A quoi sert ISO 26262 ?

ISO 26262 est l'adaptation de la série IEC 61508 aux systèmes électriques et électroniques (E/E) des véhicules routiers. Elle s'applique aux systèmes relatifs à la sécurité comprenant un ou plusieurs systèmes E/E installés dans des véhicules routiers de série, à l'exclusion des cyclomoteurs, et traite les dangers causés par un comportement défaillant de ces systèmes. Elle ne traite pas la performance nominale des systèmes E/E. L'édition en vigueur est la deuxième, ISO 26262:2018, publiée en décembre 2018 en douze parties ; elle a remplacé l'édition 2011, limitée aux voitures particulières d'une masse maximale jusqu'à 3 500 kg.

Quels sont les niveaux ASIL ?

L'ASIL (Automotive Safety Integrity Level) est l'un des quatre niveaux A à D, D étant le plus exigeant. QM (gestion de la qualité) n'est pas un ASIL : ISO 26262-1 le précise dans une note de la définition. L'ASIL de chaque événement dangereux se lit dans le tableau 4 d'ISO 26262-3:2018, qui croise la sévérité S1 à S3, l'exposition E1 à E4 et la contrôlabilité C1 à C3. Seule la combinaison S3, E4 et C3 donne ASIL D. Les classes S0, E0 et C0 ne conduisent à aucun ASIL.

Qu'est-ce que la HARA ?

L'analyse des dangers et l'évaluation des risques (Hazard Analysis and Risk Assessment) fait l'objet de l'article 6 d'ISO 26262-3:2018. Les événements dangereux de l'item sont classés en sévérité, probabilité d'exposition et contrôlabilité, l'ASIL est lu dans le tableau 4, et un objectif de sécurité (safety goal) est fixé pour chaque événement dangereux doté d'un ASIL. Des objectifs similaires peuvent être regroupés ; l'objectif regroupé prend alors l'ASIL le plus élevé. Une note de la case S3, E1, C3 permet de justifier QM quand plusieurs situations improbables se combinent en dessous de E1 (6.4.3.11).

Une troisième édition d'ISO 26262 est-elle en préparation ?

Oui. L'ISO a approuvé les nouveaux projets le 21 octobre 2024, et les projets des douze parties ont été enregistrés comme projets de norme internationale (DIS, stade 40.00) entre le 4 et le 7 août 2026. Au 7 octobre 2026, les fiches ISO n'indiquent encore aucun vote DIS lancé, et aucune date de publication n'est fixée. La partie 3 est renommée « Product development at the item level ». Jusqu'à la publication de la troisième édition, ISO 26262:2018 reste l'édition en vigueur.

Quelle est la différence entre ISO 26262 et IEC 61508 ?

L'introduction d'ISO 26262 présente la série comme l'adaptation d'IEC 61508 aux besoins propres des systèmes E/E des véhicules routiers. IEC 61508 utilise les SIL 1 à 4, ISO 26262 les ASIL A à D, déterminés autrement (à partir de la sévérité, de l'exposition et de la contrôlabilité, et non de mesures cibles de défaillance). Un élément évalué à un SIL donné n'est pas automatiquement apte pour un item d'un ASIL donné. L'article 4.1 de la partie 10 explique cette relation.

Que couvrent ISO 21448 (SOTIF) et ISO/PAS 8800 ?

ISO 21448:2022 (publiée en juin 2022, en remplacement d'ISO/PAS 21448:2019) traite le risque déraisonnable dû aux insuffisances fonctionnelles de la fonction prévue, comme une spécification insuffisante ou les limites de performance des capteurs, et exclut explicitement les défaillances couvertes par ISO 26262 et les menaces de cybersécurité. ISO/PAS 8800:2024 (publiée en décembre 2024) traite le comportement des éléments d'IA relatif à la sécurité, dont les insuffisances de sortie, les erreurs systématiques et les erreurs matérielles aléatoires, principalement pour l'apprentissage automatique.

Comment ISO 26262 s'articule-t-elle avec la cybersécurité véhicule ?

L'ingénierie de cybersécurité relève d'ISO/SAE 21434:2021, dont la seule référence normative est ISO 26262-3:2018. L'annexe E d'ISO 26262-2:2018 donne des lignes directrices sur l'interaction entre sécurité fonctionnelle et cybersécurité. La réglementation est distincte : dans l'UE, le règlement UN R155 est exigé pour les nouveaux types depuis le 6 juillet 2022 et pour tous les véhicules neufs depuis le 7 juillet 2024 via le règlement général sur la sécurité, et UN R156 est imposé par le règlement délégué (UE) 2022/2236, avec des étapes jusqu'au 7 juillet 2029.

Qu'est-ce qu'un SEooC ?

Un Safety Element out of Context est un élément développé sans connaître l'item dans lequel il sera utilisé, sur la base d'hypothèses sur son usage et sur son ASIL cible. Il est décrit à l'article 9 d'ISO 26262-10:2018, une partie qui n'a qu'un caractère informatif. L'intégrateur doit vérifier que les hypothèses restent valables pour l'item réel.

Quelles sont les mesures de confirmation requises ?

