Annexe D de l'avis consultatif de l'ANT 2012-01

Processus d'évaluation des organiseurs électroniques de poste de pilotage

1.   Introduction

1.1.    La présente annexe donne des détails sur le processus d’évaluation nécessaire avant l’utilisation de nouveaux matériels informatiques et/ou logiciels destinés à des OEPP à bord d’un aéronef. On notera que les évaluations connexes indiquées à l'annexe E, à l'annexe F et à l'annexe G devraient être effectuées pour chaque application devant être installée dans l’OEPP. L’évaluation devrait tenir compte des éléments ci-dessous.

2.   Matériel informatique

2.1.  Approbation du matériel informatique

2.1.1.   L’approbation du matériel informatique d’AEP devant servir d’OEPP de classe 1 ou de classe 2 doit être obtenue en suivant le processus d’approbation de l’ANO décrit à rubrique 314 de la référence réglementaire 3.2.1.c. Si une approbation de l’ANT visant une installation OEPP de classe 1 ou de classe 2 est nécessaire, celle-ci doit alors se limiter à l’approbation de la modification de conception additionnelle visant l’incorporation du dispositif de montage dans l'aéronef, du rangement, de l’alimentation électrique et des questions de connectivité des données.

2.2.   Rangement

2.2.1.   La question du rangement se pose uniquement pour les appareils de classe 1, étant donné que ceux de classe 2 et de classe 3 sont, par définition, montés directement sur l’aéronef. Cependant, si l’on envisage de retirer les appareils de classe 2 de leur support de montage durant des opérations aériennes, la question du rangement devrait alors également se poser.

2.2.2.   On recommande, pour ces OEPP, le recours à un espace de rangement doté d’un mécanisme de sécurité, permettant le rangement des appareils portables lorsque ceux-ci ne sont pas utilisés. Le dispositif de rangement devrait être facile d’accès pour les membres d’équipage pendant le vol et ne devrait pas constituer un obstacle ou un danger durant l’utilisation projetée de l’aéronef. Les systèmes OEPP qui ne sont pas assujettis dans un dispositif de montage durant leur utilisation devraient être conçus et utilisés de manière à éviter tout blocage des commandes de vol, tout dommage au poste de pilotage ou toute blessure aux membres de l’équipage de conduite en cas de déplacement intempestif imputable à des turbulences, à une manœuvre aérienne ou à d’autres événements.

2.3.   Câblage

2.3.1.    La certification s’impose pour tout câblage associé à des appareils de classe 2 ou de classe 3. Le câblage ne devrait pas pendre librement au point de compromettre la sécurité ou la bonne exécution des tâches. Les membres de l’équipage de vol devraient pouvoir fixer facilement et solidement les câbles de manière à ce que ceux-ci ne les gênent pas pendant l’exploitation de l’aéronef. Les câbles devraient être assez longs pour s’acquitter de la fonction que l’on attend d’eux. Un câble trop court ou trop long présente un risque sur le plan des opérations ou de la sécurité.

2.4.   Branchements servant à l’alimentation électrique et à la transmission de données

2.4.1.    OEPP de classe 1:
  1. Les systèmes OEPP de classe 1 peuvent être branchés à l’alimentation électrique de l’aéronef au moyen d’une source d’alimentation certifiée. Il serait bon de procéder à une analyse de la charge électrique pour simuler le fonctionnement d’un système OEPP de classe 1 ou de classe 2 afin d’assurer que l’alimentation ou la charge électrique de ce dernier n’affecte pas les autres systèmes de bord, et de faire en sorte que la demande demeure dans les limites de la puissance électrique prévue. Il faudrait prévoir un moyen (autre qu’un disjoncteur) permettant au membre de l’équipage de vol de couper l’arrivée de courant à la source d’alimentation ou au chargeur du système OEPP.
  2. Les systèmes OEPP de classe 1 peuvent avoir une connectivité en lecture seule avec les autres systèmes de bord. Le branchement devrait être conçu de façon telle qu’il soit impossible pour l’OEPP de nuire aux autres systèmes de bord desquels il tire des données.
2.4.2.   OEPP de classe 2 :
  1. Les branchements servant à l’alimentation électrique et à la transmission de données des OEPP de classe 2 nécessitent tous les deux une approbation de la certification des aéronefs. Il serait bon de procéder à une analyse de la charge électrique pour simuler le fonctionnement d’un système OEPP de classe 1 ou de classe 2 afin d’assurer que l’alimentation ou la charge électrique de ce dernier n’affecte pas les autres systèmes de bord, et de faire en sorte que la demande demeure dans les limites de la puissance électrique prévue. Il faudrait prévoir un moyen (autre qu’un disjoncteur) permettant au membre de l’équipage de vol de couper l’arrivée de courant à la source d’alimentation ou au chargeur du système OEPP.
  2. Les branchements servant à la transmission de données des OEPP de classe 2 nécessite une approbation de la certification des aéronefs de manière à garantir l’absence d’interférence et l’isolation des systèmes de bord durant l’émission et la réception. Les branchements servant à la transmission de donnée de l’OEPP peuvent recevoir de l’information en provenance de n’importe quel système de bord et également recevoir ou émettre de l’information à des fins de CAA.
  3. La défaillance d’un OEPP relié à d’autres bus de données et/ou systèmes de bord ne devrait avoir aucun effet sur les systèmes de bord en place.
  4. Les dispositifs d’alimentation électrique et de connectivité des données d’un OEPP de classe 2 ayant été posés en vertu de certificats de type supplémentaires (CTS) peuvent nécessiter une mise à jour du Supplément au manuel de vol de l’aéronef (AFMS).

