Navigation inertielle et filtre de Kalman quand le GNSS est brouillé

Navigation inertielle et filtre de Kalman quand le GNSS est brouillé

Quand le GNSS (Global Navigation Satellite System, le positionnement par satellite) est brouillé ou leurré, la position ne disparaît pas : elle se met à vieillir. Cette page traite de ce qui la maintient en vie, la centrale inertielle et la fusion de capteurs par filtre de Kalman, et de la question qui fâche : combien de temps, avec quelle erreur, face à quel attaquant. Le signal, le brouillage, le leurrage et le repli du temps sont traités dans la page sur le brouillage et le leurrage GNSS ; ici, seule la position est en jeu.

Explication de la marmotte

Traverser sa chambre dans le noir : on sait d’où on part, on compte ses pas, et on finit quand même par se cogner dans le bureau. Cette page parle des machines qui avancent ainsi quand leur repère habituel disparaît, de ce qui les aide à ne pas se perdre, et de ceux qui déplacent le bureau exprès.

→ Lire l’explication complète de la marmotte

Centrale inertielle et navigation à l’estime : ce que mesurent accéléromètres et gyromètres

Une IMU (Inertial Measurement Unit, centrale de mesure inertielle) regroupe trois accéléromètres et trois gyromètres montés sur trois axes orthogonaux. Les gyromètres mesurent une vitesse angulaire. Les accéléromètres ne mesurent pas l’accélération mais la force spécifique, c’est-à-dire l’accélération diminuée de la gravité : posé sur une table, un accéléromètre vertical indique 1 g alors que rien ne bouge. Toute la difficulté de l’inertiel sort de ce détail.

Un INS (Inertial Navigation System, système de navigation inertielle) ajoute à l’IMU le calcul de navigation. On intègre les vitesses angulaires pour obtenir l’attitude (l’orientation du porteur), on s’en sert pour projeter la force spécifique dans le repère terrestre, on rajoute la gravité, puis on intègre deux fois : une fois pour la vitesse, une fois pour la position. C’est la navigation à l’estime dans sa forme la plus pure : un point de départ connu, puis des additions.

Aucun signal extérieur n’entre dans ce calcul. On ne brouille pas une IMU avec un émetteur radio à quelques dizaines d’euros, et c’est exactement pour cela qu’elle reste quand tout le reste se tait.

Le compromis central du sujet tient en une ligne : l’inertiel ne se brouille pas par radio et dérive sans borne ; les sources externes ont une erreur bornée et se laissent toutes brouiller ou tromper. La fusion n’abolit pas ce compromis. Elle achète du temps, et le prix du temps se lit sur la fiche technique des gyromètres.

Dérive inertielle : ordres de grandeur par classe de capteurs MEMS, FOG et gyrolaser

La dérive n’est pas un bruit qui se moyenne, c’est une erreur qui s’intègre. Le schéma suivant montre le chemin d’un biais de gyromètre jusqu’à la position ; ce qu’il faut y lire, c’est le nombre d’intégrations traversées.

Sur des durées courtes, deux formules suffisent pour dimensionner. Un biais d’accéléromètre b donne une erreur de position de ½·b·t². Un biais de gyromètre ω donne ⅙·g·ω·t³, avec ω en radians par seconde. Application, à prendre comme ordre de grandeur : un biais d’accéléromètre de 1 mg produit environ 18 m d’erreur au bout de 60 s et 1,8 km au bout de 10 min ; un biais de gyromètre de 10 °/h produit environ 17 m à 60 s et, cube oblige, environ 17 km à 10 min. Une minute d’inertiel pur ressemble à une bonne affaire. Dix minutes relèvent de l’acte de foi.

Les classes de capteurs se distinguent d’abord par la stabilité de biais des gyromètres. Les valeurs ci-dessous sont des ordres de grandeur usuels, pas des spécifications : la fiche technique du capteur retenu fait foi, y compris sa tenue en température et en vibration.

