Intelligence satellitaire des inondations · Assurance paramétrique
La couverture paramétrique contre les inondations verse une indemnité automatique lorsqu'un satellite signale qu'un emplacement est sous l'eau. Mais une seule image optique ou radar ne permet pas de distinguer l'eau d'inondation d'une ombre de nuage, d'une ombre radar ou de relief, ou d'un réservoir permanent, car tous quatre assombrissent les mêmes pixels. TriggerProof prend le déclencheur déjà déclenché comme un fait acquis et prouve s'il doit payer : un vérificateur physique déterministe à cinq règles décide, un LLM ne fait que conseiller, les cas incertains sont escaladés vers un humain au lieu d'être payés automatiquement, et chaque décision laisse un dossier probatoire médico-légal. Les agents conseillent, le code décide.
$4.0M sur $8.0M
Paiements mis en file d'attente automatique retenus ou bloqués en attente de preuve (3 faux déclencheurs supprimés, 1 escaladé). Les autres $4.0M ont été versés pour 2 inondations confirmées
Scénario de portefeuille synthétique de 8 AOI de la démonstration
0 non sécurisée
Décisions automatisées non sécurisées contre 48 pour la référence sur image unique, qui paie chaque cas signalé
Benchmark synthétique étiqueté de 60 cas
100% / 100%
Suppression des faux positifs (36/36) et rappel des inondations (12/12) parmi les 80 pour cent résolus automatiquement
Benchmark synthétique étiqueté de 60 cas
Une démonstration exécutable du mécanisme d'arbitrage. Le vérificateur et la barrière de politique s'exécutent entièrement en Python pur sans clé API ; seul l'agent consultatif de recoupement peut appeler un modèle, et il ne décide jamais du paiement. Chaque tuile satellite, zone d'intérêt et signal au sol est synthétique et physiquement fidèle, et non de véritables données Sentinel ou d'assureur.
L'assurance paramétrique contre les inondations a remplacé l'expert en sinistres par un déclencheur satellite pour rendre les paiements instantanés. Le déclencheur a hérité d'un problème de physique qu'il est incapable de dépasser.
Lorsqu'un déclencheur s'active, un paiement de plusieurs millions est débloqué sans expert sur place. L'attrait réside dans la rapidité et l'absence de litige. L'exposition réside dans le fait qu'une seule image, une lecture NDWI ou MNDWI sur une image optique ou un passage SAR, doit décider si le sol est réellement sous l'eau. Souvent, elle ne le peut pas. Une ombre de nuage assombrit une scène optique exactement là où le ferait une inondation. Une ombre radar ou de relief fait chuter la rétrodiffusion SAR de la même façon que de l'eau stagnante réelle. Un réservoir permanent est lu comme de l'eau car il s'agit d'eau, mais pas d'une nouvelle eau.
Ainsi, le véritable mode de défaillance du déclencheur n'est pas l'inondation qu'il manque. C'est le faux positif avec une confiance excessive : un paiement déclenché sur une ombre, débloqué avant que quiconque ne puisse vérifier, et sans aucune trace permettant à un réassureur ou à un auditeur de tester la décision a posteriori. C'est le risque de base sous sa forme la plus coûteuse, payant sur un déclencheur qui n'a jamais été un sinistre, et c'est la faiblesse structurelle que porte un portefeuille d'inondation paramétrique, non un cas limite rare.
Une meilleure image unique ne résout pas ce problème. Pas plus qu'un modèle plus intelligent chargé d'évaluer cette même trame isolée. Distinguer l'eau d'inondation de ses trois sosies est une question de comportement d'une signature dans le temps et à travers plusieurs capteurs, et de capacité à défendre la décision plus tard. Ce sont les deux lacunes que nous avons entrepris de combler, et aucune d'elles ne réside au sein d'un modèle de détection.
Le pipeline prend un déclencheur activé et renvoie PAYER, REFUSER ou ESCALADER. La décision réside dans du code clair et inspectable, jamais dans un modèle.
TriggerProof ne détecte pas les inondations. Il arbitre un déclencheur qui a déjà été activé. Chaque déclencheur activé passe par un vérificateur physique à cinq règles, est vérifié par rapport à des signaux au sol indépendants par un agent consultatif, puis est routé par une barrière de politique qui soit le paie, soit le refuse, soit l'escalade vers un humain. Chaque cas émet un dossier probatoire médico-légal à la fin.
