Cahier des Clauses Techniques Particulières

Transcription

1 MINISTÈRE DE L ÉCOLOGIE, DU DÉVELOPPEMENT DURABLE ET DE L ÉNERGIE Direction générale de l Aviation civile Direction des services de la navigation aérienne Cahier des Clauses Techniques Particulières Marché d assistance à la maîtrise d ouvrage pour le suivi, le contrôle interne, l'assistance méthodologique et l'élaboration de méthodes concernant le processus d évaluation et d atténuation des risques et les études de sécurité dans la DSNA Le présent CCTP comporte 8 chapitres, il comprend 68 pages numérotées de 1 à 68 1, avenue du Dr Maurice GRYNFOGEL BP TOULOUSE Cedex 1 Réf. : CCTP/MSQS/2013

2 Table des matières MARCHE PUBLIC DE PRESTATIONS INTELLECTUELLES... 1 Cahier des Clauses Techniques Particulières... 1 Marché d assistance à la maîtrise d ouvrage pour le suivi, le contrôle interne, l'assistance méthodologique et l'élaboration de méthodes concernant le processus d évaluation et d atténuation des risques et les études de sécurité dans la DSNA INTRODUCTION Objet du document Guide de lecture Terminologie Documents de référence Documents utiles ENVIRONNEMENT REGLEMENTAIRE Exigences de sécurité «Eurocontrol» (ESARR) Règlements européens «Ciel unique» Règlementations pour l évaluation et l atténuation des risques des changements ATM Application des exigences réglementaires de sécurité à la DSNA Champ d application le système ATM ENVIRONNEMENT ORGANISATIONNEL L organisation de la DGAC La Direction des Services de la Navigation Aérienne (DSNA) La Mission du Management de la Sécurité, de la Qualité et de la Sûreté La Direction des Opérations La Direction de la Technique et de l Innovation (DTI) la Direction de la Technique et de l Innovation (DTI) La DSNA et le contexte européen LES ETUDES DE SECURITE DANS LA DSNA Mise en œuvre des exigences réglementaires 0 la DSNA Principes généraux Les DSSL Les ÉPIS Le Plan de Sécurité Dossier de Sécurité : rôles et responsabilités des principaux acteurs Dossiers de sécurité : présentation de la démarche Dossier de sécurité : structure du dossier CADRE CONTRACTUEL Les besoins La forme du marché La durée du marché LES UNITES D ŒUVRE DSNA page 2 sur 68

3 6.1 Objectif Types d unités d œuvre Attributs associés à un type d unité d œuvre Utilisation de la typologie des unités d œuvre DESCRIPTION DETAILLEE DES PRESTATIONS Liste des unités d œuvre UO 1 : Acquisition du contexte des études de sécurité dans la DSNA UO 2 : Revue documentaire d une étude de sécurité de type ÉPIS UO 3 : Revue documentaire d un plan de sécurité UO 4 : Revue documentaire des phases «initiale et FHA» d un dossier de sécurité UO 5 : Revue documentaire d une phase PSSA d un dossier de sécurité UO 6 : Revue documentaire d une phase «SSA et synthèse» d un dossier de sécurité UO 7 : Analyse d une fourniture documentaire particulière UO 8 : Assistance méthodologique à la demande UO 9 : Mise en cohérence de l outil base de données des changements de la DSNA UO 10 : Élaboration d un tableau de bord «études de sécurité» UO 11 : Élaboration d une fourniture documentaire UO 12 : Traduction de documents UO 13 : Formation aux études de sécurité UO 14 : Réunion UO 15 : Clôture du marché Réversibilité UO 16 : Déplacements CONDITIONS GENERALES TECHNIQUES D EXECUTION DU MARCHE Lieu d exécution Compétences des personnels Documentation Suivi, réunions de lancement, d avancement Vérification des fournitures Réception d un livrable DSNA page 3 sur 68

4 Approbation du document TITRE NOM et SIGNATURE DATE RÉDACTION Baptiste BURGY Chargé d affaire VÉRIFICATION Christophe BERTHELÉ Chef de la division SDS APPROBATION Alain BOUTEILLE Chef de la Mission du Management de la Sécurité, de la Qualité et de la Sûreté de la DSNA Relevé des modifications ÉDITION DATE MOTIF DES CHANGEMENTS SECTIONS / PAGES MODIFIÉES version /04/2013 version initiale toutes. version X xx/xx/xxxx Version pour le renouvellement du marché Diffusion MODE DE DIFFUSION / FORMAT Diffusion simple / document papier Diffusion simple / document électronique DESTINATAIRES DTI, division Marché et Contrats MSQS MSQS Responsable du document Christophe BERTHELÉ chef de la division «Sécurité des Systèmes» DSNA page 4 sur 68