Classe	Technologie typique	Stabilité de biais gyromètre (ordre de grandeur)	Tenue en inertiel pur
Grand public	MEMS (Micro-Electro-Mechanical Systems, capteurs gravés sur silicium)	10 à 1000 °/h	quelques secondes
Industrielle à tactique	MEMS haut de gamme, FOG (Fiber Optic Gyroscope, gyromètre à fibre optique)	1 à 10 °/h, parfois mieux	dizaines de secondes à quelques minutes
Navigation	FOG, gyrolaser (gyromètre laser en anneau)	0,01 °/h et en dessous	de l’ordre d’un mille marin (1852 m) par heure

Trois faits à garder en tête au moment de choisir :

• La Terre tourne à environ 15 °/h. Un gyromètre dont le biais est du même ordre ne peut pas trouver le nord seul (gyrocompas) : le cap initial doit venir d’ailleurs (mouvement avec GNSS, double antenne, magnétomètre). Une IMU MEMS courante est dans ce cas.
• Sur de longues durées, l’erreur horizontale d’un INS de classe navigation oscille avec une période d’environ 84 minutes (oscillation de Schuler) au lieu de croître en cube : la courbure terrestre borne en partie le défaut. Cela ne sauve que les capteurs assez bons pour tenir 84 minutes.
• La voie verticale est instable par construction : une erreur d’altitude fausse la gravité calculée, qui aggrave l’erreur d’altitude. Aucun INS ne tient l’altitude seul ; un baromètre ou une autre référence verticale est obligatoire.

La règle de dimensionnement qui en découle : on ne choisit pas une IMU sur son prix ni sur son étiquette « tactique », mais sur le couple durée de coupure à tenir et erreur admissible en fin de coupure. Si le besoin dépasse la minute avec une précision métrique, soit on paie un gyromètre optique, soit on ajoute une source d’appoint indépendante de la radio. Espérer qu’un MEMS grand public tienne dix minutes parce que le filtre est « intelligent » relève de la plaquette commerciale, pas de la physique.

Filtre de Kalman, EKF et UKF : la boucle prédiction / correction de la fusion

Le filtre de Kalman est l’outil qui marie une prédiction qui dérive et des mesures qui bruitent. Il maintient deux choses : un état estimé (position, vitesse, attitude, biais des capteurs) et une covariance, c’est-à-dire l’incertitude que le filtre s’attribue sur cet état. Tout se joue dans une boucle à deux temps, à lire dans le schéma suivant : l’IMU alimente la prédiction à haute cadence, chaque source externe déclenche une correction quand elle arrive, et l’innovation (l’écart entre mesure reçue et mesure prédite) passe par un test avant d’être utilisée.

Le gain K pondère chaque correction par le rapport entre l’incertitude de l’état et le bruit de mesure R déclaré pour la source. Deux réglages gouvernent donc tout le comportement : Q (à quel point le modèle inertiel est jugé fiable) et R (à quel point chaque source est jugée fiable). Ces deux matrices ne sont pas du paramétrage de confort, ce sont des paramètres de sécurité : elles fixent ce que le filtre acceptera de croire.

Le filtre de Kalman d’origine suppose un système linéaire. La navigation ne l’est pas (rotations, projection sur un ellipsoïde), d’où deux variantes :

• L’EKF (Extended Kalman Filter, filtre de Kalman étendu) linéarise les équations autour de l’estimation courante à l’aide de dérivées partielles. Si l’estimation est loin de la vérité, la linéarisation est fausse et le filtre peut diverger en affichant une confiance intacte.
• L’UKF (Unscented Kalman Filter, filtre de Kalman sans parfum, traduction qui n’a jamais aidé personne) propage un jeu de points choisis autour de l’estimation (2n+1 points pour n états) à travers les équations non linéaires, puis recalcule moyenne et covariance. Pas de dérivées à écrire, une meilleure tenue quand l’incertitude est grande, un coût de calcul un peu supérieur.

