de déplacement réel du véhicule, comme connu de l’art antérieur ou comme décrit plus loin dans un mode de réalisation particulier de l’invention : les commandes déterminées par le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 sont envoyées par ce dernier à l’ensemble comprenant le moteur, le système de direction et le système de freinage où elles sont traitées.

Ainsi dès détection d’une défaillance du dispositif électronique de conduite autonome 2, les commandes délivrées par ce dernier sont substituées par d’autres commandes, délivrées au moteur, au système de direction et au système de freinage pour effectuer un arrêt d’urgence du véhicule autonome A.

La présente invention permet ainsi que le dispositif électronique superviseur 4 prenne le relais du pilotage du véhicule autonome sur une trajectoire d’arrêt d’urgence en temps réel et sécurisée, dès qu’une défaillance du dispositif de conduite autonome 2 est détectée.

Dans un autre mode de réalisation, un module de traitement des commandes 41 ou un module de détection de défaillances 42 sont réalisés chacun sous forme d’un composant logique programmable, tel qu’un FPGA (de l’anglais Field Programmable Gate Array), ou encore sous forme d’un circuit intégré dédié, tel qu’un ASIC (de l’anglais Applications Specific Integrated Circuit).

Dans le mode de réalisation décrit ci-dessus, il a été considéré un système de supervision 3 embarqué à bord du véhicule autonome 2. Dans d’autres modes de réalisation, tout ou partie du système de supervision 3, par exemple le dispositif 10 de détermination de trajectoire d’arrêt d’urgence, est déporté dans une plate-forme de traitement extérieure au véhicule autonome 2.

Suivant un autre aspect, l’invention concerne un dispositif de détermination d’une trajectoire d’arrêt d’urgence d’un véhicule autonome muni d’un module de conduite autonome, le véhicule autonome étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome.

L’invention concerne également un véhicule autonome muni d’un module de conduite autonome muni d’un module de conduite autonome, le véhicule autonome étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, le véhicule autonome comprenant au moins un capteur de donnée de localisation du véhicule autonome.

L’invention concerne également un procédé de détermination d’une trajectoire d’arrêt d’urgence d’un véhicule autonome muni d’un module de conduite autonome, le véhicule autonome étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome.

L’invention concerne également un produit programme d’ordinateur associé.

Actuellement, les dispositifs de détermination d’une trajectoire d’arrêt d’urgence d’un véhicule autonome, activés, par exemple, en cas de défaillance du module de conduite autonome se fondent uniquement sur l’utilisation du dernier vecteur de déplacement du véhicule autonome (i.e. avant défaillance du module de conduite autonome) pour déterminer la trajectoire d’arrêt d’urgence et la consigne de déplacement automatique du véhicule autonome associée.

Une telle consigne déterminée par les dispositifs connus de détermination d’une trajectoire d’arrêt d’urgence d’un véhicule autonome correspond le plus souvent à la combinaison d’une instruction de direction de déplacement tangent à la trajectoire de déplacement du véhicule autonome préalable à la défaillance, et d’une instruction de décélération brutale provoquant une réduction de la vitesse instantanée du véhicule autonome à une valeur inférieure ou égale à 20km/h.

Le freinage automatique d’urgence obtenu est alors violent, inconfortable et peu sécurisé pour les passagers du véhicule autonome, d’autant plus si les passagers sont par exemple des passagers en posture debout au sein d’un véhicule autonome de transport collectif.

Par ailleurs, considérant la distance nécessaire pour arrêter le véhicule autonome, même si un freinage automatique brusque était appliqué, il est probable que la courbure de la voie sur laquelle le véhicule autonome se déplace change pendant cet arrêt et qu’en conséquence le véhicule autonome en vienne à sortir de la route, situation à risque, qui dans le cas classique d’un véhicule autonome dirigé manuellement a pour solution une reprise en main dévolue au conducteur.

Un autre objectif de l’invention est donc d’optimiser la trajectoire d’arrêt d’urgence et le freinage associé d’un véhicule autonome de sorte à améliorer la sécurité routière associée.

Un autre objectif de l’invention est, autant que faire se peut, de maintenir une vitesse de déplacement non nulle du véhicule autonome, notamment lorsque la défaillance du module de conduite autonome ou tout autre situation nécessitant un arrêt d’urgence se manifeste dans une zone de présence du véhicule autonome correspondant à une zone de conduite à risque caractérisée par la présence d’intersection(s), de piéton(s) ou d’autre(s) véhicule(s) autonome(s) ou non.

A cet effet, l’invention a pour objet un dispositif de détermination d’une trajectoire d’arrêt d’urgence d’un véhicule autonome muni d’un module de conduite autonome du type précité, dans lequel le dispositif de détermination d’une trajectoire d’arrêt d’urgence, est automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprend :

- un module de calcul d’au moins une consigne de déplacement automatique du véhicule autonome pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence associés chacun à un tronçon distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins pour chaque vecteur d’arrêt d’urgence:

o d’un dernier vecteur de déplacement réel du véhicule autonome mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome mémorisée, et délivrée par au moins un capteur du véhicule autonome,

- un module de pilotage d’urgence propre à diriger le véhicule autonome selon ladite au moins une consigne.

