Les véhicules autonomes (AV) dépendent d'une série sophistiquée de capteurs électroniques pour percevoir leur environnement, prendre des décisions en temps réel et fonctionner en toute sécurité. Ces capteurs – lidar (détection et portée de la lumière), radar, caméras et transducteurs ultrasoniques – forment les yeux et les oreilles du véhicule. Chaque type de capteur a des forces et des faiblesses uniques, et ils offrent ensemble une vision complémentaire du monde.

La Société des ingénieurs automobiles (SAE) définit six niveaux d'automatisation de conduite, du niveau 0 (pas d'automatisation) au niveau 5 (automatisme complet dans toutes les conditions). À des niveaux plus élevés, le système de perception du véhicule doit être tolérant aux défauts et résilient. Une défaillance unique du capteur – qu'elle soit due à la dégradation du matériel, à l'interférence environnementale ou à l'erreur logicielle – peut se traduire par une interprétation incorrecte des scènes, entraînant des comportements dangereux.

Modes courants de défaillance des capteurs électroniques

Les défaillances des capteurs dans les véhicules autonomes peuvent être généralement classées en défaillances intrinsèques (matériel ou logiciels défectueux), interférences environnementales, erreurs d'étalonnage, blocage physique et attaques externes.

Défaut de fonctionnement du capteur

Le dysfonctionnement du capteur désigne la perte totale ou partielle de fonction due à des défaillances matérielles ou à des anomalies logicielles.

Défauts matériels

Les défauts de fabrication peuvent être dus à des défauts de fabrication, tels que des joints de soudure médiocres, des microcriques dans des semi-conducteurs ou à une étanchéité hermétique insuffisante. Au fil du temps, les composants vieillissent : les lasers dans la dégradation lidar, les photodétecteurs perdent de leur sensibilité et les émetteurs radar peuvent dériver de leur fréquence de fonctionnement nominale.

Les capteurs à ultrasons utilisés pour la détection à proximité peuvent échouer en raison de la corrosion des éléments piézoélectriques lorsqu'ils sont exposés au sel de route et à l'humidité. Les caméras peuvent souffrir de pixels bloqués, d'objets d'obturateur roulants ou de bruit de lecture du capteur.

Erreurs logicielles

Les bogues firmware, les débordements de tampon ou les erreurs de synchronisation dans les pipelines de traitement des capteurs peuvent provoquer un écrasement ou une production de sortie corrompue. Un exemple commun est une défaillance du logiciel de traitement du nuage de point lidar qui ne parvient pas à filtrer correctement les retours, générant des centaines de faux points positifs.

Interférence environnementale

L'environnement opérationnel influe fortement sur les performances des capteurs. Chaque type de capteur est confronté à des défis uniques dus aux conditions météorologiques, d'éclairage et ambiantes.

Lidar

Le lidar mesure les distances en émettant des impulsions laser et en mesurant leur temps de vol. Le brouillard, la pluie, la neige et la poussière dispersent et absorbent ces impulsions, réduisant ainsi la portée de détection maximale et augmentant le bruit. Une banque de brouillard épaisse peut disperser presque toute l'énergie laser, ce qui fait que le lidar ne retourne aucun point valide à des distances supérieures à quelques mètres.

Radar

Le radar utilise des ondes radio et est généralement plus robuste que le lidar par temps défavorable. Cependant, une pluie ou une masse de pluie abondante peut atténuer les signaux d'ondes millimétriques (p. ex. 77 GHz), réduire la portée de détection de 30 à 40 %. Les réflexions multipathologiques provenant de surfaces routières lisses ou de grandes structures métalliques peuvent produire des cibles fantômes ou entraîner des mesures erronées de la vitesse.

Appareils photo

Les caméras sont des capteurs passifs qui dépendent de la lumière ambiante. La faible luminosité, l'éblouissement des phares en provenance des sources de lumière directe et la portée dynamique dépassant la capacité du capteur peuvent produire des images sous-exposées ou surexposées, provoquant des détections manquées. L'obstruction des objectifs par les gouttes de pluie, la boue, la neige ou les insectes crée des points aveugles.

Capteurs à ultrasons

Les capteurs à ultrasons émettent des ondes sonores et mesurent le temps d'écho. Ils sont fortement affectés par la température et l'humidité, qui changent la vitesse du son. Le vent fort ou la turbulence peuvent déjouer le faisceau sonore, réduisant ainsi la précision.

Erreurs d'étalonnage

L'étalonnage définit la relation géométrique et optique précise entre chaque capteur et le cadre de coordonnées du véhicule. L'étalonnage intrinsèque couvre les paramètres internes (longueur focale, distorsion de la lentille, alignement laser).

Découpes initiales d'étalonnage

Si un capteur n'est pas correctement étalonné pendant la production ou après le remplacement, le module fusion risque de fausser l'enregistrement des données. Par exemple, une paire de caméras lidar avec un désalignement rotationnel de 1 degré entraînera des obstacles détectés par lidar pour cartographier un autre emplacement de l'image de la caméra, conduisant à de fausses associations ou à des détections manquées.