2.4.3.     Les OEPP de classe 3 doivent recevoir l’approbation de la certification des aéronefs de l’ANT, en plus de respecter toutes les exigences de certification applicables.

2.5.     Dispositifs de montage

2.5.1      Le présent paragraphe ne s’applique qu’aux OEPP de classe 2, vu que, par définition, les systèmes de classe 1 ne sont pas montés directement sur l’aéronef et que les systèmes de classe 3 font l’objet d’une installation à demeure. Le montage doit recevoir l’approbation de l’ANT, en plus de respecter toutes les exigences de certification applicables.

2.5.2      Le dispositif de montage (ou tout autre moyen d’assujettissement) qui immobilise l’OEPP ou qui en permet le montage devrait être placé de manière à ne pas entraver le champ visuel ni l’accès physique aux commandes de pilotage et/ou aux instruments du tableau de bord, aux voies d’entrée ou de sortie des membres d’équipage de vol, ou à la visibilité extérieure. Le montage, de par sa conception, devrait permettre à l’utilisateur un accès facile aux commandes de l’OEPP ainsi qu’une excellente visibilité de l’affichage OEPP en cours d’utilisation. Il faudrait tenir compte des considérations suivantes en ce qui concerne la conception du système :

  1. Le montage et le mécanisme connexe ne devraient aucunement entraver le travail du membre de l’équipage de vol (en situations normales, anormales ou d’urgence) associé au fonctionnement de n'importe quel système de bord.
  2. Les dispositifs de montage devraient pouvoir se verrouiller facilement. Le choix de positions devrait être assez souple pour permettre de répondre aux diverses références exprimées par les membres de l’équipage de vol. De plus, la plage des déplacements permis devrait correspondre à la plage des possibilités physiques attendues des utilisateurs (c.-à-d. les contraintes anthropométriques). Les mécanismes de verrouillage devraient être résistants à l’usure, de manière à réduire au minimum le risque de patinage à l’issue d’une utilisation prolongée. Il faudra tenir compte des questions de résistance à l’écrasement lors de la conception de ce dispositif, ce qui comprend un assujettissement suffisant du dispositif lorsqu’il est utilisé.
  3. Un moyen d’assujettir, de bloquer ou de ranger le dispositif de montage devrait être prévu de manière à ce qu'il n’entrave pas le travail des membres de l’équipage de vol lorsqu’il ne sert pas.
  4. Il faudra veiller à ne pas créer de problème de sécurité lorsqu’on relie une fixation de manche pilote ou un mécanisme ou dispositif de montage d’OEPP. Ainsi, la combinaison du poids de l’OEPP et de sa ferrure de fixation risque de modifier la dynamique du système des commandes de vol même si, en soi, le montage est assez léger pour paraître insignifiant. Une fois monté et/ou installé, l’équipement ne devrait présenter aucun risque ou danger pour les membres de l’équipage de vol. Il faudrait prévoir un moyen de ranger ou d’assujettir le dispositif lorsqu’il ne sert pas. De plus, l’appareil (ou sa structure de montage) ne devrait présenter aucun danger physique en cas d’atterrissage dur, d’atterrissage en catastrophe ou d’amerrissage forcé. L’OEPP et ses câbles d’alimentation ne devraient pas nuire aux évacuations d’urgence.