L'article 6.4.9 d'ISO 26262-2:2018 exige des revues de confirmation des livrables clés (6.4.10), un audit de sécurité fonctionnelle des processus (6.4.11) et une évaluation de la sécurité fonctionnelle atteinte (6.4.12), avec l'indépendance fixée au tableau 1 selon l'ASIL. La norme exige de l'indépendance, pas un certificat délivré par un organisme extérieur. Après une décomposition d'ASIL, les mesures de confirmation restent au niveau de l'objectif de sécurité.

ISO 26262 : sécurité fonctionnelle automobile, 12 parties

Hugues Orgitello mis à jour le 7 oct. 2026 18 min de lecture

ISO 26262 est la norme de sécurité fonctionnelle des systèmes électriques et électroniques (E/E) des véhicules routiers : selon sa propre introduction, l'adaptation de la série IEC 61508 aux besoins propres des véhicules routiers. L'édition en vigueur, ISO 26262:2018, a été publiée en décembre 2018 en douze parties, et non dix, et sa troisième édition a atteint le stade de projet de norme internationale (DIS) en août 2026. Cette page lit dans les textes publiés et les fiches du catalogue ISO le domaine d'application, la structure des parties et des articles, la table de détermination de l'ASIL, les limites de la décomposition d'ASIL et les mesures de confirmation, montre où les règlements ONU et européens mentionnent réellement la norme, et liste les affirmations que les textes contredisent.

Situation en octobre 2026 : édition 2018 en vigueur, édition 3 au stade DIS

Le catalogue ISO donne un historique précis. Chaque partie de 2018 est passée en examen systématique et a été marquée « à réviser », et les projets de troisième édition des douze parties sont désormais enregistrés comme projets de norme internationale.

Date	Événement	Source
14 novembre 2011	Publication d'ISO 26262:2011 (première édition), domaine « voitures particulières de série d'une masse maximale jusqu'à 3 500 kg »	Fiche ISO 26262-1:2011
17 décembre 2018	Publication d'ISO 26262:2018 (deuxième édition), parties 1 à 12 ; parties 2011 annulées le même jour	Fiches ISO 26262-1:2018 et 26262-1:2011
8 juillet 2024	Parties 1 à 5 et 7 à 12 de l'édition 2018 marquées « à réviser » (stade 90.92) après examen systématique	Fiches ISO 68383 à 69605
24 juillet 2025	Partie 6 marquée « à réviser », après avoir été confirmée le 6 novembre 2024	Fiche ISO 26262-6:2018
21 octobre 2024	Projets de troisième édition approuvés (stade 10.99) pour les douze parties	Fiches ISO/DIS 26262-1 à -12
4 au 7 août 2026	Projets enregistrés comme DIS (stade 40.00) : parties 1 à 9 et 11 le 4 août, partie 10 le 5 août, partie 12 le 7 août	Fiches ISO/DIS 26262
7 octobre 2026	Aucun vote DIS (stade 40.20) encore lancé sur aucune partie ; aucune date de publication fixée	Fiches ISO/DIS 26262

La troisième édition conserve la numérotation en douze parties. Le seul changement de titre visible dans les fiches concerne la partie 3, qui devient « Product development at the item level » au lieu de « Concept phase ». Le résumé du projet de partie 3 cite toujours la définition de l'item, l'analyse des dangers et l'évaluation des risques et le concept de sécurité fonctionnelle. ISO 26262:2018 reste l'édition de référence jusqu'à la publication de la troisième édition.

Domaine d'application : quels véhicules et quels dangers

L'article Domaine d'application, identique dans chaque partie de 2018, applique la norme aux systèmes relatifs à la sécurité comprenant un ou plusieurs systèmes E/E installés dans des véhicules routiers de série, à l'exclusion des cyclomoteurs. Elle ne traite pas les systèmes E/E uniques des véhicules spéciaux, comme les systèmes conçus pour les conducteurs handicapés. Les systèmes libérés pour la production, ou déjà en développement, avant la date de publication sont exemptés ; leurs modifications sont traitées par adaptation (tailoring) du cycle de vie de sécurité.

La norme traite les dangers causés par un comportement défaillant des systèmes E/E relatifs à la sécurité, y compris leurs interactions. Elle ne traite pas les chocs électriques, incendies, fumées, chaleur, rayonnements, toxicité, inflammabilité, réactivité, corrosion, libération d'énergie et dangers similaires, sauf s'ils sont directement causés par ce comportement défaillant, et elle ne traite pas la performance nominale des systèmes E/E.

L'avant-propos de 2018 liste les principaux changements depuis 2011, dont des exigences pour les camions, autobus, remorques et semi-remorques (abrégés T&B dans le texte), des exigences pour les motocycles, des lignes directrices pour les semi-conducteurs, des références à la cybersécurité, la gestion des anomalies de sécurité, des mesures de confirmation orientées objectifs et des valeurs cibles mises à jour pour les métriques d'architecture matérielle.

Les douze parties et leur contenu

Les numéros d'articles ci-dessous proviennent des sommaires de 2018 ; les titres sont traduits de l'anglais. Les parties 10 et 11 sont des lignes directrices ; la partie 10 précise qu'elle n'a « qu'un caractère informatif ».