5 1. INTRODUCTION 1.1 Objet du document La Direction des Services de la Navigation Aérienne (DSNA) est soumise à un ensemble de textes réglementaires qui émanent d Eurocontrol et de la Commission Européenne qui imposent que «toutes modifications portées à des sous-ensembles du système ATM 1 donnent systématiquement lieu à une procédure d identification des dangers ainsi que d évaluation et atténuation des risques» [1]. Cette procédure d identification et atténuation des dangers ainsi que d évaluation et atténuation des risques est désignée par «étude de sécurité» dans le présent CCTP. Le présent CCTP s inscrit dans le cadre des activités de la Mission du Management de la Sécurité, de la Qualité et de la Sûreté (MSQS) de la DSNA, pour la réalisation de prestations concernant les études de sécurité élaborées au sein la DSNA. Ces prestations, définies sous la forme d Unités d Œuvre, comprennent essentiellement : des activités de revue d études de sécurité. elles recouvrent l élaboration de référentiels de vérification internes à la MSQS, l assistance méthodologique aux acteurs de la DSNA en charge de la réalisation des études de sécurité, un suivi en continu et un contrôle des documents produits dans le cadre d études de sécurité ; des activités d élaboration d outils méthodologiques dont l objectif est d être des supports effectifs à la réalisation des études de sécurité de la DSNA ; des activités de formation dans le domaine des études de sécurité. 1.2 Guide de lecture Le présent document est constitué d'un corps et d'une annexe : le chapitre 1 est une introduction ; le chapitre 2 présente le cadre réglementaire relatif à la réalisation d études de sécurité dans la DSNA ; le chapitre 3 présente l environnement organisationnel de la DSNA. Il introduit les acteurs majeurs pour la réalisation des études de sécurité de la DSNA ; le chapitre 4 décrit le processus de réalisation des études de sécurité dans la DSNA. Il montre comment la DSNA répond aux exigences réglementaires relatives aux études de sécurité ; 1 ATM : Air Trafic Management ou Gestion du Trafic Aérien DSNA page 5 sur 68

6 le chapitre 5 définit le besoin lié au présent marché. Il montre comment le présent CCTP s inscrit dans les activités de la mission MSQS (Mission du Management de la Qualité, de la Sécurité et de la Sûreté) de la DSNA ; le chapitre 6 précise les attributs des unités d œuvres qui constituent les commandes et qui sont détaillées au chapitre 7. Il ne se substitue pas au CCAP pour la définition du cadre contractuel du marché ; Le chapitre 7 donne une description détaillée des prestations ; Le chapitre 8 fixe les conditions techniques d exécution du marché. 1.3 Terminologie Ce chapitre explicite les sigles utilisés dans ce document Organismes Cette section rappelle la signification des sigles désignant les organismes mentionnés dans ce document. CDG CESNAC CRNA DGAC DO DSAC DSNA DTA DTI ÉNAC EUROCAE EUROCONTROL MSQS OACI SNA Abréviation utilisée pour désigner l aéroport Roissy Charles de Gaulle. Centre d Exploitation des Système de la Navigation Aérienne Centraux. Centre en Route de la Navigation Aérienne. Direction Générale de l Aviation Civile. Direction des Opérations de la DSNA Direction du Contrôle de la Sécurité. Direction des Services de la Navigation Aérienne. Direction du Transport Aérien. Direction de la Technique et de l Innovation de la DSNA. École Nationale de l Aviation Civile. Organisation Européenne pour l'équipement de l'aviation Civile Agence européenne pour l harmonisation du contrôle du trafic aérien en Europe. Mission du Management de la Sécurité, de la Qualité et de la Sûreté Organisation de l Aviation Civile Internationale. Service de la Navigation Aérienne Systèmes techniques ATM Cette section rappelle la signification des sigles désignant les systèmes techniques mentionnés dans ce document. ARTAS CAUTRA COFLIGHT ATC Radar Tracker And Server. Coordinateur Automatique de Trafic Aérien. COoperative FLIGHT : futur système de traitement des plans de vols qui sera développé dans un premier temps pour l Italie, la Suisse et la France. DSNA page 6 sur 68

