Sécurité, redondance et réglementation

Dernière modification : août 08, 2026

La sécurité est une affirmation structurée portant sur une fonction, un véhicule, un domaine d’utilisation et une version définis, étayée par des preuves avant le déploiement puis par des données surveillées après celui-ci. Elle englobe la sécurité fonctionnelle, les limites des capteurs, les facteurs humains, la cybersécurité, l’exploitation et la réglementation ; aucune démonstration, aucun essai ni aucun kilométrage ne couvre à lui seul l’ensemble de ces aspects.

Commencer par un dossier de sécurité

Un dossier de sécurité est une argumentation raisonnée, étayée par des preuves, selon laquelle un système présente un niveau de sécurité acceptable pour un usage et un environnement précis. Il relie les affirmations de haut niveau aux dangers, exigences, essais, résultats et mesures d’exploitation.

Son périmètre doit être exact. Les preuves réunies pour un service à basse vitesse par temps sec n’établissent pas la sécurité sur autoroute sous la neige. Les preuves relatives à une plateforme de véhicule ou à une version logicielle ne se transfèrent pas automatiquement à une autre.

Les développeurs utilisent différents cadres, mais un dossier de sécurité crédible doit au minimum traiter les points suivants :

  • comportement compétent en fonctionnement normal ;
  • détection et gestion des défaillances ;
  • limites de la fonctionnalité prévue et de la perception ;
  • interaction sûre avec les utilisateurs et les autres usagers de la route ;
  • pratiques d’exploitation, maintenance et réponse aux incidents ;
  • cybersécurité et mises à jour logicielles maîtrisées ; et
  • preuves que le risque en service reste acceptable.

Les synthèses publiques facilitent l’examen critique, mais elles ne constituent pas le dossier complet et ne remplacent pas l’évaluation réglementaire.

Plusieurs disciplines de sécurité se chevauchent

La sécurité fonctionnelle traite des dangers provoqués par le dysfonctionnement des systèmes électriques et électroniques. La norme ISO 26262 fournit le cadre du cycle de vie automobile pour ce travail.

La sécurité de la fonctionnalité prévue, couverte par l’ISO 21448, traite des dangers qui apparaissent lorsque le système fonctionne comme prévu, mais que la spécification, les performances des capteurs ou l’algorithme ne suffisent pas dans la situation rencontrée.

La sécurité de l’IA dans les véhicules routiers, traitée par l’ISO/PAS 8800, couvre les risques liés aux insuffisances des sorties de l’IA, aux erreurs systématiques et aux défaillances matérielles aléatoires.

L’ingénierie de la cybersécurité, couverte par l’ISO/SAE 21434, gère les risques de cybersécurité du véhicule tout au long de son cycle de vie.

Ces disciplines se complètent et ne se remplacent pas. Une caméra parfaitement fiable peut néanmoins être incapable de classer une scène inédite. Un modèle de perception performant peut rester dangereux si une mise à jour compromise le modifie.

La redondance doit répondre à la défaillance

La redondance n’est utile que si la voie de secours résiste à la défaillance considérée. Deux calculateurs alimentés par une seule source ne protègent pas contre la perte de cette alimentation. Deux caméras placées derrière le même obstacle ne protègent pas contre une vision obstruée.

Les architectures à automatisation élevée peuvent séparer :

  • les circuits d’alimentation électrique et de communication ;
  • les modalités de détection et les champs de vision ;
  • le calcul principal et la surveillance de sécurité indépendante ;
  • les voies d’actionnement de la direction et du freinage ;
  • les sources de localisation ; et
  • la commande normale et la commande vers un état de risque minimal.

L’analyse de sécurité détermine où la diversité ou la séparation est nécessaire. Des composants supplémentaires créent aussi davantage d’interfaces et de modes de défaillance ; leur nombre n’est donc pas un indicateur de sécurité.

L’objectif est une dégradation maîtrisée. Le véhicule doit détecter la défaillance, conserver la capacité nécessaire à la situation immédiate et atteindre l’état de risque minimal défini.