Le vérificateur à cinq règles est en Python pur sans aucun modèle dans la boucle. Il émet une classification et un score de confiance, et c'est la composante qui décide si un déclencheur est une véritable inondation. Il est inspectable et reproductible : réexécutez-le sur le même cas et vous obtiendrez le même verdict et les mêmes lectures par règle, ce qui permet à un réassureur ou à un auditeur de tester la décision plutôt que de la croire sur parole.
Un Agent de recoupement contextuel, conçu sur Pydantic AI et utilisant par défaut claude-opus-4-8, vérifie le verdict physique par rapport à des signaux au sol indépendants tels qu'une jauge fluviale, des précipitations et des rapports de terrain, et renvoie corroborates, contradicts ou inconclusive. Il est interchangeable de fournisseur et dispose d'un repli déterministe afin que la démonstration fonctionne entièrement hors ligne. Il conseille et peut être outrepassé. Il ne décide jamais du paiement.
| Règle | Discriminateur | Ce qu'il sépare |
|---|---|---|
| R1 | Persistance temporelle | Une inondation persiste d'une acquisition à l'autre ; une ombre de nuage est passagère et disparaît à la trame suivante. |
| R2 | Concordance SAR-optique | Une inondation est sombre en optique et faible en SAR ; une ombre de nuage est sombre en optique mais normale en SAR ; une ombre radar est faible en SAR mais brillante en optique. |
| R3 | Pente MNT | L'eau ne peut pas stagner sur un relief escarpé, ce qui signale le repliement géométrique et l'ombre de relief. |
| R4 | Masque d'eau permanente | Les réservoirs et lacs connus sont exclus, captant ainsi le faux déclencheur dû à un réservoir existant. |
| R5 | Connexion hydrologique | Une véritable inondation est reliée au réseau de drainage ; une tache sombre isolée ne l'est pas. |
La barrière de politique rend les seuils visibles pour l'auditeur. Si l'agent contredit la physique, ou si la confiance tombe sous le seuil d'automatisation calibré de 0.65, le cas est escaladé vers un humain avec la mention « nécessite une preuve », sans jamais être auto-décidé. Sinon, une classification d'inondation est payée et toute classe de non-inondation est refusée. La valeur durable réside dans le vérificateur et la barrière, non dans un détecteur plus précis : même un classificateur parfait sur image unique ne peut toujours pas escalader le cas ambigu ni fournir à un réassureur un dossier défendable. Ce sont des tâches de gouvernance, et elles se situent en dehors du modèle de détection par conception.
Chaque chiffre ci-dessous est le résultat reproductible du banc d'essai déterministe de la démonstration, calculé à l'exécution. Chaque zone d'intérêt, jauge fluviale et rapport de terrain est synthétique et physiquement fidèle. Aucune scène Sentinel, aucun emplacement, aucun assureur ni aucun sinistre réel n'est utilisé.
Une tempête traverse un portefeuille de 8 zones d'intérêt. Le déclencheur hérité sur image unique s'est activé sur 6 d'entre elles et a mis en file d'attente 8,0 millions de dollars américains de paiements automatiques. Rien dans cette vue ne distingue une véritable inondation d'une ombre ou d'un réservoir, car une seule trame ne le peut pas. Chaque ligne activée est sur le point de passer par les étapes de vérification, de recoupement et de barrière.
TriggerProof arbitre le portefeuille. Il confirme 2 véritables inondations à payer pour 4,0 millions de dollars américains, supprime 3 faux déclencheurs pour 3,2 millions retenus (une ombre de nuage à 1,2 million, une ombre radar à 1,0 million et un réservoir permanent à 1,0 million), et escalade 1 cas limite à 0,8 million vers un humain. Sur les 8,0 millions que le déclencheur hérité aurait payés automatiquement, 4,0 millions sont bloqués ou retenus pour preuve, et chaque décision comporte un dossier probatoire médico-légal, de sorte que la couverture des preuves s'élève à 100 pour cent.
Ouvrez l'AOI-B, Mesa Junction Depot, et parcourez les trames d'acquisition. La tache optique sombre qui a activé le déclencheur n'apparaît que sur la trame de déclenchement et disparaît lors de l'acquisition suivante, tandis que la rétrodiffusion SAR est restée normale tout au long. Le radar a vu un sol sec à travers le nuage. Le vérificateur le classe en ombre de nuage avec une confiance de 1.00 et refuse le paiement de 1,2 million de dollars américains. L'ombre s'est déplacée ; l'eau d'inondation réelle serait restée.
