Introduction
Dans un secteur automobile en constante évolution, la sécurité n'est pas seulement une fonctionnalité, c'est une nécessité. À mesure que les véhicules deviennent de plus en plus autonomes et pilotés par logiciel, garantir la sécurité fonctionnelle est devenu primordial. C'est là que l'ASIL (Automotive Safety Integrity Level) joue un rôle essentiel.
Définie par la norme ISO 26262, la classification ASIL permet d'évaluer les risques associés aux dangers potentiels des systèmes automobiles et de définir les mesures de sécurité nécessaires pour les atténuer. Des systèmes de freinage aux systèmes avancés d'aide à la conduite (ADAS), le niveau d'intégrité de la sécurité automobile permet de déterminer le niveau de rigueur requis dans le processus de développement pour protéger des vies.
Dans cet article, nous expliquerons la signification du niveau d'intégrité de sécurité automobile, son utilisation dans la norme ISO 26262, les différences entre les niveaux A, B, C et D, et comment réaliser une évaluation des risques grâce à l'analyse des dangers et à l'évaluation des risques (HARA). Que vous soyez novice en la matière ou que vous souhaitiez approfondir vos connaissances en matière de sécurité automobile, ce guide vous expliquera tout ce que vous devez savoir.
Qu'est-ce que l'ASIL (Automotive Safety Integrity Level) ?
ASIL (Automotive Safety Integrity Level) est un système de classification des risques défini par la norme ISO 26262 pour la sécurité fonctionnelle des véhicules routiers. Il quantifie les exigences de sécurité nécessaires pour éviter ou maîtriser les dangers causés par les défaillances potentielles des systèmes des composants automobiles.
Les niveaux d'intégrité de la sécurité automobile (A, B, C et D) sont déterminés en fonction de la gravité, de l'exposition et de la contrôlabilité d'un danger potentiel. ASIL D représente le niveau de risque le plus élevé et exige donc les mesures de sécurité les plus strictes, tandis que ASIL A reflète le niveau le plus faible.
Pourquoi l'ASIL est-il important dans l'industrie automobile ?
Les véhicules modernes s'appuyant fortement sur des systèmes électroniques et logiciels pour des opérations critiques telles que le freinage, la direction et l'évitement des collisions, les conséquences d'une défaillance de ces systèmes peuvent être mortelles. La classification ASIL est donc essentielle pour garantir que toutes les fonctions de sécurité automobile sont développées, testées et validées à un niveau de sécurité approprié.
En attribuant un niveau d'intégrité de sécurité automobile à chaque fonction du système, les ingénieurs peuvent déterminer les processus de sécurité et les méthodes de validation appropriés. Cela garantit la conformité aux normes de sécurité automobile et contribue à prévenir les accidents dus à des dysfonctionnements du système.
Aperçu de la norme ISO 26262 et de la sécurité fonctionnelle
La norme ISO 26262 est la norme internationale relative à la sécurité fonctionnelle des systèmes électriques et électroniques automobiles. Elle propose une approche systématique pour identifier les dangers potentiels, évaluer les risques et définir les exigences de sécurité à l'aide de la classification ASIL.
La norme définit un processus complet d'ingénierie des exigences, allant de la conception à la mise en œuvre, aux tests et à la maintenance. Son objectif principal est de réduire les risques à un niveau acceptable grâce à des mesures préventives conformes au niveau ASIL déterminé.
Le niveau d'intégrité de la sécurité automobile est l'épine dorsale de la norme ISO 26262 : il comble le fossé entre les dangers potentiels et les mesures techniques requises pour les prévenir ou les atténuer, garantissant ainsi des performances sûres et fiables du véhicule tout au long du cycle de vie du produit.
Rôle d'ASIL dans la norme ISO 26262
Dans le cadre de la norme ISO 26262, le niveau d'intégrité de sécurité automobile (ASIL) constitue un élément fondamental pour la définition et la gestion des exigences de sécurité fonctionnelle. La norme ISO 26262 impose l'utilisation de la classification ASIL pour évaluer les risques associés aux dangers potentiels des systèmes automobiles.
