Circulaire d'information (CI) No. 525-022

Sujet: Tests d’intégration systèmes au niveau de l’aéronef pour adresser la perte de fonction, le dysfonctionnement et les effets de propagations des défaillances

Bureau émetteur : Aviation civile, Direction des Normes
Numéro de document : CI 525-022
Numéro de classification du dossier : Z 5000-34
Numéro d’édition : 01
Numéro du SGDDI : 21146320-V7
Date d’entrée en vigueur : 2026-07-24

Table des matières

1.0 Introduction

1) Cette Circulaire d’Information (CI) vise à fournir des renseignements et des conseils. Elle décrit un exemple de façon, mais pas la seule façon, de satisfaire aux règles et normes. Elle ne peut en elle-même ni modifier, ni créer une exigence réglementaire, ni peut-elle autoriser de changements ou de dérogations aux exigences réglementaires, ni établir de normes minimales.

1.1 Objet

1) Le but de ce document est de décrire un moyen de satisfaire aux normes du Manuel de Navigabilité (NM) 525.1309 pour les tests d’intégration systèmes au niveau de l’aéronef pour adresser la perte de fonction, le dysfonctionnement, les effets de propagation des défaillances, et les comportements inattendus.

2) Les designs d’aéronefs sont de plus en plus complexes et de fortement intégrés. Des efforts supplémentaires en plus des tests traditionnels basés sur les exigences sont requis pour déterminer la perte de fonction, le dysfonctionnement, les effets de propagation des défaillances, et les comportements inattendus pour démontrer la satisfaction aux exigences du MN 525.1301 [Équipement - Fonction et installation] et MN 525.1309 [Equipment - Équipements, systèmes et installations].

3) La méthodologie de test pour les effets imprévus était auparavant adressée par l’utilisation d’Issue Papers et de Memoranda de Certification (CM) spécifiques à chaque projet. Le contenu de cette CI est le résultat des activités d’harmonisation ultérieures entre les autorités de certification. Il est à noter que SAE International Aerospace Recommended Practice (SAE ARP, Pratique aéronautique recommandée) 4754B inclut également des conseils pour gérer les comportements imprévus.

1.2 Objectifs

1) Le demandeur sera requis de développer un plan d’intégration systèmes au niveau de l’aéronef qui décrit une approche structure et systématique pour identifier les fonctions devant être étudiées et les cas de tests à effectuer. L’étendue de la couverture des tests devra être telle que les risques potentiels et les interactions non voulues soient compris, identifiés et corrigés. La complexité et les interdépendances associées à ces systèmes intégrés introduit le besoin d’une approche rigoureuse pour caractériser et comprendre les comportements, à la fois normaux et anormaux, de ces systèmes intégrés au niveau de l’aéronef. Cette CI fournit un moyen d’évaluer la capacité des systèmes à se protéger contre les comportements imprévus.

2) Normalement, l’intégration des systèmes commence par l’intégration article par article puis continue jusqu’à l’intégration complète des systèmes. La difficulté d’anticiper ou de modéliser l’environnement de l’aéronef à n’importe quelle étape du développement du design impose aux activités d’intégration d’être effectuées à différents phases de l’implémentation (i.e. intra-système, inter-système, et au niveau de l’aéronef). Bien que la confiance en les tests d’intégration sur l’aéronef puisse être élevée, des résultats adéquats et abordables peuvent aussi être obtenus en laboratoire ou par simulation. Des procédures spécifiques pour l’intégration des systèmes varieront en fonction des capabilités des endroits de test, des interactions fonctionnelles modélisées et des interdépendances entre les fonctions et les systèmes sous observation. Une stratégie et des méthodes peuvent être développées pour étudier la possibilité de comportements imprévus, décrivant le niveau du test à effectuer (e.g. au niveau de l’aéronef, niveau d’intégration système à système, au niveau intra-système) et les types de test à effectuer (e.g. test basé sur un scenario, test ciblé, tests aléatoires sur l’objet, etc.)

1.3 Applicabilité

1) Le présent document s’applique à tout le personnel de l’Aviation civile de Transports Canada (TCAC), ainsi qu’aux particuliers et aux organismes qui font usage des avantages qui leur sont accordés en vertu d’une délégation externe de pouvoirs ministériels. Ces renseignements sont également accessibles à toute personne du milieu aéronautique, à titre d’information.