Le même filmstrip sur l'AOI-A, Rio Verde Terminal, montre l'inverse. La signature de l'eau persiste sur chaque trame d'acquisition, tant en optique qu'en SAR, le terrain est suffisamment plat pour que l'eau stagne, la zone est reliée au drainage, et la jauge fluviale indépendante corrobore. Le vérificateur la classe en inondation avec une confiance de 0.99 et paie le déclencheur de 2,0 millions de dollars américains. Le mécanisme n'est pas biaisé en faveur du refus ; il est biaisé en faveur de la preuve, et ici, la preuve est établie.
L'AOI-F, Canal Street Hub, est le cas que la physique ne peut trancher. La signature est limite, la confiance du vérificateur s'établit à 0.15, et la jauge fluviale indépendante n'a jamais franchi le niveau de débordement, de sorte que les preuves au sol sont en conflit avec le déclencheur. La confiance étant inférieure au seuil d'automatisation de 0.65, la barrière de politique escalade le cas de 0,8 million de dollars américains vers un arbitre humain avec l'ensemble des preuves jointes, plutôt que de parier sur une décision automatique. Escalader le cas ambigu constitue la conception même du système, et non une défaillance de celui-ci.
Chaque verdict émet un dossier probatoire médico-légal de déclenchement d'inondation. Il comporte les preuves par règle pour les cinq discriminateurs avec leurs valeurs mesurées et leurs résultats de succès ou d'échec, un journal d'élimination des faux positifs, le verdict de recoupement contextuel, le lignage des données pour chaque acquisition simulée, et un hachage de provenance SHA-256 de la décision. Pour être précis quant à la portée, le hachage SHA-256 est un hachage de contenu garantissant l'inviolabilité, et non une signature numérique PKI, et l'imagerie est synthétique. Ce que le dossier prouve, c'est que la décision est documentée plutôt qu'affirmée sans preuve.
Ce portefeuille unique n'est pas un coup de chance. Sur un benchmark fixe de 60 cas synthétiques étiquetés, allant de signatures nettes à du bruit proche du seuil, TriggerProof prend 0 décision automatisée non sécurisée contre 48 pour la référence sur image unique, qui paie chaque cas signalé. Il résout automatiquement 80 pour cent des cas et en escalade 20 pour cent, et parmi les cas résolus automatiquement, il supprime 36 faux déclencheurs sur 36 et paie 12 inondations réelles sur 12. L'affirmation est délibérément ciblée : sur cet ensemble étiqueté, le système ne prend jamais de décision automatisée non sécurisée, car il escalade lorsque la physique est incertaine.
C'est la couche d'arbitrage et de gouvernance entre un déclencheur activé et le paiement, et non un produit de données satellitaires ni un détecteur d'inondation.
| Préoccupation | Un déclencheur sur image unique seul | Cette couche d'arbitrage |
|---|---|---|
| Une ombre de nuage, une ombre radar ou un réservoir | Payé comme une inondation ; tous quatre assombrissent les mêmes pixels | Refusé par cinq règles physiques déterministes à travers le temps et les capteurs |
| Un cas véritablement ambigu | Payé automatiquement sur un signal joué à pile ou face | Escaladé vers un humain en dessous d'un seuil de confiance de 0.65, avec preuves jointes |
| Pourquoi un déclencheur a été payé ou refusé | Aucune trace au-delà du simple indicateur d'activation | Un dossier probatoire médico-légal : preuves par règle, journal d'élimination, provenance SHA-256 |
| Qui prend la décision de paiement | Un seuil de pixel sur une seule trame | Python déterministe ; le LLM conseille et peut être outrepassé |
| Risque de base issu des faux déclencheurs | Supporté intégralement sur chaque non-inondation qu'il signale | 0 décision automatisée non sécurisée contre 48 sur le benchmark étiqueté de 60 cas |
| Verrouillage par le modèle et le fournisseur | Lié aux sorties d'un seul détecteur | Le vérificateur s'exécute hors ligne ; l'agent consultatif est interchangeable de fournisseur |
Parce qu'un déclencheur sur image unique ne peut distinguer l'eau d'inondation d'une ombre de nuage, d'une ombre radar ou de relief, ou d'un réservoir permanent, et que tous trois s'assombrissent de la même manière. Lorsqu'un paiement se déclenche sur cette base, l'évaluation « probablement inondé » n'est pas suffisante et il n'existe aucune piste probatoire pour la défendre ultérieurement. TriggerProof prend le déclencheur activé comme acquis et l'arbitre en PAYER, REFUSER ou ESCALADER à l'aide d'une physique déterministe. Sur le portefeuille synthétique de 8 AOI de la démonstration, cela bloque ou retient 4,0 millions de dollars américains sur 8,0 millions de paiements mis en file d'attente automatique.