Ainsi, grâce à l’invention, la trajectoire d’arrêt d’urgence et la consigne de déplacement du véhicule autonome associées sont optimisées, car déterminées non seulement à partir du dernier vecteur de déplacement du véhicule autonome mais également à partir de la trajectoire prédéfinie ainsi que, pour chaque tronçon de cette trajectoire prédéfinie, à partir d’une donnée de localisation du véhicule autonome permettant une correction et une ré-optimisation en temps réel de l’arrêt d’urgence à chaque tronçon d’avancement du véhicule autonome.

Une telle optimisation mise en oeuvre par le dispositif de contrôle du freinage automatique d’urgence selon l’invention permet une décélération « douce >> du véhicule autonome puisque la trajectoire est maitrisée/corrigée tronçon par tronçon pour éviter une déviation (i.e. un déport du véhicule autonome) de la trajectoire d’arrêt d’urgence supérieure à un seuil prédéterminé par rapport à la trajectoire prédéfinie suivie préalablement à la situation d’urgence nécessitant un arrêt d’urgence, telle qu’une défaillance du module de conduite autonome.

Par exemple, selon l’invention une décélération abaissant la valeur de la vitesse du véhicule autonome avant défaillance du module de conduite autonome de l’ordre de 70km/h à une valeur de l’ordre de 40 à 50km/h est obtenue tout en poursuivant le virage entamé avant défaillance, contre, pour les dispositifs de détermination d’une trajectoire d’arrêt d’urgence existants, une décélération, selon une direction tangente au virage, et brutale réduisant la vitesse à une valeur de 20km/h maximum.

Selon des modes de réalisation particuliers de l’invention, le dispositif de détermination d’une trajectoire d’arrêt d’urgence présente également l’une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toute(s) combinaison(s) techniquement possible(s) :

pour chaque tronçon considéré de la trajectoire d’arrêt d’urgence auquel est respectivement associé un vecteur d’arrêt d’urgence, le module de calcul est configuré pour déterminer la consigne de déplacement du véhicule autonome propre à rendre le vecteur d’arrêt d’urgence associé audit tronçon considéré sensiblement colinéaire au vecteur de référence associé au même tronçon considéré de la trajectoire prédéfinie, à partir du dernier vecteur de déplacement réel du véhicule autonome et de ladite au moins une donnée de localisation associés au tronçon précédant le tronçon considéré ;

pour le premier tronçon de la trajectoire d’arrêt d’urgence, le module de calcul est configuré pour déterminer la consigne de déplacement du véhicule autonome propre à rendre le premier vecteur d’arrêt d’urgence associé audit premier tronçon considéré colinéaire au vecteur de référence associé à ce même premier tronçon, au moins à partir du dernier vecteur de déplacement réel V_D du véhicule autonome A et de la dernière donnée de localisation du véhicule autonome A mémorisés à un instant précédant la réception, ou la génération, de l’instruction d’arrêt d’urgence ;

le module de calcul est propre à prendre en compte une trajectoire prédéfinie où les tronçons se chevauchent ;

la consigne de déplacement comprend au moins :

une instruction représentative d’une direction à suivre, et/ou une instruction représentative d’une vitesse de déplacement instantanée.

le dispositif de détermination d’une trajectoire d’arrêt d’urgence comprend en outre un bloc de détection de défaillance du module de conduite autonome, pour un tronçon de déplacement considéré, par détermination d’un écart supérieur à un seuil prédéterminé entre le vecteur de déplacement réel du véhicule autonome et le vecteur de référence associés au tronçon considéré, et/ou par détermination de la position du véhicule en dehors de sa propre zone de circulation autorisée, le bloc de détection de défaillance étant propre à activer le module de calcul en cas de défaillance du module de conduite autonome détectée ;

le dispositif de détermination d’une trajectoire d’arrêt d’urgence comprend en outre un module d’évitement d’obstacle sur la trajectoire d’arrêt d’urgence propre à communiquer avec le module de calcul d’au moins une consigne de déplacement automatique du véhicule autonome, le module de calcul étant propre à adapter la consigne en fonction de la détection d’obstacle ;

le module d’évitement d’obstacle est propre à mettre en oeuvre un traitement de donnée(s) délivrée(s) par au moins un capteur embarqué à bord du véhicule autonome appartenant au groupe comprenant :

- un équipement de géolocalisation,

- un lidar,

- une caméra,

- un odomètre,

- dispositif de détermination d’un cap courant du véhicule autonome, une centrale inertielle.

L’invention a également pour objet un véhicule autonome comprenant au moins un dispositif de détermination d’une trajectoire d’arrêt d’urgence tel que défini ci-dessus.

L’invention a encore pour objet un procédé de détermination d’une trajectoire d’arrêt d’urgence tel que défini ci-dessus, le procédé, étant automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprenant les étapes suivantes :

le calcul d’au moins une consigne de déplacement automatique du véhicule autonome pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence associés chacun à un tronçon distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins pour chaque vecteur d’arrêt d’urgence:

o d’un dernier vecteur de déplacement réel du véhicule autonome mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome mémorisée, et délivrée par au moins un capteur du véhicule autonome, la conduite du véhicule autonome en dirigeant le véhicule autonome selon ladite au moins une consigne.