1.4 Description des changements

1) Non applicable.

2.0 Références et exigences

2.1 Documents de référence

1) Les documents de référence suivants sont destinés à être utilisés conjointement avec le présent document :

  • a) Loi sur l’aéronautique (R.S., 1985, c. A-2);
  • b) Partie V, Sous partie 21 du Règlement de l’aviation canadien (RAC) — Approbation de la définition de type d’un produit aéronautique ou d’une modification de celle-ci;
  • c) Chapitre 525 du Manuel de Navigabilité (MN) — Avions de la catégorie transport;
  • d) Chapitre 529 du Manuel de Navigabilité (MN) — Giravions de la catégorie transport;
  • e) SAE ARP 4754B Guidelines for Development of Civil Aircraft and Systems;
  • f) SAE ARP 4761A Guideline for Conducting the Safety Assessment Process on Civil Aircraft, Systems, and Equipment;
  • g) EASA CS 25.1309, Certification Specifications and Acceptable Means of Compliance for Large Aeroplanes, CS 25 Amendment 28.

2.2 Documents annulés

1) Non applicable.

2) Par défaut, il est entendu que la publication d’une nouvelle édition d’un document rend les éditions précédentes automatiquement nulles et non avenues.

2.3 Définitions et acronymes

1) Les acronymes suivants sont utilisés dans ce document:

  • a) AFHA: Étude des risques fonctionnels au niveau de l’aéronef (Airplane level Functional Hazard Assessment)
  • b) ARP: Pratique aéronautique recommandée (Aerospace Recommended Practice)
  • c) CAS: Système d’alerte de l’équipage (Crew Alerting System)
  • d) CI: Circulaire d’information
  • e) CM: Memorandum de Certification
  • f) DAL: Niveau d’assurance de la conception (Design Assurance Level)
  • g) EICAS: Système d’alerte de l’équipage et Indicateurs de moteurs (Engine Indicating and Crew Alerting System)
  • h) MN: Manuel de navigabilité
  • i) PASA: Étude préliminaire de sécurité de l’aéronef (Preliminary Aircraft Safety Assessment)
  • j) RAC: Règlement de l’aviation canadien
  • k) OEM: Fabricant original de l’équipement (Original Equipment Manufacturer)
  • l) SAE: SAE International (anciennement “Society of Automotive Engineers”)
  • m) SFHA: Étude des risques fonctionnels du système (System Functional Hazard Assessment)
  • n) TCAC: Transports Canada Aviation Civile

3.0 Contexte

1) L’intégration Aéronef/Système est l’action de s’assurer que tous les systèmes de l’aéronef opèrent correctement individuellement et ensemble comme installés sur l’aéronef. En plus de vérifier la fonctionnalité prévue, cette activité fournit une opportunité de vérifier ce qui est souvent décrit comme « comportement imprévu ».

2) De nombreux nouveaux designs d’aéronefs introduisent plusieurs systèmes nouveaux sur l’aéronef ainsi que des fonctions employant un niveau significatif d’intégration système. La complexité et les interdépendances associées de ces systèmes intégrés introduit le besoin d’une approche rigoureuse et systématique pour caractériser et comprendre les comportements de ces systèmes intégrés au niveau de l’aéronef, pendant des conditions normales et anormales. Cette CI se concentre sur le besoin de moyens systématiques d’identifier, étudier et tester les effets au niveau de l’aéronef associés à la perte de fonctions individuelles et de systèmes et le comportement éventuellement anormal en conséquence d’un dysfonctionnement ou d’un comportement anormal du système (Note: Cela ne couvre pas les actions non appropriées de l’équipage). L’étude du comportement des systèmes individuels de cette façon devrait aussi étudier la possibilité d’une propagation des défaillances ou des effets de défaillance en cascade impactant d’autres fonctions, systèmes ou ressources communes de l’aéronef.

3) Bien que l’étude d’une perte de fonction puisse être effectuée par des moyens traditionnels, il est reconnu que des efforts supplémentaires sont nécessaires pour identifier et étudier plus en détails les modes de défaillances éventuels associés aux dysfonctionnements des systèmes ou des comportements imprévus. Les expériences antérieures, leçons apprises, données de rapport d’incident et une étude détaillée des interactions et interdépendances des systèmes de l’aéronef devraient toutes être employées pour aider à la détermination des cas de tests nécessaires.