Chaque fonction d’un véhicule est évaluée selon trois critères :
- Gravité (impact de la défaillance),
- Exposition (fréquence des scénarios opérationnels),
- Contrôlabilité (capacité du conducteur à contrôler le véhicule après une panne).
Ces critères guident l'attribution d'un niveau ASIL (A à D), qui détermine ensuite les processus de développement, les efforts de validation et les mécanismes de sécurité nécessaires pour atténuer ce risque. Sans le niveau d'intégrité de la sécurité automobile, la norme ISO 26262 ne disposerait pas d'une méthode structurée pour hiérarchiser les composants critiques pour la sécurité.
Comment ASIL soutient la sécurité fonctionnelle dans les systèmes automobiles
Le niveau d'intégrité de la sécurité automobile garantit la sécurité fonctionnelle en alignant les objectifs de sécurité sur le niveau de risque posé par les défaillances des systèmes. Par exemple, une défaillance d'un système de freinage d'urgence autonome pourrait avoir de graves conséquences et serait donc généralement classée au niveau D, exigeant le plus haut niveau de sécurité.
En attribuant des niveaux ASIL :
- Les développeurs sont guidés dans l’application de pratiques de sécurité appropriées,
- Les ingénieurs peuvent mettre en œuvre la redondance, la détection des pannes et les diagnostics en fonction des risques,
- Les équipes assurent le respect des normes de sécurité automobile tout au long du cycle de vie du produit.
En bref, le niveau d’intégrité de la sécurité automobile dans les systèmes automobiles fournit un moyen structuré et quantifiable de mettre en œuvre les exigences de sécurité fonctionnelle de la norme ISO 26262, réduisant ainsi le risque de défaillance et améliorant la sécurité globale des véhicules modernes.
Classification et niveaux ASIL (A, B, C, D)
La classification ASIL est un élément essentiel de la norme ISO 26262 et permet de définir les exigences de sécurité nécessaires à chaque système ou composant automobile en fonction de son niveau de risque. Cette classification comprend quatre niveaux ascendants (A, B, C et D), ASIL D représentant le degré de risque le plus élevé et exigeant les contrôles de sécurité les plus rigoureux.
La classification est basée sur trois facteurs clés :
- Gravité – Les dommages potentiels causés par un dysfonctionnement,
- Exposition – À quelle fréquence la condition opérationnelle se produit,
- Contrôlabilité – La capacité du conducteur ou du système à prévenir les dommages.
Chaque combinaison de ces facteurs détermine le niveau ASIL approprié grâce à un processus appelé Analyse des risques et évaluation des dangers (HARA).
Répartition détaillée des niveaux d'intégrité de la sécurité automobile : A, B, C et D
Niveau A
- Niveau de risque: Le plus bas
- Gravité: Blessures légères ou mineures
- Exposition: Occasionnel
- Contrôlabilité:Facilement contrôlable par le conducteur
- Applications:Systèmes non critiques (par exemple, avertissements d'infodivertissement)
Niveau B
- Niveau de risque: Modéré
- Gravité: Blessures modérées potentielles
- Exposition:Possible de fréquenter
- Contrôlabilité: Généralement contrôlable
- Applications: Assistance à la direction assistée, systèmes de caméra de recul
Niveau C
- Niveau de risque: Haut
- Gravité: Blessures graves possibles
- Exposition: Probable ou fréquent
- Contrôlabilité:Difficile à contrôler
- Applications: Systèmes de maintien de voie, régulateur de vitesse adaptatif
Niveau d
- Niveau de risque: Le plus élevé
- Gravité: Blessures mortelles ou mettant la vie en danger
- Exposition: Très fréquent ou continu
- Contrôlabilité:Difficile ou impossible à contrôler
- Applications:Systèmes de freinage, déploiement d'airbag, fonctions de conduite autonome
Comparaison ASIL A et ASIL D : gravité du risque, exposition et contrôlabilité
Les systèmes ASIL D sont soumis aux processus de développement les plus rigoureux, incluant des tests approfondis, une conception redondante et une validation de sécurité complète, afin de se conformer aux directives de sécurité fonctionnelle de la norme ISO 26262. En revanche, les systèmes ASIL A nécessitent moins d'efforts, mais doivent néanmoins respecter les normes de sécurité de base.
