Introduction
Dans l’industrie automobile actuelle, en pleine évolution, la sécurité n’est pas simplement une fonctionnalité : c’est une nécessité. À mesure que les véhicules deviennent plus autonomes et davantage pilotés par des logiciels, garantir la sécurité fonctionnelle est devenu primordial. C’est là que l’ASIL, ou Automotive Safety Integrity Level, joue un rôle essentiel.
Définie par la norme ISO 26262, la classification ASIL permet d’évaluer le risque associé aux dangers potentiels dans les systèmes automobiles et détermine les mesures de sécurité nécessaires pour les atténuer. Des systèmes de freinage aux systèmes avancés d’aide à la conduite (ADAS), l’Automotive Safety Integrity Level permet de déterminer le niveau de rigueur requis dans le processus de développement afin de protéger des vies.
Dans cet article, nous expliquerons ce que signifie l’Automotive Safety Integrity Level, comment il est utilisé dans l’ISO 26262, les différences entre les niveaux Automotive Safety Integrity Level A, B, C et D, ainsi que la manière de réaliser une évaluation des risques grâce à l’analyse des dangers et à l’évaluation des risques (HARA). Que vous découvriez ce concept ou souhaitiez approfondir vos connaissances en matière de sécurité automobile, ce guide vous présentera tout ce que vous devez savoir.
Qu’est-ce que l’ASIL (Automotive Safety Integrity Level) ?
L’ASIL, ou Automotive Safety Integrity Level, est un système de classification des risques défini par la norme ISO 26262 pour la sécurité fonctionnelle des véhicules routiers. Il quantifie les exigences de sécurité nécessaires pour éviter ou maîtriser les dangers causés par des défaillances potentielles des systèmes et composants automobiles.
Les niveaux Automotive Safety Integrity Level – A, B, C et D – sont déterminés en fonction de la gravité, de l’exposition et de la contrôlabilité d’un danger potentiel. L’ASIL D représente le niveau de risque le plus élevé et exige donc les mesures de sécurité les plus strictes, tandis que l’ASIL A correspond au niveau le plus faible.
Pourquoi l’ASIL est-il important dans l’industrie automobile ?
Les véhicules modernes reposant fortement sur des systèmes électroniques et logiciels pour des opérations critiques – telles que le freinage, la direction et l’évitement des collisions -, les conséquences d’une défaillance du système peuvent mettre des vies en danger. La classification ASIL est donc essentielle pour garantir que toutes les fonctions de sécurité automobile sont développées, testées et validées selon un niveau de sécurité approprié.
En attribuant un Automotive Safety Integrity Level à chaque fonction du système, les ingénieurs peuvent déterminer les processus de sécurité et les méthodes de validation appropriés. Cela garantit la conformité aux normes de sécurité automobile et contribue à prévenir les accidents dus aux dysfonctionnements des systèmes.
Aperçu de l’ISO 26262 et de la sécurité fonctionnelle
L’ISO 26262 est la norme internationale relative à la sécurité fonctionnelle des systèmes électriques et électroniques automobiles. Elle fournit une approche systématique permettant d’identifier les dangers potentiels, d’évaluer les risques et de définir les exigences de sécurité à l’aide de la classification ASIL.
La norme définit un processus complet d’ingénierie des exigences couvrant la conception initiale, la conception détaillée, la mise en œuvre, les tests et la maintenance. Son objectif principal est de réduire les risques à un niveau acceptable grâce à des mesures préventives adaptées au niveau ASIL déterminé.
L’Automotive Safety Integrity Level constitue l’épine dorsale de l’ISO 26262 : il fait le lien entre les dangers potentiels et les mesures techniques nécessaires pour les prévenir ou les atténuer, garantissant ainsi des performances sûres et fiables du véhicule tout au long du cycle de vie du produit.
Rôle de l’ASIL dans la norme ISO 26262
Dans le cadre de l’ISO 26262, l’Automotive Safety Integrity Level constitue un élément fondamental pour définir et gérer les exigences de sécurité fonctionnelle. L’ISO 26262 impose l’utilisation de la classification ASIL afin d’évaluer les risques associés aux dangers potentiels dans les systèmes automobiles.