Dans la suite de la description, l’expression « sensiblement égal à >> désigne une relation d’égalité à plus ou moins 10 %, de préférence à plus ou moins 5 %.

De plus, dans la suite par « dernier vecteur de déplacement réel du véhicule autonome mémorisé >> et par « dernière donnée de localisation du véhicule autonome mémorisée >> on entend le vecteur de déplacement réel et la donnée de localisation du véhicule autonome qui sont les plus récemment mémorisés par rapport à un instant courant de calcul d’une consigne de déplacement automatique du véhicule pour suivre une trajectoire d’arrêt d’urgence.

En relation avec la figure 1, la trajectoire d’arrêt d’urgence suivie classiquement par un véhicule autonome A, pour freiner automatiquement en présence d’une instruction d’arrêt d’urgence, est établie à partir du dernier vecteur V_D de déplacement réel du véhicule autonome A. Un tel dernier vecteur V_D de déplacement réel du véhicule autonome A est déterminé préalablement à la génération de l’instruction d’arrêt d’urgence pour obtenir un déplacement cohérent avec le dernier vecteur V_D de déplacement réel du véhicule préalable à la génération de l’instruction d’arrêt d’urgence, correspondant sur la figure 1 à un déplacement tangent à la trajectoire prédéfinie. Sur la figure 1, la génération de l’instruction d’arrêt d’urgence a lieu au cours du parcours du tronçon P₂ et correspond par exemple à la présence d’une défaillance du module de conduite autonome.

La trajectoire d’arrêt d’urgence, obtenue classiquement à partir dernier vecteur V_D de déplacement réel du véhicule autonome A, est composée pour le tronçon P₂ par le vecteur V_PA2, pour le tronçon P₃ par le vecteur V_PA3, pour le tronçon P₄ par le vecteur V_PA4, sorte que le déplacement automatique résultant est tangent au virage et provoque une sortie de route.

Par ailleurs, une telle trajectoire d’arrêt d’urgence propre à engendrer une sortie de route en cas de virage est accompagnée d’une décélération brutale provoquant une réduction de la vitesse instantanée du véhicule autonome à une valeur inférieure ou égale à 20km/h.

Sur la figure 2, le dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence selon la présente invention est représenté ainsi que la trajectoire d’arrêt d’urgence obtenue par ce dispositif dans une situation identique à celle de la figure 1.

Dans l’exemple de la figure 2, le dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence comprend une unité de traitement d’information (non représentée) formée par exemple d’une mémoire 12 et d’un processeur (non représenté) associé à la mémoire 12. La mémoire 12 est propre à stocker la trajectoire prédéfinie de déplacement du véhicule autonome A comprenant une pluralité de vecteurs de référence Vi, V₂, V₃, V₄, V₅ associés respectivement à des tronçons Pi, P₂, P₃, P₄, P₅.

Le dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence comprend en outre un module de calcul 14 d’au moins une consigne de déplacement automatique du véhicule autonome A pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence V_E1, V_E2, V_E3 associés chacun à un tronçon P₂, P₃, P₄ distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence V_Ei, V_E2, V_E3 :

o d’un dernier vecteur de déplacement réel du véhicule autonome A mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation POS_A du véhicule autonome A mémorisée et délivrée par au moins un capteur du véhicule autonome.

Par ailleurs, le dispositif 10 comprend un module de pilotage d’urgence 16 propre à diriger le véhicule autonome selon ladite au moins une consigne déterminée par le module de calcul 14.

En particulier, la consigne de déplacement comprend au moins une instruction représentative d’une direction à suivre (i.e. les vecteurs successifs d’arrêt d’urgence V_Ei, V_E2, V_E3), et/ou une instruction représentative d’une vitesse de déplacement instantanée correspondant par exemple à une force de décélération (i.e. une force de freinage) à appliquer, ou directement à la vitesse de déplacement que le véhicule autonome A doit mettre en oeuvre tel que décrit ultérieurement en relation avec la figure 5.

Selon un aspect particulier, la donnée de localisation POS_A est une donnée de coordonnée curviligne comprenant une abscisse et une ordonnée curvilignes du véhicule autonome A définie dans un référentiel prédéfini tel qu’un référentiel terrestre. Une telle donnée est délivrée par au moins un capteur du véhicule autonome A appartenant au groupe comprenant :

- un odomètre propre à calculer le déplacement du véhicule autonome A d’un tronçon à l’autre en fonction du nombre de rotation des roues,

- un équipement de géolocalisation configuré pour déterminer la position du véhicule autonome A,

- un dispositif de détermination du cap courant du véhicule autonome A configuré par exemple pour estimer le cap du véhicule en fonction de l’angle du système de direction par rapport à une position de référence prédéterminée (e.g. le système de direction comprend un volant dont l’angle de rotation par rapport à la position de référence prédéterminée est représentative du cap du véhicule autonome A),

- une centrale inertielle (de l’anglais Inertial Measurement Unit), combinant une pluralité d’accéléromètres et de gyroscopes, propre à délivrer précisément (i.e. avec une précision supérieure à un seuil prédéterminé) les estimations de cap et de vitesse instantanée du véhicule autonome A en utilisant notamment les données d’accélération, les vitesses de rotation, voire les variations de champ magnétique environnant le véhicule autonome A.

