Couverture ElectroniqueS n°127

Répondre aux exigences de la norme DO-254 peut s'avérer laborieux et onéreux. Mais une familiarisation et une planification adéquates en amont peuvent faciliter considérablement le processus conduisant à l'agrément DO-254. S elon plusieurs sources industrielles, un projet conforme à la norme DO-254 peut coûter 1,5 à 4 fois plus cher que le même projet qui s'en affranchit. Pourquoi ce surcoût ? La plupart du temps, cette multiplication par quatre est le résultat d'un manque d'expérience vis-à-vis de cette norme, auquel peut s'ajouter l'insuffisance de méthodologies et de procédures par rapport à un flux structuré conforme à la DO-254. De surcroît, l'absence de planification adéquate du projet et des éléments venant attester la conformité du processus global peut se traduire par des audits négatifs nécessitant une reprise de conception et de nouvelles vérifications – autant de casse-tête nouveaux en perspective. Il est pourtant possible d'élaborer des projets conformes à la DO-254 sans dépasser les objectifs calendaires et budgétaires. Un projet conforme, bien planifié et exécuté, coûtera certes davantage et prendra plus de temps qu'un projet qui ignore cette norme. Mais il y a des moyens de limiter les coûts de manière acceptable. Encore faut-il d'abord se familiariser avec les concepts et éléments. À quoi sert la DO-254? Pour dire les choses simplement, la DO-254 est une norme de sécurité orientée processus qui énumère différentes exigences et s'applique à l'électronique installée à bord des aéronefs. D'un point de vue conceptuel, elle concerne tous les systèmes électroniques équipant les divers matériels volants susceptibles de s'écraser au sol, avec des risques concomitants pour le public. En fonction de leur niveau de criticité pour la sécurité, les différentes parties d'un aéronef se voient attribuer des niveaux d'assurance spécifiques, les DAL (Design Assurance Levels). Un système extrêmement critique hérite d'un DAL plus élevé, la désignation DAL A étant réservée aux systèmes les plus sensibles. Cette cri-ticité est déterminée par une évaluation de la sécurité de l'aéronef et des systèmes en interaction, afin d'établir le taux d'échecs ciblé. Dans le cadre de la DO-254, la différence entre DAL A et B est minime, raison pour laquelle on y fait fréquemment référence sous l'appellation couplée « DAL A/B » dans différents documents. La DO-254 étant une norme orientée processus, il est important de comprendre le schéma général de la figure 1 et le synoptique de la figure 2, que les autorités de certification sont en droit d'attendre. Entamons notre cheminement dans ce processus pour en expliciter chacune des étapes. Planification La planification est un volet critique de la certification DO-254. Il est important de documenter en amont le schéma général du projet et de se rapprocher du responsable de la certification afin d'obtenir son aval dès la phase initiale. Les plans de haut niveau sont généralement documentés dans le Plan for Hardware Aspects of Certification ou PHAC. Il doit inclure les différents aspects du projet, et la manière dont on compte satisfaire aux exigences de la DO-254. Exigences et validation En termes de conception et de vérification, la norme DO-254 adopte une approche basée sur les exigences. Cela signifie que l'ensemble du projet matériel s'articule autour d'un jeu formel d'exigences de haut niveau. Avant l'élaboration d'un RTL, chacune des exigences doit être écrite, se voir attribuer une référence unique et être examinée afin de passer en revue différents critères, notamment les aspects liés à la compréhension globale, aux capacités de test et de vérification, etc. Conception Au stade de la conception, un projet de grande ampleur sera décomposé en éléments plus petits et donc plus aisément gérables. Cela peut être, par exemple, un synoptique de haut niveau. Pour un système relativement simple, la phase de conception peut être contournée ou fusionnée avec la phase de conception détaillée. Conception détaillée C'est pendant cette phase qu'intervient le véritable travail de conception. Pour chaque élément détaillé dans la phase précédente de conception, la description matérielle RTL doit implémenter chacune des exigences requises et chaque exigence de haut niveau doit être «tracée» jusqu'au module RTL qui implémente cette exigence. Cette traçabilité pouvant être mise en œuvre de diverses manières, il incombe à l'équipe en charge de l'implémentation de déterminer l'approche souhaitée. L'équipe en charge de la vérification doit élaborer séparément des tests permettant de s'assurer que chaque exigence a bien été satisfaite par le RTL, y compris un message dans le fichier journal montrant le résultat attendu, le résultat effectif apparaissant dans la simulation, et le résultat final (réussite/échec). Chaque test doit également être associé à l'exigence de haut niveau, y compris les critères de réussite/échec (tous doivent bien sûr être réussis). Des essais aléatoires contraints peuvent également être mis en œuvre pour les conceptions plus complexes. Il convient toutefois d'être très attentif à la création d'éléments de couverture de vérification supplémentaires associés à l'ensemble des exigences. Si vous utilisez un outil de vérification avancé comme la plateforme Cadence vManager Metric-Driven Signoff, l'automatisation de traçabilité additionnelle requise est alors intégrée à l'outil. Implémentation Le processus d'implémentation est de toute évidence spécifique à la technologie utilisée. Pour une conception basée sur du RTL (circuits FPGA ou ASIC), la phase d'implémentation inclut le processus de synthèse pour la conversion du RTL en portes logiques réelles, spécifiques à la technologie. Dans le cas d'un circuit FPGA, cela inclut également la création du fichier de programmation qui sera chargé dans le FPGA. Pour un circuit ASIC, cette phase inclut les étapes de conception/vérification de back-end (placement, routage, vérification physique, etc.). Le point principal consiste ici à suivre le processus détaillé en amont dans le PHAC. La norme DO-254 permet de rester à haut niveau tout en documentant les activités pendant l'implé-mentation (notamment pour l'ASIC). La raison est simple : des tests importants seront effectués au niveau de la conception finale. Transfert vers la production Il s'agit ici de l'étape finale, lorsque la conception est transférée à la fabrication. Cette phase couvre généralement plusieurs aspects, tels que: - s'assurer que l'on utilise la version correcte du fichier de programmation pendant le processus de fabrication (FPGA) - s'assurer que l'on utilise le bon composant (ASIC et FPGA) - s'assurer que tous les errata sont traités de manière appropriée Cette partie du processus peut s'avérer passablement complexe et impliquer plusieurs systèmes remontant des informations aux outils de gestion d'exigences (tel que IBM DOORS). Il est donc très important de veiller à ce que le système final reçoive les résultats de tous les processus. Assurance des processus Outre votre plan qui sera conforme à la DO-254, vous devez également étayer la manière dont vous allez vous y conformer, généralement par le biais d'une Assurance Processus ou d'une Assurance Qualité. Ce plan précise la personne ou l'autorité responsable de l'Assurance Processus qui va contre-vérifier que le PHAC et autres plans sont bien suivis, et la manière dont cette vérification sera réalisée. Il est important de se rappeler que vous devez être en mesure de prouver que cette vérification a effectivement eu lieu, généralement en conservant une trace écrite des réunions internes, revues, audits, etc. Le responsable de la certification attend généralement que cette assurance soit réalisée par une personne ou un organisme qualifié et indépendant (par exemple quelqu'un disposant des connaissances nécessaires en matière de conception/vérification, mais extérieur à l'équipe de conception ou de vérification). Cette personne ou cet organisme doit également avoir le niveau d'autorité requis pour réaliser ce processus, et avoir accès aux ingénieurs et à l'environnement de conception. Gestion de la configuration Outre le plan d'Assurance Processus, vous devez également élaborer un plan de Gestion de la Configuration dans lequel vous préciserez la manière dont vous allez assurer la répétabi-lité du processus de développement et du processus de génération des artefacts. Cela inclut généralement des systèmes de contrôle de révision et de suivi des bugs pour tous les fichiers de conception/vérification, ainsi que l'ensemble de la documentation et des documents relatifs aux artefacts. La norme DO-254 souligne l'importance de suivre tous les artefacts de conception pendant la totalité du processus. Les responsables de la certification s'attendent à ce que les fichiers de conception et de vérification fassent l'objet de nombreuses itérations. Toutefois, dès lors