⚡ electrical engineering

Re-imagining ISO 26262 in the Age of Autonomous Vehicles: Enhancing Controllability through Transferability and Predictability

Cet article propose de réimaginer le critère de contrôlabilité de l'ISO 26262 pour les véhicules autonomes en le décomposant en dimensions mesurables de transférabilité et de prévisibilité, créant ainsi un cadre mathématique pour quantifier et falsifier les capacités de repli et les comportements d'interaction dans les systèmes sans conducteur.

Auteurs originaux : Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Publié 2026-06-08

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous enseigniez à un nouveau conducteur comment manipuler une voiture. Les règles de sécurité actuelles (appelées ISO 26262) ont été écrites pour les humains. Elles posent trois grandes questions pour décider du niveau de danger d'une situation :

Quelle pourrait être la gravité du crash ? (Sévérité)
À quelle fréquence cela arrive-t-il ? (Exposition)
Le conducteur peut-il diriger ou freiner pour l'éviter ? (Contrôlabilité)

Cette troisième question, « Le conducteur peut-il l'éviter ? », fonctionne très bien pour les humains. Mais que se passe-t-il quand on retire l'humain de la voiture pour le remplacer par un robot ? Le robot ne peut pas « diriger » de la même manière qu'un humain réagit, et il n'y a pas d'humain pour « prendre le relais » si le robot est confus.

Cet article propose une nouvelle façon de répondre à cette troisième question pour les voitures autonomes. Au lieu de demander « Un humain peut-il contrôler cela ? », il divise la réponse en deux nouvelles parties mesurables : la Transférabilité et la Prédictibilité.

Voici la décomposition en utilisant des analogies simples :

1. La Transférabilité : Le « Plan de secours d'urgence »

Dans une voiture humaine, la « Contrôlabilité » concerne la vitesse de réaction d'un humain. Dans une voiture autonome, nous devons savoir : Si le cerveau principal échoue, le système de secours de la voiture peut-il prendre le relais en toute sécurité ?

L'analogie : Imaginez un pilote volant un avion. Si l'autopilote échoue, le pilote doit pouvoir saisir les commandes et atterrir l'avion en toute sécurité. Dans une voiture autonome, le « pilote » est le logiciel de secours.
La thèse de l'article : Les auteurs appellent cela la Transférabilité. Elle mesure la capacité de la voiture à transférer le contrôle de son système principal vers un « filet de sécurité » (un mécanisme de repli) avant qu'un désastre ne survienne.
L'« Écart » (∆T) : L'article introduit un concept appelé « l'écart entre le conçu et l'atteignable ».
- Conçu : Ce que les ingénieurs pensent que le système de secours peut faire sur papier.
- Atteignable : Ce que le système de secours fait réellement lorsqu'il est testé dans des situations réelles et complexes (comme la pluie, les routes bloquées ou l'éblouissement).
- Si la performance en conditions réelles est moins bonne que la conception, il y a un « écart ». L'article soutient que nous devons mesurer cet écart honnêtement plutôt que de simplement faire confiance aux dessins de conception.

2. La Prédictibilité : L'« Intention claire »

La deuxième partie du problème est que les voitures autonomes ne doivent pas seulement être sûres à l'intérieur d'elles-mêmes ; elles doivent aussi être sûres avec les autres personnes. Si une voiture s'arrête soudainement ou bouge de manière étrange, les piétons et les autres conducteurs pourraient être confus et paniquer.

L'analogie : Imaginez que vous marchez dans une rue animée. Vous pouvez dire qu'une personne est sur le point de traverser la route parce qu'elle vous regarde, fait un pas en avant et vous fait signe de la main. Vous pouvez « prédire » son mouvement. Si quelqu'un marchait vers vous, s'arrêtait, tournait en rond, puis courait en arrière, vous ne sauriez pas ce qu'il fait, et vous pourriez trébucher ou vous blesser.
La thèse de l'article : Les auteurs appellent cela la Prédictibilité. Elle mesure la facilité avec laquelle un piéton ou un autre conducteur peut deviner ce que la voiture autonome va faire ensuite.
Comment cela fonctionne : L'article suggère de vérifier quatre éléments pour voir si la voiture est « prévisible » :
1. Contexte : La voiture se déplace-t-elle comme une voiture normale dans cette situation ?
2. Intention : Est-il clair ce que la voiture veut faire ? (ex: tourner à gauche vs aller tout droit).
3. Signaux : Les clignotants et les feux de freinage correspondent-ils au mouvement réel de la voiture ?
4. Surprise : La voiture a-t-elle fait un mouvement soudain et saccadé que personne ne pouvait expliquer ?