Chaque fonction d’un véhicule est évaluée selon trois critères :
- Gravité (impact de la défaillance),
- Exposition (fréquence des scénarios opérationnels),
- Contrôlabilité (capacité du conducteur à maîtriser le véhicule après une défaillance).
Ces critères permettent d’attribuer un niveau ASIL (de A à D), qui détermine ensuite les processus de développement, les efforts de validation et les mécanismes de sécurité nécessaires pour atténuer ce risque. Sans l’Automotive Safety Integrity Level, la norme ISO 26262 ne disposerait pas d’une méthode structurée pour hiérarchiser les composants critiques pour la sécurité.
Comment l’ASIL contribue à la sécurité fonctionnelle des systèmes automobiles
L’Automotive Safety Integrity Level garantit la sécurité fonctionnelle en alignant les objectifs de sécurité sur le niveau de risque posé par les défaillances des systèmes. Par exemple, une défaillance d’un système de freinage automatique d’urgence pourrait entraîner de graves conséquences et serait donc généralement classée au niveau D, exigeant le plus haut niveau de rigueur en matière de sécurité.
En attribuant des niveaux ASIL :
- Les développeurs sont guidés dans l’application de pratiques de sécurité appropriées,
- Les ingénieurs peuvent mettre en œuvre la redondance, la détection des défauts et les diagnostics en fonction du risque,
- Les équipes garantissent la conformité aux normes de sécurité automobile tout au long du cycle de vie du produit.
En résumé, l’Automotive Safety Integrity Level dans les systèmes automobiles fournit une méthode structurée et quantifiable pour mettre en œuvre les exigences de sécurité fonctionnelle de l’ISO 26262, réduisant le risque de défaillance et améliorant la sécurité globale des véhicules modernes.
Classification et niveaux ASIL (A, B, C, D)
La classification ASIL est un élément central de la norme ISO 26262 et permet de définir les exigences de sécurité nécessaires pour chaque système ou composant automobile en fonction de son niveau de risque. La classification comprend quatre niveaux croissants – A, B, C et D -, l’ASIL D représentant le niveau de risque le plus élevé et nécessitant les contrôles de sécurité les plus rigoureux.
La classification repose sur trois facteurs clés :
- Gravité – Les dommages potentiels causés par un dysfonctionnement,
- Exposition – La fréquence à laquelle la situation opérationnelle se produit,
- Contrôlabilité – La capacité du conducteur ou du système à éviter les dommages.
Chaque combinaison de ces facteurs détermine le niveau ASIL approprié grâce à un processus appelé analyse des dangers et évaluation des risques (HARA).
Présentation détaillée des Automotive Safety Integrity Levels : A, B, C et D
Niveau A
- Niveau de risque : Le plus faible
- Gravité : Blessures légères ou mineures
- Exposition : Occasionnelle
- Contrôlabilité : Facilement contrôlable par le conducteur
- Applications : Systèmes non critiques (par ex., alertes d’infodivertissement)
Niveau B
- Niveau de risque : Modéré
- Gravité : Blessures modérées potentielles
- Exposition : Possible à fréquente
- Contrôlabilité : Généralement contrôlable
- Applications : Assistance de direction, systèmes de caméra de recul
Niveau C
- Niveau de risque : Élevé
- Gravité : Blessures graves possibles
- Exposition : Probable ou fréquente
- Contrôlabilité : Difficile à contrôler
- Applications : Systèmes de maintien dans la voie, régulateur de vitesse adaptatif
Niveau D
- Niveau de risque : Le plus élevé
- Gravité : Blessures potentiellement mortelles ou fatales
- Exposition : Très fréquente ou continue
- Contrôlabilité : Difficile ou impossible à contrôler
- Applications : Systèmes de freinage, déploiement des airbags, fonctions de conduite autonome
Comparaison ASIL A vs ASIL D : gravité du risque, exposition et contrôlabilité
Les systèmes ASIL D sont soumis aux processus de développement les plus stricts, notamment des tests approfondis, une conception redondante et une validation complète de la sécurité afin de respecter les directives de sécurité fonctionnelle de l’ISO 26262. À l’inverse, les systèmes ASIL A nécessitent moins d’efforts, mais doivent néanmoins satisfaire aux exigences de base en matière d’assurance de la sécurité.