2.6.    Emplacement

2.6.1     L’OEPP devrait être facile d’accès depuis sa position de rangement, s’il en existe une. Lorsqu’il est utilisé et qu'il est censé être visible et accessible, il devrait se trouver dans un rayon de 90 degrés d’un côté ou de l’autre de l’axe de vision de chaque pilote.

2.6.2.    Si l’OEPP sert à afficher des données de vol critiques, notamment des informations de navigation, des avertissements sur le relief ou les obstacles qui nécessitent une réaction immédiate, les vitesses V au décollage et à l’atterrissage, ou toute autre fonction autre que la conscience de la situation, l’information devra se trouver dans le champ de vision primaire du pilote. Cette exigence ne s’applique pas si l’information n’est pas surveillée directement en vol à partir de l’OEPP. Par exemple, l’OEPP peut donner des vitesses V au décollage et à l’atterrissage, mais ces vitesses servent à régler les curseurs de vitesse ou sont entrées dans l’AFMS, l’anémomètre constituant la seule référence pour les vitesses V. En pareil cas, il n’est pas nécessaire que l’OEPP soit situé dans le champ de vision primaire du pilote. Par ailleurs, un angle visuel de 90 degrés peut ne pas convenir à certaines applications de l’OEPP si la qualité d’affichage se dégrade lorsque l’angle de visualisation s’élargit (p. ex., les couleurs s’estompent ou manquent de contraste sous l’angle de vue présenté par l’installation). De plus, il faudrait tenir compte du risque de confusion pouvant résulter de la présentation de « directions relatives » (p. ex., la position d’autres aéronefs sur les affichages de la circulation aérienne) lorsque le positionnement de l’OEPP suit une orientation qui ne cadre pas avec ce genre d’information. Ainsi, il y a risque de confusion si le cap de l’aéronef comme tel pointe vers le haut de l’affichage et que ce dernier n’est pas aligné sur l’axe longitudinal de l’aéronef. Chaque OEPP devrait faire l’objet d’une évaluation en fonction de ces exigences.

2.7.     Reflets

2.7.1.     Dans la position dans laquelle il est censé être utilisé, l’OEPP ne devrait pas produire d'éblouissement ou de reflets susceptibles de nuire à l’environnement visuel du pilote.

2.8.     Éclairage

2.8.1.     Les utilisateurs devraient pouvoir régler la luminosité de l’écran de l’OEPP indépendamment de celle des autres écrans du poste de pilotage. De plus, lorsqu’il existe une fonction de réglage automatique de la luminosité, celle-ci devrait agir de façon indépendante pour chaque OEPP du poste de pilotage. Les boutons et les pavés lumineux devraient être suffisamment éclairés pour permettre une utilisation nocturne. Il faudrait tenir compte de la dégradation à long terme des écrans due à l’usure et au vieillissement.

2.9.     Lisibilité

2.9.1.     Les textes qui s’affichent sur l’OEPP devraient être visibles par l’utilisateur type à la ou aux distances d’éloignement de l’écran qui sont prévues et dans toute la plage d’éclairage que l'on peut s’attendre à trouver dans un poste de pilotage, y compris sous une lumière solaire directe.

2.10.   Commandes

2.10.1.    Toutes les commandes devraient être étiquetées correctement en fonction de leur utilisation prévue.

2.10.2.    Toutes les commandes devraient être à portée de main du membre d’équipage concerné assis normalement à sa place dans le poste de pilotage.

2.10.3.    Au moment du choix et de la conception des périphériques de saisie comme des claviers ou des dispositifs à curseur, les demandeurs devraient s’interroger sur le type d’entrées qui seront faites ainsi que sur les facteurs environnementaux qui règnent dans le poste de pilotage, notamment la turbulence, et qui pourraient gêner l’utilisation de ces périphériques. En règle générale, les paramètres de déplacement des dispositifs à curseur devraient être personnalisés en fonction de l’application visée tout autant que de l’environnement du poste de pilotage.

2.11.    Désactivation des OEPP installés

2.11.1.     Dans le cas des OEPP installés, il devrait y avoir un moyen autre que le disjoncteur pour neutraliser l’OEPP en cas de mauvais fonctionnement, par exemple un scintillement permanent. Les disjoncteurs ne peuvent pas être utilisés en tant qu’interrupteurs.

