Évaluation
Il existe différents niveaux de criticité d'un système, suivant l'impact possible des dysfonctionnements. On apprécie ainsi différemment, par exemple, un dysfonctionnement provoquant des pertes coûteuses, mais sans mort d'homme (cas des missions spatiales non habitées) et un dysfonctionnement provoquant des morts dans le grand public (cas des vols commerciaux). De même, on apprécie différemment des dysfonctionnements faisant courir un danger de mort ou de blessure à des humains, ou des dysfonctionnements augmentant la charge de travail et les risques d'erreur de pilotage des opérateurs humains.
Cas particulier de l'aviation
En aéronautique, le niveau de criticité d'un système critique est calculé pour chaque « événement redouté » (terme que l'on peut traduire de l'anglais failure condition) du système. Il existe cinq niveaux, qui sont détaillés dans ARP4761A/ED-135. Pour chaque fonction que doit remplir ce système, les événements redoutés sont évalués en fonction de leur effet :
- Le niveau CAT (catastrophique) : la survenue de l'événement redouté provoquerait ou contribuerait à une condition de perte catastrophique de l'aéronef, à de nombreuses morts de personnes.
- Le niveau HAZ (hazardous, dangereux) : la survenue de l'événement redouté provoquerait ou contribuerait à une condition dangereuse ou un dysfonctionnement sévère de l'aéronef, à de multiples blessures graves ou à la mort d'un nombre limité de personnes.
- Le niveau MAJ (major, majeur) : la survenue de l'événement redouté provoquerait ou contribuerait à un dysfonctionnement majeur de l'aéronef, ou à une surcharge importante d'activité du personnel navigant.
- Le niveau MIN (minor, mineur) : la survenue de l'événement redouté provoquerait ou contribuerait à un dysfonctionnement mineur de l'aéronef.
- Le niveau no effect (pas d'effet) : La survenue de l'événement redouté ne provoquerait ou ne contribuerait à aucun impact sécurité sur le fonctionnement de l'aéronef ou la charge de travail du pilote.
Ces niveaux se déclinent en deux types d'obligations : des obligations qui concernent la fiabilité et la tolérance aux pannes, d'une part et des obligations au niveau de la qualité en développement, d'autre part.
Fiabilité et la tolérance aux pannes
En ce qui concerne le niveau de fiabilité du système, le taux de panne toléré est donné suivant le niveau de l'événement redouté le plus élevé. Il est donné en nombre de pannes par heure de vol (valeur bien inférieure à un). Dans la dernière colonne, cette valeur est mise sous forme de nombre d'heures de vol requis sans que la panne apparaisse (valeur statistique).
| Niveau de l'événement redouté
le plus élevé. |
Taux de pannes toléré |
Nombre d'heures de vol requis
sans pannes |
|---|
| CAT |
1 * 10 -9 |
1 000 000 000 heures de vol |
| HAZ |
1 * 10 -7 |
10 000 000 heures de vol |
| MAJ |
1 * 10 -5 |
100 000 heures de vol |
| MIN |
1 * 10 -3 |
1 000 heures de vol |
| No Effect |
Non spécifié |
Non spécifié |
Pour obtenir ces valeurs de fiabilité, les systèmes sont souvent constitués de composants (ou items) redondants et indépendants pour les systèmes supportant les événements redoutés les plus élevés.
Par exemple, en ce qui concerne les avions Airbus, le système le plus critique, les commandes de vol électrique, inclus trois calculateurs redondants (les PRIM). Si ces trois calculateurs sont simultanément en panne, en redondance, deux autres calculateurs (les SEC) peuvent prendre le relais. Un seul de ces cinq calculateurs suffit pour assurer la fonction, le fait de ces redondances ne fait qu'assurer la contrainte de robustesse aux pannes. Il n'est jamais arrivé que les cinq calculateurs tombent en panne en même temps, malgré le nombre très important d'heures de vol cumulées.
Niveau qualité en développements
En ce qui concerne le second point, la norme ARP4754/ED-79 sépare les systèmes avioniques en 5 catégories de DAL (Design Assurance Level, en anglais) :
| Niveau de l'événement redouté
le plus élevé. |
DAL associé. |
|---|
| CAT |
A |
| HAZ |
B |
| MAJ |
C |
| MIN |
D |
| No Effect |
E |
Cette norme identifie, en fonction du niveau de sécurité requis pour le système (appelé le FDAL, pour Functionnal Design Assurance Level, en anglais) et en fonction de l'architecture du système (simplex, redondant, dissymétriques ...), pour les items organiques du système, les niveaux nécessaires pour chacun d'eux (appelé le IDAL, pour Item Design Assurance Level, en anglais), en suivant les normes spécifiques : DO-178/ED-12 pour les logiciels, DO-254/ED-80 pour le matériel (hardware, en anglais).