Partie	Titre 2018	Articles et annexes à connaître
1	Vocabulaire	Article 3 termes (ASIL, décomposition d'ASIL, défaillance en cascade et de cause commune, termes T&B comme base vehicle et body builder), article 4 abréviations
2	Gestion de la sécurité fonctionnelle	5.4.2 culture de sécurité, 5.4.3 anomalies de sécurité, 5.4.5 système de management de la qualité, 6.4.8 safety case, 6.4.9 à 6.4.12 mesures de confirmation, 6.4.13 libération pour la production, annexe E sécurité fonctionnelle et cybersécurité
3	Phase de projet	Article 6 analyse des dangers et évaluation des risques, tableau 4 détermination de l'ASIL, 6.4.4 objectifs de sécurité ; définition de l'item et concept de sécurité fonctionnelle
4	Développement du produit au niveau du système	Article 6 concept technique de sécurité, article 7 intégration et essais du système et de l'item, article 8 validation de la sécurité, annexe B interface matériel-logiciel (HSI)
5	Développement du produit au niveau matériel	Article 8 métriques d'architecture matérielle, article 9 violations des objectifs de sécurité dues aux défaillances matérielles aléatoires, annexe C (normative) métriques d'architecture matérielle, annexe D couverture de diagnostic
6	Développement du produit au niveau logiciel	Articles 6 à 11, des exigences de sécurité logicielles aux essais du logiciel embarqué, annexe C (normative) configuration logicielle, annexe D absence d'interférence
7	Production, exploitation, service et mise hors service	Exigences de production, d'exploitation, de service et de mise hors service
8	Processus d'appui	Article 5 développements distribués (annexe B exemple de DIA), 6 exigences de sécurité, 7 configuration, 8 modifications, 9 vérification, 10 documentation, 11 confiance dans les outils logiciels, 12 qualification des composants logiciels, 13 évaluation des éléments matériels, 14 proven in use
9	Analyses orientées ASIL et orientées sécurité	Article 5 décomposition des exigences en vue de l'adaptation de l'ASIL, analyses de défaillances dépendantes et analyses de sécurité
10	Lignes directrices sur ISO 26262	4.1 relation avec IEC 61508, 4.4 intervalle de temps de tolérance aux fautes, 8.4 unités de la PMHF, article 9 Safety Element out of Context, article 11 exemple de décomposition d'ASIL
11	Lignes directrices pour l'application d'ISO 26262 aux semi-conducteurs	4.5 propriété intellectuelle (IP), 4.6 taux de défaillance de base, 4.7 analyse des défaillances dépendantes, 4.8 injection de fautes, article 5 technologies spécifiques (numérique, mémoires et autres)
12	Adaptation d'ISO 26262 aux motocycles	Article 7 mesures de confirmation, article 8 HARA pour motocycles, Motorcycle Safety Integrity Level (MSIL), Controllability Classification Panel

Les parties 3 à 7 forment le cycle en V décrit dans l'introduction. Pour les motocycles, l'article 8 de la partie 12 vient à l'appui de la partie 3, et les articles 9 et 10 à l'appui de la partie 4 ; là où la partie 12 s'applique, ses exigences remplacent les exigences correspondantes des autres parties.

Une adaptation sectorielle d'IEC 61508

IEC 61508 est la norme générique de sécurité fonctionnelle, et plusieurs secteurs l'adaptent : IEC 61511 pour l'industrie de procédé, IEC 62061 pour les machines, et ISO 26262 pour les véhicules routiers. Le logiciel ferroviaire relève désormais d'EN 50716:2023, qui remplace EN 50128 et EN 50657. Le logiciel avionique (DO-178C) ne fait pas partie de cette famille. Le guide IEC 61508 traite la norme mère et son tableau sectoriel.

L'adaptation automobile change la méthode, pas seulement le vocabulaire :

le niveau d'intégrité découle d'une analyse des dangers des situations de conduite (sévérité, exposition, contrôlabilité), et non de mesures cibles de défaillance par mode de sollicitation,
les relations clients et fournisseurs sont un objectif affiché de la série, avec l'article 5 de la partie 8 sur les développements distribués et un accord d'interface de développement (DIA),
les semi-conducteurs ont leur propre partie de lignes directrices (partie 11),
les camions, autobus, remorques, semi-remorques et motocycles font l'objet de contenus spécifiques.

Un élément évalué selon IEC 61508 à un SIL donné n'est donc pas automatiquement apte pour un item ISO 26262 d'un ASIL donné : le transfert doit être argumenté.

Détermination de l'ASIL (S, E, C)

ISO 26262-1 définit l'ASIL comme l'un des quatre niveaux, D étant le plus exigeant et A le moins exigeant. Une note ajoute que QM n'est pas un ASIL. Pendant la HARA (article 6 de la partie 3), chaque événement dangereux reçoit trois classes.

Paramètre	Classes	Signification
Sévérité	S0 à S3	D'aucune blessure (S0) à des blessures mettant la vie en danger avec survie incertaine, ou mortelles (S3)
Exposition	E0 à E4	Probabilité de la situation de conduite, d'incroyable (E0) à forte probabilité (E4)
Contrôlabilité	C0 à C3	De contrôlable en général (C0) à difficile à contrôler ou incontrôlable (C3)

Le tableau 4 d'ISO 26262-3:2018 donne ensuite l'ASIL.