2.12.    Interférences avec d’autres systèmes de bord

2.12.1.     Les systèmes OEPP de classe 1 et de classe 2 devraient démontrer qu’ils satisfont aux normes de qualification environnementales reconnues dans le milieu aéronautique pour les rayonnements émis dans le cas d’équipements utilisés en vol. Tout OEPP de classe 1 ou de classe 2 utilisé durant le vol devrait avoir fait la preuve qu'il n’a aucun impact négatif sur les autres systèmes de bord (absence d’interférence). Le constructeur, l’installateur ou l’exploitant pourront procéder aux essais et à la validation afin de s’assurer du bon fonctionnement et de l’absence d’interférences avec d’autres systèmes en place. Il faudrait s’intéresser au risque d’interférences lorsque des systèmes OEPP portables sont déplacés à l’intérieur du poste de pilotage. Des lignes directrices en matière de conduite d’essais d’interférence se trouvent dans le document RTCA DO–294C – Guidance on Allowing Transmitting Portable Electronic Devices (T PEDS) on Aircraft. Cette évaluation devrait faire partie du processus d’autorisation du matériel informatique d’un AEP qui est défini à la rubrique 314 du MNO.

2.13.    Essais de dépressurisation rapide

2.13.1.     Les dispositifs de classe 1 ou de classe 2 appelés à être utilisés avec des applications logicielles de type B pendant des vols à bord d’aéronefs pressurisés devraient faire l’objet d’essais de dépressurisation rapide. Comme de nombreux OEPP de classe 1 et de classe 2 étaient, à l’origine, des systèmes électroniques commerciaux sur étagère (COTS) adaptés à une utilisation aéronautique, les essais effectués pour une configuration de modèle d’OEPP en particulier pourraient s’appliquer aux autres installations de bord, ce qui veut dire qu’il ne sera pas nécessaire de dupliquer tous ces essais environnementaux génériques. Il incombe à l’exploitant qui demande une approbation de fournir la documentation attestant la tenue de ces essais. Cette évaluation devrait faire partie du processus d’autorisation du matériel informatique d’un AEP qui est défini à la rubrique 314 du MNO.

3.      Approbation technique des logiciels installés

3.1.     Réactivité de l’application

3.1.1.     Le système devrait donner une rétroaction à l’utilisateur lorsque la demande est acceptée.

3.1.2.     Si le système est en train d’exécuter des opérations internes qui l’empêchent de traiter immédiatement la demande de l’utilisateur (p. ex., calculs, auto-essais ou régénération de données), l’OEPP devrait afficher un indicateur d’occupation (p. ex., icône sous forme de montre) de manière à informer l’utilisateur que le système est occupé et que sa demande ne peut pas être traitée tout de suite. La rapidité de la réponse donnée par le système à la demande de l’utilisateur devrait être compatible avec l’objectif visé par l’application. La rétroaction et le temps de réaction du système devraient être prévisibles afin d’éviter à l’équipage de vol des distractions et/ou de l’incertitude.

3.2.     Lisibilité

3.2.1.     La police et le corps des caractères de chaque application devraient permettre une bonne visibilité aux distances d’éloignement de l’écran qui sont prévues; de plus, la mise en page devrait être parfaitement claire et éviter toute ambiguïté.

3.2.2.     Lorsque le segment de document ne peut s’afficher dans son intégralité à l’écran, notamment en mode zoom ou panoramique, l’existence du contenu masqué devrait être clairement indiquée, et ce, de manière uniforme. Il peut arriver, pour certaines fonctions, que le masquage d’une partie du document soit jugé inacceptable. La chose devrait être évaluée en fonction de l’application et de son utilisation opérationnelle. S’il y a un curseur, celui-ci devrait être visible en tout temps lorsque le système est en marche.

3.2.3.     Si une application de type document électronique permet l’ouverture de plusieurs documents simultanément ou que le système permette que l’on ouvre plusieurs applications à la fois, il faudrait avoir en permanence à l’écran une indication relative aux applications et/ou documents qui sont actifs. Le document actif est celui qui s’affiche à l’écran et qui répond aux sollicitations de l’utilisateur. En situation normale non urgente, l’utilisateur devrait pouvoir choisir laquelle des applications ou lequel des documents ouverts sera actif. De plus, il devrait savoir quelles sont les applications du poste de pilotage qui sont en marche et pouvoir basculer facilement de l’une à l’autre. Lorsque l’utilisateur revient à une application qui tournait en arrière-plan, celle-ci devrait avoir la même apparence qu’au moment où l’utilisateur l’a consultée, exception faite de différences inhérentes à la progression ou à la conclusion d’un traitement effectué en arrière-plan.

