Les problèmes difficiles que la conduite automatisée n’a pas résolus

Les services de niveau 4 transportent désormais des passagers sans conducteur dans plusieurs villes, et des fonctions de niveau 3 sont homologuées sur des voitures de série dans des conditions limitées. Le problème non résolu consiste à définir, valider et exploiter un comportement acceptable dans un domaine dont les conditions interdépendantes peuvent imposer une sortie avant que le système n’épuise ses options.

Perception dans des conditions dégradées

La pluie, la neige, le brouillard, l’obscurité, l’éblouissement, les projections et la saleté affectent les capteurs différemment. Le chauffage et le nettoyage peuvent maintenir utilisable l’objectif d’une caméra ou la fenêtre d’un lidar, tandis que le radar fournit des informations complémentaires, mais aucune combinaison matérielle ne fait disparaître les intempéries sévères.

Le système doit estimer ses capacités de perception actuelles. C’est plus difficile que de détecter un capteur totalement défaillant. Une caméra partiellement masquée ou une réflexion radar peuvent encore produire des données plausibles, mais moins fiables.

Réduire la vitesse peut rétablir une marge d’arrêt, mais seulement si les autres usagers comprennent ce comportement et si le système dispose toujours d’un endroit sûr où s’arrêter ou quitter le service.

Routes temporaires et ambiguës

Les cartes et les données d’entraînement reposent sur la situation d’hier. Les agents de voirie modifient les voies, recouvrent le marquage, déplacent les barrières et dirigent la circulation par gestes. Les services d’urgence dérogent volontairement aux règles habituelles. Un camion de livraison peut masquer un panneau temporaire.

Ces scènes combinent perception, compréhension sémantique et contexte social. Le véhicule doit identifier la régulation temporaire qui fait autorité, raisonner sur les occultations et avancer sans suivre aveuglément ni la carte ni le véhicule qui précède.

Les conducteurs humains négocient aussi par le regard, la position du véhicule et de petits mouvements. Les véhicules automatisés doivent communiquer clairement leurs intentions sans inventer de conventions dangereuses.

La longue traîne n’est pas une liste

Les développeurs qualifient souvent les situations rares ou inhabituelles de « cas limites ». Le terme peut être trompeur. Beaucoup résultent de la combinaison de facteurs ordinaires : un mouvement courant de piéton derrière une camionnette en stationnement, sous une pluie ordinaire.

Il est impossible d’énumérer toutes les scènes. L’exigence fondamentale est un comportement résilient face à l’incertitude :

ne pas rouler au-delà de la visibilité disponible ;
préserver des solutions de repli avant de s’engager ;
considérer l’espace occulté comme incertain, et non vide ;
détecter quand la scène sort de l’expérience validée ; et
utiliser une solution de repli sûre et adaptée à la route.

Les modèles d’apprentissage automatique peuvent généraliser, mais ils peuvent aussi échouer avec assurance sur des entrées inconnues. Des contraintes indépendantes, une surveillance en temps réel et une génération systématique de scénarios restent nécessaires.

Facteurs humains à la frontière de l’automatisation

Le niveau 2 repose sur une supervision humaine continue tout en rendant cette supervision monotone. Les conducteurs peuvent accorder une confiance excessive à un fonctionnement fluide, apprendre à satisfaire de faibles alertes au volant sans regarder la route ou mal interpréter le nom d’un produit.

Le niveau 3 supprime la supervision continue, mais crée un problème de transition. Un utilisateur prêt à reprendre le contrôle a besoin de temps pour interrompre une activité secondaire, comprendre la scène et reprendre les commandes. Le système doit reconnaître une limite assez tôt pour que cette demande ait un sens.

Une confusion de mode peut survenir lorsque l’interface n’indique pas clairement le niveau actif, la disponibilité ou la réponse demandée. Les mauvais usages prévisibles doivent être traités dans la conception, et non écartés comme un simple problème d’avertissement.

Prouver la sécurité avant qu’un dommage rare ne survienne

Les accidents graves sont rares au regard de la distance parcourue. Démontrer une faible différence statistique peut exiger une exposition comparable considérable, et le kilométrage brut peut masquer des types de routes ou des conditions météorologiques plus faciles.

La simulation étend la couverture des scénarios, mais dépend de la fidélité des modèles. Les essais sur piste fermée sont reproductibles, mais simplifiés. Les essais sur voie publique sont réalistes, mais inefficaces pour les dangers rares. Les comparaisons rétrospectives d’accidents dépendent des seuils de déclaration, des définitions de gravité, de la répartition géographique et de références humaines pertinentes.

L’enjeu est de construire un dossier de sécurité à partir d’éléments complémentaires, plutôt que de rechercher un chiffre décisif. Les preuves doivent être propres au véhicule, au logiciel, au domaine opérationnel et à la version.

Les données publiques nécessitent aussi un examen indépendant. Les résultats de sécurité publiés par les entreprises peuvent être précieux lorsque les méthodes, les dénominateurs et les données téléchargeables sont divulgués. Ils ne doivent pas être généralisés au-delà du domaine mesuré.

Repli sans créer un nouveau danger

« Se ranger en sécurité » n’est pas toujours possible. Une autoroute peut ne pas avoir de bande d’arrêt d’urgence ; un tunnel peut couper les communications ; une rue urbaine peut être encombrée ; un véhicule immobilisé peut lui-même présenter un risque de collision.

La condition de risque minimal dépend des capacités restantes, de la géométrie de la route, du trafic et de la défaillance. Le véhicule peut devoir continuer à vitesse réduite, terminer un changement de voie, atteindre un refuge ou s’arrêter sur sa voie.

L’assistance à distance peut aider à interpréter une scène inhabituelle, mais les communications peuvent être retardées ou indisponibles. Le système embarqué doit malgré tout disposer d’une réponse sûre. Si un humain à distance contrôle continuellement le mouvement, l’architecture et les affirmations doivent le préciser.

Faire évoluer le système d’exploitation, pas seulement la voiture

Une flotte de niveau 4 dépend de la cartographie, de la répartition des courses, de la recharge, du nettoyage, de l’étalonnage, de la maintenance, de l’assistance à distance, des interventions d’urgence et des autorisations locales.

L’expansion soulève des questions opérationnelles :

Les dépôts peuvent-ils recharger suffisamment de véhicules sans réduire la couverture du service ?
À quelle vitesse les capteurs sales ou endommagés sont-ils détectés et entretenus ?
Comment les fermetures de routes et les consignes d’urgence sont-elles communiquées ?
Quelle assistance existe pour les passagers handicapés ou en détresse ?
Comment les incidents sont-ils conservés, déclarés et examinés ?

Un véhicule capable de circuler dans une nouvelle ville pendant des essais n’est pas automatiquement prêt à y assurer un service commercial public.

Coût, énergie et réparation

Le calcul redondant, le lidar, le radar, les systèmes de nettoyage et les actionneurs tolérants aux pannes augmentent le coût, la consommation d’énergie et la maintenance. Les équipements de toit peuvent accroître la traînée. Les charges de calcul et de détection réduisent l’autonomie d’un VE et produisent de la chaleur.

Les véhicules particuliers posent également un problème de réparation. Une collision mineure ou le remplacement du pare-brise peuvent nécessiter un étalonnage. Si un véhicule est vendu avec du matériel destiné à une fonction future, l’obsolescence et la disponibilité des pièces à long terme comptent.

Les volumes réduiront le coût de certains composants, mais des capacités supérieures peuvent absorber les économies en ajoutant de la couverture, de la puissance de calcul ou de la redondance.

Réglementation et incohérences transfrontalières

Les procédures d’homologation diffèrent entre l’aide à la conduite, l’automatisation conditionnelle et les véhicules entièrement automatisés. L’homologation de type du véhicule, l’autorisation d’effectuer des essais, celle de fonctionner sans conducteur et celle de faire payer les passagers sont distinctes.

Une fonction peut être techniquement présente, mais désactivée sur un marché. Les règles concernant les activités secondaires autorisées, les données d’événement, l’assurance et l’exploitation à distance diffèrent également.

Les normes internationales et les règlements de l’ONU réduisent la fragmentation, mais le déploiement reste local, car le code de la route, les infrastructures et leur contrôle sont locaux.

Les résultats en matière de transport ne sont pas garantis

Un VE automatisé peut réduire certains types d’accidents et éliminer les émissions à l’échappement pendant l’utilisation. Une flotte peut aussi ajouter des kilomètres de repositionnement à vide, concurrencer les transports publics ou accroître la demande de déplacements.

Les gains d’accessibilité dépendent de la conception du véhicule, des tarifs, de la zone de service et de l’aide aux passagers, pas seulement de l’automatisation. Les effets sur la congestion dépendent du taux d’occupation et du nombre total de kilomètres parcourus, et non de la conduite plus fluide d’une seule voiture.

L’unité d’évaluation pertinente est le service de transport autant que le véhicule.

Ce qui constituerait un progrès réel

Le progrès ne se résume pas à une nouvelle démonstration. Parmi les preuves solides figurent :

un ODD clairement étendu et validé ;
de meilleures protections contre le mauvais usage du niveau 2 ;
des transitions sûres au niveau 3, évaluées par des données sur les facteurs humains ;
un service public sans conducteur avec un périmètre d’exploitation transparent ;
des données comparables sur les accidents, assorties de méthodes reproductibles ;
une réduction de la consommation et du coût du matériel sans affaiblir le repli ; et
une homologation réglementaire qui précise exactement ce qui a été évalué.

Le niveau 5 intégral n’est pas nécessaire pour que la conduite automatisée soit utile. La voie la plus crédible repose sur des capacités délimitées qui ne s’étendent que lorsque les preuves justifient la nouvelle limite.