Les métriques matérielles ISO 26262 démystifiées : guide pratique pour ingénieurs de conception
ISO 26262, la norme de sécurité fonctionnelle des véhicules routiers, introduit des métriques de sécurité matérielle qui font frémir les ingénieurs de conception. Single Point Fault Metric (SPFM), Latent Fault Metric (LFM) et Probabilistic Metric for random Hardware Failures (PMHF). Ces acronymes représentent des exigences quantitatives que votre conception matérielle doit satisfaire, et le chemin vers la conformité est rarement simple.
Ce guide explique ce que chaque métrique mesure réellement, pourquoi elle compte et comment concevoir votre matériel pour atteindre les cibles.
Vue d'ensemble : pourquoi les métriques matérielles existent
ISO 26262 repose sur le principe que les systèmes électroniques critiques de sécurité doivent être conçus soit pour prévenir les défaillances dangereuses, soit pour les détecter et les atténuer. Les métriques matérielles quantifient dans quelle mesure votre conception atteint ces objectifs.
Le concept fondamental est le "mécanisme de sécurité" : toute fonction de conception qui détecte, prévient ou atténue une défaillance. Un chien de garde (watchdog) est un mécanisme de sécurité. Un capteur redondant est un mécanisme de sécurité. Un contrôle de plausibilité dans le firmware est un mécanisme de sécurité. Les métriques matérielles mesurent la couverture de vos mécanismes de sécurité face à différentes catégories de défaillances.
Single Point Fault Metric (SPFM)
La SPFM mesure la couverture de votre conception face aux "défaillances à point unique" : les défaillances d'un seul élément matériel qui peuvent directement provoquer une défaillance liée à la sécurité sans être détectées par aucun mécanisme de sécurité.
La formule : SPFM = 1 - (Σ λ_SPF) / (Σ λ_liées-à-la-sécurité)
Où λ_SPF est le taux de défaillance de chaque défaillance à point unique et λ_liées-à-la-sécurité est le taux de défaillance total de tous les éléments matériels liés à la sécurité.
En clair : quelle fraction de vos modes de défaillance liés à la sécurité sont soit non dangereux (défaillances sûres), soit couverts par un mécanisme de sécurité ?
Cibles ASIL :
- ASIL B : ≥ 90 %
- ASIL C : ≥ 97 %
- ASIL D : ≥ 99 %
Stratégies de conception pratiques pour la SPFM
Le moyen le plus direct d'améliorer la SPFM est d'ajouter des mécanismes de sécurité qui détectent les défaillances à point unique. Les approches courantes incluent :
Redondance : dupliquer les capteurs critiques et comparer leurs sorties. En cas de désaccord, une défaillance est détectée. C'est coûteux en termes de coût du BOM et de surface de PCB, mais cela offre une couverture diagnostique élevée (typiquement 90 à 99 %).
Autotest intégré (BIST) : concevoir le matériel pour qu'il se teste lui-même. Les modes d'autotest d'ADC, le BIST mémoire et le BIST logique peuvent détecter des défaillances sans matériel redondant. La couverture varie fortement (60 à 99 %) selon la rigueur du test.
Circuits de surveillance : ajouter du matériel de surveillance dédié qui vérifie la sortie des circuits critiques de sécurité. Les moniteurs de tension, de courant et les comparateurs à fenêtre peuvent détecter des conditions hors plage avec une grande fiabilité.
Contrôles de plausibilité firmware : utiliser le firmware pour vérifier si les sorties matérielles sont physiquement plausibles. Un capteur de température indiquant -50 °C dans un compartiment moteur de voiture est clairement défaillant. Ces contrôles sont peu coûteux à implémenter mais leur crédit de couverture au titre d'ISO 26262 nécessite une justification soignée.
Latent Fault Metric (LFM)
La LFM traite d'un problème plus subtil : les défaillances qui ne provoquent pas de panne immédiate mais désactivent un mécanisme de sécurité. Si un capteur redondant tombe en panne silencieusement, le système continue de fonctionner normalement, mais si le capteur principal tombe aussi en panne, il n'y a plus de secours. La défaillance du capteur redondant est "latente" parce qu'elle reste indétectée jusqu'à ce qu'une seconde défaillance la rende dangereuse.
La formule : LFM = 1 - (Σ λ_latentes) / (Σ λ_liées-à-la-sécurité - Σ λ_sûres)
En clair : quelle fraction de vos modes de défaillance non sûrs sont soit détectés comme défaillances à point unique, soit détectables par des tests périodiques ?
Cibles ASIL :
- ASIL B : ≥ 60 %
- ASIL C : ≥ 80 %
- ASIL D : ≥ 90 %
Stratégies de conception pratiques pour la LFM
Les défaillances latentes sont plus difficiles à traiter que les défaillances à point unique parce qu'elles exigent de tester les mécanismes de sécurité eux-mêmes.
Tests en ligne périodiques : exécuter pendant le fonctionnement normal des tests diagnostiques qui vérifient la fonctionnalité du mécanisme de sécurité. Par exemple, injecter périodiquement un signal connu dans une voie de capteur redondant pour vérifier que la logique de comparaison fonctionne.
Autotest à la mise sous tension (POST) : tester les mécanismes de sécurité à chaque démarrage du système. Cela fournit un intervalle de test garanti égal au temps entre les cycles d'alimentation.
Surveillance croisée : concevoir les mécanismes de sécurité pour qu'ils se surveillent mutuellement. Si le mécanisme de sécurité A surveille le composant X, ajouter un contrôle qui vérifie périodiquement que le mécanisme de sécurité A lui-même est opérationnel.
Probabilistic Metric for random Hardware Failures (PMHF)
La PMHF adopte une approche différente de la SPFM et de la LFM. Au lieu de mesurer des pourcentages de couverture, elle calcule la probabilité réelle qu'une défaillance dangereuse survienne sur la durée de vie du véhicule.
En clair : combien de fois par milliard d'heures de fonctionnement votre système subira-t-il une défaillance dangereuse non détectée par un mécanisme de sécurité ?
Cibles ASIL :
- ASIL B : < 10^-7 / heure
- ASIL C : < 10^-7 / heure
- ASIL D : < 10^-8 / heure
Le calcul de la PMHF nécessite des données détaillées de taux de défaillance pour chaque composant du matériel critique de sécurité. Ces données proviennent de bases de données de fiabilité (SN 29500, IEC TR 62380, MIL-HDBK-217) et doivent être appliquées au niveau du mode de défaillance, pas seulement au niveau du composant.
L'impératif de traçabilité
Atteindre ces métriques est un défi d'ingénierie. Prouver que vous les avez atteintes est un défi de documentation. L'évaluateur ISO 26262 voudra voir :
- Une liste complète de tous les éléments matériels liés à la sécurité
- Une analyse des modes de défaillance et de leurs effets (FMEA) pour chaque élément
- L'identification de chaque mécanisme de sécurité et de sa couverture diagnostique
- Les calculs quantitatifs pour la SPFM, la LFM et la PMHF
- La traçabilité des exigences de sécurité vers les mécanismes de sécurité vers les fonctions de conception matérielle
Cette chaîne de traçabilité doit être maintenue tout au long du processus de développement et mise à jour à chaque changement de la conception matérielle. Dans une conception comptant des centaines de composants et des dizaines de mécanismes de sécurité, la traçabilité manuelle est impraticable. Les plateformes de traçabilité basées sur les graphes, qui maintiennent automatiquement les relations entre exigences de sécurité, mécanismes de sécurité et éléments matériels, deviennent des outils essentiels pour la conformité à ISO 26262.
Concevoir la sécurité de l'intérieur, pas la greffer après coup
La leçon la plus importante des métriques matérielles ISO 26262 est que la sécurité doit être conçue dès le départ, pas analysée après coup. Les équipes qui conçoivent d'abord leur matériel puis calculent les métriques découvrent invariablement des lacunes qui imposent de coûteuses reconceptions.
Utilisez plutôt les cibles de métriques comme des contraintes de conception dès le premier jour. Au moment de choisir un microcontrôleur, évaluez ses capacités d'autotest. Au moment de concevoir une interface capteur, planifiez la couverture diagnostique dès l'étape du schéma. Au moment de router le PCB, tenez compte de la testabilité des mécanismes de sécurité.
La sécurité n'est pas un obstacle à l'innovation. C'est une discipline de conception qui, bien pratiquée, produit de meilleurs produits.