Dérivés d'étalonnage au fil du temps

Les chocs mécaniques dus à la conduite de bosses de vitesse, aux chocs de frein ou aux vibrations normales peuvent déplacer lentement les supports des capteurs. Les changements de température provoquent l'expansion et la contraction des matériaux, modifiant la géométrie précise. Les systèmes de lidar qui reposent sur des éléments rotatifs peuvent développer des décalages angulaires dus à l'usure du roulement.

Certains appareils AV modernes utilisent des algorithmes en ligne ou -auto-étalonnage qui évaluent et corrigent en permanence les petits déplacements en comparant les données des capteurs aux caractéristiques statiques (p. ex. marquages de voie, signaux) ou en utilisant des techniques simultanées de localisation et de cartographie (SLAM).

Blocage physique et contamination

La boue, la neige, la glace et les débris peuvent couvrir partiellement ou complètement une zone active du capteur. Un objectif de caméra couvert par un vaporisateur routier peut produire des images floues ou occultées. Les fenêtres de lidar peuvent être masquées par des éclaboussures d'insectes ou de glace épaisse, ce qui réduit le champ de vision ou entraîne une perte complète de signal.

Pour contrer cette situation, de nombreux véhicules autonomes intègrent des systèmes de nettoyage de capteurs : des appareils de chauffage pour les lentilles de caméra et les fenêtres lidares, de petites essuie-glaces ou des jets d'air pour les caméras, et des couvercles de capteurs ultrasoniques qui peuvent être nettoyés manuellement.

Interférence électromagnétique (IME) et cross-talk

Les capteurs radar fonctionnant à des fréquences similaires (p. ex. 77 GHz) peuvent interférer entre eux lorsque plusieurs appareils AV sont à proximité, causant de fausses cibles ou des planchers de bruit surélevés. Les unités de lidar peuvent également être susceptibles de brouillage laser direct à partir d'autres sources lidar, bien que les systèmes modernes utilisent un multiplexage de division du temps ou de code pour atténuer cette situation.

Attaques cyberphysiques

Bien que ce ne soit pas un mode de défaillance au sens traditionnel, la manipulation contradictoire intentionnelle est une préoccupation croissante. Un attaquant peut écraser un signal GPS pour envoyer le véhicule hors de la trajectoire, injecter de faux retours lidar en utilisant une diode laser pour créer un obstacle -phantom--de-l'ombre, ou projeter des modèles adversaires sur un panneau d'arrêt pour tromper un réseau de segmentation sémantique de la caméra (comme le montrent les chercheurs avec de petits autocollants).

Impact des défaillances du capteur

Les conséquences des défaillances des capteurs vont de petits inconvénients aux accidents catastrophiques. Une détection unique manquée ou faussement positive peut déclencher une chaîne d'événements qui compromettent la sécurité, le flux de circulation et la confiance du public.

Faux négatifs (détections cachées)

Lorsqu'un capteur ne perçoit pas un objet – par exemple, un piéton masqué par un éblouissement par un soleil bas – le système de perception peut décider qu'il n'y a pas d'obstacle, ce qui conduit le véhicule à poursuivre sa trajectoire en danger.La mort du véhicule autoconduit à Tempe, Arizona (2018) a été attribuée en partie à un système lidar et radar qui n'a pas correctement classé un piéton en marche en raison de limites logicielles et de l'infiabilité du capteur.

Faux positifs (freinage fantôme)

Des faux positifs se produisent lorsqu'un capteur détecte par erreur un obstacle, par exemple un passage supérieur ou un morceau de débris soufflé par le vent, entraînant l'exécution d'une manœuvre d'évasion inutile, comme un freinage dur ou une intervention soudaine. Cela peut provoquer des collisions arrière, ou provoquer l'arrêt de l'appareil dans un endroit dangereux. Plusieurs véhicules Tesla sur le pilote automatique ont des ombres fantômes pour le passage supérieur ou des signaux aériens, des actions qui découlent de fausses interprétations de la caméra ou de faux retours radars.

Performances déclassées

Même lorsqu'une défaillance ne provoque pas un accident direct, la dégradation du capteur peut forcer le véhicule à fonctionner en mode limité. Par exemple, un lidar enneigé peut faire baisser la vitesse de l'AV à 15 mi/h et compter sur le radar seul, ralentissant la circulation derrière lui.

Risque de fiabilité systématique

Dans un parc de milliers de véhicules autonomes, même une faible probabilité de défaillance de capteur par mille peut conduire à des centaines d'incidents par an. La rareté statistique des accidents graves de l'AV rend chaque événement très visible, érodant l'acceptation publique et invitant à un examen réglementaire.

Stratégies pour atténuer les modes de défaillance

Aucun capteur n'est parfait, mais grâce à une conception minutieuse du système, à une redondance et à une amélioration continue, les risques peuvent être réduits à des niveaux acceptables.