Sévérité	Exposition	C1	C2	C3
S1	E1	QM	QM	QM
S1	E2	QM	QM	QM
S1	E3	QM	QM	A
S1	E4	QM	A	B
S2	E1	QM	QM	QM
S2	E2	QM	QM	A
S2	E3	QM	A	B
S2	E4	A	B	C
S3	E1	QM	QM	A (voir 6.4.3.11)
S3	E2	QM	A	B
S3	E3	A	B	C
S3	E4	B	C	D

Trois points tirés du texte qui entoure le tableau :

S3, E1, C3 porte une note renvoyant à 6.4.3.11 : si plusieurs situations improbables se combinent de sorte que l'exposition est inférieure à E1, QM peut être justifié pour cette combinaison.
Un objectif de sécurité est fixé pour chaque événement dangereux doté d'un ASIL (6.4.4). Des objectifs similaires peuvent être regroupés, et l'objectif regroupé prend l'ASIL le plus élevé.
La cotation se fait par événement dangereux, pas par item : un même item peut porter des objectifs de sécurité de niveaux ASIL différents.

La décomposition d'ASIL et ses limites

La partie 1 définit la décomposition d'ASIL comme la répartition d'exigences de sécurité redondantes sur des éléments suffisamment indépendants contribuant au même objectif de sécurité, afin d'abaisser l'ASIL de ces exigences redondantes. L'article 5 de la partie 9 fixe les exigences ; l'article 11 de la partie 10 donne un exemple. L'exigence décomposée est notée avec l'ASIL d'origine entre parenthèses.

ASIL d'origine	Décompositions possibles
D	C(D) + A(D), B(D) + B(D), D(D) + QM(D)
C	B(C) + A(C), C(C) + QM(C)
B	A(B) + A(B), B(B) + QM(B)
A	A(A) + QM(A)

La définition elle-même pose deux limites que les projets oublient souvent :

la décomposition d'ASIL ne s'applique pas aux exigences relatives aux défaillances matérielles aléatoires (note 2) : les métriques matérielles restent évaluées par rapport à l'ASIL de l'objectif de sécurité ;
les mesures de confirmation restent au niveau de l'objectif de sécurité (note 3), même quand les éléments sont développés à un ASIL inférieur.

L'indépendance entre les éléments décomposés doit être démontrée, et c'est là qu'intervient l'analyse des défaillances dépendantes de la partie 9. La partie 1 distingue les défaillances en cascade des défaillances de cause commune, et les défaillances de mode commun comme un cas de défaillance de cause commune.

Le cycle de vie de sécurité, partie par partie

Étape	Où	Principaux livrables
Définition de l'item	Partie 3	Fonctions, limites, interfaces, environnement d'utilisation
Analyse des dangers et évaluation des risques	Partie 3, article 6	Événements dangereux, classes S, E, C, ASIL, objectifs de sécurité
Concept de sécurité fonctionnelle	Partie 3	Exigences de sécurité fonctionnelle allouées à l'architecture
Concept technique de sécurité	Partie 4, article 6	Exigences techniques de sécurité, architecture système, HSI
Développement matériel	Partie 5	Exigences de sécurité matérielles, conception, métriques d'architecture (article 8), évaluation des défaillances matérielles aléatoires (article 9)
Développement logiciel	Partie 6	Exigences de sécurité logicielles, architecture, conception et vérification des unités, intégration, essais du logiciel embarqué
Intégration et essais	Partie 4, article 7	Résultats des essais d'intégration du système et de l'item
Validation de la sécurité	Partie 4, article 8	Preuves que les objectifs de sécurité sont atteints au niveau véhicule
Confirmation et libération	Partie 2, 6.4.9 à 6.4.13	Rapports de revue de confirmation, audit, évaluation, libération pour la production
Production, exploitation, service, mise hors service	Partie 7	Exigences de production et de terrain

L'article 6.4.8 de la partie 2 fait du safety case un livrable, construit progressivement à partir des livrables du cycle de vie plutôt que rédigé à la fin. Les articles 8 et 9 de la partie 5 contiennent les valeurs cibles matérielles (métrique de fautes ponctuelles, métrique de fautes latentes, et évaluation des violations d'objectifs de sécurité dues aux défaillances matérielles aléatoires) ; l'avant-propos de 2018 indique que ces valeurs cibles ont été mises à jour depuis 2011, de sorte que les chiffres repris de documents de l'époque 2011 doivent être vérifiés dans le texte de 2018.

Safety Element out of Context (SEooC)

Un SEooC est un élément développé sans connaître l'item dans lequel il sera intégré, typiquement un microcontrôleur, un capteur ou un composant logiciel vendu à de nombreux clients. L'article 9 de la partie 10 décrit la démarche : le fournisseur développe à partir d'exigences et d'un contexte d'utilisation supposés, et l'intégrateur vérifie que les hypothèses restent valables pour l'item réel. La partie 10 étant informative, le SEooC est une façon d'appliquer les parties normatives (et les articles 12 et 13 de la partie 8 sur la qualification des composants logiciels et l'évaluation des éléments matériels), et non une voie de conformité distincte.

Pour les semi-conducteurs, la partie 11 ajoute le cycle de vie des IP (4.5), l'estimation du taux de défaillance de base (4.6), l'analyse des défaillances dépendantes au sein du composant (4.7) et l'injection de fautes (4.8). Ce sont les articles auxquels renvoie le manuel de sécurité d'un fournisseur de circuits.

