AUDIT DE SÉCURITÉ
1. Généralités
1. 1. La présente annexe décrit les prescriptions spéciales concernant la documentation, la stratégie en matière de défectuosités et la vérification du respect des aspects sécuritaires du ou des systèmes de commande électronique et du ou des systèmes de commande électronique complexes de véhicule du système d’urgence de maintien de la trajectoire.
1. 1.1. Les systèmes de commande électronique sont généralement commandés par des logiciels et sont construits à partir de composants fonctionnels distincts, tels que des capteurs, des unités de commande électroniques et des actionneurs, et reliés par des liaisons de transmission. Ils peuvent notamment comporter des éléments mécaniques, électropneumatiques ou électrohydrauliques.
1. 2. Il ne sera pas question, dans la présente annexe, des critères d’efficacité du «système» couvert par le présent règlement, mais de la façon dont il est conçu et des informations qui doivent être communiquées au service technique aux fins de la réception par type.
1. 3. Ces informations doivent montrer que le «système» satisfait, en l’absence de défaillance comme en cas de défaillance, à toutes les prescriptions d’efficacité spécifiées dans l’annexe I, partie 2, et qu’il est conçu pour fonctionner de manière à n’entraîner aucun risque critique pour la sécurité.
2. Documentation
2. 1. Prescriptions
Le constructeur doit fournir un dossier d’information montrant la conception de base du «système» et indiquant les moyens par lesquels il est relié aux autres systèmes du véhicule ou par lesquels il exerce un contrôle direct sur les variables de sortie. Les fonctions du «système», y compris les stratégies de commande et le concept de sécurité, telles que définies par le constructeur, doivent être expliquées. La documentation doit être concise, tout en démontrant que la conception et la mise au point ont bénéficié des connaissances spécialisées qui existent dans tous les domaines en jeu. Pour les essais de contrôle technique périodique, la documentation doit indiquer comment vérifier l’état de fonctionnement actuel du «système».
Le service technique doit évaluer le dossier d’information afin de vérifier que le «système»:
a) est conçu pour fonctionner, en l’absence de défaillance comme en cas de défaillance, de manière à n’entraîner aucun risque critique pour la sécurité;
b) respecte, en l’absence de défaillance comme en cas de défaillance, toutes les prescriptions fonctionnelles pertinentes énoncées dans le présent règlement
c) a été mis au point conformément au processus ou à la méthode qu’a déclaré(e) le constructeur et qui comprend au moins les étapes énumérées au point 2.4.4.
2. 1.1. La documentation doit être fournie en deux parties:
a) le dossier d’information officiel pour la réception par type, contenant les informations énumérées au point 2 (à l’exception de celui du point 2.4.4) qui sera remis au service technique au moment de la soumission de la demande de réception par type. Ce dossier d’information doit être utilisé par le service technique comme référence de base pour le processus de vérification visé au point 3. Le service technique doit s’assurer que ce dossier reste disponible pendant un délai fixé en accord avec l’autorité compétente en matière de réception. Ce délai doit au moins inclure une période de 10 ans à compter de la date de l’arrêt définitif de la production du véhicule;
(b) les compléments d’information et les données d’analyse dont il est question au point 2.4.4, qui doivent être conservés par le constructeur mais qui doivent pouvoir faire l’objet d’une inspection au moment de la réception par type. Le constructeur doit faire en sorte que ces informations et données d’analyse restent disponibles pendant une période de 10 ans à compter de la date de l’arrêt définitif de la production du véhicule.
2. 2. Une description expliquant de manière simple l’ensemble des fonctions, y compris les stratégies de contrôle du «système» et les méthodes employées pour réaliser les objectifs, doit être fournie, accompagnée d’une indication du ou des mécanismes par lesquels le contrôle est exercé.
Toute fonction qui peut être neutralisée doit être signalée comme telle et une description des incidences sur la logique de fonctionnement de la fonction doit être fournie.
2. 2.1. Une liste de toutes les variables saisies et détectées doit être fournie et la plage de fonctionnement de ces variables doit être définie, avec une description de la manière dont chaque variable affecte le comportement du système.
2. 2.2. Une liste de l’ensemble des variables de sortie contrôlées par le «système» doit être fournie; il convient d’indiquer, dans chaque cas, si le contrôle est direct ou s’il est exercé par l’intermédiaire d’un autre système du véhicule. La plage dans laquelle le «système» est susceptible d’exercer un contrôle sur chaque variable de sortie doit être définie.
2. 2.3. Les limites de la plage de fonctionnement (c’est-à-dire les limites physiques externes dans lesquelles le système peut maintenir le contrôle) doivent être indiquées lorsque cela a une incidence sur les performances du système.