La dépendance à l’humain change selon le niveau

Au niveau 2, l’être humain fait partie de la boucle de contrôle et doit surveiller la route en permanence. La sécurité dépend des limites de capacité, d’instructions claires, de la surveillance du conducteur, d’alertes opportunes et d’une protection contre les usages abusifs prévisibles. Cela reste vrai lorsqu’un système point à point suit un itinéraire, tourne aux intersections et s’arrête aux feux ou aux panneaux stop.

Au niveau 3, l’utilisateur peut détourner son attention, mais doit rester disponible. Le système a besoin d’une transition gérée qui tienne compte du temps nécessaire pour retrouver une bonne compréhension de la situation.

Au niveau 4, il peut ne pas y avoir de conducteur. Le système et son assistance opérationnelle doivent gérer le repli. L’assistance à distance peut fournir du contexte, mais elle ne doit pas être présentée comme de l’autonomie si un opérateur humain distant exécute réellement la tâche de conduite.

La confusion de mode constitue un danger. L’interface doit indiquer clairement qui, de l’humain ou du système, conduit, ce que le système peut faire à cet instant et la réponse qu’il attend.

La validation nécessite des preuves complémentaires

Aucun essai routier réaliste ne peut rencontrer chaque scénario important avec une fréquence statistiquement utile. Aucune simulation ne représente parfaitement la réalité.

Un programme mature combine :

  • analyse des exigences et de la conception ;
  • essais des composants et de l’intégration ;
  • essais logiciel et matériel dans la boucle ;
  • simulation de scénarios et relecture de données enregistrées ;
  • essais sur piste fermée ;
  • essais supervisés sur voie publique ;
  • examen indépendant et essais réglementaires ; et
  • surveillance des performances en service.

Les essais par scénarios indiquent si le véhicule maîtrise des dangers définis. Les données d’exposition indiquent comment le système déployé se comporte en exploitation réelle. Les deux nécessitent des dénominateurs et un périmètre précis.

Un million de kilomètres sur autoroute ne peut pas valider une affirmation relative aux intersections urbaines. Un faible nombre d’accidents n’est pas informatif sans distance parcourue, type de route, gravité, seuil de déclaration et référence humaine comparable. Les résultats publiés par une entreprise doivent être lus avec la méthodologie et les incertitudes déclarées.

Le tableau de bord public Safety Impact de Waymo constitue un bon exemple de publication fondée sur l’exposition, car il fournit la distance parcourue sans conducteur de sécurité, les définitions des résultats, les méthodes de comparaison avec les conducteurs humains et des données téléchargeables. Ces éléments restent des preuves relatives aux domaines de service de Waymo, et non la preuve que toute conception de conduite automatisée est sûre.

La cybersécurité et les mises à jour relèvent de la sécurité

Les véhicules connectés exposent des interfaces par le diagnostic, les applications, les réseaux sans fil, les services cloud et les logiciels de la chaîne d’approvisionnement. Une attaque ou une mise à jour corrompue peut affecter la confidentialité, la disponibilité ou le comportement physique.

La sécurité couvre donc l’architecture, l’authentification, le démarrage sécurisé, la gestion des clés, le contrôle d’accès, la surveillance, la réponse aux vulnérabilités et les processus des fournisseurs. La vie privée est liée mais distincte : le système peut être sécurisé tout en collectant davantage de données sur les occupants ou l’espace public que les utilisateurs ne le pensent.

Les règlements ONU nos 155 et 156 établissent, sur les marchés qui les appliquent, des cadres pour les systèmes de gestion de la cybersécurité et des mises à jour logicielles des constructeurs. Une mise à jour à distance d’une fonction de conduite doit être traçable, authentifiée, validée et surveillée. L’extension du domaine d’utilisation est une modification du produit qui touche à la sécurité, et non une opération courante de maintenance de l’infodivertissement.

L’homologation dépend de la fonction et de la juridiction

Le terme « homologué » peut désigner différentes étapes juridiques :

  • l’homologation de type d’un véhicule ou d’un composant ;
  • l’autorisation d’effectuer des essais sur la voie publique ;
  • l’autorisation d’exploiter un service commercial sans conducteur ;
  • la reconnaissance d’une homologation dans un autre pays ; ou
  • le respect des règles de circulation déterminant ce que l’humain peut faire.

Ces décisions ne sont pas interchangeables. Un niveau SAE décrit la répartition de la tâche de conduite et du repli ; ce n’est pas un certificat d’homologation.

Pour les aides sous le contrôle du conducteur, le règlement ONU no 171 fixe les exigences applicables aux systèmes d’assistance au contrôle du véhicule sur les marchés concernés. En juin 2026, une deuxième série d’amendements a été adoptée par le WP.29 dans le cadre de l’évolution de ces règles. Comme le conducteur reste responsable, un système homologué selon une voie de niveau 2 ou de contrôle par le conducteur ne devient pas un système de conduite automatisée simplement parce qu’il suit un itinéraire ou gère des intersections urbaines.

Le règlement ONU no 157 porte sur les systèmes automatisés de maintien dans la voie et a ouvert une voie d’homologation aux fonctions autoroutières de niveau 3 sur les marchés concernés. Le règlement d’exécution (UE) 2022/1426 fixe les règles d’homologation de type des véhicules entièrement automatisés pour des cas d’usage définis, notamment les zones prédéfinies, les trajets entre plateformes logistiques et le stationnement automatisé avec voiturier.

Tesla FSD (Supervised) en Europe

Le 10 avril 2026, l’autorité néerlandaise des véhicules RDW a accordé à Tesla FSD (Supervised) une homologation européenne à validité provisoire aux Pays-Bas. La RDW le décrit comme un système d’assistance sous le contrôle du conducteur, et non comme un système autonome : le conducteur reste responsable, doit surveiller la circulation et pouvoir reprendre immédiatement le contrôle.

La RDW précise également que les versions européenne et américaine ne sont pas comparables point par point. L’évaluation européenne n’homologue donc pas chaque fonction ou version logicielle de FSD commercialisée ailleurs.

La décision néerlandaise n’était pas une homologation générale valable dans toute l’Union européenne. Selon la RDW, une validité plus large exige une saisine de la Commission européenne, un vote des États membres et le soutien d’une majorité au sein du comité compétent. Tant que ce processus n’est pas achevé, l’autorisation ou la reconnaissance nationale doit être vérifiée pays par pays.

La Chine sépare l’assistance supervisée de l’ADS

La structure réglementaire chinoise distingue elle aussi l’assistance à la conduite surveillée en permanence de la conduite automatisée. Le ministère de l’Industrie et des Technologies de l’information a soumis le projet pour approbation des Exigences de sécurité applicables aux systèmes de conduite automatisée à consultation du 17 au 24 juin 2026. La plateforme nationale des normes indique désormais que le projet a été publié sous la référence GB 44721—2026, en remplacement de la recommandation GB/T 44721—2024, et mentionne une date d’application proposée au 1er juillet 2027.

Le projet s’applique aux véhicules des catégories M et N équipés d’un ADS de niveau 3 et/ou 4, à l’exclusion du stationnement automatisé. Il couvre l’ensemble de la tâche de conduite dynamique, l’interaction homme–machine, la surveillance de l’aptitude à reprendre le contrôle, le comportement à risque minimal, l’assurance de sécurité du constructeur, les dossiers de sécurité et la validation. En cas de différence, la norme publiée définitive prévaut sur une version antérieure du projet.

À l’inverse, la norme chinoise GB 47955—2026 s’applique à l’assistance combinée à la conduite, dans laquelle le conducteur doit observer la circulation en permanence et contrôler le véhicule. Le MIIT prévoit son entrée en vigueur le 1er janvier 2027. Cette séparation suit la limite appliquée dans tout cet article : une fonction de niveau 2 reste sous le contrôle du conducteur même si elle exécute des manœuvres guidées par la navigation, tandis qu’un ADS de niveau 3 ou 4 accomplit toute la tâche de conduite dans ses conditions d’utilisation.