La forme qui domine en GNSS-inertiel est le filtre à états d’erreur : l’INS calcule la navigation, et le filtre n’estime que ses erreurs (typiquement 15 états : trois de position, trois de vitesse, trois d’attitude, trois biais d’accéléromètres, trois biais de gyromètres). Les erreurs restant petites, la linéarisation de l’EKF y est légitime.

Le choix entre EKF et UKF dépend d’une seule question : l’incertitude initiale d’attitude, de cap surtout, est-elle grande ? Si le cap est connu à quelques degrés près au démarrage, un EKF à états d’erreur suffit et se valide mieux. Si le système doit s’aligner en mouvement en partant d’un cap inconnu, l’UKF se justifie. Dans les deux cas, le filtre le plus sophistiqué ne rattrape ni un capteur mal calé ni une horloge mal alignée.

Prérequis de plateforme, sans lesquels le reste est décoratif :

• Datation matérielle commune de toutes les mesures. Un retard non compensé de 10 ms à 30 m/s vaut 30 cm d’erreur, que le filtre attribuera à un biais.
• Bras de levier mesurés (vecteur entre IMU et antenne, entre IMU et roue) et alignement mécanique de l’IMU connu.
• Étalonnage des biais, facteurs d’échelle et désalignements d’axes, en température.
• Alignement initial : horizontalité par la gravité à l’arrêt, cap par une source externe pour tout ce qui n’est pas de classe navigation.

Couplage lâche ou serré GNSS-inertiel : ce que le filtre voit du récepteur

Le couplage désigne le niveau auquel le GNSS entre dans le filtre.

En couplage lâche, le récepteur calcule sa solution PVT (Position, Velocity, Time) et le filtre la consomme comme une mesure de position et de vitesse. L’intégration se fait avec n’importe quel récepteur. Deux défauts : il faut au moins quatre satellites pour obtenir une solution, donc un masquage partiel équivaut à une coupure totale ; et la solution sort d’un filtre interne au récepteur, avec des erreurs corrélées dans le temps que le filtre de fusion suppose à tort indépendantes. Surtout, le test de cohérence ne voit qu’un point : impossible de dire quel satellite ment.

En couplage serré, le filtre consomme les mesures brutes, pseudo-distances et Doppler, satellite par satellite. Un ou deux satellites visibles apportent encore de l’information, et l’innovation se teste par satellite : une mesure aberrante se rejette sans jeter les autres. Le prix : un récepteur qui expose ses mesures brutes, un modèle d’horloge récepteur dans l’état, et un réglage plus exigeant.

Il existe un troisième niveau, le couplage profond, où l’inertiel pilote les boucles de poursuite du récepteur. Il permet de resserrer la bande de ces boucles et améliore la tenue au brouillage, mais suppose de maîtriser le récepteur de l’intérieur. Hors conception de récepteur, ce n’est pas un choix d’intégration, c’est un achat.

Position : couplage serré par défaut dès que le récepteur fournit les mesures brutes et que le leurrage figure dans le modèle de menace. Le couplage lâche reste défendable quand le récepteur est une boîte fermée et que le besoin se limite à passer un tunnel. Présenter un couplage lâche comme une « protection anti-leurrage » revient à demander son avis au suspect et à noter la réponse.

Test d’innovation : un détecteur de leurrage et ses limites

L’innovation est le sous-produit le plus précieux du filtre. Si le filtre est cohérent, l’innovation normalisée au carré (l’innovation pondérée par l’inverse de sa covariance S) suit une loi du khi-deux dont le nombre de degrés de liberté égale la dimension de la mesure. On en tire un seuil : pour une mesure à trois dimensions, 11,34 correspond à 1 % de fausses alarmes. Au-dessus, la mesure est rejetée. Un saut de position de 200 m injecté d’un coup ne passe pas.