Diversité des capteurs et redondance

L'atténuation la plus fondamentale consiste à utiliser des capteurs multiples et hétérogènes qui couvrent le même champ de vision. Ainsi, si un capteur échoue, par exemple, le lidar est aveuglé par le brouillard, le radar et la caméra peuvent encore fournir des données significatives. Les algorithmes de fusion des capteurs fusionnent les sorties en une représentation unifiée, pesant souvent la confiance de chaque capteur en fonction des conditions environnementales actuelles.

Redondance fonctionnelle

Au-delà de la diversité matérielle, la redondance fonctionnelle utilise différents algorithmes ou voies de traitement pour vérifier le même événement. Un objet peut être détecté indépendamment par un réseau de caméras d'apprentissage profond et par un algorithme classique de regroupement lidar. Si les deux sont en désaccord, le système peut indiquer l'observation et demander confirmation ou entrer dans un état plus sûr.

Étalonnage régulier et autodiagnostic

Les véhicules autonomes doivent effectuer des autocontrôles chaque fois qu'ils sont allumés et en continu pendant le fonctionnement. L'étalonnage intrinsèque peut être vérifié en comparant les caractéristiques connues (p. ex., le profil des marques de stationnement) avec la sortie attendue du capteur. L'étalonnage extrinsèque est surveillé au moyen d'erreurs résiduelles entre les données des capteurs fusionnés; si l'erreur dépasse un seuil, le véhicule peut déclencher un entraînement d'étalonnage ou alerter un technicien.

De nombreuses flottes utilisent des mises à jour logicielles en direct pour affiner les paramètres d'étalonnage basés sur la télémétrie de l'ensemble de la flotte, attraper des capteurs de dérive avant qu'ils ne posent des problèmes.

Adaptation environnementale

Les systèmes AV doivent s'adapter en temps réel aux environnements changeants.

  • Nettoyage actif:[ Des éléments chauffés sur les couvercles du lidar et de la caméra empêchent l'accumulation de glace; de petits essuie-glaces ou jets d'air comprimé limpides et des fenêtres d'eau ou de boue.
  • Paramètres de capteur adaptatifs: L'exposition à la caméra peut être ajustée dynamiquement en fonction du niveau de lumière. La puissance de l'impulsion lidar peut être augmentée dans le brouillard (dans les limites de sécurité oculaire) pour frapper à travers la précipitation de la lumière.
  • Compensation algorithmique:[ Les modèles d'apprentissage automatique formés sur les données des conditions de brouillard, de pluie ou de neige peuvent apprendre à ignorer les artefacts des capteurs.

Conception de matériel robuste

Les boîtiers sont scellés selon les normes IP67 ou IP69K pour empêcher l'eau, la poussière et les produits chimiques. Les supports d'amortissement des vibrations empêchent les désalignements optiques. Les circuits à température compensée maintiennent l'étalonnage à des températures extrêmes de –40 °C à +105 °C. Les radars sont conçus pour réduire au minimum la perte de signal et l'accumulation de glace. La tendance vers le lidar à l'état solide (sans pièces mobiles) réduit les points de défaillance mécanique.

Logiciels et architecture système tolérants aux fautes

Si un capteur échoue, le système doit éviter les transitions brusques. Par exemple, si une caméra avant est bloquée, le véhicule peut réduire la vitesse en douceur et compter sur des caméras radar et latérales, plutôt que de frapper les freins. Une couche de surveillance de sécurité (comme un module --guardian--) peut surcharger le planificateur de conduite principal si la confiance du capteur tombe sous un seuil, ce qui fait que le véhicule se tire en toute sécurité.

ISO 26262 (sécurité fonctionnelle pour l'électronique automobile) et le ISO/PAS 21448 -Safety of the Intended Functionality -SOTIF] fournissent des cadres pour l'analyse et l'atténuation des risques de défaillance des capteurs.

Mesures de cybersécurité

Pour lutter contre les attaques contradictoires, les données des capteurs peuvent être authentifiées ou chiffrées.Les techniques anti-dérapantes, par exemple, la vérification des retours lidar contre les détections radar ou l'utilisation de profondeur lidar pour vérifier les prédictions des caméras, peuvent exposer les fausses données injectées.

Conclusion

Les capteurs électroniques sont l'épine dorsale de la perception autonome du véhicule, mais ils sont intrinsèquement faillibles.Les défaillances peuvent provenir de défauts matériels, d'interférences environnementales, de dérives d'étalonnage, de blocages physiques ou d'attaques malveillantes.

Les mesures d'atténuation les plus efficaces combinent une redondance diversifiée des capteurs, une autodiagnostic continue, une adaptation algorithmique, un matériel robuste et une tolérance aux défauts multicouches dans les logiciels. Les normes industrielles telles que ISO 26262 et SOTIF offrent une méthodologie structurée pour identifier et traiter les modes de défaillance.

En fin de compte, le déploiement sûr des véhicules autonomes ne dépend pas de capteurs parfaits, mais d'un système qui comprend ses propres limites et peut agir sagement quand quelque chose tourne mal. La recherche, les essais réels et la collaboration entre constructeurs automobiles, fournisseurs et régulateurs continueront à affiner ces systèmes critiques pour la sécurité.