4.0 Plan de test d’intégration de l’aéronef

1) La méthodologie pour identifier la robustesse et l’intégrité des fonctions critiques de l’aéronef, des systèmes associés et des composants associés devrait être décrite dans le plan d’intégration des systèmes au niveau de l’aéronef pour tous les systèmes et prendre en compte les interactions et interdépendances des fonctions individuelles à la fois en conditions normales et anormales ( (i.e. perte de fonction, dysfonctionnement et comportement imprévu), and devrait inclure l’éventualité des effets de propagation ou de cascade de défaillances. La couverture de vérification devrait être planifiée et conduite pour fournir une confirmation de l’efficacité des confinements de défaillance sur tous les chemins de défaillance conduisant à des effets de défaillance catastrophique ou hasardeux au niveau de l’aéronef. Un plan d’intégration au niveau des systèmes de l’aéronef et son résumé de vérification correspondant adressant ces aspects est typiquement requis pour démontrer l’adhérence aux exigences de MN 525.1301 et MN 525.1309.

2) Le plan d’intégration au niveau des systèmes de l’aéronef devrait définir une approche systématique et structurée pour identifier les cas de tests des systèmes couvrant les zones frontières des systèmes, soulignant les essais et les évaluations devant être conduites pour s’assurer que les défaillances potentielles soient bien comprises, identifiées et corrigées. Bien que l’étude d’une perte de fonction puisse être effectuée par des moyens traditionnels, il est reconnu que des efforts supplémentaires sont nécessaires pour identifier et étudier plus en détails les modes de défaillances éventuels associés aux dysfonctionnements des systèmes ou des comportements imprévus, et leurs effets au niveau de l’aéronef. Les expériences antérieures, leçons apprises, données de rapport d’incident et une étude détaillée des interactions et interdépendances des systèmes de l’aéronef devraient toutes être employées pour aider à la détermination des cas de tests nécessaires. Des essais d’intégration dédiés (plateforme et aéronefs), supportés le cas échéant par des tests au niveau des systèmes, devraient être utilisés pour comprendre et juger en détail la robustesse et l’intégrité du design au niveau de l’aéronef, en considérant :

  • a) Mettre l’accent sur les fonctions et systèmes individuels dont les conditions de défaillance sont identifiées comme hasardeuses ou catastrophiques dans l’Étude des risques fonctionnels au niveau de l’aéronef (AFHA) / Étude préliminaire de sécurité de l’aéronef (PASA) / Étude des risques fonctionnels du système (SFHA);
  • b) Les configurations prévisibles de l’aéronef, conditions opérationnelles, et scenarios attendus;
  • c) Les comportements attendus du système à la fois en conditions normales et anormales (i.e. défaillances induites);
  • d) Les interfaces et interrelations/interdépendances associées aux systèmes identifiés critiques;
  • e) L’équipement où les erreurs de mode commun pourraient affecter simultanément plusieurs niveaux du système et/ou des fonctions au niveau de l’aéronef et leurs cas de défaillance associés;
  • f) La possibilité de propagation des défaillances ou d’effet de cascade;
  • g) Connaissance/indications fournies à l’équipage pour les conditions de défaillance affectant de multiples fonctions, en particulier celles qui pourraient augmenter les effets des risques et la charge de travail du pilote; et
  • h) L’efficacité des mitigations du système ou au niveau de l’aéronef (architecturelles ou autre).

3) Le plan d’intégration de l’aéronef devrait aussi identifier clairement les rôles et responsabilités des divers groupes et spécialistes (e.g. sécurité, intégration, délégués, etc.) impliqués dans les diverses étapes décrites ci-après.

5.0 Test et étude

5.1 Méthodologie de test

1) Pour adresser les considérations ci-dessus pour démontrer l’intégrité et de la robustesse du design, particulièrement en ce qui concerne les dysfonctionnements et les comportements imprévus, des moyens systématiques de définir des séries de cas de test (section 5.2) et les conditions de test (section 5.3) requises devrait être appliqués, et les résultats de l’étude devraient être documentés. Les considérations suivantes ne sont pas exhaustives mais sont prises à partir d’observations sur des programmes de certification passés, des bases de données des incidents aéronautiques, etc., et devrait prendre en compte en développant un plan pour comprendre et adresser les cas connus et possibles qui pourraient être identifiés basés sur le niveau de complexité et l’intégration de l’aéronef.