Les mesures de confirmation

L'article 6.4.9 de la partie 2 exige que la sécurité fonctionnelle soit confirmée par trois mesures, chacune détaillée dans son propre article :

Mesure	Article	Objet
Revue de confirmation	Partie 2, 6.4.10	Les livrables clés listés au tableau 1 apportent-ils une preuve suffisante et convaincante
Audit de sécurité fonctionnelle	Partie 2, 6.4.11	Les processus requis pour la sécurité fonctionnelle sont-ils mis en œuvre
Évaluation de la sécurité fonctionnelle	Partie 2, 6.4.12	La sécurité fonctionnelle atteinte par l'item, ou la contribution des éléments développés, est-elle suffisante

Le tableau 1 fixe l'indépendance requise par livrable et par ASIL, sur une échelle de I0 à I3. La partie 12 (motocycles) reprend la structure avec son propre tableau 1 et apporte trois précisions utiles : l'indépendance vise un point de vue objectif, sans conflit d'intérêts ; les mesures de confirmation sont répétées ou complétées si l'item change ensuite ; et revues et audits peuvent être fusionnés avec l'évaluation pour traiter des variantes comparables d'un item. L'annexe C de la partie 2 donne des lignes directrices et l'annexe D un exemple d'ordre du jour d'évaluation pour les items ayant un objectif de sécurité ASIL D.

La norme exige de l'indépendance, pas un certificat délivré par un organisme extérieur. Un « certificat ISO 26262 » de tierce partie est une prestation commerciale, utile comme preuve mais non exigée par le texte.

ISO 26262 et les normes voisines

Norme	Situation au 7 octobre 2026	Relation avec ISO 26262
IEC 61508	Édition 2 (2010)	Norme mère générique ; ISO 26262 en est l'adaptation aux véhicules routiers
ISO 21448	Édition 2022, publiée le 30 juin 2022, marquée « à réviser » le 14 octobre 2025	Sécurité de la fonction attendue : insuffisances fonctionnelles et limites de performance. Exclut les défaillances couvertes par ISO 26262 et les menaces de cybersécurité. A remplacé ISO/PAS 21448:2019
ISO/PAS 8800	Publiée le 13 décembre 2024	Sécurité et intelligence artificielle : insuffisances de sortie, erreurs systématiques et erreurs matérielles aléatoires des éléments d'IA, principalement l'apprentissage automatique
ISO/SAE 21434	Édition 2021, marquée « à réviser » le 2 octobre 2026	Ingénierie de la cybersécurité ; sa seule référence normative est ISO 26262-3:2018. L'annexe E de la partie 2 traite l'interaction sécurité et sûreté
IATF 16949	Management de la qualité automobile	Système qualité ; l'article 5.4.5 d'ISO 26262-2 porte sur le système de management de la qualité attendu de l'organisation, sur lequel s'appuie la sécurité fonctionnelle

Où les règlements véhicules mentionnent ISO 26262

ISO 26262 est une norme volontaire. Les textes d'homologation la mentionnent, mais aucun de ceux lus ici n'impose la conformité à cette norme.

Texte	Ce qu'il dit d'ISO 26262
UN R155 (cybersécurité), note du paragraphe 5.3.1	Cite ISO 26262 avec ISO/PAS 21448 et ISO/SAE 21434 comme exemples des connaissances attendues du personnel de l'autorité d'homologation (voir le guide cybersécurité)
UN R157 (ALKS), annexe 4 paragraphe 7	Les auditeurs et évaluateurs de la documentation de sécurité fonctionnelle et opérationnelle doivent être compétents pour « ISO 26262-2018 » et ISO/PAS 21448
Règlement d'exécution (UE) 2022/1426 (ADS des véhicules entièrement automatisés, adopté au titre de l'article 11(2) du GSR), annexe III partie 2 point 7.1	Même exigence de compétence pour les évaluateurs du concept de sécurité de l'ADS et les auditeurs du système de gestion de la sécurité
UN R171 (DCAS, en vigueur depuis le 22 septembre 2024), annexe 5 paragraphe 3.5.5	Évaluation de criticité de la chaîne d'outils de simulation « dérivée d'ISO 26262 », utilisant ses classes de sévérité
Règlement (UE) 2019/2144 (GSR), applicable depuis le 6 juillet 2022	Impose des systèmes comme l'adaptation intelligente de la vitesse, l'avertisseur de somnolence et de perte d'attention du conducteur, le signal d'arrêt d'urgence et l'enregistreur de données d'événement (article 6) et le système avancé de freinage d'urgence pour les M1 et N1 (article 7), sans citer ISO 26262

Le règlement 2022/1426 définit aussi la sécurité fonctionnelle comme l'absence de risque déraisonnable face aux dangers causés par un comportement défaillant, et la sécurité opérationnelle comme l'absence de risque déraisonnable lié aux insuffisances fonctionnelles, aux perturbations ou au mauvais usage raisonnablement prévisible : le même partage qu'entre ISO 26262 et ISO 21448. L'homologation des véhicules passe par le règlement (UE) 2018/858 et les règlements ONU, pas par le marquage CE ; il n'y a donc pas ici de norme harmonisée au sens du marquage CE, ni de présomption de conformité attachée à ISO 26262 dans l'UE.

