Métiers & secteurs

Ferroviaire et automobile : sûreté de fonctionnement, EN 50126 et ISO 26262

Métiers & secteurs · Publié le 2026-10-24

Dans le ferroviaire comme dans l'automobile, un défaut de conception peut coûter des vies. Les deux secteurs ont donc développé leurs propres référentiels de sûreté de fonctionnement, issus d'une même matrice, la norme générique IEC 61508 sur la sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables. Pour l'ingénieur système, ces normes ne sont pas un sujet à part : elles structurent les exigences, l'architecture et la vérification.

Une logique commune : du danger à l'exigence

Les référentiels de sûreté des deux secteurs partagent un raisonnement :

1. identifier les dangers que le système peut créer, dans toutes ses situations d'emploi ;
2. évaluer le risque associé à chacun, selon la gravité des conséquences et d'autres facteurs (exposition, probabilité, possibilité d'éviter l'accident) ;
3. fixer des objectifs de sécurité et un niveau d'intégrité, qui détermine la rigueur exigée pour les fonctions concernées ;
4. décliner ces objectifs en exigences de sécurité allouées à l'architecture, au matériel et au logiciel ;
5. démontrer, par la vérification, la validation et un dossier de sécurité, que les objectifs sont atteints.

C'est exactement le chemin de l'ingénierie système, de l'analyse du besoin à la vérification, appliqué à la sécurité. La démarche aéronautique, avec ses niveaux d'assurance du développement, suit une logique voisine.

Le ferroviaire : la famille EN 5012x et ses évolutions

Les normes ferroviaires de sûreté de fonctionnement sont publiées par le Comité européen de normalisation électrotechnique (CENELEC) et reprises en normes françaises.

EN 50126 : la démarche RAMS

Elle définit la démarche de fiabilité, disponibilité, maintenabilité et sécurité (RAMS) sur tout le cycle de vie d'un système ferroviaire, avec un cycle de vie en phases et les activités de sûreté associées à chacune. Sa révision de 2017 est publiée en deux parties : le processus RAMS général, et l'approche système de la sécurité.

EN 50129 : les systèmes électroniques de sécurité

Elle porte sur les systèmes électroniques liés à la sécurité pour la signalisation, et précise le contenu du dossier de sécurité qui démontre leur aptitude.

EN 50716 : le logiciel

Publiée par le CENELEC en novembre 2023, elle unifie les exigences de développement du logiciel ferroviaire, auparavant réparties entre l'EN 50128 (signalisation et contrôle-commande) et l'EN 50657 (logiciel embarqué du matériel roulant), qu'elle remplace. Une période de transition est prévue : l'avant-propos de la reprise autrichienne, par exemple, indique le 30 octobre 2026 comme date de retrait (dow) jusqu'à laquelle les anciennes normes peuvent encore être appliquées. Elle définit des niveaux d'intégrité allant de l'intégrité de base aux niveaux SIL 1 à SIL 4.

À ces normes s'ajoute le cadre réglementaire européen : directive (UE) 2016/797 sur l'interopérabilité du système ferroviaire, directive (UE) 2016/798 sur la sécurité ferroviaire et règlement d'exécution (UE) n° 402/2013 relatif à la méthode de sécurité commune pour l'évaluation et l'appréciation des risques. En France, l'Établissement public de sécurité ferroviaire (EPSF) est l'autorité nationale de sécurité. Les textes européens sont consultables sur EUR-Lex.

Les niveaux SIL

Le niveau d'intégrité de sécurité (SIL, pour Safety Integrity Level) exprime la rigueur requise pour une fonction de sécurité, de SIL 1 à SIL 4, ce dernier étant le plus exigeant. Il découle de l'analyse de risque et se traduit par des objectifs quantitatifs de défaillance pour le matériel, et par des exigences de processus (méthodes, vérifications, indépendance des équipes) pour le logiciel. Un système d'enclenchement qui commande les aiguillages et les signaux relève typiquement des niveaux les plus élevés.

L'automobile : ISO 26262 et au-delà

La norme ISO 26262, « Véhicules routiers — Sécurité fonctionnelle », est la déclinaison automobile de l'IEC 61508. Sa deuxième édition, publiée en décembre 2018, comporte douze parties, du vocabulaire aux lignes directrices, en passant par la gestion de la sécurité, la phase de concept, le développement au niveau système, matériel et logiciel, la production, les processus de support, l'analyse orientée ASIL, l'application aux semi-conducteurs et l'adaptation aux motocycles. Son domaine couvre les systèmes électriques et électroniques liés à la sécurité des véhicules routiers de série, les cyclomoteurs étant exclus.

Elle définit des niveaux ASIL (Automotive Safety Integrity Level), de A à D, D étant le plus exigeant, auxquels s'ajoute la catégorie QM (gestion de la qualité courante) pour les fonctions sans exigence de sécurité particulière. L'ASIL est déterminé lors de l'analyse des dangers et de l'évaluation des risques, à partir de trois paramètres : la gravité, l'exposition à la situation et la contrôlabilité par le conducteur.

Trois compléments devenus incontournables

• ISO 21448 (SOTIF) : la sécurité de la fonction attendue traite des risques qui ne viennent pas d'une panne mais des limites de la fonction elle-même, par exemple un capteur qui interprète mal une scène. Elle est essentielle pour les aides à la conduite et la conduite automatisée.
• ISO/SAE 21434 : l'ingénierie de la cybersécurité des véhicules routiers, sur tout le cycle de vie.
• Les règlements n° 155 et n° 156 de l'ONU sur la cybersécurité et les mises à jour logicielles, adoptés dans le cadre de la Commission économique des Nations unies pour l'Europe et rendus applicables dans l'Union européenne pour l'homologation des véhicules.

Pour l'ingénieur système automobile, ces textes multiplient les points de vue à tenir cohérents dans l'architecture : sécurité fonctionnelle, sécurité de la fonction attendue, cybersécurité, et bien sûr performance et coût.

Ce que la modélisation apporte

Les deux secteurs exigent une traçabilité serrée entre dangers, objectifs de sécurité, exigences, architecture et vérification, ainsi qu'une analyse rigoureuse des défaillances. Un modèle d'architecture partagé facilite plusieurs activités : allouer les exigences de sécurité aux éléments, vérifier l'indépendance d'éléments redondants (qu'ils ne partagent pas une alimentation, un logiciel ou un câblage), préparer les analyses de défaillance à partir de la structure réelle, et mettre à jour ces analyses quand l'architecture change. Les compétences correspondantes sont décrites dans notre article sur le métier d'ingénieur système, et les voies pour les acquérir dans se former à l'ingénierie système. Pour ceux qui envisagent un poste dans l'un des grands bassins industriels, notre guide où s'installer près des grands pôles industriels passe en revue communes, transports et logement.

À lire ensuite

Plus dans Métiers & secteurs

Métiers & secteurs

L'ingénierie système en aéronautique

CS-25, ARP4754B, ARP4761A, DO-178C, DO-254 : comment les référentiels s'emboîtent, et ce qu'ils demandent.

Métiers & secteurs

Le métier d'ingénieur système

Missions, compétences, intitulés voisins et évolutions : le métier, au-delà de l'intitulé.

Métiers & secteurs

Se former à l'ingénierie système

Masters, mastères spécialisés, formation continue et certifications : les parcours, et comment les choisir.