5.2 Cas de test

1) Les moyens systématiques de définition des cas de test devraient considérer au minimum :

  • a) La perte de fonction inclut à la fois les pertes permanentes et temporaires. Des performances dégradées du système devraient aussi être étudiées y compris pendant des interruptions comme des interruptions de puissance ou d’électricité, des resets d’équipement ou des interruptions de communication, et les conséquences des resets évaluées pendant le vol;
  • b) Les dysfonctionnements dépendront des systèmes ou de l’interface à l’étude et pourront varier considérablement d’un système à l’autre (e.g., interruptions signal/données, oscillation des signaux, transitoires, système produisant des données dans le bon gabarit mais pas les valeurs anticipées ou attendues, survoltage, sous-voltage ou pression);
  • c) Les modes d’opération normale et anormale y compris les transitions de modes (e.g., transition sol-air, primaire-alternatif);
  • d) La possibilité d’interférences ou de caractéristiques contraires résultant de l’interaction de fonctions critiques avec des fonctions non liées partageant une plateforme ou des ressources communes (e.g., multiple fonctions dont les fonctions de contrôle non lié au vol) inclus dans les ordinateurs de contrôle de vol, fonctions avec un Design Assurance Level (DAL) plus bas, fonctions partageant une plateforme et des ressources de calcul communes avec des fonctions avec un DAL supérieur);
  • e) Test systématique du design/implémentation offre de bonnes opportunités de découvrir de possibles effets ou fonctionnalités inattendus dans le design, mais peut ne pas être suffisant pour adresser les comportements imprévus. Des tests plus approfondis sont requis pour découvrir les effets de ce comportement imprévu sur les systèmes comme défini dans l’ARP 4754B section 5.5.5.4 qui dit (en anglais) “Testing to provide confidence that the implemented system does not perform unintended functions (i.e., not consciously part of the design) that impact safety. Ad hoc testing, and special vigilance during normal testing, may be used to identify unintended system or item operation or side-effects”; et
  • f) Les checklists et procédures associées au plan d’intégration des systèmes au niveau de l’aéronef devraient être développées pour aider les divers groups de design à faire leurs propres études d’une manière structure et cohérente lors de la définition des cas de tests et de l’évaluation de l’impact des défaillances.

5.3 Conditions de tests

1) Les tests d’intégration offrent l’opportunité de découvrir et d’éliminer les comportements non voulus. De tels comportements peuvent provenir de problèmes tels que des manques dans les exigences ou des interactions non anticipées entre éléments fonctionnels. Une attention toute particulière devrait être apportée lors des tests d’intégration pour conduire des tests dédiés aux solutions implémentées dans le design pour mitiger ou éliminer les conditions d’opération potentiellement dangereuses comme la surveillance et les capteurs, les moyens d’isolation des défaillances, le partitionnement, etc. et toute autre interface système adéquate.

2) Les tests peuvent être dérivés de la considération des éléments suivants (exemples uniquement – pas une checklist de cas):

  • a) Tester et/ou simuler les conditions de défaillance développée pour stresser les solutions protectives architecturelles (dont l’extérieur de l’enveloppe opérationnelle, le cas échéant);
  • b) Opération unique ou en combinaison du pilote dans un large éventail de données et de taux d’entrée;
  • c) Signaux hors limites, entrées invalides, etc;
  • d) Séquences de démarrage normales and anormales (électriques et hydrauliques);
  • e) Transitoires de puissance (électriques et hydrauliques), défaillances et niveaux anormaux;
  • f) Conditions de défaillance y compris les défaillances séquentielles;
  • g) Signal externe avec une étendue anormale et/ou des conditions de défaillance;
  • h) Perturbations des bus de données, internes et externes;
  • i) Observer des tests spécifiques pour exposer la susceptibilité aux bruits et aux nuisances.

5.4 Étude

1) La méthodologie pour l’étude durant les tests peut être créée à partir des considérations des aspects suivants (exemples uniquement – liste non exhaustive de moyens possibles).