C’est un détecteur de sauts. Ce n’est pas un détecteur de mensonges, et la nuance porte toute la surface d’attaque du mécanisme :

• Le leurrage lent entraîne le filtre. Un attaquant qui démarre aligné sur le vrai signal puis décale la position à un rythme inférieur à l’incertitude de dérive de l’IMU produit des innovations qui restent sous le seuil. Le filtre corrige docilement et range l’écart dans ses biais estimés. Le rythme de décalage indétectable est d’autant plus élevé que l’IMU est médiocre : une IMU de meilleure classe ne sert pas qu’à tenir la coupure, elle resserre la laisse.
• Le seuil s’ouvre pendant le rejet. Tant que les mesures sont rejetées, la covariance grandit, donc S aussi, donc le seuil exprimé en mètres. Un filtre laissé à lui-même finit par réaccepter la source rejetée, par épuisement. La durée de rejet doit être bornée, et la réadmission conditionnée à un recoupement par une source indépendante.
• Un R gonflé rend le test aveugle. Augmenter le bruit de mesure déclaré « pour stabiliser le filtre » est le réglage le plus répandu et le plus destructeur : toutes les innovations deviennent acceptables. C’est aussi le paramètre qu’on retouche le plus volontiers la veille d’une recette.
• Les biais estimés sont une mémoire empoisonnable. Après un leurrage lent, le GNSS peut disparaître : le filtre repart en inertiel avec des biais faux et dérive plus vite qu’un capteur neuf.

Contre-mesures, à cumuler : test sur la moyenne des innovations sur fenêtre glissante ou par somme cumulée, qui révèle un biais persistant là où le test instantané ne voit rien ; surveillance des biais estimés par rapport à l’enveloppe de la fiche technique (un gyromètre spécifié à 5 °/h dont le biais estimé atteint 40 °/h signale un problème de capteur ou de source) ; recoupement par une source non radio ; test par satellite en couplage serré.

Sources d’appoint : odométrie, baromètre, magnétomètre, vision, balises

Une source d’appoint vaut par son indépendance physique vis-à-vis des autres, pas par sa précision. Deux récepteurs GNSS de marques différentes ne font pas une redondance face à un leurrage : ils reçoivent le même mensonge, avec deux logos.

Source	Ce qu’elle borne	Ce qui la fausse
Odométrie (vitesse de roue)	vitesse longitudinale, distance	patinage, rayon de roue variable (charge, usure, pression)
Contraintes de mouvement (pas de vitesse latérale ni verticale pour un véhicule à roues)	dérive transverse	dérapage, bras de levier faux
Arrêt détecté, ou ZUPT (Zero velocity UPdate)	vitesse et biais à l’arrêt	vibrations moteur prises pour du mouvement, ou l’inverse
Baromètre	voie verticale	météo, ventilation, cabine pressurisée
Magnétomètre	cap	masses métalliques, courants forts, intérieur de bâtiment
Vision, lidar (Light Detection And Ranging, télémètre laser à balayage)	déplacement relatif, ou position sur carte	obscurité, pluie, scènes sans texture, facteur d’échelle en caméra unique
Balises radio, dont UWB (Ultra Wide Band)	position absolue locale	infrastructure à déployer et à protéger, brouillage radio à nouveau

Pour un véhicule terrestre, l’odométrie et les contraintes de mouvement transforment la tenue d’une IMU MEMS : la vitesse ne dérive plus, seule l’erreur de cap continue de faire tourner la trajectoire. C’est le meilleur rapport gain sur coût du tableau, et les capteurs sont déjà à bord ; reste à les lire sur un bus dont l’intégrité n’est pas acquise, sujet traité dans la page sur les véhicules connectés et les flottes. Pour un porteur aérien, baromètre et vision jouent ce rôle, avec une tenue nettement moins bonne en horizontal.

Leurrage des capteurs : injection acoustique, perturbation magnétique, éblouissement

L’IMU ne se brouille pas par radio. Elle se trompe par d’autres voies physiques, documentées par des travaux académiques publics depuis le milieu des années 2010.

Injection acoustique sur gyromètres MEMS. Un gyromètre MEMS repose sur une masse vibrante dont la fréquence de résonance se situe dans l’audible haut ou l’ultrason. Une onde sonore à cette fréquence excite la structure, et la sortie affiche une rotation qui n’existe pas. Selon la chaîne d’échantillonnage, l’effet va du bruit élargi au biais contrôlable. Les accéléromètres MEMS y sont sensibles par un mécanisme voisin. Contre-mesures : isolation acoustique et découplage mécanique du boîtier, capteurs dont la résonance est hors de portée des émetteurs courants, filtrage avant conversion numérique, redondance entre capteurs de résonances différentes (pas deux exemplaires du même modèle), et côté filtre un test de cohérence entre IMU redondantes. Les gyromètres optiques, FOG et gyrolaser, n’ont pas de masse vibrante de ce type.

Perturbation magnétique. Un aimant ou un conducteur parcouru par un courant près du magnétomètre fausse le cap. La parade tient à la physique : la norme du champ terrestre se situe entre 25 et 65 µT environ selon le lieu, et son inclinaison est connue par modèle. Toute mesure dont la norme ou l’inclinaison sort de l’enveloppe attendue est rejetée avant d’entrer dans le filtre. Le magnétomètre ne doit corriger que le cap, jamais le roulis ni le tangage.

Éblouissement de caméra et de lidar. Une source lumineuse intense sature un capteur d’image ; un lidar peut être saturé ou recevoir de faux échos synchronisés sur ses impulsions. La saturation se détecte (effondrement du nombre de points d’intérêt, image blanche) et se traite comme une coupure. Les faux échos sont plus vicieux : la mesure garde une apparence saine. Tir à cadence aléatoire et recoupement par l’inertiel limitent l’exposition.

Constat commun aux trois : ces attaques exigent une proximité physique ou une ligne de visée, ce qui réduit le nombre d’attaquants sans en faire un argument de sécurité. Et elles se combinent : brouiller le GNSS pour forcer le repli sur l’inertiel, puis attaquer l’inertiel, est le scénario à inscrire au modèle de menace. Quand la position pilote un actionneur, la suite se lit dans la page sur l’automobile et l’aéronautique.

Exemple : décision en cas de désaccord entre GNSS, inertiel et odométrie

Cas type : un véhicule terrestre équipé d’un récepteur GNSS en couplage serré, d’une IMU MEMS et d’une odométrie de roue. Le schéma décrit la logique de décision lorsque le GNSS se met à diverger ; il n’y a rien à exécuter, seulement un ordre de questions à respecter.

Trois choix portent le schéma. Le test sur fenêtre existe parce que le test instantané ne voit pas le leurrage lent. La restauration des biais à leur dernière valeur saine (ce qui suppose de les avoir sauvegardés périodiquement) évite de repartir en inertiel avec une mémoire empoisonnée. Et le mode dégradé a une fin : au-delà du budget d’incertitude, la position est déclarée invalide plutôt que publiée avec un aplomb intact. Une position fausse annoncée comme juste fait plus de dégâts qu’une absence de position annoncée comme telle.

Ce que la fusion ne garantit pas et conditions d’exploitation

Ce que le mécanisme ne garantit pas :

• Aucune authentification. Le filtre juge la plausibilité d’une mesure, pas son origine. L’authenticité du signal relève du récepteur et des mécanismes décrits dans la page GNSS.
• Aucune position absolue sans initialisation. L’inertiel propage un point de départ ; un départ faux reste faux.
• Aucune vérité dans la covariance. L’incertitude affichée est celle que le filtre se suppose, sous des hypothèses de bruit gaussien. Un filtre empoisonné affiche une covariance flatteuse.
• Aucun repli de temps. L’IMU ne fournit pas l’heure ; la tenue du temps vient d’un oscillateur, traité dans la page GNSS.

