Couverture ElectroniqueS n°127

Les autorités aéronautiques ont édicté des règles, réunies en deux normes DO-178 et DO-254, régissant le droit d'embarquement de tous les logiciels et matériels dans un avion. De multiples intervenants se retrouvent face à des audits dans l'espoir d'une certification. Or, l'interprétation correcte et la mise en &oelig;uvre de ces normes amènent bien des questions. Pour un avionneur, il existe un impératif absolu, un but non négociable à atteindre : que l'avion qu'il a conçu vole et ne tombe jamais, ou presque jamais. Pour atteindre cet objectif, les autorités aéronautiques, en Europe et aux Etats-Unis, ont mis en place une réglementation qui définit des « moyens acceptables de conformité » se déclinant sous la forme de normes à différents niveaux de criticité. Ainsi, le standard DO-178 gère toute la partie logicielle, alors que le DO-254, plus récent, s'attache aux composants matériels. En d'autres termes, il s'agit de s'assurer que les logiciels et les composants qui participent au « système » avion soient conçus de telle sorte que l'apparition de pannes ou de défaillance, qui ont un impact sur la sûreté de fonctionnement de l'avion, soit très improbable.Reste que la compréhension de ces standards pour la certification aéronautique, les difficultés liées à leur mise en &oelig;uvre, la complexité des systèmes à certifier sont autant de sujets qui concernent et impliquent un nombre croissant d'intervenants, directs et indirects. Entre les équipementiers, les avionneurs, les autorités de certification, les sous-traitants, qui détient la bonne interprétation de ces textes ? Qui est certain de travailler dans la bonne direction vis-à-vis des autorités de certification ? C'est pour éclaircir tous ces points que nous avons réuni autour d'une table des équipementiers, des fournisseurs de composants, des éditeurs de logiciels et d'outils de CAO, dont certains participent activement et directement à l'établissement de ces normes.De certifiable à certifié : une confiance prouvéeOlivier Charrier (Wind River) remarque que, dans ces communautés, le fournisseur de « produits sur étagères » (les COTS, Commercial off the shelf) est un contractant d'industriel qui a une déclinaison particulière. Son optique étant de rentabiliser ses produits sur un panel de projets le plus large possible, il n'a pas forcément intérêt à faire des actions spéciales pour un contrat précis. La solution passe donc par des discussions entre le contractant et l'industriel, afin que ce dernier se sente en confiance vis-à-vis du produit lors de l'audit final face à l'autorité de certification.Cette remarque offre l'occasion de préciser quelques points de vocabulaire. Qu'il s'agisse d'un COTS, d'un bloc IP, d'un composant ou de tout autre élément appelé à être embarqué, il est dit certifiable quand il est vendu au client avec des artefacts assurant sa bonne méthodologie de conception. Il ne deviendra certifié que lorsque l'avion qui l'aura embarqué sera lui-même certifié. Dans la même idée, un outil de développement est qualifiable avant l'audit de l'avion et qualifié dès que l'avion vole. A ce sujet, Olivier Charrier affirme « qu'un des problèmes majeurs aujourd'hui chez les sous-traitants est la notion d'intégration. Car ce n'est pas parce que l'on assemble des briques logicielles et matérielles certifiables, un système d'exploitation, une pile de protocoles que l'ensemble sera certifiable, et a fortiori certifié. Il existe encore à ce sujet de grosses incompréhensions ».Tout est basé sur un niveau de confiance à tous les étages de la chaîne. Plus précisément, la confiance, au sens strict du terme, concerne le processus de conception dans son ensemble. Par contre, ce niveau de confiance est à interpréter ou à gérer différemment pour les outils, les blocs IP et autres composants. Bernard Candaele ajoute que le maître mot est le déterminisme. Il faut être sûr de ce qui se passe à tous les échelons d'une conception.Cyrille Comar complète : « En fait, la DO-178 n'est que du bon sens : planifier, spécifier, bien tester et avoir une cohérence dans tout cela. » L'esprit de la DO-254 est le même.Ce concept de confiance, d'assurance de bon fonctionnement, et son interprétation sont ce qui anime toutes les discussions et les prises de décision pour être qualifié.Citons quelques exemples typiques qui ont été évoqués.Pour un FPGA, si la fonction implantée sur ce composant a déjà été qualifiée, il n'est pas nécessaire de recommencer. Si l'implantation est une