Métriques Matérielles ISO 26262 : PMHF, SPFm et LFm Expliqués

Imaginez qu'un constructeur automobile vient de subir un rappel coûteux de 200 000 véhicules à cause d'une défaillance d'un composant matériel dans le système de freinage d'urgence automatique (AEB). L'enquête révèle qu'une simple résistance de 2 euros avait un taux de défaillance plus élevé que prévu, compromettant la sécurité fonctionnelle de tout le système. Comment éviter de tels scénarios? La réponse réside dans une compréhension approfondie des métriques matérielles de l'ISO 26262.

Les métriques matérielles constituent le fondement mathématique de l'évaluation de la sécurité fonctionnelle dans l'industrie automobile. Elles permettent de quantifier objectivement le risque et de démontrer la conformité aux exigences de sécurité.

Qu'est-ce que les Métriques Matérielles dans l'ISO 26262?

Les métriques matérielles sont des mesures quantitatives définies par la norme ISO 26262 pour évaluer l'intégrité de sécurité des systèmes électroniques automobiles. Ces métriques fournissent des preuves objectives que votre conception matérielle répond aux exigences du niveau d'intégrité de sécurité automobile (ASIL) requis.

L'ISO 26262 définit trois métriques clés qui forment les trois piliers de la sécurité matérielle:

• PMHF (Probabilistic Metric for random Hardware Failures) : Quantifie le risque cumulé de défaillances matérielles aléatoires
• SPFm (Single Point Fault Metric) : Mesure la robustesse contre les défauts de point unique
• LFm (Latent Fault Metric) : Évalue la capacité de détection des défauts latents

Ces métriques s'appliquent uniquement aux éléments matériels liés à la sécurité, c'est-à-dire ceux qui peuvent causer ou prévenir une violation d'un objectif de sécurité. Les éléments non liés à la sécurité (comme les LEDs d'état ou les interfaces de débogage) sont exclus des calculs.

PMHF : La Métrique Probabiliste des Défaillances Matérielles

Le PMHF représente la probabilité moyenne par heure qu'une défaillance matérielle aléatoire conduise à la violation d'un objectif de sécurité. Cette métrique est exprimée en FIT (Failures In Time, défaillances par 10⁹ heures) et constitue le budget de risque global de votre système.

Formule de Base du PMHF

La formule fondamentale du PMHF est :

PMHF = Σ(λ × τ × P)

Où :

• λ (lambda) : Taux de défaillance du composant en FIT
• τ (tau) : Temps de mission ou durée d'exposition
• P : Probabilité que la défaillance conduise à un événement dangereux

Objectifs PMHF par ASIL

Les cibles PMHF varient selon le niveau ASIL :

• ASIL B : < 10⁻⁷ par heure
• ASIL C : < 10⁻⁷ par heure
• ASIL D : < 10⁻⁸ par heure

Point clé : Une valeur PMHF plus faible indique un système plus sûr. Pour un système ASIL D, vous devez prouver que la probabilité d'une défaillance dangereuse est inférieure à une chance sur 100 millions par heure d'utilisation.

SPFm et LFm : Les Métriques de Couverture Diagnostique

Alors que le PMHF établit le budget de risque global, le SPFm et le LFm garantissent que des mécanismes de sécurité appropriés sont en place pour détecter et contrôler les défaillances.

SPFm (Single Point Fault Metric)

Le SPFm mesure la capacité du système à éviter les défaillances de point unique qui peuvent directement conduire à un événement dangereux. Il est calculé comme :

SPFm = 1 - (Σλ_SPF + Σλ_RF) / Σλ_total

Où λ_SPF représente les taux de défaillance de point unique et λ_RF les défauts résiduels.

LFm (Latent Fault Metric)

Le LFm évalue la détection des défauts latents (dormants) qui pourraient se combiner avec d'autres défaillances pour créer des situations dangereuses :

LFm = 1 - Σλ_MPF,latent / Σλ_MPF

Conseil pratique : Commencez par calculer le PMHF pour établir votre budget de sécurité global, puis utilisez SPFm et LFm pour vous assurer d'une couverture de défaut adéquate. Les trois métriques doivent être conformes pour la conformité ASIL.

Où Trouver les Métriques Matérielles dans l'ISO 26262?

Les métriques matérielles sont principalement définies dans plusieurs parties de l'ISO 26262 :

• Partie 5, Clauses 8 et 9 : Définitions détaillées des métriques PMHF, SPFm et LFm
• Partie 5, Annexe B : Méthodes de calcul et exemples pratiques
• Partie 10 : Approche alternative pour le calcul PMHF
• Partie 5, Tableaux 4, 5 et 6 : Objectifs quantitatifs par ASIL

Ces sections fournissent non seulement les formules mathématiques, mais aussi des orientations sur la classification des modes de défaillance, l'évaluation de la couverture diagnostique, et l'application pratique des métriques dans différents contextes architecturaux.