Le cadre ONU de juin 2026 pour les ADS sans conducteur

Le 24 juin 2026, le Forum mondial de l’harmonisation des règlements concernant les véhicules de la CEE-ONU, le WP.29, a adopté le premier cadre réglementaire mondial pour les systèmes de conduite automatisée entièrement sans conducteur. La décision comprenait un nouveau règlement ONU au titre de l’accord de 1958 et un règlement technique mondial parallèle au titre de l’accord de 1998, accompagnés de modifications d’environ quatre-vingt-dix règlements ONU existants sur les véhicules.

Ce cadre concerne les systèmes qui exécutent l’intégralité de la tâche de conduite dynamique, et non l’assistance supervisée de niveau 2. Ses principales exigences comprennent :

  • un système de gestion de la sécurité audité couvrant tout le cycle de vie ;
  • un dossier de sécurité structuré démontrant l’absence de risque déraisonnable ;
  • une validation crédible par simulation, sur piste et en conditions réelles ;
  • des performances égales ou supérieures à celles d’un conducteur humain compétent ;
  • une surveillance et une déclaration continues en service ; et
  • l’enregistrement des données pertinentes pour la sécurité de la conduite automatisée.

Le cadre peut couvrir des domaines d’utilisation autoroutiers et urbains et s’appliquer à des véhicules dépourvus de commandes de conduite conventionnelles. Il constitue une étape importante d’harmonisation, car les constructeurs et les autorités disposent désormais d’une structure de sécurité commune, axée sur les résultats, pour l’homologation des ADS.

Il ne s’agit pas d’une autorisation mondiale unique. Les parties contractantes doivent encore mettre en œuvre les instruments applicables, homologuer les systèmes de véhicules précis et déterminer où la conduite sans conducteur est légale. Le droit routier local, les autorisations d’exploitation et les conditions de service restent applicables. La décision ne requalifie pas non plus FSD (Supervised), les fonctions NOA urbaines ou d’autres fonctions constamment supervisées en conduite autonome.

Les États-Unis suivent une autre voie

Aux États-Unis, la surveillance fédérale de la sécurité des véhicules interagit avec le droit des États et les règles locales de déploiement. Les constructeurs autocertifient généralement la conformité aux normes fédérales de sécurité des véhicules automobiles, tandis que les autorités enquêtent sur les défauts et font respecter les exigences en service.

L’ordonnance générale permanente de la NHTSA impose la déclaration de certains accidents impliquant des systèmes de niveau 2 et des systèmes de conduite automatisée. Les autorités des États et les autorités locales peuvent réglementer séparément les essais et l’exploitation commerciale sans conducteur. Une dérogation fédérale, une autorisation d’essai délivrée par un État et le droit de transporter des passagers payants sont trois décisions différentes.

Les caractéristiques d’une communication crédible sur la sécurité

Une affirmation publique solide précise :

  • le niveau d’automatisation exact et le rôle de l’humain ;
  • le véhicule, le matériel, la version logicielle et le domaine d’utilisation ;
  • le repli et le comportement à risque minimal ;
  • l’homologation ou l’autorisation effectivement obtenue ;
  • le territoire sur lequel elle est valable ;
  • les preuves issues des essais et de l’exploitation, avec leurs dénominateurs ;
  • les exclusions connues et les limites non résolues ; et
  • la manière dont les incidents et les mises à jour sont surveillés.

Les affirmations vagues telles que « plus sûr que l’être humain » sont incomplètes sans domaine comparable, définition du résultat, exposition et incertitude. La sécurité n’est pas une ligne d’arrivée franchie une seule fois. Le dossier doit être maintenu à mesure que les logiciels, le matériel, les routes et l’exploitation évoluent.

Sources

Plus d’informations