  • a) Pour chaque système et/ou composant identifié, introduire ou simuler des conditions de défaillance (i.e. signal ambigu, données corrompues, perte de donnée d’entrée, etc.), et étudier si le résultat souhaité est obtenu;
  • b) Etudier les mesures de protection du système (e.g. capteurs et surveillance) pour déterminer s’ils se comportent comme prévu en présence de défaillances ou d’erreurs, et maintienne les fonctions/le système affectés dans leurs limites prévues;
  • c) Vérifier que l’indépendance entre les canaux du système (dont l’indépendance via les capteurs et surveillance associés ou autre mécanisme de protection), si applicable, est maintenue en présence de conditions de défaillance;
  • d) Vérifier l’indépendance du/des composant(s) défaillant(s) (i.e. pas de propagation de la défaillance);
  • e) S’assurer que les codes/indications de défaillance permettent l’identification de la source/cause de la défaillance;
  • f) S’assurer que les défaillances des bus de données du système ne créent pas de conditions dangereuses;
  • g) S’assurer que les coordinations de protection et d’isolation d’erreur soit conçues de manière adéquate pour isoler les défaillances et maintenir une opération stable et sans accroc du système affecté;
  • h) Via un test dédié d’insertion de défaillance, vérifier que les signaux erronés ou ambigus, en particulier ceux qui sont communs à plusieurs systèmes, puissent être détectés correctement par les systèmes et/ou reconnus et réglés par l’équipage;
  • i) Une étude des facteurs humains de la charge de travail du pilot doit être conduite pendant tous les exercices de tests d’intégration, y compris lors de l’étude de la condition de défaillance initiale et tout effet de cascade suivant sur les systèmes de l’aéronef et/ou du poste de pilotage, les actions requises du pilote et la classification globale des risques. Cette étude doit inclure:
    • i) Les messages du Système d’alerte de l’équipage et Indicateurs de moteurs (EICAS) / Système d’alerte de l’équipage (CAS) et les indications synoptiques sont affichés correctement (fonctions et niveaux d’alerte corrects) conformément au design du système;
    • ii) La capacité de l’équipage à gérer les défaillances causant plusieurs effets sur le poste de pilotage;
    • iii) Les messages EICAS/CAS et les procédures validés par révisions du pilote;
    • iv) Les défaillances intersystèmes et leurs effets de cascade observés ainsi que leurs impacts sur les indications du poste de pilotage et des procédures du pilote;
  • j) Les effets de cascade devraient être analysés jusqu’à ce qu’il n’y ait plus d’effets supplémentaires sur les fonctions au niveau du système ou de l’aéronef; et
  • k) Vérifier l’efficacité du partitionnement, des moyens d’isolation des défaillances, etc. pour empêcher la propagation de défaillances hasardeuses.

6.0 Résultats

1) Toutes les déficiences ou erreurs devraient être référées au développement ou à l’activité d’intégration appropriés (e.g., création, allocation ou validation des exigences; implémentation; vérification, gestion de configuration) pour résolution et itération du processus jusqu’à sa conclusion.

2) Quand toutes les itérations sont faites, cette activité fournit un système intégré vérifié, avec les données démontrant que le système/aéronef satisfait à toutes ces exigences fonctionnelles et de sécurité.

3) Bien que l’absence complète de comportements non désirés ne puisse jamais être établie par test, l’observation des comportements non voulus lors du développement (e.g., test basé sur les exigences, opérations de vol, maintenance), en conjonction avec les the objectifs définis dans cette CI offre les moyens de montrer que les exigences intersystèmes, prises en tant que groupe, sont satisfaites.

4) Un résumé des résultats de tests obtenus devrait être documenté en conséquence.

7.0 Gestion de l’information

1) Non applicable.

8.0 Historique du document

1) Non applicable.

9.0 Contactez-nous

1) Pour obtenir de plus amples renseignements, veuillez contacter :

Normes de la certification des aéronefs (AARTC) à l’adresse courriel suivante:
TC.AARTCDAircraftDesignStandards-NormesdeconceptiondesaeronefsAARTCD.TC@tc.gc.ca

Nous vous invitons à nous faire part de toute proposition de modification au présent document. Veuillez soumettre vos commentaires à:
AARTDocServices-ServicesdocAART@tc.gc.ca

Document original signé par

Jamie-Lee MacDermid
Directrice exécutive, Direction des normes (AART)
Aviation civile,
Transports Canada

Tests d’intégration systèmes au niveau de l’aéronef pour adresser la perte de fonction, le dysfonctionnement et les effets de propagations des défaillances
(PDF, 343 Ko)

 
Date de modification :