Évaluation et détermination des risques ASIL
Qu'est-ce que l'évaluation des risques ASIL ?
L'évaluation des risques ASIL est un processus structuré défini par la norme de sécurité fonctionnelle ISO 26262 pour déterminer le niveau d'intégrité de sécurité automobile approprié pour une fonction donnée du véhicule. Elle évalue les risques liés aux défaillances potentielles du système et guide l'élaboration d'objectifs de sécurité en fonction du risque évalué.
Cette évaluation garantit que la conception du système est conforme à la rigueur de sécurité requise en classant chaque fonction sous ASIL A, B, C ou D à l'aide d'une analyse formelle appelée HARA (Hazard Analysis and Risk Assessment).
Comment déterminer le niveau ASIL : étape par étape
La détermination de la classification ASIL correcte implique les étapes structurées suivantes :
- Identifier les fonctions et les dangers potentiels
- Définir le système ou le composant analysé.
- Identifier tous les dysfonctionnements potentiels ou scénarios dangereux.
- Définir la situation opérationnelle
- Évaluer dans quelles conditions de conduite (vitesse, type de route, météo) la fonction fonctionne.
- Évaluer la gravité (S)
- Estimer les conséquences potentielles d’une défaillance.
- S'étend de S1 (blessure légère) à S3 (blessure mortelle ou mettant la vie en danger).
- Évaluer l'exposition (E)
- Déterminer la fréquence à laquelle la condition opérationnelle se produit.
- Gamme de E1 (très faible) à E4 (forte probabilité).
- Évaluer la contrôlabilité (C)
- Évaluer la capacité du conducteur ou du système à éviter le danger.
- S'étend de C1 (facilement contrôlable) à C3 (incontrôlable).
- Attribuer un niveau ASIL
- En fonction de la combinaison de gravité, d’exposition et de contrôlabilité, attribuez un niveau ASIL (A–D) ou QM (gestion de la qualité) si le risque est faible.
- Définir les objectifs et les exigences de sécurité
- Traduire les résultats du niveau d’intégrité en objectifs de sécurité spécifiques et en exigences de sécurité technique pour le développement du système.
Qu'est-ce que HARA (Analyse des risques et évaluation des risques) ?
HARA, abréviation de Hazard Analysis and Risk Assessment, est la méthodologie fondamentale utilisée dans la norme ISO 26262 pour évaluer et classer les risques associés aux systèmes automobiles.
Grâce à HARA, chaque danger identifié est analysé pour :
- Gravité (S) – Impact de la défaillance sur la sécurité humaine
- Exposition (E) – Probabilité que la situation de conduite se produise
- Contrôlabilité (C) – Capacité du conducteur/système à éviter les dommages
La matrice HARA cartographie ces entrées pour déterminer le niveau ASIL approprié, qui informe ensuite toutes les activités de sécurité en aval.
Facteurs ASIL expliqués : gravité, exposition, contrôlabilité
Ces trois variables constituent la base de la détermination du niveau d'intégrité de la sécurité automobile, permettant aux équipes d'appliquer le bon niveau d'assurance de sécurité fonctionnelle tout au long du cycle de vie du développement du produit.
Sécurité fonctionnelle et conformité ASIL
Exigences de sécurité fonctionnelle basées sur les niveaux ASIL
La sécurité fonctionnelle, telle que définie par la norme ISO 26262, garantit le fonctionnement sûr des systèmes automobiles, même en cas de défaut. Chaque niveau ASIL (A à D) impose un degré différent d'exigences en matière d'intégrité de sécurité, le niveau ASIL D exigeant les processus et contrôles les plus stricts.