2. 3. Configuration et schémas du système.
2. 3.1. Inventaire des organes
Une liste doit être fournie, rassemblant toutes les unités du «système» et mentionnant les autres systèmes du véhicule qui sont nécessaires pour réaliser la fonction de commande en question.
Un schéma montrant la combinaison de ces unités doit être fourni, accompagné de précisions sur la répartition des organes de l’équipement et les interconnexions entre eux.
2. 3.2. Fonctions des unités
La fonction de chaque unité du «système» doit être définie et les signaux reliant chaque unité aux autres unités ou à d’autres systèmes du véhicule doivent être indiqués. Cette information peut être fournie au moyen d’un schéma fonctionnel ou d’une description accompagnée d’un tel schéma.
2. 3.3. Les interconnexions au sein du «système» doivent être indiquées au moyen d’un schéma de circuit pour les liaisons de transmission électriques, d’un schéma de distribution de la timonerie pneumatique ou hydraulique et d’un schéma simplifié pour les liaisons mécaniques. Les liaisons de transmission avec d’autres systèmes doivent également être indiquées.
2. 3.4. Une correspondance claire doit être établie entre ces liaisons de transmission et les signaux véhiculés entre les unités. L’ordre de priorité entre signaux sur les liaisons de données multiplexées doit être indiqué toutes les fois que cet ordre peut avoir une incidence sur le fonctionnement ou la sécurité.
2. 3.5. Identification des unités
Il doit être possible d’identifier de manière claire et sans ambiguïté chaque unité (au moyen, par exemple, d’un marquage pour le matériel et d’un marquage ou d’un signal informatique pour les logiciels), de façon à faire correspondre le matériel et la documentation.
Lorsque des fonctions sont combinées au sein d’une même unité, voire d’un même ordinateur, mais sont indiquées dans plusieurs blocs au sein d’un schéma fonctionnel pour plus de clarté et de commodité, on ne doit utiliser qu’une seule marque d’identification du matériel. Le constructeur doit, en utilisant cette marque d’identification, confirmer que le matériel fourni est conforme au document correspondant.
2. 3.5.1. La marque d’identification renseigne sur la version du matériel et du logiciel; si cette dernière version change de façon à altérer la fonction de l’unité au regard du présent règlement, cette marque d’identification doit également être modifiée.
2. 4. Concept de sécurité du constructeur
2. 4.1. Le constructeur doit fournir une déclaration affirmant que la stratégie choisie pour réaliser les objectifs du «système» ne compromettra pas, en l’absence de pannes, le fonctionnement du véhicule.
2. 4.2. En ce qui concerne le logiciel employé dans le «système», il convient d’en expliquer la configuration et de définir les méthodes et outils de conception utilisés. Le constructeur doit démontrer, preuves à l’appui, comment a été déterminée la réalisation de la logique du système, durant la conception et la mise au point.
2. 4.3. Le constructeur doit fournir au service technique une explication des prescriptions générales appliquées dans le «système» pour assurer un fonctionnement en cas de défaillance. Les dispositions générales possibles à prendre en cas de défaillance du «système» sont par exemple:
a) le passage à un fonctionnement en mode partiel;
b) le passage à un système de secours distinct;
c) la neutralisation de la fonction de haut niveau.
En cas de défaillance, le conducteur doit être averti, par exemple au moyen d’un signal d’avertissement ou d’un message. Lorsque le système n’est pas désactivé par le conducteur, notamment en tournant le contacteur d’allumage (démarrage) vers la position «off» ou en coupant cette fonction particulière s’il existe un contacteur spécial à cet effet, l’avertissement doit durer aussi longtemps que persiste la défaillance.
2. 4.3.1. Si l’option choisie fait appel à un mode de fonctionnement partiel dans le cas de certaines défaillances, celles-ci doivent alors être indiquées et les limites d’efficacité qui en résultent doivent être définies.
2. 4.3.2. Lorsque l’option choisie fait appel à une deuxième méthode (de secours) pour réaliser l’objectif du système de commande du véhicule, les principes du mécanisme de changement, la logique et le niveau de redondance ainsi que tout dispositif de vérification intégré doivent être expliqués et les limites d’efficacité qui en résultent doivent être définies.
2. 4.3.3. Si la modalité choisie consiste à neutraliser la fonction de commande électronique de plus haut niveau, tous les signaux correspondants de commande de sortie associés à cette fonction doivent être inhibés, de manière à limiter les perturbations résultant du changement de mode.