Selon un premier aspect, pour chaque tronçon considéré de la trajectoire d’arrêt d’urgence auquel est respectivement associé un vecteur d’arrêt d’urgence V_E1, V_E2, V_E3, le module de calcul 14 est configuré pour déterminer la consigne de déplacement du véhicule autonome A propre à rendre les vecteurs d’arrêt d’urgence V_Ei, V_E2, V_E3 associés respectivement aux tronçons P₂ P₃, P₄ considérés sensiblement colinéaires aux vecteurs de référence V₂, V₃, V₄ associés respectivement aux mêmes tronçons P₂, P₃, P₄ considérés de la trajectoire prédéfinie, à partir du dernier vecteur de déplacement réel du véhicule autonome A et de ladite au moins une donnée de localisation POS_A associés au tronçon précédent le tronçon considéré.

Plus précisément, pour le premier tronçon P₂ de la trajectoire d’arrêt d’urgence, le module de calcul 14 est configuré pour déterminer la consigne de déplacement du véhicule autonome A propre à rendre le premier vecteur d’arrêt d’urgence V_Ei associé audit premier tronçon P₂ considéré colinéaire au vecteur de référence V₂ associé à ce même premier tronçon P₂, au moins à partir du dernier vecteur de déplacement réel V_D du véhicule autonome A et de la dernière donnée de localisation du véhicule autonome A mémorisés à un instant précédant la réception, ou à titre d’alternative, à un instant la génération de l’instruction d’arrêt d’urgence.

En d’autres termes, la consigne de déplacement comprend au moins l’instruction de déplacement qui permet au véhicule de passer de la direction de déplacement V_D à la direction de déplacement ν_ΕΊ colinéaire au vecteur de la trajectoire prédéfinie, et ainsi de suite tronçon par tronçon de sorte que la trajectoire d’arrêt d’urgence, selon l’invention telle que représentée sur la figure 2, et composée au moins des vecteurs d’arrêt d’urgence V_Ei, V_E2, V_E3 « suit >> le virage de la route empruntée par le véhicule autonome A au lieu de sortir de la route tel qu’obtenu auparavant classiquement tel qu’illustré par la figure 1.

Le dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence permet ainsi l’engagement d’une manoeuvre à risque minimal (MRM de l’anglais, Minimal Risk Maneuver).

Une telle consigne est par exemple déterminée au moyen d’une table de référence stockée au sein de la mémoire 12 du dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence, de même que la trajectoire prédéfinie de déplacement.

Une telle table de référence est propre à associer à chaque localisation du véhicule autonome A sur la trajectoire prédéfinie la direction à suivre par le véhicule autonome et la vitesse de déplacement et/ou la décélération à appliquer au véhicule autonome en tenant compte dernier vecteur de déplacement réel mémorisé pour ce véhicule autonome A.

En complément facultatif, une telle table de référence associe également à chaque localisation un indicateur représentatif d’un niveau de dangerosité de la localisation, par exemple pour signaler la présence d’une intersection, d’un cul de sac, d’une zone à forte densité piétonnière etc.

Selon une autre variante, une telle table de référence est propre à prendre en compte un paramètre intrinsèque représentatif du temps de latence du système de freinage propre au véhicule autonome A, ce temps de latence correspondant à l’intervalle entre la transmission d’instruction au système de freinage et le freinage effectif correspondant.

Une telle capacité à rester sur la trajectoire prédéfinie permet en outre une optimisation de la vitesse d’arrêt d’urgence qui permet d’éviter une décélération brusque puisque la trajectoire d’arrêt classiquement utilisée représentée sur la figure 1 et menant à une sortie de route est évitée.

Selon un aspect particulier, le module de calcul 14 est propre à prendre en compte une trajectoire prédéfinie où les tronçons P₁₅ P₂, P₃, P₄, P₅ se chevauchent. Cet aspect permet notamment d’augmenter la précision de la trajectoire d’arrêt d’urgence afin que les données de localisation successives du véhicule autonome, par exemple les coordonnées curvilignes du véhicule autonome A associées à chaque tronçon forment une courbe sensiblement continue (en prenant en compte une discrétisation de l’ordre de la dizaine de milliseconde dépendant de la forme de la trajectoire).

En complément optionnel, le dispositif 10 comprend un module de réception 18 d’une instruction d’arrêt d’urgence provoquant l’activation des autres modules de calcul 14 et de pilotage d’urgence 16 qu’il comprend.

Selon un premier exemple, l’instruction d’arrêt d’urgence est, par exemple, émise par une plateforme externe de supervision (non représentée) d’un ensemble de véhicules autonomes auquel le véhicule autonome A appartient, en cas de détection d’un évènement prédéterminé dont le type appartient au groupe comprenant : un type d’évènement météorologique, tel que du brouillard, du verglas, de la neige, de la pluie, du vent ; une densité anormale d’éléments de trafic ; et un type d’attaque, tel qu’une cyberattaque, une attaque terroriste.

Selon un deuxième exemple, l’instruction d’arrêt d’urgence est par exemple émise par le module de conduite autonome du véhicule autonome A en cas d’auto-détection (i.e. par le module de conduite autonome lui-même) d’une défaillance de celui-ci.

A titre d’alternative au module de réception 18 (non représentée), le dispositif 10 comprend en outre un bloc de détection de défaillance du module de conduite autonome, pour un tronçon P₂ de déplacement considéré, par détermination d’un écart supérieur à un seuil prédéterminé entre le vecteur de déplacement réel du véhicule autonome A et le vecteur de référence associés au tronçon considéré, le bloc de détection de défaillance étant propre à activer, par génération et transmission de l’instruction d’arrêt d’urgence, le module de calcul 14 en cas de défaillance du module de conduite autonome détectée.

Le seuil prédéterminé correspond, par exemple, à une valeur maximale de déport latéral du véhicule par rapport à la trajectoire prédéfinie tel qu’illustré par la figure 3 décrite par la suite.

Autrement dit, selon cette alternative, le dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence est également propre à surveiller et à détecter une anomalie de fonctionnement du module de conduite autonome du véhicule autonome, et assume ainsi une double fonction.

Dans l’exemple de la figure 2, le module de calcul 14, le module de pilotage d’urgence 16 et, optionnellement, le module de réception 18 sont réalisés chacun sous forme d’un logiciel, ou d’une brique logicielle, exécutables par le processeur.

La mémoire 12 du dispositif 10 électronique de détermination d’une trajectoire d’arrêt d’urgence est alors apte à stocker un logiciel de réception configuré pour recevoir l’instruction d’arrêt d’urgence, par exemple, émise par une plateforme externe de supervision, un logiciel de calcul configuré pour calculer la consigne de déplacement automatique du véhicule autonome A pour suivre la trajectoire d’arrêt d’urgence à partir au moins, pour chaque vecteur d’arrêt d’urgence V_E1, V_E2, V_E3 formant la trajectoire d’arrêt d’urgence :

o d’un dernier vecteur de déplacement réel du véhicule autonome A mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome A mémorisée, et délivrée par au moins un capteur du véhicule autonome A.

et un logiciel de pilotage d’urgence propre à diriger le véhicule autonome A selon la consigne de déplacement automatique en transmettant des instructions correspondantes au moteur, au système de direction et au système de freinage du véhicule autonome A de manière à modifier la vitesse, l’accélération et la trajectoire du véhicule autonome A en réaction aux informations reçues. Le processeur (non représenté) du dispositif 10 est alors apte à exécuter chacun des logiciels parmi le logiciel de réception, le logiciel de calcul et le logiciel de pilotage d’urgence.

En variante non représentée, le module de calcul 14, le module de pilotage d’urgence 16 et, optionnellement, le module de réception 18 sont réalisés chacun sous forme d’un composant logique programmable, tel qu’un FPGA (de l’anglais Field Programmable Gate Array), ou encore sous forme d’un circuit intégré dédié, tel qu’un ASIC (de l’anglais Application Specific Integrated Circuit).

Lorsque le dispositif électronique de détermination d’une trajectoire d’arrêt d'urgence est réalisé sous forme d’un ou plusieurs logiciels, c’est-à-dire sous forme d’un programme d’ordinateur, il est en outre apte à être enregistré sur un support, non représenté, lisible par ordinateur. Le support lisible par ordinateur est par exemple, un médium apte à mémoriser les instructions électroniques et à être couplé à un bus d’un système informatique. A titre d’exemple, le support lisible est un disque optique, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire nonvolatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique. Sur le support lisible est alors mémorisé un programme d’ordinateur comportant des instructions logicielles.

Selon un aspect complémentaire, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 est enrichi d’un module d’évitement d’obstacle 20 sur la trajectoire d’arrêt d’urgence propre à communiquer avec le module de calcul 14 d’au moins une consigne de déplacement automatique du véhicule autonome A, le module de calcul 14 étant propre à adapter la consigne en fonction de la détection d’obstacle.

Plus précisément, le module d’évitement d’obstacle 20 est propre à mettre en œuvre un traitement de donnée(s) délivrée(s) par au moins un capteur embarqué à bord du véhicule autonome A appartenant au groupe comprenant :

- un équipement de géolocalisation,

- un lidar,

- une caméra,

- un odomètre,

- dispositif de détermination d’un cap courant du véhicule autonome (A),

- une centrale inertielle.

En particulier, en présence d’un obstacle détecté, le module d’évitement d’obstacle 20 est propre à modifier un ou plusieurs élément(s) de la consigne de déplacement, à savoir modifier l’instruction représentative de la direction à suivre et/ou modifier l’instruction représentative de la vitesse de déplacement instantanée.

Par exemple, préalablement à la détection d’obstacle, le véhicule autonome A se déplace selon l’invention sur le tronçon P₂ selon la direction du vecteur d’arrêt d’urgence V_E1 avec une vitesse de 40km/h. Le lidar (non représenté) du véhicule autonome A détecte un piéton sur le tronçon P₃ et la position précise (i.e. ses coordonnées curvilignes) POS_P de ce piéton sur ce tronçon P₃. En l’absence d’obstacle, et en utilisant la table de référence, le véhicule autonome A se serait déplacé avec la même vitesse de 40km/h et selon le vecteur d’arrêt d’urgence V_E3 dirigeant le véhicule autonome A vers le piéton P.