Plus le niveau d'intégrité de la sécurité automobile est élevé, plus les activités de développement doivent être rigoureuses, notamment :
- Prévention des erreurs systématiques
- Techniques de conception robustes
- Procédures de vérification et de validation
- Tolérance aux pannes et couverture de diagnostic
Cela garantit que la sécurité fonctionnelle est atteinte proportionnellement au risque potentiel associé à chaque fonction.
Objectifs et exigences de sécurité
Les objectifs de sécurité sont les objectifs de sécurité fonctionnelle de haut niveau, issus de l'évaluation des risques ASIL (HARA). Ces objectifs sont des cibles systémiques visant à prévenir ou à atténuer les événements dangereux.
Chaque objectif de sécurité est ensuite décomposé en exigences de sécurité fonctionnelle (FSR) et en exigences de sécurité technique (TSR), qui sont réparties entre les composants et l'architecture du système.
Par exemple :
- Objectif de sécurité : Empêcher l'accélération involontaire
- Exigence de sécurité fonctionnelle : Surveiller l'entrée de l'accélérateur pour la plausibilité
- Exigence de sécurité technique : Redondance des capteurs et comparaison des signaux
Chaque exigence porte le niveau ASIL attribué à l’objectif de sécurité d’origine, imposant une rigueur de développement appropriée dans toute la hiérarchie du système.
Conformité ASIL pour les systèmes et composants automobiles
La conformité ASIL signifie aligner l'ensemble du processus de développement du produit sur les pratiques, les activités et la documentation décrites dans la norme ISO 26262 pour la classification ASIL spécifique.
Les aspects clés de la conformité comprennent :
- Analyse des dangers et évaluation des risques (HARA)
- Décomposition et allocation ASIL
- Développement de mécanismes de sécurité (par exemple, dispositifs de sécurité, chiens de garde)
- Activités de vérification et de validation (tests, simulations)
- Création d'un dossier de sécurité et de la documentation justificative
Tous les composants (matériels, logiciels et mécaniques) doivent démontrer leur conformité avec le niveau d'intégrité de sécurité automobile qui leur est attribué pour être considérés comme sûrs pour une utilisation dans les véhicules de production.
Impact sur les unités de contrôle électronique (ECU) et la conception du système
Les unités de contrôle électronique (ECU) jouent un rôle central dans l'exécution des fonctions critiques pour la sécurité, ce qui les rend directement affectées par la classification du niveau d'intégrité de la sécurité automobile.
ASIL impacte la conception de l'ECU des manières suivantes :
- Redondance:Les niveaux ASIL supérieurs nécessitent des processeurs, de la mémoire ou des chemins de communication redondants
- Diagnostics:Inclusion de mécanismes de détection d'erreurs et de tolérance aux pannes
- Partitionnement: Isolation des logiciels critiques pour la sécurité des tâches non critiques
- Processus de développement: Assurance qualité, traçabilité et documentation du cycle de vie améliorées
- Sélection des composants:Préférence pour les microcontrôleurs certifiés ASIL ou compatibles ASIL
Un système bien conçu prend en compte ASIL dès la phase d’architecture pour optimiser la conformité, le coût et la fiabilité.
Plateforme ALM Visure Requirements pour la conformité ASIL
Assurer la conformité ASIL au sein de systèmes automobiles complexes nécessite des outils performants prenant en charge la sécurité fonctionnelle de bout en bout et l'alignement avec la norme ISO 26262. La plateforme Visure Requirements ALM est spécialement conçue pour relever les défis du développement piloté par ASIL, offrant une solution complète de gestion des exigences de sécurité, d'évaluation des risques, de traçabilité et de validation tout au long du cycle de vie.
Principales fonctionnalités de Visure pour la conformité ASIL
- Gestion des exigences ASIL-Ready – Visure offre un contrôle centralisé de toutes les exigences de sécurité, garantissant qu'elles sont clairement définies, classées et alignées sur les niveaux ASIL correspondants. Les équipes peuvent gérer à la fois les exigences de sécurité fonctionnelle et technique au sein d'une plateforme unifiée.