Évaluation et détermination des risques ASIL
Qu’est-ce que l’évaluation des risques ASIL ?
L’évaluation des risques ASIL est un processus structuré défini par la norme de sécurité fonctionnelle ISO 26262 afin de déterminer l’Automotive Safety Integrity Level approprié pour une fonction donnée du véhicule. Elle évalue les risques liés aux défaillances potentielles du système et guide l’élaboration des objectifs de sécurité en fonction du risque évalué.
Cette évaluation garantit que la conception du système respecte le niveau de rigueur de sécurité requis en classant chaque fonction selon les niveaux ASIL A, B, C ou D à l’aide d’une analyse formelle appelée HARA – Hazard Analysis and Risk Assessment.
Comment déterminer le niveau ASIL : étape par étape
La détermination de la classification ASIL correcte comprend les étapes structurées suivantes :
- Identifier les fonctions et les dangers potentiels
- Définir le système ou le composant analysé.
- Identifier tous les dysfonctionnements potentiels ou scénarios dangereux.
- Définir la situation opérationnelle
- Évaluer les conditions de conduite (vitesse, type de route, météo) dans lesquelles la fonction est utilisée.
- Évaluer la gravité (S)
- Estimer les conséquences potentielles d’une défaillance.
- Va de S1 (blessure légère) à S3 (blessure potentiellement mortelle ou fatale).
- Évaluer l’exposition (E)
- Déterminer la fréquence à laquelle la condition opérationnelle se produit.
- Va de E1 (très faible) à E4 (forte probabilité).
- Évaluer la contrôlabilité (C)
- Évaluer la capacité du conducteur ou du système à éviter le danger.
- Va de C1 (facilement contrôlable) à C3 (incontrôlable).
- Attribuer le niveau ASIL
- En fonction de la combinaison de la gravité, de l’exposition et de la contrôlabilité, attribuer un niveau ASIL (A-D) ou QM (Quality Management) si le risque est faible.
- Définir les objectifs et exigences de sécurité
- Traduire les résultats du niveau d’intégrité en objectifs de sécurité spécifiques et en exigences techniques de sécurité pour le développement du système.
Qu’est-ce que la HARA (Hazard Analysis and Risk Assessment) ?
HARA, acronyme de Hazard Analysis and Risk Assessment, est la méthodologie fondamentale utilisée dans l’ISO 26262 pour évaluer et classifier les risques associés aux systèmes automobiles.
Grâce à la HARA, chaque danger identifié est analysé selon :
- Gravité (S) – Impact de la défaillance sur la sécurité humaine
- Exposition (E) – Probabilité que la situation de conduite se produise
- Contrôlabilité (C) – Capacité du conducteur/système à éviter les dommages
La matrice HARA associe ces données afin de déterminer le niveau ASIL approprié, qui guide ensuite toutes les activités de sécurité en aval.
Facteurs ASIL expliqués : gravité, exposition, contrôlabilité
Ces trois variables constituent la base de la détermination de l’Automotive Safety Integrity Level, permettant aux équipes d’appliquer le niveau approprié d’assurance de la sécurité fonctionnelle tout au long du cycle de développement du produit.
Sécurité fonctionnelle et conformité ASIL
Exigences de sécurité fonctionnelle basées sur les niveaux ASIL
La sécurité fonctionnelle, telle que définie par la norme ISO 26262, garantit que les systèmes automobiles fonctionnent en toute sécurité, même en présence de défauts. Chaque niveau ASIL (de A à D) introduit un degré différent d’exigences d’intégrité de sécurité, l’ASIL D imposant les processus et contrôles les plus stricts.