Uniquement pour les cas véritablement ambigus. Sur le benchmark étiqueté de 60 cas, TriggerProof résout automatiquement 80 pour cent et escalade 20 pour cent, de sorte que les inondations évidentes sont toujours payées directement et seuls les cas limites ou contredits sont orientés vers une personne, avec l'ensemble des preuves déjà jointes. C'est le compromis : un paiement automatique rapide reste rapide, et le cas qui aurait autrement constitué un faux positif certain bénéficie d'un humain au lieu d'une décision erronée de 0,8 million de dollars américains.
Aucune. Chaque tuile, zone d'intérêt, jauge fluviale, relevé de précipitations et rapport de terrain dans la démonstration est synthétique et physiquement fidèle, et il n'y a aucune scène Sentinel réelle, aucun lieu réel, aucun assureur réel ni aucun sinistre réel. Les connecteurs pour la récupération satellite, la programmation SAR, les flux de signaux au sol et l'intégration à la plateforme de gestion des sinistres sont sous forme de bouchons. La validation sur le terrain par rapport à des archives réelles telles que Sen1Floods11 ou un portefeuille Sentinel en direct constitue le premier livrable de mission, et non une prétention de cette démonstration.
Une image unique plus nette ne peut toujours pas distinguer à elle seule une inondation d'une ombre ou d'un réservoir, car le problème est d'ordre temporel et multi-capteurs, et non de résolution. TriggerProof ne détecte pas les inondations et ne produit pas de données satellites. Il arbitre un déclencheur déjà activé en vérifiant la persistance à travers les acquisitions, la concordance entre le SAR et l'optique, la pente du terrain, un masque d'eau permanente et la connexion hydrologique. La valeur durable réside dans la couche de gouvernance autour de la décision, c'est pourquoi elle ne devient pas obsolète à mesure que les modèles de détection s'améliorent.
Un dossier probatoire médico-légal, et non un simple score brut. Chaque décision émet les preuves par règle pour l'ensemble des cinq discriminateurs avec leurs valeurs mesurées et leurs résultats de succès ou d'échec, un journal d'élimination des faux positifs, le recoupement au sol indépendant, le lignage des données satellites et un hachage de provenance SHA-256 de la décision. Il s'exporte au format JSON et en HTML imprimable, de sorte qu'un arbitre, un réassureur ou un auditeur puisse voir exactement pourquoi un cas a été payé, refusé ou retenu en attente de preuve.
Ils portent sur un ensemble fixe et étiqueté de 60 cas synthétiques et physiquement fidèles, couvrant des signatures nettes jusqu'au bruit proche du seuil, et non sur une garantie en monde réel ou sur le terrain. Sur cet ensemble, TriggerProof prend 0 décision automatisée non sécurisée contre 48 pour la référence sur image unique, et parmi les cas résolus automatiquement, il supprime 36 faux déclencheurs sur 36 et paie 12 inondations réelles sur 12. Le but n'est pas d'obtenir un score parfait, mais de garantir que le système ne prenne jamais de décision automatisée non sécurisée, car il escalade lorsque la physique est incertaine.
Non. Le vérificateur déterministe et la barrière de politique sont en Python pur et s'exécutent entièrement hors ligne sans clé API, de sorte que la décision de paiement ne dépend jamais de la disponibilité d'un modèle. L'agent consultatif est conçu sur Pydantic AI et peut changer de fournisseur entre Anthropic, OpenAI, Gemini et Ollama, utilisant claude-opus-4-8 par défaut avec un repli déterministe. La récupération satellite et l'intégration des sinistres sont conçues comme des adaptateurs, afin que la couche repose sur les capteurs et la plateforme que vous utilisez déjà.
La recherche derrière cette démonstration — l'architecture, la conception de la vérification et le plan directeur d'entreprise.
Supprimez les faux déclencheurs par la physique, escaladez les cas incertains vers une personne et laissez un registre défendable pour chaque décision.
Si votre équipe gère un portefeuille à déclenchement automatique d'inondations et cherche à maintenir un paiement rapide sans payer sur une ombre, nous aimerions échanger sur la manière dont vous tracez la frontière entre une décision automatique et une décision humaine. C'est une limite délicate et nous continuons à affiner la nôtre.