Synthèse : Le nouveau score de sécurité

L'article suggère de combiner ces deux nouveaux scores (Transférabilité et Prédictibilité) pour créer une version améliorée et mise à jour de l'ancien score de « Contrôlabilité ».

La logique : Si une voiture possède un excellent plan de secours (Haute Transférabilité) mais conduit de manière confuse et saccadée (Faible Prédictibilité), elle reste dangereuse.
Le résultat : L'article crée une formule mathématique pour mélanger ces scores. Si la voiture est bonne dans les deux cas, elle obtient une note de « sécurité ». Si elle échoue à l'un des deux, la note de sécurité chute, et la voiture doit être réparée ou limitée à des routes plus simples.

Pourquoi cela importe

Les auteurs ne disent pas que les anciennes règles sont mauvaises ; ils disent que les anciennes règles ont été construites pour les humains, et que les voitures autonomes sont différentes.

Ancienne règle : « Le conducteur humain peut-il réparer cela ? »
Nouvelle règle : « Le système de secours de la voiture peut-il le réparer (Transférabilité) ET les gens autour d'elle peuvent-ils comprendre ce que la voiture fait (Prédictibilité) ? »

En mesurant ces deux choses, les régulateurs et les ingénieurs peuvent prouver qu'une voiture autonome est sûre non seulement parce qu'elle possède de bons capteurs, mais parce qu'elle dispose d'un plan de secours fiable et qu'elle se comporte d'une manière compréhensible pour les humains.

Note importante de l'article :
Les auteurs précisent avec prudence qu'il s'agit d'une proposition pour mettre à jour les règles, et non d'une loi achevée. Ils soulignent que ces nouveaux scores sont destinés à ajouter aux contrôles de sécurité existants, et non à permettre aux entreprises de sauter le travail difficile consistant à rendre les voitures sûres. Ils avertissent également que l'on ne peut pas simplement utiliser le même programme informatique pour concevoir la voiture et ensuite tester si la voiture est prévisible ; le test doit être indépendant pour être digne de confiance.

Résumé Technique : Réimaginer l'ISO 26262 à l'ère des véhicules autonomes

Énoncé du Problème

La norme ISO 26262 fournit un cadre complet pour la sécurité fonctionnelle des véhicules routiers, fondamentalement ancré dans un paradigme de conduite humaine. Son modèle d'évaluation des risques repose sur trois paramètres : la Sévérité (S), l'Exposition (E) et la Contrôlabilité (C). Le paramètre « Contrôlabilité » estime spécifiquement la probabilité qu'un conducteur humain puisse atténuer un événement dangereux grâce à une réaction opportune.

Cette hypothèse centrée sur le conducteur devient invalide pour les véhicules autonomes (VA) de niveaux SAE 4 et 5, où aucun opérateur humain n'est disponible pour intervenir pendant la tâche de conduite dynamique. Par conséquent, la métrique de Contrôlabilité traditionnelle ne peut pas être directement appliquée aux systèmes sans conducteur. Le document identifie une lacune critique : les normes existantes manquent d'une méthode systématique pour décomposer et quantifier la « contrôlabilité » en l'absence d'un conducteur humain, nécessissant une réinterprétation de la manière dont l'atténuation des dangers et le contrôle situationnel sont évalués pour les systèmes autonomes.

Méthodologie

Les auteurs proposent une extension méthodologique de l'ISO 26262 qui décompose le substitut de la Contrôlabilité en deux sous-dimensions auditables et mesurables : la Transférabilité et la Prédictibilité. Ces dimensions sont conçues pour compléter, plutôt que remplacer, les processus existants de l'ISO 26262 et s'aligner sur l'ISO/PAS 21448 (SOTIF).

1. Transférabilité (Capacité du Système)

La transférabilité redéfinit la Contrôlabilité d'une réaction humaine en une capacité de système. Elle est formellement définie comme la capacité d'un VA à exécuter une transition sûre et opportune d'une autonomie primaire vers un mécanisme de repli dédié au sein de l'intervalle de temps de tolérance aux pannes (FTTI), atteignant une condition de risque minimal sans introduire de nouveaux dangers.

Formalisation : La transférabilité ( $T$ ) est modélisée comme une fonction du contexte opérationnel : $T = T(o, f, s, m, \tau_{FTTI})$ , où $o$ est une tranche du domaine de conception opérationnelle (ODD), $f$ est la famille de pannes, $s$ est l'état de la scène, $m$ est la classe de manœuvre de risque minimal (MRM) et $\tau_{FTTI}$ est l'intervalle de temps.
Tuple de Preuve ( $E_T$ ) : Les affirmations sont étayées par un tuple de preuve spécifique enregistrant la latence de détection, la latence d'initiation, le temps de succès de la MRM, la conformité de la zone d'arrêt et la probabilité de succès par demande avec intervalles de confiance.
Écart entre le Conçu et l'Achievable ( $\Delta T$ ) : Le document introduit une métrique pour distinguer les revendications de repli architectural ( $T_{conçu}$ ) et la capacité réalisable selon la scène ( $T_{réalisable}$ ). L'écart $\Delta T = T_{réalisable} - T_{conçu}$ est calculé sur une échelle ordinale ( $T_0$ à $T_3$ ) pour identifier où les limitations environnementales ou contextuelles dégradent les performances par rapport aux attentes de conception.
Classification : La transférabilité est classée en quatre niveaux ( $T_0$ – $T_3$ ) basés sur la borne inférieure de confiance de la probabilité de succès de la MRM, conditionnée par des tranches d'ODD et des familles de pannes spécifiques.

2. Prédictibilité (Dimension d'Interaction Externe)

La prédictibilité traite de la sécurité des interactions entre le VA et les autres usagers de la route (piétons, cyclistes, autres conducteurs). Elle quantifie la mesure dans laquelle ces agents externes peuvent anticiper le comportement futur proche du VA en se basant sur un mouvement, des signaux et un contexte observables avant de devoir s'engager dans leur propre réponse.

Formalisation : La prédictibilité est définie via un modèle de référence de mouvement attendu ( $p_{ref}$ ) et un modèle d'observateur pour l'inférence de l'objectif ( $p(g | \xi_{0:t}, c, a)$ ).
Moniteur de Vecteur ( $M_P$ ) : La prédictibilité est évaluée via quatre canaux de diagnostic :
1. Conformité Contextuelle ( $Q_{conf}$ ) : Mesure à quel point la trajectoire correspond à la distribution de référence déclarée.
2. Clarté de l'Intention ( $S_{intent}$ ) : Quantifie la réduction de l'ambiguïté dans l'inférence de l'objectif de l'observateur (basée sur l'entropie de Shannon).
3. Cohérence des Signaux ( $S_{signal}$ ) : Évalue l'alignement entre les clignotants, les feux de freinage et le mouvement réel.
4. Surprise Cinématique ( $S_{kin}$ ) : Détecte les secousses inexpliquées, les freinages brusques ou les hésitations.
Agrégation : Ces canaux sont agrégés en une classe ordinale ( $P_0$ – $P_3$ ) en utilisant une règle de « pire canal », où un seul échec dans un canal peut dégrader la classe globale.

3. Contrôlabilité Unifiée Améliorée ( $C_u$ )

Le document propose un calcul unifié pour la Contrôlabilité dans les contextes sans conducteur ( $C_u$ ) en composant la Transférabilité ( $T$ ) et la Prédictibilité ( $P$ ).

Règle de Composition : Les auteurs suggèrent une règle de pénalité additive : $C_u = \min(3, T + \Delta P)$ , où $\Delta P$ est une pénalité dérivée de la classe de Prédictibilité.
Intégration : Cette classe unifiée $C_u$ est rapportée aux côtés des paramètres de Sévérité et d'Exposition standards dans l'analyse des dangers et l'évaluation des risques (HARA) en tant que preuve supplémentaire. Elle ne remplace pas la détermination normative de l'ASIL mais l'informe avec des données auditables et conditionnées par les scénarios.