Plus l’Automotive Safety Integrity Level est élevé, plus les activités de développement doivent être rigoureuses, notamment :
- Prévention systématique des erreurs
- Techniques de conception robustes
- Procédures de vérification et de validation
- Tolérance aux pannes et couverture diagnostique
Cela garantit que la sécurité fonctionnelle est assurée proportionnellement au risque potentiel associé à chaque fonction.
Objectifs de sécurité et exigences de sécurité
Les objectifs de sécurité sont les objectifs de sécurité fonctionnelle de haut niveau issus de l’évaluation des risques ASIL (HARA). Ces objectifs constituent des cibles au niveau du système visant à prévenir ou à atténuer les événements dangereux.
Chaque objectif de sécurité est ensuite décliné en exigences de sécurité fonctionnelle (FSR) et en exigences de sécurité technique (TSR), qui sont réparties entre les composants et l’architecture du système.
Par exemple :
- Objectif de sécurité : Empêcher une accélération involontaire
- Exigence de sécurité fonctionnelle : Surveiller la plausibilité de l’entrée de l’accélérateur
- Exigence de sécurité technique : Redondance des capteurs et comparaison des signaux
Chaque exigence conserve le niveau ASIL attribué à l’objectif de sécurité d’origine, imposant ainsi une rigueur de développement appropriée dans toute la hiérarchie du système.
Conformité ASIL pour les systèmes et composants automobiles
La conformité ASIL consiste à aligner l’ensemble du processus de développement du produit sur les pratiques, activités et documentations décrites dans l’ISO 26262 pour la classification ASIL concernée.
Les principaux aspects de la conformité comprennent :
- Analyse des dangers et évaluation des risques (HARA)
- Décomposition et allocation ASIL
- Développement de mécanismes de sécurité (par ex., dispositifs de sécurité intégrée, watchdogs)
- Activités de vérification et de validation (tests, simulations)
- Création d’un dossier de sécurité et de la documentation associée
Tous les composants – matériels, logiciels et mécaniques – doivent démontrer leur conformité à l’Automotive Safety Integrity Level qui leur est attribué pour être considérés comme sûrs pour une utilisation dans des véhicules de série.
Impact sur les unités de contrôle électronique (ECU) et la conception du système
Les unités de contrôle électronique (ECU) jouent un rôle central dans l’exécution des fonctions critiques pour la sécurité, ce qui les rend directement concernées par la classification Automotive Safety Integrity Level.
L’ASIL influence la conception des ECU de la manière suivante :
- Redondance : Les niveaux ASIL supérieurs nécessitent des processeurs, mémoires ou voies de communication redondants
- Diagnostics : Intégration de mécanismes de détection des erreurs et de tolérance aux pannes
- Partitionnement : Isolation des logiciels critiques pour la sécurité des tâches non critiques
- Processus de développement : Assurance qualité, traçabilité et documentation du cycle de vie renforcées
- Sélection des composants : Préférence pour les microcontrôleurs certifiés ASIL ou compatibles ASIL
Un système bien conçu prend en compte l’ASIL dès la phase d’architecture afin d’optimiser la conformité, les coûts et la fiabilité.
Plateforme Visure Requirements ALM pour la conformité ASIL
Garantir la conformité ASIL au sein de systèmes automobiles complexes nécessite des outils puissants prenant en charge la sécurité fonctionnelle de bout en bout et l’alignement sur l’ISO 26262. La plateforme Visure Requirements ALM est spécialement conçue pour relever les défis du développement piloté par l’ASIL, en offrant une solution complète pour gérer les exigences de sécurité, les évaluations des risques, la traçabilité et la validation tout au long du cycle de vie.
Principales fonctionnalités de Visure pour la conformité ASIL
- Gestion des exigences adaptée à l’ASIL – Visure offre un contrôle centralisé de toutes les exigences liées à la sécurité, garantissant qu’elles sont clairement définies, classifiées et alignées sur les niveaux ASIL correspondants. Les équipes peuvent gérer à la fois les exigences de sécurité fonctionnelle et les exigences de sécurité technique au sein d’une plateforme unifiée.