3.3.     Couleurs

3.3.1.     Dans tout système OEPP, les messages et rappels devraient satisfaire aux exigences pertinentes à l’aéronef concerné (p. ex., articles 523.1322 ou 525.1322 du RAC). La réglementation traite de l’éclairage, mais il faudrait en généraliser la portée pour l’étendre aux couleurs sur les écrans et les commandes. Ainsi, la couleur ROUGE devrait servir à indiquer un niveau d’alarme, tandis que la couleur JAUNE devrait indiquer un niveau d’avertissement. On devrait pouvoir se servir de toute autre couleur pour transmettre des informations autres que des alarmes et des avertissements, à condition que ces couleurs se distinguent bien des deux autres afin d’éviter tout risque de confusion.

3.4.     Messages

3.4.1.     Les messages et rappels des OEPP devraient être intégrés (et compatibles) avec la présentation des autres alertes sur les systèmes du poste de pilotage. Les messages des OEPP (aussi bien visuels que sonores), devraient être inhibés durant les phases critiques du vol. Il faudrait éviter tout clignotement de texte ou de symboles dans les applications des OEPP. Les messages devraient être priorisés, et le dispositif de priorisation évalué et documenté. En outre, durant les phases critiques du vol, l’information de vol nécessaire devrait être affichée en permanence sans qu'il n’y ait superposition, ouverture de fenêtres intempestives ou apparition de messages de prévention non demandés, exception faite des messages indiquant une défaillance ou une dégradation de l’application OEPP utilisée. Toutefois, s’il existe des exigences prévues dans la réglementation ou dans des Technical Standard Order (TSO) qui contredisent la recommandation faite ci-dessus, ce sont lesdites exigences qui auront préséance.

3.5.     Interface

3.5.1.     L’interface utilisateur de l’OEPP devrait être uniforme et intuitive à l’intérieur d’une même application OEPP ainsi qu’entre les diverses applications OEPP. La conception de l’interface, notamment les méthodes de saisie de données, le codage couleur et la symbologie utilisés devraient être uniformes dans la totalité des applications OEPP et des diverses applications hébergées. Ces applications devraient également être compatibles avec les autres systèmes du poste de pilotage.

3.6.    Saisie de données

3.6.1.     Lorsque les données entrées par l’utilisateur ne sont pas du bon format ou du type requis par l’application, l’OEPP devrait les rejeter. Un message d’erreur devrait être prévu afin de préciser quelles sont les données douteuses et quel est le type de données attendu. Le système OEPP ainsi que les logiciels d’application devraient incorporer une vérification des erreurs à la saisie qui détectera les erreurs le plus tôt possible au lieu d’attendre la fin d’une entrée invalide pouvant être très longue.

3.7.     Risque d’erreur ou de confusion

3.7.1.     Le système devrait être conçu de manière à réduire au minimum l’apparition et les conséquences d’une erreur commise par l’équipage de vol, et de façon à maximiser l’identification et la résolution des erreurs. Ainsi, les termes employés pour certains types de données en particulier, ou encore le format dans lequel sont exprimées les latitudes et longitudes, devraient demeurer constants d’un système à l’autre. Les méthodes de saisie de données, les codages couleur et la symbologie devraient être uniformes dans toutes les applications OEPP et les diverses applications hébergées. De plus, ces applications devraient aussi être compatibles avec les autres systèmes de bord. Les données saisies devraient s’afficher en compagnie des résultats associés aux différents calculs.

3.8.     Charge de travail

3.8.1.     Les logiciels OEPP devraient être conçus de manière à réduire au minimum la charge de travail de l’équipage de vol ainsi que le temps consacré aux activités tête basse. Pour en savoir plus, voir les articles 523.1523, 525.1523, 527.1523, 529.1523 du RAC ainsi que la version la plus à jour du document de la FAA qui s’y rattache, à savoir l’AC 525.1523-1, Minimum Flight Crew. Le contenu de ce dernier document est de nature générale et pourrait également s’avérer utile pour d’autres catégories d’aéronef. L’emplacement, l’utilisation et le rangement de l’OEPP ne devraient pas engendrer une charge de travail excessive pour l’équipage de vol. Il faudrait éviter d’avoir à faire des saisies de données complexes et en plusieurs étapes au cours du décollage, de l’atterrissage et d’autres phases critiques du vol. Une évaluation des fonctions envisagées de l’OEPP devrait inclure une évaluation qualitative portant sur l’augmentation de la charge de travail du pilote ainsi que sur les interfaces pilote-système et leurs conséquences sur le plan de la sécurité. Si un OEPP doit servir durant les phases critiques du vol, notamment au décollage et à l’atterrissage ou durant des situations anormales ou d’urgence, il faudrait en évaluer l’utilisation dans des conditions réelles ou simulées qui soient représentatives de ces situations.