Principales Contributions

Le document apporte trois contributions méthodologiques principales :

Formalisation de la Transférabilité : Il étend la construction de la Contrôlabilité pour les contextes sans conducteur en évaluant la performance de la manœuvre de risque minimal (MRM) par rapport aux intervalles de temps de tolérance aux pannes, introduisant l'écart entre le « Conçu » et le « Réalisable » ( $\Delta T$ ) pour rendre les revendications de repli falsifiables et traçables.
Établissement de la Prédictibilité : Il définit la prédictibilité comme une dimension quantifiable de la sécurité des usagers de la route externes, capturant à la fois la conformité aux modèles de mouvement attendus et la clarté de la communication d'intention, soutenue par un moniteur de vecteur à quatre canaux.
Méthodologies de Validation : Il propose des critères d'acceptation et des méthodes de validation spécifiques, incluant des tests d'injection de fautes pour la Transférabilité et des études d'observateurs humains (ou des modèles d'observateurs calibrés) pour la Prédictibilité, permettant leur adoption comme métriques falsifiables au sein des cycles de vie de sécurité ISO 26262 et SOTIF.

Résultats et Cadre Proposé

Le document ne présente pas de résultats expérimentaux empiriques issus du déploiement d'un véhicule spécifique, mais établit plutôt un cadre théorique et procédural. Les « résultats » sont les définitions proposées, les formulations mathématiques et les points d'intégration :

Tableaux de Classification : Le document définit des classes de rapport non normatives pour la Transférabilité ( $T_0$ – $T_3$ ) et la Prédictibilité ( $P_0$ – $P_3$ ) avec des critères d'acceptation qualitatifs (ex: $T_0$ exige des transitions sans couture et opérationnelles en cas de panne ; $P_0$ exige que tous les canaux restent dans les limites calibrées).
Cartographie Unifiée : Un tableau de correspondance (Tableau IV) démontre comment les combinaisons de classes de Transférabilité ( $T$ ) et de Prédictibilité ( $P$ ) aboutissent à une classe de Contrôlabilité unifiée ( $C_0$ – $C_3$ ), préservant l'échelle ordinale de l'ISO 26262.
Amendements à l'ISO 26262 : Les auteurs décrivent des amendements spécifiques et concis à travers les parties 1 à 10 de l'ISO 26262. Cela inclut l'ajout de définitions pour la Transférabilité et la Prédictibilité, la mise à jour du HARA pour enregistrer les évaluations $T$ et $P$ , et l'exigence de moniteurs indépendants pour la conception du planificateur afin d'éviter les dépendances circulaires entre les signaux d'entraînement et les preuves de sécurité.

Signification et Revendications

Le document affirme que son cadre offre une voie évolutive et fondée sur des preuves pour certifier la sécurité des systèmes hautement automatisés (L4) et totalement autonomes (L5). Sa signification réside dans :

Préservation des Normes : Il maintient la structure et l'intention de l'ISO 26262 tout en étendant son applicabilité aux systèmes sans conducteur, évitant ainsi la nécessité d'une toute nouvelle norme.
Pont entre les Disciplines : Il harmonise la sécurité fonctionnelle (ISO 26262) avec la SOTIF (ISO 21448) en quantifiant à la fois le contrôle intrinsèque du système (Transférabilité) et la compréhension humaine externe (Prédictibilité).
Falsifiabilité : En introduisant des métriques mesurables comme $\Delta T$ et le moniteur de vecteur $M_P$ , le cadre rend les revendications de repli et d'interaction falsifiables et traçables à travers des tranches d'ODD spécifiques, s'éloignant des revendications de sécurité opaques et agrégées.
Indépendance : Le document souligne que la conception du planificateur et les preuves de sécurité doivent rester indépendantes ; utiliser les métriques de Prédictibilité comme récompenses d'entraînement ne doit pas compromettre la validité de la preuve de sécurité.

Les auteurs déclarent explicitement que ces propositions sont des recommandations de recherche pour les organismes de normalisation et ne constituent pas des exigences normatives ou ne reflètent pas la posture de conformité de leurs employeurs. Ils reconnaissent les limites, notant que les cibles numériques sont spécifiques aux scénarios et nécessitent un recalibrage, et que le cadre ne propose pas d'assouplir les exigences ASIL sur la base de scores élevés de Transférabilité ou de Prédictibilité.