Application Pratique : Exemple d'un Système EPS

Considérons un système de direction assistée électrique (EPS) ASIL C. Voici comment appliquer les métriques matérielles :

Étape 1 : Identification des Éléments Liés à la Sécurité

• Microcontrôleur principal (MCU)
• Capteur de couple de direction
• Moteur électrique et son driver
• Circuits d'alimentation critique

Étape 2 : Classification des Modes de Défaillance

• Défaillances sûres : Perte totale d'assistance (retour à la direction manuelle)
• Défaillances de point unique : Assistance dans la mauvaise direction
• Défaillances multi-points : Combinaisons de défauts latents

Étape 3 : Calcul des Métriques

Pour un système EPS ASIL C, vous devrez démontrer :

• PMHF < 10⁻⁷ par heure
• SPFm ≥ 97%
• LFm ≥ 80%

Insight technique : Dans un système EPS, la redondance du capteur de couple et la surveillance croisée entre le MCU principal et un MCU de sécurité sont essentielles pour atteindre ces objectifs SPFm et LFm.

Liste de Contrôle pour l'Évaluation des Métriques Matérielles

Voici une checklist pratique pour évaluer correctement vos métriques matérielles :

Préparation

• ✓ Déterminer l'ASIL requis basé sur l'analyse HARA
• ✓ Identifier la frontière du système et les éléments liés à la sécurité
• ✓ Collecter les données de taux de défaillance (λ) des composants
• ✓ Définir le temps de mission et les conditions d'utilisation

Classification des Défaillances

• ✓ Catégoriser chaque mode de défaillance (sûr, point unique, multi-point)
• ✓ Évaluer la couverture diagnostique de chaque mécanisme de sécurité
• ✓ Documenter les hypothèses sur le comportement des défaillances

Calculs et Vérification

• ✓ Appliquer les formules PMHF, SPFm, et LFm
• ✓ Vérifier que toutes les métriques respectent les cibles ASIL
• ✓ Effectuer une analyse de sensibilité sur les paramètres critiques
• ✓ Documenter la justification pour les exclusions d'éléments

Cette approche systématique garantit une évaluation complète et traçable de vos métriques matérielles, condition essentielle pour la certification ISO 26262.

Évolution vers les Architectures Centralisées

L'industrie automobile évolue vers des véhicules définis par logiciel (SDV) avec des ordinateurs haute performance (HPC) centralisés. Cette transformation ne réduit pas la complexité, elle la transforme : nous passons d'une complexité matérielle distribuée à une complexité computationnelle centralisée.

Dans ces nouvelles architectures, les métriques matérielles doivent tenir compte de :

• Densité computationnelle accrue : Un seul HPC gère plusieurs fonctions critiques
• Couches de virtualisation : Hyperviseurs exécutant des charges de travail de criticité mixte
• Ressources partagées : L'isolation des défaillances devient cruciale
• Budgétisation PMHF complexe : Allocation du budget de risque entre partitions logicielles

Considération clé : Une défaillance d'un seul HPC peut maintenant affecter simultanément plusieurs fonctions véhicule, rendant l'évaluation PMHF et l'isolation des défauts à travers les partitions logicielles essentielles.

Conclusion : Maîtriser les Métriques pour la Sécurité

Les métriques matérielles PMHF, SPFm et LFm ne sont pas de simples calculs mathématiques, elles représentent la fondation quantitative de la sécurité fonctionnelle automobile. Leur maîtrise permet aux ingénieurs de prendre des décisions architecturales éclairées, d'optimiser les conceptions, et de démontrer la conformité réglementaire avec confiance.

L'évolution vers les architectures centralisées ne diminue pas l'importance de ces métriques, elle les rend encore plus critiques. Dans un monde où un seul composant peut impacter la sécurité de multiples fonctions véhicule, une évaluation rigoureuse des métriques matérielles devient votre meilleur allié pour garantir la sécurité et éviter les rappels coûteux.

Pour approfondir votre expertise en métriques matérielles et découvrir des techniques avancées de calcul, des études de cas détaillées et des outils pratiques, explorez notre concept complet Everything About Hardware Metrics sur la plateforme ISO 26262 Academy. Vous y trouverez des explications détaillées, des exemples interactifs et des guides pratiques pour maîtriser ces concepts essentiels à la sécurité fonctionnelle.

Abréviations et Définitions Clés

• ASIL - Automotive Safety Integrity Level, niveau d'intégrité de sécurité automobile défini par l'ISO 26262
• EPS - Electric Power Steering, système de direction assistée électrique
• FIT - Failures In Time, unité de mesure des taux de défaillance (défaillances par 10⁹ heures)
• HARA - Hazard Analysis and Risk Assessment, analyse des dangers et évaluation des risques
• HPC - High Performance Computer, ordinateur haute performance utilisé dans les architectures centralisées
• LFm - Latent Fault Metric, métrique des défauts latents
• MCU - Microcontroller Unit, unité de microcontrôleur
• PMHF - Probabilistic Metric for random Hardware Failures, métrique probabiliste des défaillances matérielles aléatoires