2. 4.4. La documentation doit être accompagnée d’une analyse qui montre, en termes généraux, comment le système se comportera lorsque se présentera l’un des risques ou surviendra l’une des défaillances ayant une incidence sur l’efficacité ou la sécurité de la maîtrise du véhicule.
L’approche ou les approches analytique(s) choisies doivent être mises au point et gérées par le constructeur et soumises à l’inspection du service technique au moment de la réception par type.
Le service technique doit évaluer la mise en œuvre de l’approche ou des approches analytiques. L’évaluation comprend:
a) la vérification de l’approche en matière de sécurité au niveau du concept (véhicule) et la confirmation qu’elle prend en considération:
i) les interactions avec d’autres systèmes du véhicule;
ii) les défaillances du système, dans le champ d’application du présent règlement;
iii) pour les fonctions visées au point 2.2:
— les situations dans lesquelles un système exempt de défaillances peut créer des risques critiques pour la sécurité (par exemple, en raison d’un manque de compréhension de l’environnement du véhicule ou d’une mauvaise compréhension de celui-ci),
— la mauvaise utilisation raisonnablement prévisible par le conducteur,
— la modification intentionnelle du système.
Pour ce faire, il faut s’appuyer sur une étude des risques adaptée aux considérations de sécurité du système;
b) la vérification de la stratégie en matière de sécurité au niveau du système. Il peut s’agir d’une analyse des modes de défaillance et de leurs effets (FMEA) ou d’une analyse par arbre de défaillance (FTA), ou de tout autre procédé similaire d’analyse de la sécurité des systèmes;
c) la vérification des plans et des résultats de validation. Cela inclut un essai de validation approprié pour la validation, par exemple, des essais de type «matériel incorporé» (hardware in the loop (HIL)] ou des essais opérationnels sur route, ou toute autre méthode adaptée à la validation.
L’évaluation consiste en contrôles ponctuels des dangers et des défauts sélectionnés afin d’établir que les arguments étayant le concept de sécurité sont compréhensibles et logiques et que les plans de validation sont appropriés et ont été achevés.
Le service technique peut réaliser ou faire réaliser les essais visés au point 3 pour vérifier le concept de sécurité.
2. 4.4.1. Dans ce type de documentation doivent être énumérés les paramètres contrôlés et, pour chaque condition de défaillance du type défini au point 2.4.4 ci-dessus, il doit être indiqué le signal d’avertissement qui doit être émis à l’intention du conducteur et/ou du personnel d’entretien ou de contrôle technique.
2. 4.4.2. Cette documentation doit décrire les mesures prises pour garantir que le «système» ne nuit en rien à la sécurité d’utilisation du véhicule lorsque le fonctionnement du «système» est affecté par des facteurs extérieurs tels que les conditions climatiques, la température, la pénétration de poussière ou d’eau, ou l’accumulation de glace.
3. Vérification et essais
3. 1. Le fonctionnement du système, tel qu’il est exposé dans les documents requis au point 2, doit faire l’objet d’essais, comme indiqué ci-après.
3. 1.1. Vérification du fonctionnement du «système»
Le service technique doit vérifier le «système» en l’absence de défaillances en procédant à des essais de certaines fonctions choisies parmi celles qu’a décrites le constructeur conformément aux dispositions du point 2.2.
Pour les systèmes électroniques complexes, ces essais doivent prendre en compte différents cas de neutralisation d’une fonction déclarée.
3. 1.1.1. Les résultats de la vérification doivent correspondre à la description, y compris les stratégies de contrôle, fournie par le constructeur conformément aux dispositions du point 2.2.
3. 1.2. Vérification du concept de sécurité visé au point 2.4.
La réaction du «système» doit être vérifiée dans les conditions d’une défaillance de telle ou telle unité, en appliquant les signaux correspondant aux unités électriques ou aux éléments mécaniques afin de simuler les effets de défectuosités internes à l’unité. Le service technique doit effectuer cette vérification sur au moins une unité mais ne doit pas vérifier la réaction du «système» à la défaillance simultanée de plusieurs unités distinctes.
Le service technique doit s’assurer que ces essais portent notamment sur des éléments qui pourraient avoir une incidence sur le contrôle du véhicule et sur les informations de l’utilisateur (éléments relatifs à l’interface homme-machine).
4. Rapports établis par le service technique
Les rapports d’évaluation doivent être établis par le service technique de manière à permettre la traçabilité, par exemple en attribuant des codes aux versions des documents inspectés et en les inscrivant dans les registres du service concerné.
On trouvera dans l’appendice un modèle envisageable de fiche d’évaluation établie par un service technique à l’intention de l’autorité compétente en matière de réception par type.