Affirmations que les textes contredisent

Affirmation	Ce que disent les textes
« ISO 26262 comporte dix parties » (cette page l'affirmait jusqu'en octobre 2026)	L'édition 2018 compte douze parties : la partie 11 (semi-conducteurs) et la partie 12 (motocycles) ont été publiées le 17 décembre 2018 avec les autres
« L'édition 2018 a étendu le domaine aux camions, bus et autocars »	Le domaine couvre les véhicules routiers de série à l'exclusion des cyclomoteurs ; l'avant-propos cite des exigences pour les camions, autobus, remorques et semi-remorques, et pour les motocycles. Le domaine de 2011 visait les voitures particulières jusqu'à 3 500 kg
« La 2e édition est la référence unique, aucune révision en cours »	Les douze parties de l'édition 3 ont été enregistrées comme DIS entre le 4 et le 7 août 2026 ; l'édition 2018 reste en vigueur jusqu'à la publication
« QM est le plus bas des ASIL »	Partie 1, définition 3.6, note 1 : QM n'est pas un ASIL
« S3, E1, C3 donne toujours ASIL A »	Note du tableau 4 et 6.4.3.11 : QM peut être justifié quand plusieurs situations improbables se combinent en dessous de E1
« Décomposer ASIL D en B(D) + B(D) ramène toutes les exigences en ASIL B »	Partie 1, définition 3.3 : la décomposition ne s'applique pas aux exigences relatives aux défaillances matérielles aléatoires, et les mesures de confirmation restent au niveau de l'objectif de sécurité
« La partie 10 fait du SEooC une exigence normative »	La partie 10 n'a qu'un caractère informatif ; les exigences normatives sont dans les parties 2 à 9
« UN R157 et le règlement européen ADS exigent une certification ISO 26262 »	Ils exigent que les évaluateurs et auditeurs soient compétents pour ISO 26262 et ISO/PAS 21448 (R157 annexe 4 paragraphe 7, 2022/1426 annexe III partie 2 point 7.1), pas un certificat du produit
« DO-178C et EN 50128 sont des dérivées sectorielles d'IEC 61508 au même titre qu'ISO 26262 »	DO-178C ne dérive pas d'IEC 61508, et EN 50716:2023 remplace EN 50128 et EN 50657
« R155 et R156 s'appliquent depuis juillet 2022 (nouveaux types) et juillet 2024 (tous les véhicules) »	Ce sont les dates européennes de R155 au titre du GSR. R156 suit le règlement délégué (UE) 2022/2236, avec des étapes supplémentaires le 7 juillet 2026 et le 7 juillet 2029

La chaîne d'approvisionnement automobile

L'article 5 de la partie 8 couvre les développements distribués : critères de sélection des fournisseurs (5.4.2), lancement et planification (5.4.3), exécution (5.4.4), activités d'évaluation de la sécurité fonctionnelle dans un développement distribué (5.4.5) et accord pour la production, l'exploitation, le service et la mise hors service (5.4.6). L'annexe B donne un exemple d'accord d'interface de développement (DIA), qui fixe qui réalise quelle activité de sécurité et qui fournit quel livrable.

En pratique :

le constructeur porte en général la définition de l'item, la HARA et les objectifs de sécurité, et intègre l'item,
un équipementier de rang 1 fournissant un système ou un calculateur porte en général le concept technique de sécurité de son périmètre et transmet des exigences à ses propres fournisseurs,
un fournisseur de composants (microcontrôleur, capteur, système d'exploitation) développe souvent un SEooC et livre un manuel de sécurité avec ses hypothèses.

Le DIA rend ce partage auditable : sans lui, l'évaluation de la sécurité fonctionnelle ne peut pas établir quelle partie répond de quel livrable.

Couplages avec d'autres pages

ISO 26262 ne remplace pas le cadre réglementaire général. Plusieurs liens sont pertinents :

pour le cadre du marquage CE des produits électroniques non-véhicule (radio, EMC, cyber), voir la page CE ;
pour le calendrier projet et la combinaison des étapes de certification, voir le calendrier de certification ;
pour le glossaire complet des termes utilisés (ASIL, HARA, SEooC, Safety Goal, FSC, TSC, FSA), voir le glossaire.

Voir aussi

Quelques écueils observés

Confondre ASIL et SIL. Les échelles sont construites différemment. Réutiliser un composant « SIL 2 » d'un projet industriel comme ASIL B sans argument de transfert est une lacune qu'un évaluateur trouvera.
Une HARA écrite après la conception. La HARA est l'entrée de la phase de concept. Plaquer des valeurs d'ASIL sur une architecture figée laisse des objectifs de sécurité que la conception n'a jamais été faite pour tenir.
Des manuels de sécurité non lus. Intégrer un microcontrôleur SEooC sans confronter ses hypothèses d'usage à l'item réel casse l'argumentaire de sécurité à l'étape d'intégration.
Une décomposition sans indépendance. Une décomposition n'est valable qu'avec une indépendance suffisante démontrée par l'analyse des défaillances dépendantes, et elle n'abaisse jamais les cibles des métriques matérielles.
FuSa et SOTIF confondues. Une limite de capteur dans le brouillard ou à contre-jour n'est pas un dysfonctionnement au sens d'ISO 26262. Elle relève d'ISO 21448, qui exclut les défaillances couvertes par ISO 26262.
Sécurité et sûreté en silos. L'annexe E de la partie 2 et ISO/SAE 21434 attendent un échange d'informations entre les deux équipes quand une menace cyber peut violer un objectif de sécurité.
Utiliser les cibles de métriques de 2011. L'édition 2018 a mis à jour les valeurs cibles des métriques d'architecture matérielle ; vérifier les chiffres dans les articles 8 et 9 de la partie 5 du texte de 2018.