En présence du piéton détecté, le module d’évitement d’obstacle 20 utilise la position POS_P pour déterminer la distance séparant le véhicule autonome A du piéton P et la décélération à appliquer pour s’arrêter avant l’obstacle et/ou, si la trajectoire prédéfinie le permet, le vecteur d’arrêt d’urgence V_E3m._eo à appliquer pour éviter un impact entre piéton et véhicule autonome tout en ayant une vitesse non nulle.

Selon la figure 2, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 précité est embarqué à bord du véhicule autonome A.

Selon une alternative (non représentée), le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 précité est logé au sein d’une plateforme externe de supervision distante du véhicule autonome et propre à communiquer les instructions de pilotage établies par le module de pilotage d’urgence à un récepteur du véhicule autonome A propre à retransmettre ces instructions au moteur, au système de direction et au système de freinage du véhicule autonome de manière à modifier la vitesse, l’accélération et la trajectoire du véhicule autonome A en réaction aux informations reçues.

La figure 3 est une représentation schématique du déport d’un véhicule autonome A par rapport à la trajectoire prédéfinie à suivre. Plus précisément, on considère un véhicule autonome A se dirigeant selon une direction de déplacement 22 avec une vitesse V,. Chaque véhicule autonome est caractérisé par un autre paramètre intrinsèque d’erreur de cap 24 généralement exprimé en degré qui représente l’angle entre la trajectoire prédéfinie et le déport latéral 26 maximal autorisé du véhicule par rapport à la trajectoire prédéfinie.

Par exemple, si l’on considère une voie dont la largeur de chaussée est de 3 mètres et un véhicule de 2 mètres de large, le déport latéral maximal 26 est de 50 centimètres.

En tenant compte, de la vitesse V,, de la position POS_A du véhicule A, de l’erreur de cap 24 et du déport maximal autorisé, la distance d’arrêt 28 est obtenue. Augmenter la vitesse V, du véhicule autonome A diminue la distance d’arrêt 28 et inversement.

Le fonctionnement du dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 selon l’invention va désormais être expliqué à l’aide de la figure 4 représentant un organigramme du procédé 30, selon l’invention, de détermination d’une trajectoire d’arrêt d’urgence, le procédé 30 étant mis en oeuvre par le dispositif électronique de surveillance 10.

Lors d’une étape initiale 32, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 calcule, via le module de calcul 14, au moins une consigne de déplacement automatique du véhicule autonome A pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence V_E1, V_E2, V_E3 associés chacun à un tronçon P₂, P₃, P₄ distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence V_Ei, V_E2, V_E3 :

o d’un dernier vecteur de déplacement réel du véhicule autonome A mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation POS_A du véhicule autonome A mémorisée, et délivrée par au moins un capteur du véhicule autonome A,

Le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 pilote ensuite, lors de l’étape 34, via son module de pilotage d’urgence 16 le véhicule autonome A en le dirigeant selon ladite au moins une consigne.

Puis, lors de l’étape 36, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 détermine la position POS_A résultant de l’application de la consigne.

Selon un aspect complémentaire et optionnel, au cours de l’étape de calcul 32, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 détermine lors de la sous-étape 38 la consigne précitée, puis au cours d’une sous-étape 40 détermine la présence(O)/absence(N) d’obstacle sur la trajectoire d’arrêt d’urgence résultant de l’application de la consigne.

En présence O d’un obstacle, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 détermine lors de la sous-étape 42 une consigne modifiée de sorte à arrêter le véhicule avant l’obstacle et/ou à modifier sa trajectoire pour contourner l’obstacle.

En absence N d’obstacle, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 passe de la sous-étape de détermination de la présence(O)/absence(N) d’obstacle à l’étape de pilotage 34 précitée sans modification de la consigne.

Le procédé 30 selon l’invention est un procédé itératif, les étapes précitées étant répétées pour chaque tronçon P₂, P₃, P₄ de la trajectoire d’arrêt d’urgence, tant qu’au cours d’une étape 44, le dispositif 10 n’a pas déterminé que l’état S du véhicule autonome était à l’arrêt (valeur nulle), la sous-étape de détermination 38 utilisant à chaque itération le dernier vecteur déplacement et la dernière position (i.e. localisation) du véhicule autonome mémorisé à l’itération précédente associée au tronçon précédent l’instant de calcul courant.

En présence de cet état à l’arrêt (=0) déterminé lors de l’étape 44, le dispositif 10 restitue, lors d’une étape 46, une information représentative de l’arrêt du véhicule.

Le déport latéral du véhicule autonome A en fonction de la vitesse du véhicule autonome V, précédant la défaillance du module de conduite autonome et en fonction de l’erreur de cap propre à chaque véhicule autonome est représenté sur la figure 5.

L’ensemble de données indiqué à titre d’exemple dans la figure 5 est par exemple incorporé dans la table de référence précitée pour déterminer la consigne de déplacement automatique à appliquer notamment l’instruction représentative d’une vitesse de déplacement instantanée correspondant par exemple à une force de décélération (i.e. une force de freinage) à appliquer, ou directement à la vitesse de déplacement que le véhicule autonome A doit mettre en oeuvre.