première, l'accession au degré de confiance requis peut aller jusqu'à qualifier le synthétiseur. A chacun de choisir sa voie, du moment que l'objectif est atteint. Ainsi pour reprendre l'exemple du processeur Nios II d'Altera, Jean-Michel Vuillamy explique : « Plutôt que de qualifier l'outil de génération de ce c&oelig;ur IP paramétrable, on a préféré opter pour une implémentation particulière de ce processeur embarqué sur un FPGA et on l'a certifiée DO-254. »Dans le cas des processeurs standard très complexes, c'est également la fonction qui sera vérifiée. S'il y a des procédures non déterministes comme dans les architectures superscalaires ou les gestions sophistiquées de cache, plusieurs bonnes décisions sont possibles (changer de CPU ou trouver une astuce pour contourner le problème) du moment que, la confiance est là. Jean Gassino constate à ce sujet que, dans le nucléaire, la démarche est strictement identique. Pour gagner son visa d'embarquement, un processeur récent doit donc, au-delà de ses performances, « avouer » tous ses secrets à son utilisateur. Ce qui n'est pas sans poser de sérieux problèmes pour des processeurs de dernière génération où l'accès et l'interprétation de leur fonctionnement interne n'est pas trivial.(*) Développé depuis 1985 par des équipes de l'Inria, le langage Caml, prononcez « camel », (Categorical abstract machine language) est un langage de programmation généraliste conçu pour la sécurité et la fiabilité des programmes.Les communautés autour de la DO-254Le standard DO-254 imposant une traçabilité des exigences sur le développement et la vérification d'un composant électronique, Geensys a très rapidement identifié un net décalage entre le monde logiciel DO-178B, mature, et le monde électronique DO-254 qui découvrait le contexte. Et chaque client menait des actions internes pour progresser face à ces nouvelles exigences de certification.En 2004, Geensys a donc proposé à ses grands clients (Airbus côté équipementier interne, Eurocopter, Thales…) et ses partenaires outils (Mentor Graphics, Esterel Technologies…) de réfléchir ensemble aux bonnes pratiques et besoins pour répondre aux objectifs DO-254. Le DO-254 User Group était né, d'abord franco-français puis très vite européen, avec pour vocation de fédérer les efforts de l'industrie.Après le succès du User Group en Europe, Geensys a été sollicité pour contribuer au démarrage d'un User Group similaire aux US (www.do-254.us) depuis mi-2008, et un User Group en Chine est également à l'étude.Une initiative plus récente est née en 2008 sous le nom de « Certification Together ». Elle adresse un éventail plus large de besoins et de standards.Geensys est initiateur et pilote de cette communauté, mise en place depuis Toulouse avec les instances régionales et territoriales (Région, Drire, Midi-Pyrénées Expansion). La crédibilité de la démarche se base sur le succès du DO-254 User Group.Toutefois, l'ambition de « Certification Together » est plus vaste pour fédérer et animer l'écosystème industriel autour de la Certification aéronautique : Proposer une offre globale de formations, y compris pratiques. Structurer une offre de partenaires experts à même d'accompagner les industriels. Aider les équipementiers à suivre leurs sous-traitants, et accompagner ces sous-traitants dans l'amélioration de leurs compétences et de leur autonomie vis-à-vis des contraintes de certification. Mettre en commun les efforts de compréhension et d'appropriation des standards, des contraintes et des solutions par les industriels, au travers des logiques d'échanges du type « User Groups » qui seraient supportées par ce centre. Permettre les collaborations amont avec les fournisseurs de solutions (outils, composants…) en les aidant à appréhender les problématiques de leurs clients, leurs besoins, et en échangeant avec eux sur les améliorations à apporter pour faciliter l'adoption de leurs solutions par les utilisateurs. Prendre en charge des activités d'expertise sollicitées par les industriels. Constituer une ressource à même de collaborer avec les autorités de certification sur des sujets génériques. Analyser régulièrement les besoins des entreprises, domaine par domaine, pour s'assurer de l'adéquation de l'offre à la demande « terrain ». Pour plus d'informations : www.geensys.com

DO-178/254: l’embarquement n’est pas immédiat

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure

DO-178/254: l’embarquement n’est pas immédiat

Dans la même rubrique

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure