ISO 26262 : Répondre aux exigences de la norme de Sûreté de Fonctionnement des Véhicules Automobiles

La norme ISO 26262, parue en 2011 et largement inspirée de la norme IEC 61508, traite de la sûreté de fonctionnement des systèmes électriques et électroniques incorporés au sein des véhicules routiers.

A l’instar de l’IEC 61508, assurer la conformité d’un projet à l’ISO 26262, c’est mettre en place, dès son démarrage, une méthodologie délimitée et rigoureuse dont l’objectif est la diminution des risques à un niveau acceptable.

L’ISO 26262 se compose de 10 parties:

NB : Nous avons remplacé le terme officiel « Sécurité fonctionnelle » par « Sûreté de Fonctionnement » pour plus de clarté.
Une nouvelle version de l’ISO 26262, qui incorporera notamment les systèmes intégrés dans les poids lourds, les bus et les motos, est actuellement en cours d’élaboration. Sa publication est prévue pour 2018.

La norme ISO 26262 se distingue de l’IEC 61508 principalement par la définition de ses niveaux de criticité, appelés ASIL (« Automotive System Integrity Level »). Les 4 niveaux sont libellés « ASIL A » (le moins critique) à « ASIL D » (le plus critique) et plus la criticité est élevée, plus les tâches et vérifications à effectuer seront nombreuses.

De plus, l’ISO 26262 ajoute un cinquième niveau appelé QM (« Quality Management »), parfois qualifié de « ASIL 0 » et pouvant être comparé au DAL E de la DO-178: il s’agit d’un niveau où le risque associé étant faible ou raisonnable, il ne nécessite pas de mesures de sûreté de fonctionnement, et peut donc être adressé uniquement par des mesures d’Assurance Qualité classiques comme décrites dans l’ISO 9001 ou l’ISO TS 16949.

Dans le cadre de l’utilisation d’outils logiciels pour une ou plusieurs tâches de développement ou vérification, l’ISO 26262 partie 8 introduit la notion de TCL (Tool Confidence Level), défini suivant l’impact de l’outil et le degré de détection d’une erreur.

• TI : Impact de l’outil – Introduction ou non détection d’erreur au sein de l’élément pour lequel il est utilisé :
• TI1 : Impossible
• TI2 : Dans tous les autres cas 
•  TD : Détection d’erreurs de l’outil – Confiance dans le fait qu’un dysfonctionnement ou une sortie erronée de l’outil sera détecté ou évité 
• TD1 : Elevée 
• TD2 : Moyenne 
• TD3 : Dans tous les autres cas

Alors qu’un outil TCL 1 ne nécessite aucune méthode de qualification, la norme ISO 26262 en propose 4 pour TCL 2 et 3, dépendant du niveau d’ASIL :

La suite d’outils LDRA (analyse statique et dynamique, tests unitaires et d’intégration) dispose d’un pack de qualification ISO 26262 jusqu’à ASIL D (LDRA TBrun).
De plus, les outils LDRA (TBvision Static) et l’outil d’analyse statique avancée GrammaTech CodeSonar ont obtenu une certification ISO 26262 permettant leur utilisation jusqu’à ASIL D.

La partie 6 de l’ISO 26262 exige la mise en place d’un cycle de vie logiciel dès l’ASIL A, composé de 7 étapes contenant chacune plusieurs exigences méthodologiques :

• Initialisation du développement logiciel
• Spécification des exigences de sûreté de fonctionnement logiciel
• Conception architecturale du logiciel
• Conception détaillée et implémentation du logiciel
• Tests Unitaires du Logiciel
• Intégration et Tests d’Intégration du Logiciel
• Vérification des exigences de sûreté de fonctionnement logiciel

Voici un résumé des exigences les plus importantes :

L’application des techniques et mesures définies dans la norme est graduée selon le niveau d’intégrité du logiciel, de la manière suivante :

La partie 6 de l’ISO 26262 implique la mise en place d’un Plan d’Assurance Qualité Logiciel, contenant a minima les éléments suivants :

• Gestion de la configuration et des versions 
• Suivi de la traçabilité des exigences (fonctionnelles, méthodologiques, normatives) 
• Mise en place et vérification de règles de codage et de métriques de qualité de code 
• Détection de bugs, d’erreurs « Runtime » et de failles logicielles 
• Tests unitaires, d’intégration et système liés aux exigences 
• Mesure de la couverture structurelle