Conditions d’exploitation :

• Configuration signée et versionnée. Q, R, seuils de test, bras de levier et tables d’étalonnage sont des paramètres de sécurité : modifiables sous contrôle de changement uniquement, avec intégrité vérifiée au démarrage. Pas de clé dans le filtre lui-même, mais un fichier de réglage altéré vaut un contournement.
• Supervision. Exporter en télémétrie les innovations normalisées, les compteurs de rejet par source, les biais estimés et l’incertitude publiée. Ce sont des signaux de détection au même titre que des journaux d’authentification ; leur collecte suit les principes de la page sur l’observabilité. Un pic de rejets GNSS corrélé entre plusieurs porteurs d’une même zone est une détection de brouillage gratuite.
• Étalonnage périodique. Les biais des MEMS évoluent avec le vieillissement et la température ; un étalonnage d’usine ne vaut pas pour la durée de vie.
• Sauvegarde et reprise. Sauvegarder l’état sain du filtre (biais, cap) à intervalle fixe pour permettre la restauration ; documenter le réalignement après coupure longue, cap compris.
• Essais. Rejouer en simulation des scénarios de coupure, de saut et de décalage lent à chaque évolution du réglage. Un filtre validé uniquement par beau temps n’est pas validé.

🐝 Ce qui arrive si on s’en passe

Sans centrale inertielle ni fusion, le récepteur satellite devient la seule voix du système. Sous brouillage, la position se fige sur sa dernière valeur ou disparaît, et les fonctions aval qui ne vérifient pas l’âge de la donnée continuent de raisonner sur un point périmé. Sous leurrage, la fausse position est acceptée sans contradiction possible, puisqu’il n’existe aucune prédiction à laquelle la comparer. Il n’y a pas d’innovation à journaliser, donc ni alerte au moment des faits ni trace pour reconstituer la trajectoire réelle après coup. Enfin, faute d’incertitude calculée, le système ne sait pas dire qu’il ne sait plus : il n’a qu’un état, la confiance.

🦫 Explication de la marmotte 🍫

Un véhicule ou un drone connaît d’habitude sa position grâce à des signaux radio venus de satellites. Ces signaux sont très faibles : un émetteur proche peut les couvrir, ou en fabriquer de faux. Pour continuer malgré tout, l’engin embarque des capteurs qui mesurent ses accélérations et ses rotations. En additionnant ces mesures instant après instant depuis un point de départ connu, un calculateur en déduit le déplacement. Le défaut vient de là : chaque mesure contient une petite erreur, et les additionner les fait grossir de plus en plus vite. Au bout de quelques secondes pour des capteurs bon marché, de plusieurs heures pour les plus chers, la position calculée ne vaut plus rien. Un programme de calcul corrige donc en continu : il prédit la position à partir des capteurs de mouvement, puis la compare à ce qu’annoncent les autres sources (satellites, roues, pression de l’air, boussole, caméra). Si l’écart est petit, il corrige sa prédiction. S’il est trop grand, il écarte la source et le signale. Ce contrôle a une faiblesse : un faux signal qui s’éloigne très lentement de la vérité reste sous le seuil et entraîne le calcul avec lui. Les capteurs eux-mêmes peuvent aussi être trompés, par un son, un aimant ou une lumière forte. La parade consiste à croiser des sources qui reposent sur des phénomènes physiques différents, à surveiller les écarts dans la durée et à annoncer honnêtement l’incertitude quand elle grandit.

À lire aussi

• Sécuriser les satellites et les liaisons montantesSécurité spatiale des satellites, des liaisons montantes et de leur surface d'attaque orbitale.

Pages voisines

La citent

• L'heure comme dépendance de sécurité

Navigation inertielle et filtre de Kalman quand le GNSS est brouillé

Elle cite

• ⇄Lien dans les deux sens :Brouillage et leurrage GNSS, détection, OSNMA et repli du temps
• ⇄Lien dans les deux sens :Comment concevoir la sûreté cyber automobile et aéronautique
• Sécuriser l'accès des flottes de véhicules connectés
• Attestation distante TPM et démarrage mesuré
• Observabilité en architecture cyber : logs, métriques, traces
• Threat modeling STRIDE avant écrire le code

⇄ : les deux pages se citent l’une l’autre.