Essais et validation des systèmes ADAS à l'aide de plateformes de simulation en temps réel

Principaux enseignements

• La validation des systèmes ADAS est plus efficace lorsque la simulation s'appuie sur des exigences mesurables, des scénarios contrôlés et des données vérifiables.
• La précision des capteurs, la synchronisation en boucle fermée et Simulation HIL des défauts que la simple lecture en différé et le comptage du kilométrage ne permettent pas de repérer.
• L'homologation par les équipementiers dépend de la corrélation entre les résultats obtenus sur les modèles, les bancs d'essai et les véhicules, et non pas uniquement du volume de simulation.

La validation des systèmes ADAS s'effectue lorsque la simulation permet de vérifier le comportement du système avant le début des essais sur piste.

Les équipes qui attendent les essais sur route passent trop de temps à rechercher des défauts qui étaient déjà visibles lors des simulations. Une étude de l'IIHS ont montré que les systèmes de prévention des collisions frontales réduisent les collisions par l'arrière de 50 %, ce qui démontre à quel point la sécurité dépend d'un fonctionnement constant dans des cas reproductibles. Il est impossible d'établir cette preuve uniquement à partir des kilomètres parcourus sur route, car les intrusions rares, les occlusions partielles et les mauvaises conditions des capteurs sont difficiles à reproduire à volonté. La simulation en temps réel résout ce problème lorsqu'elle est associée à des exigences claires, à des modèles de capteurs haute fidélité et à une exécution en boucle fermée.

« Les bibliothèques de scénarios sont plus efficaces que les études de terrain lorsque l'on a besoin de données générales avec un temps et un budget limités. »

Les essais des systèmes ADAS commencent par une simulation avant de passer aux essais sur route

La simulation doit constituer la première étape de vos tests ADAS, car elle permet de mettre en évidence les logiques dangereuses, les erreurs de synchronisation et les lacunes dans la couverture des scénarios avant que vous ne mettiez en danger des véhicules, des conducteurs ou du temps de piste. Les essais sur véhicule restent importants, mais ils sont plus efficaces une fois que la fonction a déjà fait ses preuves dans le cadre de cas virtuels reproductibles, avec des critères de réussite et d'échec clairement définis.

Une fonction de freinage d'urgence automatique permet d'aller droit au but. Il est difficile de reproduire à plusieurs reprises, avec la même vitesse, le même angle et le même moment d'occultation, le cas d'un mannequin représentant un enfant surgissant de derrière une camionnette garée. Un simulateur peut reproduire ce scénario particulier des centaines de fois, tout en vous permettant de modifier la vitesse du véhicule, la vitesse de la cible, la puissance de freinage et l'exposition de la caméra. Cette répétabilité vous permet d'identifier clairement les points de défaillance de la fonction.

La simulation précoce permet également de réduire le gaspillage tout au long de la chaîne d'essais. Vous détecterez ainsi les seuils inadaptés, les trackers instables et les réglages de contrôleur inadéquats avant même de réserver un banc d'essai ou un créneau sur piste. Votre équipe d'essais sur piste pourra alors consacrer son temps à valider les comportements connus plutôt qu'à rechercher des défauts élémentaires. Cet ordre est important, car la phase d'essai la plus coûteuse ne devrait jamais constituer votre premier outil de débogage.

La traçabilité des exigences définit le cadre nécessaire à la réalisation de tests ADAS fiables

Pour que les tests ADAS soient fiables, il faut d'abord assurer la traçabilité, depuis l'exigence jusqu'au test mesurable, puis jusqu'aux données enregistrées. Il faut indiquer quelle fonction a été testée, quel scénario l'a déclenchée, quels signaux ont permis de déterminer la réussite du test, et en quoi le résultat est lié à un objectif de sécurité ou de performance.

Une exigence relative au centrage sur la voie illustre la différence entre un périmètre vague et un périmètre exploitable. Une exigence telle que « Maintenir le véhicule dans sa voie » ne permettra pas la validation, car elle ne précise pas la plage de vitesse, la courbure de la route, la qualité du marquage au sol, la marge d'erreur latérale admissible ni le temps de réponse. Une exigence traçable définit la plage de fonctionnement, le seuil mesurable, l'action attendue du contrôleur et les preuves nécessaires à la validation. Une fois ces éléments en place, votre campagne de simulation devient structurée au lieu d'être improvisée.

• Les classes d'objets doivent être définies afin que les résultats de la perception puissent être comparés au type de cible approprié.
• La géométrie de la route doit respecter certaines limites en matière de courbure, de pente et de largeur des voies afin de garantir une variation contrôlée des scénarios.
• Les plages de vitesse et d'accélération doivent être clairement définies afin de pouvoir évaluer la réponse du régulateur par rapport à la plage de fonctionnement appropriée.
• Les cas de dégradation des capteurs doivent être clairement identifiés afin que les obstructions partielles, les reflets et les pertes de signal puissent être testés de manière ciblée.
• Les réponses de l'état de sécurité doivent comporter des délais cibles afin que le comportement de secours puisse être vérifié sans avoir à faire de suppositions.

La traçabilité vous protège également lors des revues. Les équipes des équipementiers vous demanderont en quoi un cas de déclenchement défaillant est lié à une exigence spécifiée et ce qui a changé après la correction. Si cette chaîne présente des failles, les preuves perdent de leur valeur, même si la simulation semble convaincante. Une bonne traçabilité transforme les tests ADAS, qui ne sont plus qu’une simple accumulation de résultats, en un dossier de validation que vous pouvez défendre.

La couverture des scénarios est plus importante que le volume brut des tests

La couverture des scénarios est plus importante que le volume brut des tests, car des kilomètres parcourus similaires peuvent masquer les mêmes lacunes. Il est nécessaire de varier de manière ciblée la vitesse, la configuration de la route, le mouvement des objets, l'éclairage et l'état des capteurs afin que la fonction soit confrontée à l'ensemble des cas susceptibles de la faire défaillir.

Un kilométrage élevé peut sembler rassurant, mais il peut être trompeur si le même schéma de suivi de voie se répète. RAND a estimé que 11 milliards de miles de conduite sur route seraient nécessaires pour démontrer un gain de sécurité de 20 % avec un niveau de confiance de 80 %. Cette ampleur explique pourquoi la simulation est incontournable pour les fonctionnalités autonomes présentant un risque à longue traîne. Les bibliothèques de scénarios surpassent le kilométrage routier lorsqu’il faut disposer de données étendues avec un temps et un budget limités.

Une campagne efficace doit varier les situations qui sollicitent réellement le système. Un scénario de convergence peut être reproduit sur une chaussée sèche, avec un angle d'ensoleillement faible, des lignes de délimitation estompées et une moto traversant le champ des capteurs. Chaque variation met à l'épreuve une faiblesse distincte en matière de perception, de planification ou de contrôle. Vous tirerez davantage de bénéfices de cinquante scénarios soigneusement sélectionnés que de milliers de kilomètres d'autoroute similaires.

La précision des capteurs détermine la qualité de la simulation lidar

La simulation Lidar n'est utile que lorsqu'elle reproduit les effets des capteurs qui déterminent les résultats de la perception. La synchronisation des points, la réflectivité, l'occlusion, le schéma de balayage et la perte due aux conditions météorologiques influencent tous ce que votre système détecte, suit et classe ; une simple liste d'objets ne vous en dira donc pas assez.

Un piéton vêtu de vêtements sombres, debout près d'une glissière de sécurité réfléchissante, illustre pourquoi la fidélité est essentielle. Si le modèle ne transmet qu'une position parfaite de l'objet, votre pile de traitement ne détectera jamais les retours clairsemés, les points manqués ou le bruit de distance qui affecteront le regroupement et le suivi. La pluie complique encore davantage les choses, car la perte de gouttelettes et les reflets sur les surfaces mouillées déforment le nuage de points au fil du temps. Ces détails déterminent si le planificateur reçoit une cible stable ou une cible fragmentée.

La simulation Lidar doit également rester synchronisée avec le reste du système. Les horodatages, la synchronisation et la géométrie de montage influencent la fusion avec les données des caméras, des radars et les estimations de mouvement du véhicule. Un mauvais alignement peut affaiblir un modèle de perception pourtant performant, ou masquer un défaut qui apparaîtra plus tard sur la route. Une simulation haute fidélité des capteurs vous fournit des indications sur le comportement du système et permet de déterminer si le résultat est prêt pour la validation, plutôt que pour une simple démonstration visuelle.

La synchronisation en boucle fermée permet de détecter des défauts que la lecture hors ligne ne permet pas de repérer

Les tests en boucle fermée permettent de détecter des défauts que la simulation hors ligne ne permet pas de repérer, car la réponse du contrôleur modifie l'entrée du capteur suivant et l'état du véhicule. Dès que les commandes de freinage, de direction ou de couple sont réinjectées dans le modèle, les erreurs de latence et de planification se traduisent par des détections manquées, un contrôle instable ou un timing d'intervention dangereux.

Prenons l'exemple d'une chaîne d'alerte de collision frontale intégrant la perception, la fusion des données, la prédiction de trajectoire et la logique de demande de freinage. Une relecture hors ligne permet de vérifier que chaque bloc logiciel a produit un résultat plausible pour une séquence enregistrée. L'exécution en boucle fermée va plus loin, car la demande de freinage modifie la vitesse du véhicule, ce qui modifie le taux de variation de la distance cible, ce qui influe à son tour sur la trame de perception suivante et sur l'action suivante du contrôleur. C'est au sein de cette boucle de rétroaction que les légers décalages temporels deviennent visibles.

Les marges de latence sont souvent épuisées par l'accumulation de nombreux petits retards plutôt que par un seul blocage manifeste. La génération des données des capteurs, le transport via le middleware, la planification des tâches et les chemins de commande des actionneurs ajoutent chacun quelques millisecondes. Un système peut passer avec succès les tests de relecture tout en freinant trop tard lorsque ces retards se combinent. La simulation ADAS en boucle fermée constitue le seul moyen pertinent de tester la synchronisation en tant que comportement global du système, plutôt que comme un résultat logiciel isolé.

Simulation HIL le comportement du contrôleur en conditions de charge

Simulation HIL permettent de vérifier que le contrôleur de série se comporte correctement lorsque la logique logicielle est confrontée aux contraintes réelles en matière de synchronisation des E/S, de trafic sur le bus et de capacité de calcul. Cela est essentiel, car de nombreux défauts des systèmes ADAS n'apparaissent que lorsque l'ECU cible fonctionne avec la même charge, le même schéma d'interruptions et la même synchronisation d'interface que ceux auxquels il sera confronté dans le véhicule.

Une configuration de banc d'essai utilisant OPAL-RT permet d'exécuter en temps réel des simulations de dynamique du véhicule, des modèles de capteurs et des scénarios de circulation, tandis que l'ECU de série échange des données via CAN, Ethernet et des E/S discrètes avec le simulateur. Cette configuration vous permet de vérifier la synchronisation du chien de garde, la saturation des interfaces et la logique de secours avec le matériel de contrôle réel. La limitation thermique, la charge liée à la journalisation et les tâches concurrentes modifient souvent le comportement, même lorsque l'algorithme semblait stable lors d'exécutions purement logicielles. Vous ne le verrez clairement qu'une fois que l'ECU fera partie de la boucle.

Un travail HIL de qualité se caractérise par sa rigueur et sa précision. Il faut disposer de journaux synchronisés, de stimuli reproductibles et d'un confinement clair des défauts, afin de pouvoir diagnostiquer un échec de test plutôt que de se contenter de deviner la cause. C'est là que de nombreux programmes gagnent ou perdent la confiance de leurs utilisateurs. Le HIL n'est pas simplement une étape de test parmi d'autres ; c'est le moment où la validation virtuelle rencontre le contrôleur réel que vous comptez commercialiser.

L'injection de défauts permet de détecter les cas limites avant les essais sur piste

Les tests d'injection de défauts permettent d'évaluer le comportement d'une fonction ADAS lorsque les données d'entrée ou plateforme optimal. Il est possible de simuler des paquets perdus, une dérive d'horloge, un blocage partiel des capteurs, des objets obsolètes ou des horodatages corrompus, puis de vérifier que la fonction passe dans un état de sécurité défini dans le délai requis.

Un flux d'images de caméra qui s'interrompt pendant 120 millisecondes lors d'une coupure est un exemple utile. La pile de perception peut continuer à publier la dernière cible connue, effacer la piste trop tôt, ou signaler un faible niveau de confiance et demander un plan de secours. Chaque scénario a des implications différentes en matière de sécurité pour la logique d'alerte et le contrôle longitudinal. L'injection de la défaillance en simulation permet d'examiner ces différentes branches sans créer de risque inutile sur la piste.

Les campagnes de tests de défaillance efficaces prennent également en compte les combinaisons de défaillances plutôt que les défaillances isolées. Un léger décalage d'horloge peut être gérable en soi, mais ce même décalage, associé à une congestion du bus et à un freinage à faible friction, mettra en évidence un comportement instable du contrôleur. Vous évaluez autant la qualité de la récupération que la détection des défaillances. Cette distinction est importante, car l'homologation des systèmes ADAS repose sur une dégradation prévisible et un comportement clair en état de sécurité en cas de défaillance.

« L'homologation par les équipementiers repose sur des données qui doivent rester cohérentes, du modèle au banc d'essai jusqu'au véhicule. »

La corrélation permet d'exploiter les résultats de simulation pour l'homologation par les équipementiers

L'homologation OEM repose sur des données qui doivent rester cohérentes, du modèle au banc d'essai jusqu'au véhicule. Les résultats de simulation ne constituent des éléments d'homologation valables que s'ils correspondent aux signaux mesurés, aux résultats des scénarios et aux courbes de synchronisation issues des essais sur piste ou sur route, et ce, dans les limites des tolérances convenues.

Un processus pratique de corrélation commence par un petit ensemble de cas de référence. Il s'agit de comparer la vitesse du véhicule, la trajectoire cible, le moment de l'intervention, la stabilité de la détection d'objets et la sortie du contrôleur aux données mesurées sur le véhicule ou sur la piste. Des écarts apparaîtront, ce qui est tout à fait normal. L'étape cruciale consiste à expliquer chaque écart en se référant aux limites du modèle, aux hypothèses relatives aux capteurs ou aux détails de la mise en œuvre du contrôleur, puis à corriger la configuration avec rigueur.

La validation s'obtient grâce à la cohérence, à la patience et à des preuves vérifiables. Les équipes qui conservent la même intention de scénario depuis la modélisation initiale jusqu'aux essais HIL et à la validation sur véhicule constituent des dossiers auxquels les évaluateurs peuvent se fier. OPAL-RT s'inscrit parfaitement dans cette phase finale où une exécution reproductible et des données synchronisées sont nécessaires tout au long des campagnes d'essais au banc. C'est la norme que vous devriez adopter pour les essais ADAS si vous souhaitez que les résultats de simulation aient une valeur au-delà du laboratoire.