- Prise en charge intégrée de la HARA et de l’évaluation des risques – Visure prend en charge le processus HARA (Hazard Analysis and Risk Assessment) en permettant l’utilisation de matrices de risques, la notation gravité-exposition-contrôlabilité et la liaison directe des dangers aux objectifs de sécurité et aux classifications ASIL, facilitant ainsi des évaluations des risques ASIL précises et auditables.
- Traçabilité complète de bout en bout – Des objectifs de sécurité aux exigences système, en passant par les cas de test et les résultats de vérification, Visure permet une traçabilité bidirectionnelle – une exigence fondamentale pour la conformité à la sécurité fonctionnelle ISO 26262. Les vues de traçabilité garantissent une couverture complète et une analyse d’impact sur tous les Automotive Safety Integrity Levels.
- Workflows et modèles conformes à l’ASIL – Visure fournit des modèles, formulaires et workflows ISO 26262 préconfigurés et adaptés à la conformité ASIL. Ils peuvent être personnalisés en fonction du cycle de vie de sécurité de votre organisation et réutilisés dans différents projets, renforçant ainsi la cohérence et réduisant le temps de préparation des audits.
- Documentation et reporting ASIL automatisés – Générez en temps réel une documentation spécifique à l’ASIL, telle que des plans de sécurité, des spécifications des exigences de sécurité (SRS), des rapports de vérification et validation et des dossiers de sécurité. Cela garantit un reporting transparent pour les évaluations, audits et certifications.
- Assistance à la qualité des exigences basée sur l’IA – Grâce à ses fonctionnalités intégrées basées sur l’IA, Visure aide à identifier les exigences de sécurité mal rédigées ou ambiguës, améliorant ainsi la qualité et la conformité aux normes de rédaction ASIL. Cela est essentiel pour minimiser les risques de sécurité pendant le développement.
Pourquoi choisir Visure pour les projets ASIL ?
- Prend en charge la conformité ISO 26262 de la conception à la production
- Optimise la collaboration entre les équipes d’ingénierie et de sécurité
- Simplifie la documentation et les audits de sécurité
- Permet une atténuation plus rapide des risques grâce à la détection précoce des erreurs
- Offre la flexibilité nécessaire pour s’intégrer à des outils tels que MATLAB, Simulink, Polarion et bien d’autres
Que vous développiez un système de freinage classé ASIL D ou une interface d’infodivertissement classée QM, la plateforme Visure Requirements ALM vous apporte le contrôle, la visibilité et la rigueur nécessaires pour assurer efficacement la sécurité fonctionnelle et la conformité.
Conclusion
Dans le paysage automobile actuel en pleine évolution, l’ASIL (Automotive Safety Integrity Level) joue un rôle essentiel pour garantir la sécurité fonctionnelle de systèmes toujours plus complexes. Fondé sur la norme ISO 26262, l’ASIL fournit un cadre structuré permettant d’identifier les risques, de définir les exigences de sécurité et de garantir que les composants automobiles critiques fonctionnent de manière fiable, même en cas de défaut.
Comprendre et mettre en œuvre les niveaux ASIL (de A à D) permet aux équipes de développement de gérer systématiquement les risques, de définir des objectifs de sécurité appropriés et d’aligner l’architecture du système sur le niveau d’intégrité de sécurité requis. Des évaluations HARA initiales à la traçabilité et à la vérification de la conformité, l’ASIL contribue à prévenir les défaillances dangereuses susceptibles d’entraîner des situations mettant des vies en danger.
À mesure que les systèmes automobiles deviennent plus intelligents et autonomes, le besoin de processus et d’outils de conformité robustes n’a jamais été aussi important. C’est là qu’intervient la plateforme Visure Requirements ALM, qui propose une solution intégrée basée sur l’IA simplifiant la mise en œuvre de la gestion des risques, améliorant la traçabilité et garantissant un alignement complet avec l’ISO 26262.
Commencez dès aujourd’hui votre essai gratuit de 14 jours de la plateforme Visure Requirements ALM et découvrez comment le bon outil peut transformer la gestion de vos exigences ASIL, votre documentation de sécurité et votre cycle de vie de sécurité fonctionnelle.