Un tel ensemble de données illustré par la figure 5 est par exemple réparti en trois zones associée aux valeurs de déport latéral 26, à savoir une zone 48 où le déport latéral obtenu est acceptable, une zone 50 où le déport latéral n’est plus acceptable mais présente un risque mineur, et une zone 52 où le déport latéral n’est plus acceptable et présente un risque majeur.

Ainsi, un véhicule autonome A présentant une caractéristique intrinsèque d’erreur de cap de 20°, une vitesse initiale de 12km/h et uilisant une décélération de 0,5g dispose d’une distance d’arrêt de 1,13 mètre pour rester en dessous du déport latéral maximal autorisé égal à 50 centimètres si l’on considère une voie dont la largeur de chaussée est de 3 mètres et un véhicule de 2 mètres de large.

De la même manière, un véhicule autonome A présentant une caractéristique intrinsèque d’erreur de cap de 1°, une vitesse inifale de 50km/h et utilisant une décélération de 0,5g dispose d’une distance d’arrêt de 19,68 mètre pour rester en dessous du déport latéral maximal autorisé égal à 50 centimètres.

Le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 selon l’invention permet alors d’optimiser l’arrêt d’urgence d’un point de vue performance en évitant notamment une sortie de route, et également lorsque cela est possible d’un point de vue confort des passagers en adaptant le niveau de décélération en fonction de la trajectoire prédéfinie et de sa position sur cette trajectoire prédéfinie, de la vitesse initiale du véhicule autonome A et de son vecteur V_D de déplacement mémorisé préalablement à l’instruction d’arrêt d’urgence, et optionnellement en présence d’un obstacle.

L’homme du métier observera notamment que le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 selon l’invention permet de continuer à faire avancer le véhicule à très basse vitesse (e.g. à 5 km/h) au cas où la zone où se situe le véhicule autonome A soit réputée dangereuse (afin d’éviter par exemple un arrêt au milieu d’une intersection par exemple) tel qu’indiqué, par exemple, au moyen d’un indicateur prédéterminé dans la table de référence pour la position du véhicule autonome A.

L’homme du métier notera par ailleurs que le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 selon l’invention est, selon une version améliorée, propre à être enrichi d’un module d’évitement d’obstacle 20 propre à contourner un obstacle en cours de freinage, tout en garantissant que le véhicule autonome A reste sur la trajectoire prédéfinie.

Selon une autre version améliorée, le dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 selon l’invention est, propre à être enrichi d’un module de détection du module de conduite autonome qu’il comprend afin de pallier immédiatement cette défaillance en prenant le relais de pilotage du véhicule autonome sur une trajectoire d’arrêt d’urgence optimisée en temps réel et sécurisée.

On conçoit ainsi que le dispositif électronique de détermination d’une trajectoire 10 d’arrêt d’urgence d’un véhicule autonome 10 selon l’invention, et le procédé associé, permettent d’améliorer encore la sécurité des passagers à bord de tels véhicules automobiles autonomes A.

On notera que chaque aspect de l’invention, notamment d’une part celui relatif à un dispositif électronique de détermination d’une trajectoire d’arrêt d’urgence 10 et d’autre 15 part celui relatif à un dispositif électronique superviseur 4 peut être mis en œuvre chacun indépendamment l’un de l’autre (et notamment l’un sans l’autre) dans des modes de réalisation, ou bien encore en combinaison.

Claims (10)

1. REVENDICATIONS

   1. Système électronique de supervision (3) d’un véhicule autonome (A) muni d’un module d’actionnement du véhicule comprenant le moteur, la direction et le freinage du véhicule et d’un module de conduite autonome (2) adapté pour déterminer et transmettre des commandes au module d’actionnement, ledit système électronique de supervision étant caractérisé en ce qu’il est adapté pour, dans un premier mode de fonctionnement, autoriser la fourniture des commandes du module de conduite autonome vers le module d’actionnement et pour, dans un deuxième mode de fonctionnement, bloquer la fourniture des commandes du module de conduite autonome vers le module d’actionnement, ledit système électronique de supervision étant adapté pour détecter une défaillance du module de conduite autonome et adapté pour, dès détection d’une défaillance du module de conduite autonome alors que le système électronique est dans le premier mode :