que leur stabilité est assurée, vous devrez « référencer » (baseline) la conception. Dans les équipements électroniques commerciaux classiques, cela correspond au « gel » de conception – autrement dit, l'étape du calendrier de développement où tout changement encore à venir fait l'objet d'un contrôle étroit et d'une documentation adéquate, comme le montre la figure 3. Liaison avec les autorités de certification Une seule personne est habituellement choisie comme principal relais de communication avec les responsables de la certification. Ce point de contact unique permet de faciliter les échanges et de s'assurer que le responsable dispose d'une vision claire de l'ensemble du processus de conception. La personne qui sert de liaison doit généralement bénéficier d'une expérience préalable de la norme DO-254 et offrir les compétences requises pour communiquer les détails de manière à ce que le responsable de la certification puisse en appréhender aisément les différents éléments. Contrôles ciblés Bien que ne figurant pas dans le synoptique de la figure 1, les contrôles ciblés constituent un élément critique de la norme D0-254, et sont à ce titre une partie indispensable du schéma global. Dans la perspective de la norme, toutes les vérifications effectuées avec simulateur reposent sur un modèle du dispositif. Il n'existe toutefois aucune garantie que le modèle utilisé pour la simulation corresponde effectivement à l'électronique qui sera réellement installée à bord de l'aéronef. En outre, cette simulation, généralement limitée, n'inclut pas la physique réelle du matériel, comme la tension d'alimentation et les variations de tempéra-ture, la dégradation du signal, la charge capacitive, etc. Afin de s'assurer que l'électronique finale fonctionne comme prévu, vous devez, d'une manière ou d'une autre, démontrer que le dispositif présent sur le système cible installé à bord de l'aéronef répond effectivement aux exigences requises. Dans un monde idéal, le responsable de la certification souhaiterait voir toutes les exigences testées sur le dispositif final. Cela s'avère toutefois impossible la plupart du temps, dans la mesure où il faudrait pouvoir disposer d'une contrôlabilité et d'une capacité d'observation interne. En conséquence, il vous est possible de décider comment vous comptez gérer cette ultime procédure de test, par rapport aux exigences définies dans votre document PHAC, et engager une discussion approfondie avec votre responsable de la certification pour convenir d'un accord. Autorités de certification Quelles sont ces « autorités de certification» auxquelles il est ici régulièrement fait référence? Il y a de fait plusieurs per-sonnes avec lesquelles vous pouvez être amenés à interagir tout au long de votre projet. Les Designated Engineering Repre-sentatives (DER) et les Authorized Repre-sentatives (AR) sont habilités par la FAA à approuver une conception. Le DER constatera la conformité lorsque le projet global sera achevé et que tout sera en place. Le DER est généralement un consultant indépendant ou le collaborateur d'une entreprise. Quant à l'AR, son rôle est un peu plus récent. C'est généralement un salarié d'une plus grande entreprise. Lors des audits d'agrément en vue de l'obtention de la DO-254, vous aurez donc à traiter avec un DER ou un AR. Il vous appartient de recruter l'un de ces représentants officiels si vous vous chargez de gérer l'agrément de certification, mais mieux vaut vous adjoindre les services de cette personne au début du processus de planification. La FAA dispose également de responsables de la certification sur aéronef, les ACO (Aircraft Certification Offi-cers) qui ont pour mission de fournir conseils et directives sur les activités associées à la certification. Ils interviennent notamment lors des étapes suivantes: - agrément de conception et gestion de la certification - agréments US pour la production - questions associées àl'ingé-nierie et à l'analyse - enquête et publication de rapports sur les accidents, incidents et problèmes de maintenance sur aéronefs - supervision des DER «Ce n'est pas encore très clair…» Comprendre toutes les subtilités de la norme DO-254, et savoir comment obtenir l'agrément correspondant, s'avère mal-heureusement plus compliqué que d'avoir simplement à télécharger et à lire le document. En tout état de cause, la DO-254 ne représente qu'une partie de l'histoire. Des documents complémentaires clarifient, restreignent et limitent les