- Soutien intégré à l'évaluation des risques et à l'HARA – Visure prend en charge le processus HARA (analyse des risques et évaluation des risques) en permettant des matrices de risques, une notation de la gravité, de l'exposition et de la contrôlabilité et un lien direct entre les dangers et les objectifs de sécurité et les classifications ASIL, facilitant ainsi des évaluations des risques ASIL précises et vérifiables.
- Traçabilité complète de bout en bout – Des objectifs de sécurité aux exigences système, en passant par les cas de test et les résultats de vérification, Visure permet une traçabilité bidirectionnelle, une exigence essentielle pour la conformité à la norme ISO 26262 en matière de sécurité fonctionnelle. Les vues de traçabilité garantissent une couverture complète et une analyse d'impact sur tous les niveaux d'intégrité de la sécurité automobile.
- Flux de travail et modèles conformes à ASIL – Visure est fourni avec des modèles, formulaires et workflows ISO 26262 préconfigurés, adaptés à la conformité ASIL. Ces modèles peuvent être personnalisés en fonction du cycle de sécurité de votre organisation et réutilisés dans tous les projets, améliorant ainsi la cohérence et réduisant le temps de préparation des audits.
- Documentation et rapports ASIL automatisés – Générez en temps réel de la documentation spécifique à ASIL, comme des plans de sécurité, des spécifications d'exigences de sécurité (SRS), des rapports de vérification et de validation et des dossiers de sécurité. Cela garantit la transparence des rapports d'évaluation, d'audit et de certification.
- Assistance qualité des exigences pilotée par l'IA – Grâce à ses fonctionnalités d'IA intégrées, Visure permet d'identifier les exigences de sécurité mal rédigées ou ambiguës, améliorant ainsi la qualité et la conformité aux normes de rédaction ASIL. Ceci est essentiel pour minimiser les risques de sécurité pendant le développement.
Pourquoi choisir Visure pour les projets ASIL ?
- Prend en charge la conformité à la norme ISO 26262 du concept à la production
- Optimise la collaboration entre les équipes d'ingénierie et de sécurité
- Rationalise la documentation et les audits de sécurité
- Permet une atténuation plus rapide des risques grâce à la détection précoce des erreurs
- Offre une flexibilité d'intégration avec des outils tels que MATLAB, Simulink, Polarion, etc.
Que vous développiez un système de freinage classé ASIL D ou une interface d'infodivertissement classée sous QM, la plate-forme Visure Requirements ALM vous offre le contrôle, la visibilité et la rigueur nécessaires pour atteindre efficacement la sécurité fonctionnelle et la conformité.
Conclusion
Dans le paysage automobile actuel en constante évolution, l'ASIL (Automotive Safety Integrity Level) joue un rôle essentiel pour garantir la sécurité fonctionnelle de systèmes de plus en plus complexes. Basé sur la norme ISO 26262, l'ASIL fournit un cadre structuré pour identifier les risques, définir les exigences de sécurité et garantir la fiabilité du fonctionnement des composants automobiles critiques, même en cas de défaillance.
La compréhension et la mise en œuvre des niveaux ASIL (A à D) permettent aux équipes de développement de gérer systématiquement les risques, de définir des objectifs de sécurité appropriés et d'aligner l'architecture système sur l'intégrité de sécurité requise. Des évaluations HARA initiales à la traçabilité et à la vérification de la conformité, ASIL contribue à prévenir les défaillances dangereuses pouvant entraîner des situations potentiellement mortelles.
À mesure que les systèmes automobiles gagnent en intelligence et en autonomie, la demande de processus et d'outils de conformité robustes n'a jamais été aussi forte. C'est là qu'intervient la plateforme Visure Requirements ALM : une solution intégrée, optimisée par l'IA, qui simplifie la mise en œuvre de la gestion des risques, améliore la traçabilité et garantit une conformité totale avec la norme ISO 26262.
Commencez dès aujourd'hui votre essai gratuit de 14 jours de la plateforme Visure Requirements ALM. et découvrez comment le bon outil peut transformer votre gestion des exigences ASIL, votre documentation de sécurité et votre cycle de vie de sécurité fonctionnelle.