   - basculer dans le deuxième mode, et

   - déclencher une manoeuvre d’arrêt d’urgence du véhicule autonome.
2. 2. Système électronique de supervision (3) d’un véhicule autonome (A) selon la revendication 1, adapté pour effectuer un traitement parmi : une détection de risque de collision du véhicule autonome, une comparaison d’une position du véhicule autonome issue d’une commande du module de conduite autonome par rapport à un bord de la voie de circulation du véhicule autonome et/ou à une position cible prédéterminée du véhicule autonome, une comparaison d’une vitesse du véhicule autonome issue d’une commande du module de conduite autonome par rapport à une vitesse limite, ledit système électronique de supervision étant adapté pour détecter une défaillance du module de conduite autonome en fonction d’au moins un desdits traitements.
3. 3. Système électronique de supervision (3) d’un véhicule autonome (A) selon la revendication 1 ou 2, adapté pour détecter une défaillance du module de conduite autonome dès réception d’un message d’alerte du module de conduite autonome (2) signalant une anomalie détectée par ledit module de conduite autonome.
4. 4. Système électronique de supervision (3) d’un véhicule autonome (A) selon l’une des revendications précédentes, le véhicule autonome (A) étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence (V₁₅ V₂, V₃, V₄, V₅) successifs associés respectivement à des tronçons (P_1; P₂, P₃, P₄, P₅) distincts successifs de déplacement du véhicule autonome (A), et le système électronique de supervision étant adapté pour détecter une défaillance du module de conduite autonome par détermination d’un écart supérieur à un seuil prédéterminé entre un vecteur de déplacement réel du véhicule autonome (A) et le vecteur de référence associés au tronçon considéré.
5. 5. Système électronique de supervision (3) d’un véhicule autonome (A) selon l’une des revendications précédentes, le véhicule autonome (A) étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence (V1, V2, V3, V4, V5) successifs associés respectivement à des tronçons (P1, P2, P3, P4, P5) distincts successifs de déplacement du véhicule autonome (A), comprenant un dispositif (10) électronique de détermination d’une trajectoire d’arrêt d’urgence, automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprenant :

   - un module de calcul (14) d’au moins une consigne de déplacement automatique du véhicule autonome (A) pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence (V_E1, V_E2, V_E3) associés chacun à un tronçon (P₂, P₃, P₄) distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence (V_E1, V_E2, V_E3) :

   o d’un dernier vecteur de déplacement réel du véhicule autonome (A) mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome (A) mémorisée, et délivrée par au moins un capteur du véhicule autonome (A),

   - un module de pilotage d’urgence (16) propre à diriger le véhicule autonome (A) selon ladite au moins une consigne.
6. 6. Procédé de supervision d’un véhicule autonome (A) muni d’un module d’actionnement comprenant le moteur, la direction et le freinage du véhicule, d’un module de conduite autonome (2) adapté pour transmettre des commandes au module d’actionnement, et d’un système électronique de supervision (3), ledit procédé comprenant les étapes suivantes mises en oeuvre par le système électronique de supervision :

   dans un premier mode de fonctionnement, autoriser la fourniture des commandes du module de conduite autonome vers le module d’actionnement, dans le premier mode, détecter une défaillance du module de conduite autonome et dès détection d’une défaillance du module de conduite autonome : o basculer dans un deuxième mode de fonctionnement et bloquer la fourniture des commandes du module de conduite autonome vers le module d’actionnement, et o déclencher une manoeuvre d’arrêt d’urgence du véhicule autonome.
7. 7. Procédé de supervision d’un véhicule autonome (A) selon la revendication 6, comprenant une étape de traitement parmi : une détection de risque de collision du véhicule autonome, une comparaison d’une position du véhicule autonome issue d’une commande du module de conduite autonome par rapport à un bord de la voie de circulation du véhicule autonome et/ou à une position cible prédéterminée du véhicule autonome, une comparaison d’une vitesse du véhicule autonome issue d’une commande du module de conduite autonome par rapport à une vitesse limite, la détection d’une défaillance du module de conduite autonome étant effectuée en fonction d’au moins un desdits traitements.
8. 8. Procédé de supervision d’un véhicule autonome (A) selon l’une des revendications 6 ou 7, le véhicule autonome (A) étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence (V_b V₂, V₃, V₄, V₅) successifs associés respectivement à des tronçons (P_b P₂, P₃, P₄, P₅) distincts successifs de déplacement du véhicule autonome (A), selon lequel une défaillance du module de conduite autonome est détectée par détermination d’un écart supérieur à un seuil prédéterminé entre un vecteur de déplacement réel du véhicule autonome (A) et le vecteur de référence associés au tronçon considéré.
9. 9. Procédé de supervision d’un véhicule autonome (A) selon l’une des revendications 6 à 8, le véhicule autonome (A) étant propre à stocker au préalable au moins une trajectoire prédéfinie de déplacement comprenant une pluralité de vecteurs de référence successifs associés respectivement à des tronçons distincts successifs de déplacement du véhicule autonome, comprenant une étape de détermination d’une trajectoire d’arrêt d’urgence (30) automatiquement activable en présence d’une instruction d’arrêt d’urgence, et comprenant :

   - le calcul (32) d’au moins une consigne de déplacement automatique du véhicule autonome (A) pour suivre une trajectoire d’arrêt d’urgence comprenant une pluralité de vecteurs successifs d’arrêt d’urgence associés chacun à un tronçon distinct d’une partie des tronçons successifs de la trajectoire prédéfinie, à partir au moins, pour chaque vecteur d’arrêt d’urgence :

   o d’un dernier vecteur de déplacement réel du véhicule autonome (A) mémorisé, o de la trajectoire prédéfinie de déplacement du véhicule autonome, et o d’une dernière donnée de localisation du véhicule autonome (A) mémorisée, et délivrée par au moins un capteur du véhicule autonome (A),

   - le pilotage d’urgence (34) du véhicule autonome (A) en dirigeant le véhicule autonome (A) selon ladite au moins une consigne.
10. 10. Programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en oeuvre un procédé selon l’une quelconque des revendications 6 à 9.