applications de la DO-254. De surcroît, des documents ont été créés ultérieurement par d'autres organismes, comme le CAST (Commercial Aviation Safety Team) et l'AESA (Agence européenne pour la sécurité aérienne), ainsi que des directives additionnelles établies par des constructeurs aéronautiques comme Airbus et Boeing. Il existe également des pratiques industrielles couramment acceptées que les responsables de la certification s'attendent à trouver. Une compréhension minimale de chacun de ces documents, et de l'organisme qui est en à l'origine, s'avère donc importante, dans la mesure où ces documents limitent le champ d'application et clarifient différents détails nécessaires pour mener à bien un projet complet, conforme à la norme DO-254. La norme DO-254 a été élaborée dans les années 90 par un comité RTCA, avec pour objectif de s'appliquer à tous les niveaux des matériels, y compris les circuits imprimés, les résistances et les condensateurs, ainsi que divers circuits comme les FPGA et les ASIC. Si vous consultez le site RTCA et téléchargez la norme DO-254, vous allez rapidement avoir l'impression que le document s'applique à un nombre significatif de composants électroniques inclus dans votre propre système. Toutefois, lorsque la FAA a décidé en 2005 de rendre la DO-254 obligatoire, elle a choisi de limiter son application aux « composants micro-codés personnalisés complexes» – circuits logiques PAL, PLD, FPGA et circuits ASIC. Cela signifie, par exemple, qu'un circuit ASIC ou FPGA qui équipe votre carte doit répondre à cette norme, mais que la carte elle-même y échappe. Cela est expliqué dans le document FAA Advisory Circular intitulé «AC 20-152». Pour compliquer le tout, la FAA a ultérieurement publié l'Ordre 8110.105 pour tenter de clarifier les ambiguïtés de la norme DO-254, et a effectivement remédié à plusieurs lacunes. D'autres documents associés, comme l'AEH Job Aid4 qui répertorie différents questionnaires et instructions, ont pour but d'aider les observateurs autorisés par la FAA à auditer votre projet de matériel électronique embarqué. D'autres documents et organismes de certification jouent également un rôle dans l'ensemble de ce processus, mais ceux que nous venons de décrire sont les documents les plus critiques pour comprendre l'idée générale de la DO-254. Qui plus est, la norme DO-254 n'est pas une prescription –elle énonce uniquement ce qui doit être obtenu, mais ne dit pas comment le faire. Autres considérations Bien que cela ne soit pas explicitement détaillé dans la norme DO-254, les responsables de la certification s'attendent à ce que vous conceviez un système capable de faire face à des conditions particulièrement critiques, telles que les événements singuliers sur des machines d'états, la protection face à la corruption de la mémoire (ECC), la redondance d'un bloc ou sous-système lorsque jugé nécessaire pour réduire le taux de panne, l'isolation électrique des différents circuits DAL, de telle manière qu'un DAL de bas niveau ne vienne pas perturber son homologue de plus haut niveau, et beaucoup d'autres aspects que requièrent des environnements à haut niveau de fiabilité. Il est important de souligner ces sujets pour lutter contre la perception erronée selon laquelle la spécification DO-254 est strictement orientée processus à l'instar de l'ISO 90001. Dans vos plans, vous devez articuler chaque aspect que vous êtes susceptible d'ajouter à une conception de haut niveau et sa vérification, pour répondre aux besoins d'un dispositif essentiel à la sécurité, notamment si la conception s'inscrit dans le cadre du niveau de sécurité DAL A ou DAL B. Ne soyez pas surpris si l'autorité de certification soulève des problèmes que vous n'aviez pas encore envisagés et, en toute logique, s'attend à ce que vous ajustiez vos plans et méthodologie en conséquence. Si c'est la première fois que vous réalisez un projet devant répondre à la DO-254, et que cela vous pose quelques soucis, vous pouvez également vous adjoindre les services d'un DER qui interviendra comme consul-tant pour vous aider à élaborer vos plans initiaux, et la méthodologie correspondante. Vous pourrez ainsi éviter des surprises et de coûteux retards dans le lancement de votre projet. ¦

Aéronautique: mieux comprendre la norme DO-254

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure

Aéronautique: mieux comprendre la norme DO-254

Dans la même rubrique

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure