La pile logicielle de conduite automatisée
Le logiciel de conduite automatisée transforme des données de capteurs incertaines en mouvement physique : il estime la position, comprend la scène, prédit son évolution, choisit une trajectoire légale et commande le véhicule. La chaîne classique est perception, localisation, prédiction, planification et commande ; l’apprentissage automatique peut fusionner certaines étapes, mais les questions de sécurité demeurent.
La perception construit un modèle du monde
Le logiciel de perception détecte les voies, bords de route, espaces libres, panneaux, signaux, véhicules, piétons, cyclistes et autres éléments pertinents. Il les suit dans le temps et estime leur position, vitesse, orientation et incertitude.
La fusion combine images, retours radar, nuages de points lidar et données de mouvement. Ce n’est pas un vote majoritaire : le logiciel doit considérer la synchronisation, l’étalonnage, la confiance et les défaillances corrélées. Une réflexion, une occultation ou un objectif masqué peuvent rendre une source trompeuse.
Un bon modèle représente aussi l’invisible. Si un piéton est partiellement caché derrière une camionnette, cette incertitude doit passer dans la prédiction et la planification au lieu de considérer la zone comme vide.
La localisation estime la position et la confiance
La localisation combine GNSS, capteurs inertiels, mouvement des roues, cartes et éléments routiers observés. Elle produit une pose estimée — position et orientation — accompagnée d’une incertitude.
Cette incertitude détermine les manœuvres sûres. Un véhicule qui ne connaît pas sa voie avec confiance ne doit pas engager un changement serré parce que l’itinéraire le demande. Dans les tunnels, canyons urbains ou tracés modifiés, il doit moins dépendre d’une source unique.
La prédiction représente plusieurs futurs possibles
Les autres usagers ne suivent pas de scénario. Un cycliste peut éviter un nid-de-poule, un enfant surgir d’une zone occultée et un conducteur tourner sans clignotant.
Les modèles de prédiction estiment des trajectoires et intentions possibles, de préférence avec des probabilités plutôt qu’un avenir certain. La planification doit rester sûre pour les alternatives crédibles, au lieu de deviner une seule action probable.
L’incertitude doit modifier le comportement : ralentir, augmenter la distance ou reporter une manœuvre. Trop de prudence peut aussi créer des dangers en bloquant la circulation ou en devenant imprévisible ; le système doit avancer sans prétendre que l’incertitude a disparu.
La planification choisit le comportement et le mouvement
La planification agit à plusieurs échelles :
- Planification d’itinéraire : sélection des routes et destinations.
- Planification du comportement : décision de suivre, céder, s’insérer, changer de voie ou s’arrêter.
- Planification du mouvement : création d’une trajectoire évitant les collisions avec vitesse et courbure.
Le plan doit respecter le code de la route, les limites physiques, le confort et un comportement compréhensible par autrui. Une trajectoire mathématiquement sans collision reste mauvaise si elle frôle un cycliste ou hésite de façon ambiguë dans un carrefour.
Il faut aussi une trajectoire de repli. Le logiciel doit savoir quoi faire si une voie ferme, un capteur se dégrade ou la destination devient inaccessible.
La commande transforme la trajectoire en mouvement
Le contrôleur traduit la trajectoire en braquage, couple moteur et freinage. Il tient compte de la vitesse, de l’adhérence, de la pente, de la charge et du délai des actionneurs.
Les VE ajoutent le freinage combiné : récupération et freins à friction doivent fournir une décélération prévisible malgré les variations de batterie, température et adhérence. La douceur n’est pas cosmétique : une commande brusque peut déstabiliser les passagers, réduire l’adhérence et brouiller les intentions du véhicule.
Des moniteurs indépendants peuvent vérifier l’écart entre mouvement demandé et réel, le maintien dans une enveloppe sûre et la santé de la chaîne principale.
L’apprentissage automatique est un composant, pas une preuve de sécurité
L’apprentissage automatique est courant en perception, prédiction et, de plus en plus, planification. Certains systèmes sont modulaires ; d’autres utilisent des modèles appris qui relient plus directement les capteurs aux trajectoires. Les réalisations peuvent se situer entre les deux.
Ni « IA de bout en bout » ni chaîne conçue manuellement ne prouvent une capacité. Les questions sont :
- Quelles données et situations définissent le comportement voulu ?
- Comment repérer les cas rares, biaisés ou mal étiquetés ?
- Comment le système représente-t-il l’incertitude ?
- Quelles contraintes restent hors du modèle appris ?
- Comment évalue-t-on une mise à jour pour éviter les régressions ?
- Quel moniteur indépendant peut contenir une sortie dangereuse ?
ISO/PAS 8800 traite des risques liés à l’insuffisance des sorties de l’IA, aux erreurs systématiques et aux défaillances matérielles aléatoires dans les véhicules routiers. Le problème central demeure : une forte précision moyenne ne constitue pas un argument de sécurité acceptable.
Entraînement, test et validation sont des tâches différentes
L’entraînement améliore le modèle. Le test recherche les défaillances. La validation demande si le système complet convient à son domaine prévu.
Les développeurs combinent :
- rejeu de données enregistrées ;
- tests logiciel et matériel dans la boucle ;
- simulation avec variations contrôlées ;
- scénarios sur piste fermée ;
- essais supervisés sur voie publique ; et
- exploitation sans conducteur surveillée après déploiement.
La simulation produit des situations dangereuses et rares sans exposer le public, mais vaut seulement si les modèles du véhicule, des capteurs et des usagers représentent la réalité. Le kilométrage public fournit des preuves opérationnelles, mais démontre mal les dangers rares précisément définis. Un programme crédible a besoin de preuves par scénarios et par exposition.
Réussir un jeu de tests fixe ne suffit pas. Le logiciel peut surapprendre le référentiel, et une amélioration créer une régression ailleurs.
Repli et assistance à distance
La chaîne vérifie en permanence le domaine opérationnel, la santé des capteurs, la qualité de localisation et l’état du véhicule.
Au niveau 2, une limite rend toute la tâche au conducteur, qui devrait déjà surveiller. Au niveau 3, le système gère une demande d’intervention et une réponse de réduction du risque. Au niveau 4, il doit atteindre une condition de risque minimal sans conducteur.
Les flottes sans conducteur peuvent employer une assistance distante pour le contexte, par exemple confirmer qu’un objet inhabituel est une barrière temporaire. Ce n’est pas une conduite distante continue. Le véhicule reste responsable du mouvement sûr, sauf si son modèle d’exploitation prévoit explicitement un téléconducteur.
Les mises à jour modifient un produit critique pour la sécurité
Les mises à jour à distance peuvent améliorer la perception, étendre un domaine ou modifier le comportement. Elles peuvent aussi créer des régressions. Une nouvelle version exige donc traçabilité, sécurité informatique, déploiement progressif, surveillance et stratégie de retour ou de confinement.
Une mise à jour ne change pas le niveau SAE par déclaration marketing. La fonction complète — matériel, logiciel, domaine, repli, homologation et instructions — doit permettre le nouveau rôle.
Pour l’acheteur, l’interface est souvent le comportement logiciel le plus visible. Elle doit indiquer clairement la fonction active, ce qu’elle fait, ce qu’elle attend de l’humain et pourquoi elle approche d’une limite. La confusion de mode est un défaut du système, pas une simple erreur de l’utilisateur.