Pour aller plus loin

Un domaine voisin dispose de sa propre page ici : la cybersécurité automobile, qui traite l'ISO/SAE 21434 et les règlements UNECE R155 et R156 sous l'angle de l'homologation.

Non couverts sur ce site, et à chercher dans la norme elle-même : la HARA pas à pas avec des cotations S, E et C travaillées ; le calcul des métriques matérielles de l'annexe C de la partie 5 ; l'ISO 21448 (SOTIF) et son articulation avec les ADAS et la conduite automatisée ; et la qualification d'outils logiciels au titre de l'article 11 de la partie 8, dont le niveau de confiance d'outil.

Sources & références

ISO 26262-1:2018, Partie 1 : Vocabulaire (fiche catalogue, publiée le 17 décembre 2018, stade 90.92 à réviser), ISO www.iso.org/standard/68383.html
ISO 26262-1:2018, aperçu : avant-propos (principaux changements depuis 2011), introduction et domaine d'application (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/68383/4e26ddadc54a4198bed652afe29669fa/ISO-26262-1-2018.pdf
ISO 26262-2:2018, aperçu : sommaire des articles 5 à 7 et des annexes A à E (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/68384/a48c82d694274496bcb249700a63ac2f/ISO-26262-2-2018.pdf
ISO 26262-3:2018, Partie 3 : Phase de projet (fiche catalogue ; tableau 4, détermination de l'ASIL), ISO www.iso.org/standard/68385.html
ISO 26262-5:2018, aperçu : sommaire (métriques matérielles, articles 8 et 9, annexe C) (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/68387/4e38d919e3d4433fa18cb1b5482f13a0/ISO-26262-5-2018.pdf
ISO 26262-8:2018, aperçu : sommaire (DIA, outils, proven in use) (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/68390/8b6b8ddbf06b436e8ac60f72f63c17d9/ISO-26262-8-2018.pdf
ISO 26262-9:2018, Partie 9 : analyses orientées ASIL et orientées sécurité (fiche catalogue), ISO www.iso.org/standard/68391.html
ISO 26262-10:2018, aperçu : domaine d'application (caractère informatif) et sommaire (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/68392/a4d0368c4ded438697d65e219e7c3477/ISO-26262-10-2018.pdf
ISO 26262-11:2018, aperçu : sommaire (semi-conducteurs) (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/69604/4f41f01c856048f5b8861cf60daeebad/ISO-26262-11-2018.pdf
ISO 26262-12:2018, aperçu : motocycles, articles 4 à 7 (aperçu hébergé par iTeh Standards), ISO (via iTeh Standards) cdn.standards.iteh.ai/samples/69605/e46be4de4cff4189859cdaa382ae7cc6/ISO-26262-12-2018.pdf
ISO 26262-1:2011 (fiche catalogue, domaine limité aux voitures particulières jusqu'à 3 500 kg, annulée le 17 décembre 2018), ISO www.iso.org/standard/43464.html
ISO/DIS 26262-1, édition 3 (fiche catalogue, DIS enregistré le 4 août 2026), ISO www.iso.org/standard/90020.html
ISO/DIS 26262-3, édition 3, Partie 3 : Product development at the item level (fiche catalogue, historique des stades), ISO www.iso.org/standard/90022.html
ISO 21448:2022, Véhicules routiers, Sécurité de la fonction attendue (fiche catalogue), ISO www.iso.org/standard/77490.html
ISO/PAS 8800:2024, Véhicules routiers, Sécurité et intelligence artificielle (fiche catalogue), ISO www.iso.org/standard/83303.html
ISO/SAE 21434:2021, Véhicules routiers, Ingénierie de la cybersécurité (fiche catalogue), ISO www.iso.org/standard/70918.html
Règlement ONU n° 157 (ALKS), annexe 4 paragraphe 7, tel que publié au JO L 82 du 9 mars 2021, EUR-Lex eur-lex.europa.eu/eli/reg/2021/389/oj
Règlement ONU n° 171 (DCAS), annexe 5 paragraphe 3.5.5, tel que publié au JO le 4 novembre 2024, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2689/oj
Règlement d'exécution (UE) 2022/1426, ADS des véhicules entièrement automatisés, annexe III partie 2 point 7.1, EUR-Lex eur-lex.europa.eu/eli/reg_impl/2022/1426/oj
Règlement (UE) 2019/2144 (règlement général sur la sécurité), articles 6, 7, 11(2) et 19, EUR-Lex eur-lex.europa.eu/eli/reg/2019/2144/oj
IEC 61508-1:2010, Partie 1 : Exigences générales (fiche catalogue), IEC webstore.iec.ch/en/publication/5515
CEE-ONU WP.29, règlements ONU sur les véhicules, UNECE unece.org/transport/vehicle-regulations

Questions fréquentes

A quoi sert ISO 26262 ?: ISO 26262 est l'adaptation de la série IEC 61508 aux systèmes électriques et électroniques (E/E) des véhicules routiers. Elle s'applique aux systèmes relatifs à la sécurité comprenant un ou plusieurs systèmes E/E installés dans des véhicules routiers de série, à l'exclusion des cyclomoteurs, et traite les dangers causés par un comportement défaillant de ces systèmes. Elle ne traite pas la performance nominale des systèmes E/E. L'édition en vigueur est la deuxième, ISO 26262:2018, publiée en décembre 2018 en douze parties ; elle a remplacé l'édition 2011, limitée aux voitures particulières d'une masse maximale jusqu'à 3 500 kg.
Quels sont les niveaux ASIL ?: L'ASIL (Automotive Safety Integrity Level) est l'un des quatre niveaux A à D, D étant le plus exigeant. QM (gestion de la qualité) n'est pas un ASIL : ISO 26262-1 le précise dans une note de la définition. L'ASIL de chaque événement dangereux se lit dans le tableau 4 d'ISO 26262-3:2018, qui croise la sévérité S1 à S3, l'exposition E1 à E4 et la contrôlabilité C1 à C3. Seule la combinaison S3, E4 et C3 donne ASIL D. Les classes S0, E0 et C0 ne conduisent à aucun ASIL.
Qu'est-ce que la HARA ?: L'analyse des dangers et l'évaluation des risques (Hazard Analysis and Risk Assessment) fait l'objet de l'article 6 d'ISO 26262-3:2018. Les événements dangereux de l'item sont classés en sévérité, probabilité d'exposition et contrôlabilité, l'ASIL est lu dans le tableau 4, et un objectif de sécurité (safety goal) est fixé pour chaque événement dangereux doté d'un ASIL. Des objectifs similaires peuvent être regroupés ; l'objectif regroupé prend alors l'ASIL le plus élevé. Une note de la case S3, E1, C3 permet de justifier QM quand plusieurs situations improbables se combinent en dessous de E1 (6.4.3.11).
Une troisième édition d'ISO 26262 est-elle en préparation ?: Oui. L'ISO a approuvé les nouveaux projets le 21 octobre 2024, et les projets des douze parties ont été enregistrés comme projets de norme internationale (DIS, stade 40.00) entre le 4 et le 7 août 2026. Au 7 octobre 2026, les fiches ISO n'indiquent encore aucun vote DIS lancé, et aucune date de publication n'est fixée. La partie 3 est renommée « Product development at the item level ». Jusqu'à la publication de la troisième édition, ISO 26262:2018 reste l'édition en vigueur.
Quelle est la différence entre ISO 26262 et IEC 61508 ?: L'introduction d'ISO 26262 présente la série comme l'adaptation d'IEC 61508 aux besoins propres des systèmes E/E des véhicules routiers. IEC 61508 utilise les SIL 1 à 4, ISO 26262 les ASIL A à D, déterminés autrement (à partir de la sévérité, de l'exposition et de la contrôlabilité, et non de mesures cibles de défaillance). Un élément évalué à un SIL donné n'est pas automatiquement apte pour un item d'un ASIL donné. L'article 4.1 de la partie 10 explique cette relation.
Que couvrent ISO 21448 (SOTIF) et ISO/PAS 8800 ?: ISO 21448:2022 (publiée en juin 2022, en remplacement d'ISO/PAS 21448:2019) traite le risque déraisonnable dû aux insuffisances fonctionnelles de la fonction prévue, comme une spécification insuffisante ou les limites de performance des capteurs, et exclut explicitement les défaillances couvertes par ISO 26262 et les menaces de cybersécurité. ISO/PAS 8800:2024 (publiée en décembre 2024) traite le comportement des éléments d'IA relatif à la sécurité, dont les insuffisances de sortie, les erreurs systématiques et les erreurs matérielles aléatoires, principalement pour l'apprentissage automatique.
Comment ISO 26262 s'articule-t-elle avec la cybersécurité véhicule ?: L'ingénierie de cybersécurité relève d'ISO/SAE 21434:2021, dont la seule référence normative est ISO 26262-3:2018. L'annexe E d'ISO 26262-2:2018 donne des lignes directrices sur l'interaction entre sécurité fonctionnelle et cybersécurité. La réglementation est distincte : dans l'UE, le règlement UN R155 est exigé pour les nouveaux types depuis le 6 juillet 2022 et pour tous les véhicules neufs depuis le 7 juillet 2024 via le règlement général sur la sécurité, et UN R156 est imposé par le règlement délégué (UE) 2022/2236, avec des étapes jusqu'au 7 juillet 2029.
Qu'est-ce qu'un SEooC ?: Un Safety Element out of Context est un élément développé sans connaître l'item dans lequel il sera utilisé, sur la base d'hypothèses sur son usage et sur son ASIL cible. Il est décrit à l'article 9 d'ISO 26262-10:2018, une partie qui n'a qu'un caractère informatif. L'intégrateur doit vérifier que les hypothèses restent valables pour l'item réel.
Quelles sont les mesures de confirmation requises ?: L'article 6.4.9 d'ISO 26262-2:2018 exige des revues de confirmation des livrables clés (6.4.10), un audit de sécurité fonctionnelle des processus (6.4.11) et une évaluation de la sécurité fonctionnelle atteinte (6.4.12), avec l'indépendance fixée au tableau 1 selon l'ASIL. La norme exige de l'indépendance, pas un certificat délivré par un organisme extérieur. Après une décomposition d'ASIL, les mesures de confirmation restent au niveau de l'objectif de sécurité.