Sécurité, redondance et réglementation

La sécurité est une affirmation structurée portant sur une fonction, un véhicule, un domaine opérationnel et une version définis, étayée par des preuves avant le déploiement puis par des données surveillées après celui-ci. Elle englobe la sécurité fonctionnelle, les limites de détection, les facteurs humains, la cybersécurité, l’exploitation et la réglementation ; aucune démonstration, aucun essai ni aucun kilométrage ne couvre l’ensemble.

Commencer par un dossier de sécurité

Un dossier de sécurité est un raisonnement étayé par des preuves selon lequel un système présente une sécurité acceptable pour un usage et un environnement précis. Il relie les affirmations de haut niveau aux dangers, exigences, essais, résultats et contrôles opérationnels.

Le périmètre doit être exact. Les preuves recueillies pour un service à faible vitesse par temps sec n’établissent pas la sécurité sur autoroute sous la neige. Les preuves concernant une plateforme de véhicule ou une version logicielle ne se transfèrent pas automatiquement à une autre.

Les développeurs utilisent différents cadres, mais un dossier de sécurité crédible doit au minimum traiter :

le comportement compétent en fonctionnement normal ;
la détection et la gestion des défaillances ;
les limites de la fonctionnalité prévue et de la perception ;
l’interaction sûre avec les utilisateurs et les autres usagers de la route ;
les pratiques d’exploitation, la maintenance et la réaction aux incidents ;
la cybersécurité et les mises à jour logicielles contrôlées ; et
les preuves que le risque en service reste acceptable.

Les synthèses publiques sont utiles à l’examen, mais elles ne constituent pas le dossier complet et ne remplacent pas l’évaluation réglementaire.

Plusieurs disciplines de sécurité se chevauchent

La sécurité fonctionnelle traite des dangers causés par le dysfonctionnement des systèmes électriques et électroniques. ISO 26262 fournit le cadre du cycle de vie automobile pour ce travail.

La sécurité de la fonctionnalité prévue, couverte par ISO 21448, traite des dangers lorsqu’un système fonctionne conformément à sa conception, mais que la spécification, les performances des capteurs ou l’algorithme sont insuffisants pour la situation.

La sécurité de l’IA dans les véhicules routiers, abordée par ISO/PAS 8800, couvre les risques découlant d’insuffisances des résultats de l’IA, d’erreurs systématiques et d’erreurs matérielles aléatoires.

L’ingénierie de la cybersécurité, couverte par ISO/SAE 21434, gère le risque de cybersécurité des véhicules tout au long du cycle de vie.

Ces disciplines se complètent au lieu de se remplacer. Une caméra parfaitement fiable peut rester incapable de classer une scène inédite. Un modèle de perception performant peut rester dangereux si une mise à jour compromise le modifie.

La redondance doit répondre à la défaillance

La redondance n’est utile que si la voie de substitution survit à la défaillance envisagée. Deux ordinateurs alimentés par la même source ne protègent pas contre la perte de celle-ci. Deux caméras placées derrière le même obstacle ne protègent pas contre une vision obstruée.

Les architectures à automatisation plus élevée peuvent séparer :

les voies d’alimentation électrique et de communication ;
les modalités de détection et les champs de vision ;
le calcul principal et la surveillance de sécurité indépendante ;
les voies d’actionnement de la direction et du freinage ;
les sources de localisation ; et
le contrôle normal et le contrôle à risque minimal.

L’analyse de sécurité détermine où diversité ou séparation sont nécessaires. Davantage de composants peuvent aussi créer davantage d’interfaces et de modes de défaillance ; le nombre de composants n’est donc pas une mesure de sécurité.

L’objectif est une dégradation maîtrisée. Le véhicule doit détecter la défaillance, conserver la capacité requise par la situation immédiate et atteindre sa condition de risque minimal définie.

La dépendance envers l’humain change selon le niveau

Au niveau 2, l’humain fait partie de la boucle de contrôle et doit surveiller la route en permanence. La sécurité dépend des limites de capacité, d’instructions claires, de la surveillance du conducteur, d’alertes opportunes et d’une protection contre les usages abusifs prévisibles. Cela reste vrai lorsqu’un système de point à point suit un itinéraire vers une destination, tourne aux intersections et s’arrête devant les dispositifs de circulation.

Au niveau 3, l’utilisateur peut détourner son attention, mais doit rester disponible. Le système doit gérer une transition qui tient compte du temps nécessaire pour retrouver la conscience de la situation.

Au niveau 4, il peut ne pas y avoir de conducteur. Le système et son soutien opérationnel doivent gérer le repli. L’assistance à distance peut fournir du contexte, mais elle ne doit pas être présentée comme de l’autonomie si un humain distant exécute en réalité la tâche de conduite.

La confusion de mode constitue un danger. L’interface doit indiquer clairement si l’humain ou le système conduit, ce que le système peut actuellement faire et la réponse qu’il attend.

La validation exige des preuves complémentaires

Aucun essai routier réalisable ne peut rencontrer chaque scénario important avec une fréquence statistique utile. Aucune simulation ne représente parfaitement la réalité.

Un programme mature associe :

l’analyse des exigences et de la conception ;
les essais de composants et d’intégration ;
les essais avec logiciel et matériel dans la boucle ;
la simulation de scénarios et la relecture de données enregistrées ;
les essais sur piste fermée ;
les essais supervisés sur la voie publique ;
l’examen indépendant et les essais réglementaires ; et
la surveillance des performances en service.

Les essais de scénarios déterminent si le véhicule gère des dangers définis. Les données d’exposition indiquent comment le système déployé se comporte dans l’exploitation réelle. Les deux nécessitent des dénominateurs et un périmètre.

Un million de kilomètres sur autoroute ne peut valider une affirmation relative aux intersections urbaines. Un faible nombre d’accidents n’est pas instructif sans distance, type de route, gravité, seuil de déclaration et référence humaine comparable. Les résultats communiqués par une entreprise doivent être lus avec la méthodologie publiée et son incertitude.

Le tableau de bord public Safety Impact de Waymo constitue un bon exemple de compte rendu fondé sur l’exposition, car il fournit la distance parcourue sans conducteur de sécurité, les définitions des résultats, les méthodes de référence humaine et des données téléchargeables. Cela reste une preuve pour les domaines de service de Waymo, et non la démonstration que toute conception de conduite automatisée est sûre.

La cybersécurité et les mises à jour concernent la sécurité

Les véhicules connectés exposent des interfaces par le diagnostic, les applications, les réseaux sans fil, les services infonuagiques et les logiciels de la chaîne d’approvisionnement. Un attaquant ou une mise à jour corrompue peut affecter la confidentialité, la disponibilité ou le comportement physique.

La sécurité couvre donc l’architecture, l’authentification, le démarrage sécurisé, la gestion des clés, le contrôle d’accès, la surveillance, la réponse aux vulnérabilités et les processus des fournisseurs. La vie privée est liée, mais distincte : le système peut être sécurisé tout en recueillant davantage de données sur les occupants ou la rue que ne l’attendent les utilisateurs.

Les règlements ONU 155 et 156 établissent, sur les marchés qui les appliquent, des cadres pour les systèmes de gestion de la cybersécurité et des mises à jour logicielles des constructeurs. Une mise à jour à distance d’une fonction de conduite doit être traçable, authentifiée, validée et surveillée. L’extension du domaine opérationnel est une modification du produit pertinente pour la sécurité, et non une maintenance courante de l’infodivertissement.

L’approbation suit la fonction et la juridiction

Le terme « approuvé » peut désigner différentes étapes juridiques :

une homologation de type du véhicule ou d’un composant ;
l’autorisation d’effectuer des essais sur la voie publique ;
l’autorisation d’exploiter un service commercial sans conducteur ;
la reconnaissance d’une homologation accordée dans un autre pays ; ou
la conformité aux règles de circulation qui régissent ce que l’humain peut faire.

Ces étapes ne sont pas interchangeables. Un niveau SAE décrit la répartition de la tâche de conduite et du repli ; ce n’est pas un certificat d’homologation.

Pour l’assistance sous contrôle du conducteur, le règlement ONU 171 fixe les exigences applicables aux systèmes d’assistance au contrôle du véhicule sur les marchés concernés. Le WP.29 adopta une deuxième série d’amendements en juin 2026 dans le cadre du développement continu de ces règles. Puisque le conducteur reste responsable, un système approuvé par une voie de niveau 2 ou de contrôle par le conducteur ne devient pas un système de conduite automatisée simplement parce qu’il suit un itinéraire ou gère des intersections urbaines.

Le règlement ONU 157 couvre les systèmes automatisés de maintien dans la voie et a fourni une voie d’homologation aux fonctions autoroutières de niveau 3 sur les marchés concernés. Le règlement d’exécution 2022/1426 de l’Union européenne établit des règles d’homologation pour les véhicules entièrement automatisés dans des cas d’usage définis, notamment des zones prédéfinies, des trajets de pôle à pôle et le stationnement automatisé avec voiturier.

Tesla FSD (Supervised) en Europe

Le 10 avril 2026, l’autorité néerlandaise des véhicules, RDW, a accordé à Tesla FSD (Supervised) une homologation européenne à validité provisoire aux Pays-Bas. RDW le décrit comme un système d’assistance contrôlé par le conducteur et non comme une conduite autonome : le conducteur reste responsable, doit surveiller la circulation et doit pouvoir reprendre immédiatement le contrôle.

RDW précise également que les versions européenne et américaine ne sont pas directement comparables. L’évaluation européenne n’approuve donc pas toutes les fonctions ou versions logicielles FSD vendues ailleurs.

La décision néerlandaise ne constituait pas une approbation générale dans toute l’UE. Selon RDW, une validité plus large exige une saisine de la Commission européenne, un vote des États membres et le soutien d’une majorité au sein du comité compétent. Tant que cette procédure n’est pas achevée, l’autorisation ou la reconnaissance nationale doit être vérifiée pays par pays.

Le cadre ONU de juin 2026 pour les ADS sans conducteur

Le 24 juin 2026, le Forum mondial de la CEE-ONU pour l’harmonisation des règlements concernant les véhicules, WP.29, a adopté le premier cadre réglementaire mondial pour les systèmes de conduite automatisée entièrement sans conducteur. La décision comprenait un nouveau règlement ONU au titre de l’Accord de 1958 et un règlement technique mondial parallèle au titre de l’Accord de 1998, accompagnés de modifications apportées à environ quatre-vingt-dix règlements ONU existants.

Ce cadre concerne les systèmes qui exécutent l’intégralité de la tâche dynamique de conduite, et non l’assistance supervisée de niveau 2. Ses principales exigences comprennent :

un système de gestion de la sécurité audité sur tout le cycle de vie ;
un dossier de sécurité structuré démontrant l’absence de risque déraisonnable ;
une validation crédible par simulation, sur piste et en conditions réelles ;
des performances égales ou supérieures à celles d’un conducteur humain compétent ;
une surveillance et des rapports continus en service ; et
le stockage des données de conduite automatisée pertinentes pour la sécurité.

Le cadre peut couvrir des domaines opérationnels autoroutiers et urbains et accueillir des véhicules dépourvus de commandes classiques. Il représente une étape majeure d’harmonisation, car constructeurs et autorités disposent désormais d’une structure commune de sécurité, axée sur les résultats, pour l’approbation des ADS.

Il ne s’agit pas d’une autorisation mondiale unique. Les parties contractantes doivent encore mettre en œuvre les instruments applicables, approuver des systèmes de véhicule précis et déterminer où l’exploitation sans conducteur est légale. Le droit routier local, les permis d’exploitation et les conditions de service restent pertinents. La décision ne reclasse pas non plus FSD (Supervised), City NOA ou d’autres fonctions supervisées en permanence comme conduite autonome.

Les États-Unis suivent une autre voie

Aux États-Unis, la surveillance fédérale de la sécurité des véhicules, le droit d’exploitation des États et les règles locales de déploiement interagissent. Les constructeurs autocertifient généralement leur conformité aux normes fédérales de sécurité des véhicules, tandis que les régulateurs enquêtent sur les défauts et font respecter les exigences en service.

L’ordonnance générale permanente de la NHTSA exige la déclaration de certains accidents impliquant des systèmes de niveau 2 et des systèmes de conduite automatisée. Les autorités étatiques et locales peuvent réglementer séparément les essais et l’exploitation commerciale sans conducteur. Une exemption fédérale, un permis d’essai délivré par un État et l’autorisation de transporter des passagers payants sont des décisions distinctes.

À quoi ressemble une communication crédible sur la sécurité

Une affirmation publique solide précise :

le niveau d’automatisation exact et le rôle de l’humain ;
le véhicule, le matériel, la version logicielle et le domaine opérationnel ;
le comportement de repli et de risque minimal ;
l’homologation ou le permis effectivement détenu ;
le territoire où il est valable ;
les preuves issues des essais et de l’exploitation, avec leurs dénominateurs ;
les exclusions connues et les limites non résolues ; et
la manière dont les incidents et mises à jour sont surveillés.

Les affirmations vagues telles que « plus sûr que les humains » sont incomplètes sans domaine comparable, définition des résultats, exposition et incertitude. La sécurité n’est pas une ligne d’arrivée que l’on franchit une fois. Le dossier doit être maintenu à mesure que les logiciels, le matériel, les routes et les opérations évoluent.