7 ELSA ERATO EXSA ILS ODS A-SMGCS STPV STR ÉLaboration de la Situation Aérienne (composant du STR) En Route Air Traffic Organizer. exploitation de la Situation Aérienne (composant du STR) Instrument Landing System Operational Display System. Advanced Surface Movement Guidance and Control System Système de Traitement des Plans de Vols. Système de Traitement Radar Vocabulaire du domaine ATM Cette section rappelle la signification des sigles et des principaux termes du vocabulaire opérationnel mentionnés dans ce document. ATC Air Traffic Control («Contrôle du trafic aérien») ATM Air Traffic Management («Gestion du Trafic Aérien») ANS Autorité Nationale de Surveillance ANSP Air Navigation Service Provider (Prestataire de Service de la Navigation Aérienne) CA Circulation Aérienne Indicatif Identification d un vol attribué par la compagnie effectuant le vol. IFR Instrument Flight Rules : règles de vol aux instruments. Ce sont les règles utilisées pour le transport public. RVSM Secteur Serveur ATC STCA TMA VFR Reduced Vertical Separation Minima : séparation minimale entre deux aéronefs C est un volume élémentaire d espace. Chaque système logique est composé de plusieurs secteurs. Un secteur est identifié par un nom et par le système logique dont il dépend. Ensemble des sous-systèmes CAUTRA : STIP, STPV, STR. Short Term Conflict Alert : filet de sauvegarde. Terminal Monitoring Area : portion de région de contrôle établie au carrefour de voies aériennes au-dessus d un ou plusieurs aérodromes importants. Visual Flight Rules : règles de vol à vue Vocabulaire du domaine sécurité de l ATM La signification des sigles et des principaux termes du vocabulaire relatif aux études de sécurité est : AMDEC APR DMSR DSSL ÉPIS Analyse des Modes de Défaillances, de leurs Effets et de leur Criticité Analyse Préliminaire des Risques Dossier Minimum de Séparation Radar Démonstration de Sécurité Simplifiée Locale Évaluation Préliminaire d Impact Sécurité DSNA page 7 sur 68

8 ÉPISCA ÉPISTIL ESARR FHA PSSA SSA MISO SAM SMI SMS Évaluation Préliminaire d Impact Sécurité pour une modification de dispositif de Circulation Aérienne Évaluation Préliminaire d Impact Sécurité pour une modification de nature technique Eurocontrol SAfety Regulatory Requirement Functional Hazard Analysis Preliminary System Safety Assessment System Safety Assesment Méthode d Intervention Sur Système Opérationnel Safety Assessment Methodology Système de Management Intégré Système de Management de la Sécurité Vocabulaire du domaine marché Cette section rappelle la signification des sigles et des principaux termes du vocabulaire relatif aux marchés publics mentionnés dans ce document. AO CCTP CCAP RC UO Appel d Offre Cahier des Clauses Techniques Particulières Cahier des Clauses Administratives Particulières Règlement de la Consultation Unité d Œuvre 1.4 Documents de référence Sauf mention différente, les documents de référence sont disponibles dans le dossier de consultation du présent marché. : [1] Règlement d exécution (UE) n 1035/2011 de la commission du 17 octobre 2011 établissant des exigences communes pour la fourniture de services de navigation aérienne et modifiant les règlements (CE) n 482/2008 et (UE) n 691/2010 [2] Règlement d exécution (UE) n 1034/2011 de la commission du 17 octobre 2011 sur la supervision de la sécurité dans la gestion du trafic aérien et les services de navigation aérienne et modifiant le règlement (UE) n 691/2010. [3] Règlement de la Commission Européenne n 482/2008 du 30 mai 2008 établissant un système d assurance de la sécurité des logiciels à mettre en œuvre par les prestataires de services de la navigation aérienne et modifiant l annexe II du règlement (CE) n 2096/2005. [4] Procédure pour l évaluation et l atténuation des risques PRO-002/DSNA, version 5 du jj mm [5] Méthodologie pour l évaluation et l atténuation des risques des changements du système fonctionnel DSNA MET-001/DSNA, version 2 du jj mmmm [6] Méthodologie de traitements des logiciels (évaluation et atténuation des risques) MET- 006/DSNA, version 1 du 6 mai DSNA page 8 sur 68

9 [7] Procédure de maîtrise documentaire PRO-001/DSNA, version V 3.1 du 03 janvier [8] Glossaire des termes couramment utilisés dans un dossier de sécurité GLO_ES/DSNA/MSQS version 1 du 21 novembre Version en cours de révision à cette date. 1.5 Documents utiles Sauf mention différente, les documents utiles sont disponibles dans le dossier de consultation du présent marché. [9] Safety Assessment Methodology V2. Disponible uniquement sur le site internet suivant : [10] Présentation «Démarche pour les études de sécurité dans la navigation aérienne», V2.2, DSNA/MSQS/SDS. Pour la réalisation des ÉPIS & DSSL : [11] Manuel d utilisation et formulaire ÉPISCA V2.3 de juin [12] Manuel d utilisation et formulaire ÉPISTIL V2.0 de juin [13] Manuel d utilisation et formulaire DSSL V3.0 du 30 août Pour le traitement des logiciels : [14] Guide d application de la MET-006/DSNA V1.1 du 13 mai [15] ED 109 Guidelines for CNS/ATM Systems Software Integrity Assurance. [16] ED 153 Guidelines for ANS Systems Software Assurance. DSNA page 9 sur 68

10 2. ENVIRONNEMENT REGLEMENTAIRE 2.1 Exigences de sécurité «Eurocontrol» (ESARR) L origine de la démarche pour l évaluation et d atténuation des risques dans l ATM trouvent sa source dans les exigences réglementaires de sécurité Eurocontrol : les ESARR (Eurocontrol Safety Regulatory Requirements) : Pour mémoire, les différents ESARR sont : Nom Objet Date d application ESARR/1 relatif à la supervision de la sécurité de l ATM 5 novembre 2007 ESARR/2 relatif à la notification et à l analyse des évènements liés à la sécurité dans le domaine ATM 1 er janvier 2002 ESARR/3 relatif à l utilisation de systèmes de management de la sécurité par les prestataires de services ATM 13 juillet 2003 ESARR/4 relatif à l évaluation et l atténuation des risques des systèmes ATM 5 avril 2004 ESARR/5 relatif à la compétence du personnel ATM Contrôleur (aspects contrôleurs aériens) 11 avril 2005 ESARR/5 Personnel technique relatif à la compétence du personnel ATM (aspects personnel technique en charge de la maintenance des systèmes ATM) 11 avril 2005 ESARR/6 relatif au logiciel ATM 6 novembre 2006 Le lecteur retiendra que la plupart de ces exigences règlementaire de sécurité ont été prises en comptes et intégrées dans les règlements européens à l exception toutefois de l ESARR 2 qui a été transposé dans le droit français par l arrêté du 26 mars Règlements européens «Ciel unique» La France, en tant que membre de l Union européenne, se doit d appliquer les règlements européens. En particulier, pour le domaine de la navigation aérienne, quatre règlements dits «règlements ciel unique» ont été adoptés le 10 mars 2004 (règlements (CE) n 549/2004, n 550/2004, n 551/2004 & n 552/2004). Ces règlements exigent, entre autre, que chaque prestataire de services de navigation aérienne opérant dans l Union européenne soit certifié apte à fournir les services de la navigation aérienne, par une Autorité Nationale de Surveillance désignée par chaque État. Les conditions pour être certifié sont précisées dans le règlement européen établissant les exigences communes relatives à la fourniture des services de la navigation aérienne, règlement n 1035/2011 de la commission du 17 octobre 2011 [1]Erreur! Source du renvoi introuvable.. DSNA page 10 sur 68

11 En résumé, ce règlement stipule que, pour être certifié, tout prestataire de services de navigation aérienne doit disposer : d une structure organisée ; d un plan d entreprise à 5 ans avec mise à jour annuelle ; d un Système de Management de la Sécurité (reprend essentiellement les textes ESARR3 et ESARR4) ; d un Système de Management de la Qualité (la norme ISO 9001 est un moyen de conformité) ; d un Système de Management de la Sûreté ; de manuels d exploitation pour les organismes opérationnels ; dans le domaine des ressources humaines, d un recrutement adéquat et de la mise en œuvre des exigences ESARR/5 relatives au personnel technique ; d une solidité financière ; d une couverture des risques ; de plans d urgence ; d un rapport annuel. Par ailleurs, il doit : faire preuve de transparence ; consulter annuellement les usagers de l espace aérien sur la qualité des services rendus ; se conformer aux Annexes de l OACI (Annexes 2, 3, 4, 10, 11, 14, 15). 2.3 Règlementations pour l évaluation et l atténuation des risques des changements ATM Les «Exigences Communes» [1] requièrent que, dans le cadre de son Système de Management de la Sécurité (SMS), le prestataire de service de la navigation aérienne «veille à ce que l identification des dangers ainsi que l évaluation et l atténuation des risques soient systématiquement effectuées pour tous les changements apportés à des sous-ensembles du système fonctionnel de gestion du trafic aérien». Par ailleurs, le règlement (CE) No 482/2008 du 30 mai 2008 établissant un système d assurance de la sécurité des logiciels à mettre en œuvre par les prestataires de services de navigation aérienne [3] impose la mise en œuvre de systèmes d'assurance de la sécurité des logiciels propre à réduire à un niveau tolérable les risques associés à l'utilisation de logiciels dans les systèmes ATM en rapport avec la sécurité. Les dispositions de ces deux règlements s imposent directement en droit français et s imposent donc à la DSNA, qui est le prestataire de service de la navigation aérienne. DSNA page 11 sur 68

12 2.4 Application des exigences réglementaires de sécurité à la DSNA Les exigences réglementaires issues de [1] et de [3] se traduisent dans le SMS 2 de la DSNA par l obligation de : réaliser une étude de sécurité avant la mise en service de tout changement dans le système fonctionnel DSNA, de mettre en œuvre un système d assurance logiciel dès lors qu il y a création ou modification de tout logiciel du système ATM. Un certain nombre de documents fixent à la fois la méthode et le cadre des études de sécurité et du traitement des logiciels. Ces documents sont décrits plus en détail au paragraphe 4 cidessous. 2.5 Champ d application le système ATM Le règlement UE n 1035/2011 [1] portant sur l évaluation et l atténuation des risques dans le domaine ATM, définit la notion de système comme une «combinaison d éléments physiques, de procédures et de moyens humains, organisés dans le but de remplir un service». Pour la suite du présent document, le terme «système» recouvrira ces trois notions. Ainsi, pour tout changement dans le système ATM, une procédure d identification des dangers ainsi que d évaluation et d atténuation des risques doit : couvrir tous les éléments du système ATM concernés par le changement facteurs humains, procédures et équipements (matériel et logiciel) éléments considérés dans leur environnement opérationnel en tenant compte de leurs interactions avec les autres constituants du système ATM ; 2 La DSNA ayant fait le choix d intégrer à la fois les démarches sécurité, qualité et sûreté, l Acronyme SMS a fait la place à celui de SMI : Système de Management Intégré. DSNA page 12 sur 68

13 Figure 1 - Système ATM : une notion très globale couvrir les composantes à la fois air et sol du système ATM ; couvrir «l intégralité du cycle de vie du sous-ensemble considéré du système ATM : des phases initiales de planification à sa mise en œuvre, y compris la maintenance et le retrait du service» [4]. Dans le cadre de la surveillance qu elle exerce sur la DSNA, la DSAC, Autorité Nationale de Surveillance française, peut être amenée à suivre la réalisation d une étude de sécurité (cf. [1] & [4]), avant de délivrer une acceptation préalable à la mise en service opérationnelle d un changement. DSNA page 13 sur 68

14 PROJET SPÉCIFICATIONS ET CONCEPTION RÉALISATION INSTALLATION ET TRANSITION EXPLOITATION OPÉRATIONNELLE ÉVALUATION ET ATTÉNUATION DES RISQUES Plan sécurité Analyses sécurité : système, phases d installation et de transition,... Justifications, preuves, DOCUMENTS d ANALYSES d sur l l ÉVALUATION ET l ATTl ATTÉNUATION DES RISQUES POINTS DE RENCONTRE AVEC LE REGULATEUR (ANS) ACCEPTATION Figure 2 - Démarche projet & démarche d évaluation et d atténuation des risques 3. ENVIRONNEMENT ORGANISATIONNEL 3.1 L organisation de la DGAC L organisation de la Direction Générale de l Aviation Civile a été mise en place début 2005 afin d'établir un partage clair entre les trois métiers de «régulateur», de «certificateur» (ou Autorité Nationale de Surveillance -ANS-) et «d'opérateur» (ou prestataire de service de la navigation aérienne en anglais ANSP : Air Navigation Service Provider-), tout en répondant mieux aux quatre objectifs fondamentaux suivants : sécurité, qualité du service offert à des coûts acceptables, respect des réglementations nationales et européennes, qu elles soient techniques ou économiques, et enfin défense des intérêts de l Aviation Civile française aux niveaux national et international. La DGAC est organisée en 3 pôles autour d une Direction Générale chargée du pilotage et de la coordination de l ensemble : le pôle activités régaliennes (stratégie et réglementation technique) avec, en particulier : la Direction du Transport Aérien (DTA) ; le pôle surveillance et certification (contrôle de la sécurité) comprenant, en particulier : la Direction de la Sécurité de l Aviation Civile (DSAC) ; le pôle prestataires de services de navigation aérienne comprenant : la Direction des Services de la Navigation Aérienne (DSNA), service à compétence nationale. DSNA page 14 sur 68

15 Pour la France, la Direction de la Sécurité de l Aviation Civile (DSAC) a été désignée comme Autorité Nationale de Surveillance (ANS) et à ce titre, elle est chargée de délivrer un certificat aux prestataires de services de navigation aérienne (militaires & civils) conformément au règlement européen établissant les exigences communes relatives à la fourniture des services de navigation aérienne [1] Pour la partie intéressant ce marché, la DSAC a pour mission de s assurer que les règlements européens dits «ciel unique» sont appliqués. En particulier, elle exerce, dans le cadre de la supervision de la sécurité des changements apportés au système ATM, une mission de vérification des démonstrations de la sécurité de fonctionnement des systèmes opérationnels selon des modalités définies dans son manuel de surveillance, en vertu de [1]. 3.2 La Direction des Services de la Navigation Aérienne (DSNA) La DSNA est chargée de rendre les services de la circulation aérienne, de communication, de navigation, de surveillance afférents, ainsi que les services d information aéronautique, aux aéronefs évoluant en circulation aérienne générale dans l espace aérien dont la gestion a été confiée à la France par l Organisation de l Aviation Civile Internationale (OACI), et sur les aérodromes désignés par le ministre chargé de l aviation civile. Elle a été désignée en tant que prestataire de services de navigation aérienne au sens des règlements «Ciel Unique». À ce titre, elle : veille à rendre ces services avec le plus haut niveau de sécurité ; planifie les évolutions opérationnelles et les moyens nécessaires pour faire face à l évolution du trafic, ainsi que les études appropriées ; réalise toute étude nécessaire pour évaluer et exprimer les besoins correspondants en matière d'espace aérien, et contribue à l élaboration de la politique de l espace aérien ; acquiert, installe, exploite et entretient les installations et les systèmes de communication, de navigation, de surveillance et de gestion du trafic aérien nécessaires à son activité ; établit les programmes d équipement d infrastructures et de systèmes, et effectue les études et les recherches correspondantes ; détermine les besoins de l'aviation civile dans le spectre radioélectrique et assure, en liaison avec l agence nationale des fréquences, les coordinations nationales et internationales appropriées pour la gestion et la protection des fréquences correspondantes ; participe aux activités de recherches et de sauvetage des aéronefs en détresse et aux études en ce domaine ; définit les caractéristiques des installations et bâtiments nécessaires à ses besoins, établit le programme correspondant, en suit la réalisation et en assure l entretien ; assure le recueil, la production et la diffusion de l'information aéronautique ; contribue à la détermination des besoins en matière de services météorologiques nécessaires à l aviation ; DSNA page 15 sur 68

16 coopère avec les organismes militaires concernés par la navigation aérienne, ainsi qu avec les administrations et les prestataires de services de navigation aérienne étrangers, en tant que de besoin pour l accomplissement de ses missions, sous réserve des attributions des autres services concernés de la direction générale de l aviation civile ; apporte son concours à la direction des affaires stratégiques et techniques pour la définition des normes, procédures et textes réglementaires relatifs à la navigation aérienne ; participe aux travaux internationaux relevant de sa compétence de prestataire de services de navigation aérienne, sous réserve des attributions des autres services concernés de la direction générale de l aviation civile Organisation de la DSNA La DSNA comprend actuellement : une Direction des Opérations (DO); une Direction de la Technique et de l Innovation (DTI); une Sous-Direction de la Planification et de la Stratégie (SDPS); une Sous-Direction des Ressources Humaines (SDRH); une Sous-Direction des FInances (SDFI); une Mission du Management de la Sécurité, de la Qualité et de la Sûreté (MSQS); une Mission de l Environnement (ME); un Cabinet, chargé notamment des courriers réservés et de la communication. DSNA page 16 sur 68

17 DSNA directeur MSQS sécurité qualité sûreté SDRH ressources humaines ME environnement SDFI finances SDPS Planification stratégie SIA Information aéronautique CRNA Nord CRNA Ouest CRNA Est CRNA Sud-Est CRNA Sud-Ouest DO Direction des opérations SNA RP Région parisienne SNA Nord SNA Ouest SNA Sud-Ouest SNA Sud SNA Sud-Sud-Est CESNAC Systèmes centraux Figure 3 - Organigramme de la DSNA SNA Sud-est SNA Centre-Est SNA Nord-Est SNA Antilles Guyane SNA Océan Indien DTI Direction de la Technique & de l Innovation 3.3 La Mission du Management de la Sécurité, de la Qualité et de la Sûreté La Mission du Management de la Sécurité, de la Qualité et de la Sûreté (MSQS) est directement rattachée au directeur de la DSNA. Elle est spécifiquement chargée de la mise en œuvre et du pilotage du système de gestion de la sécurité, de la qualité, et de la sûreté au sein de la DSNA. Ce système de gestion comprend, conformément à l annexe 2, 3.2 de [1] un volet relatif à l évaluation et l atténuation des risques lors de tout changement opéré dans le système ATM. DSNA page 17 sur 68

18 Au sein de MSQS, la division Sécurité des Systèmes (SDS) est plus particulièrement chargée de : étudier, développer et promouvoir des méthodes d analyses de sécurité, en particulier avec d autres ANSP européens ; produire des guides et des référentiels pour la réalisation d études de sécurité au sein de la DSNA ; agir en support méthodologique pour les différents services de la DSNA ; participer aux actions de formation ; suivre et valider les dossiers de sécurité identifiés (cohérence et méthode) ; participer aux audits internes du Système de Management Intégré (SMI) ; être l interface de la DSAC pour la DSNA (études de sécurité). En support au déroulement et au suivi des études de sécurité, SDS met en œuvre une application d aide à la gestion et au suivi des changements appelée SPIRIT. Cette base de données est accessible aux différentes entités de la DSNA. La division SDS de la MSQS compte actuellement 5 agents : un chef de division et trois ingénieurs. 3.4 La Direction des Opérations Missions et organisation La DO est la structure opérationnelle de la DSNA. Elle est chargée d assurer l écoulement sûr et régulier du trafic aérien en limitant les atteintes qu il est susceptible de porter à l environnement. À ce titre, elle est chargée : de rendre les services de la circulation aérienne dans les zones de responsabilité des centres de contrôle en route, d approche et d aérodrome ; d exploiter les systèmes informatiques à caractère national concourant au contrôle de la circulation aérienne ; de veiller à la cohérence des procédures, des méthodes, des moyens mis en œuvre par les services et les centres qui lui sont rattachés ; de fournir l information aéronautique au sens de l OACI (notamment annexe 15 de la convention de Chicago) ; de recueillir, réaliser, éditer et diffuser l information aéronautique. Elle est composée : d un échelon central, comprenant : une structure de direction ; 3 départements techniques : le département «Sécurité et Performances», le département «Espace» et le département «Systèmes, Infrastructures et Programmation technique» ; DSNA page 18 sur 68

19 un département «Administration» ; deux services spécialisés : le Service de l Information Aéronautique (SIA) et le Centre d Exploitation des Systèmes de la Navigation Aérienne centraux (CESNAC) ; de 5 Centres En-Route de la Navigation Aérienne (CRNA) ; de 11 Services de la Navigation Aérienne (SNA). Un peu moins de 5000 agents assurent des fonctions opérationnelles H24, dont environ 3100 contrôleurs aériens, 1000 électroniciens et 700 techniciens. Les SNA (Services de la Navigation Aérienne) ont la responsabilité des organismes des services de la circulation aérienne de type «aérodromes» de leur région de compétence. Les 11 SNA couvrent 82 aérodromes de France métropolitaine et des départements d outre-mer. Les CRNA (Centres En-Route de la Navigation Aérienne) sont des organismes des services de la circulation aérienne en charge du trafic aérien «en croisière» c est-à-dire dès lors que l aéronef a quitté la proximité de l aérodrome et jusqu à ce qu il s en approche à nouveau en vue de transiter ou d atterrir. Aux différents niveaux de son organisation, la Direction des Opérations est un acteur majeur pour l élaboration des études et dossiers de sécurité [4]. 3.5 La Direction de la Technique et de l Innovation (DTI) Missions et organisation 3.6 la Direction de la Technique et de l Innovation (DTI) La direction de la technique et de l innovation (DSNA/DTI) est chargée de l étude, du développement, de l achat, de la réception et de la vérification technique des équipements et des systèmes de communication, de navigation, de surveillance et de gestion du trafic aérien et de ceux utilisés pour la fourniture de services d information aéronautique, mis en œuvre par la direction des services de la navigation aérienne, tant au niveau national qu en coopération internationale, sous réserve des achats, réceptions et installations confiées à la direction des opérations. À ce titre, elle est chargée de : conduire des études, des recherches appliquées et des expérimentations dans le domaine de la navigation aérienne ; contribuer à l élaboration des dossiers de sécurité, d homologation et de vérification de l interopérabilité des équipements et des systèmes définis au premier alinéa et de conduire les essais nécessaires ; définir, en coopération avec la direction des opérations, les règles et les procédures pour l installation et l entretien de ces équipements et de ces systèmes et de participer, en tant que de besoin, aux travaux d installation et aux opérations d entretien ; procéder, en tant que de besoin, à la vérification technique du fonctionnement des équipements de navigation aérienne, par tous moyens appropriés, et notamment par le contrôle en vol des aides à la navigation et à l atterrissage ; DSNA page 19 sur 68

20 participer à l élaboration des programmes d études et d équipement de la DSNA. Elle en assure la réalisation en ce qui concerne les études et recherches à caractère technique et opérationnel, les matériels techniques et les logiciels opérationnels ; participer à la définition des caractéristiques des bâtiments et ouvrages nécessaires à l installation des matériels et au fonctionnement des services de navigation aérienne et de vérifier la conformité des projets retenus avec les normes techniques et de sécurité spécifiques à la navigation aérienne ; présenter aux autorités compétentes les propositions concernant l affectation des fréquences nécessaires aux services de navigation aérienne et à l octroi des licences relatives aux stations radioélectriques correspondantes et de conduire toutes études nécessaires à cet effet ; participer aux consultations entre services relatives aux servitudes radioélectriques en ce qui concerne la protection des installations de navigation aérienne et d émettre les demandes d établissement de servitudes pour les infrastructures qu elle installe. La DTI comprend actuellement : une structure de direction, cinq domaines techniques : DTI/EEI : Études Européennes et Innovation, DTI/EOS : Exigences Opérationnelles des Systèmes, DTI/ATM : Systèmes de Gestion du Trafic Aérien, DTI/CNS : Systèmes de Communication, Navigation, Surveillance, DTI/DSO : Déploiement et Support Opérationnel. Un domaine Support Général (DTI/SG). 3.7 La DSNA et le contexte européen Le contexte international, notamment européen, a beaucoup évolué depuis quelques années et il continue d évoluer, influant de manière plus ou moins sensible le système de management de la sécurité de la DSNA FABEC En application des règlements européens du ciel unique, les États membres de l Union européenne doivent former, par accords entre eux, des blocs d espace aérien fonctionnels (FAB), ces blocs fonctionnels d espace devaient être mis en œuvre avant la fin L objectif des FAB est de gérer l espace aérien et le trafic aérien de manière indépendante des frontières et de parvenir à une intégration progressive des opérateurs. La France s est engagée avec 5 États (Allemagne, Belgique, Pays-Bas, Luxembourg et Suisse) et leurs prestataires de services de navigation aérienne respectifs (DSNA, DFS, Belgocontrol, MUAC, LVNL, ANA Luxembourg, Skyguide) dans l étude puis la réalisation d un bloc d espace aérien fonctionnel nommé FAB Europe Central : FABEC. L engagement initial des parties s est concrétisé par une déclaration d intention des 6 États pour la mise en œuvre du FABEC et un DSNA page 20 sur 68

21 accord de coopération entre les 7 prestataires de services concernés, signés lors du «sommet européen de l aviation» à Bordeaux, en novembre Le Traité entre les 6 États créant le FABEC a été signé le 2 décembre 2010, en marge du Conseil européen des transports. Cet accord instaure une étroite coordination entre autorités civiles et militaires des États, et la prise de décisions conjointes pour ce qui relève des aspects régaliens de la gestion du trafic et de l espace aériens. De plus, un accord entre autorités nationales de surveillance a été signé le 27 janvier Enfin, les autorités des 6 États ont adopté mi-2011 un plan de performance des services de navigation aérienne conjoint, portant sur les domaines de la sécurité, de la capacité, de l environnement et de l efficacité des missions militaires. Les objectifs d efficacité économique demeurent fixés au niveau national à ce stade, puisque la tarification des services de navigation aérienne En-Route l est aussi AESA L'Agence Européenne de la Sécurité Aérienne (AESA) a été créée par l'union Européenne en Basée à Cologne (Allemagne), ses principales tâches sont d élaborer la réglementation aérienne relative à la sécurité de l aviation, de s'assurer de sa mise en œuvre, de certifier les aéronefs, les moteurs et les équipements. Ses attributions couvrent la construction et la maintenance des aéronefs, les opérations aériennes et les licences des personnels navigants, les aéroports et les services de navigation aérienne. L'AESA adopte une approche dite «total system approach» impliquant de nombreux acteurs parmi lesquels on trouve les avionneurs, les ingénieurs, les opérateurs aériens, les pilotes, les membres d'équipage, les exploitants aéroportuaires, les contrôleurs aériens. Dans le domaine de l'atm et des services de la navigation aérienne, l'aesa développe les futures mesures d'exécutions (IR - implementing rules) sur la base des règlements Ciel Unique. DSNA page 21 sur 68

22 4. LES ETUDES DE SECURITE DANS LA DSNA 4.1 Mise en œuvre des exigences réglementaires à la DSNA Les modalités pratiques de réalisation des études de sécurité dans la DSNA sont précisées dans les deux documents suivants élaborés par la MSQS : la procédure DSNA pour l évaluation et l atténuation des risques : PRO-002/DSNA, version 5 du jj mmmm 2013 [4]. Cette procédure a pour objet de d écrire l organisation mise en place par la DSNA pour réaliser l évaluation et l atténuation des risques. Elle précise les rôles et responsabilités des différents acteurs (cf. Figure 5 - Principaux acteurs pour la réalisation d'un dossier de sécurité). Cette procédure est déclinée par les services de la DSNA chargés de l élaboration des études de sécurité : la DO et la DTI. la méthodologie DSNA pour l évaluation et l atténuation des risques des changements du système fonctionnel DSNA : MET-001/DSNA, version 2 du jj mmmm 2013 [5]. Ce document définit la méthodologie DSNA pour la réalisation des études de sécurité qui doivent être réalisées avant tout changement du système ATM incluant également le domaine CNS 3. Cette méthodologie est conforme aux principes décrits dans la méthodologie SAM [9]. Le processus de réalisation des études de sécurité dans la DSNA est illustré par la Figure 4 - Processus global de réalisation des études de sécurité dans la DSNA, infra. la méthodologie DSNA pour le traitement des logiciels : MET-006/DSNA, version 1 du 6 mai 2009 [6]. Le document a pour objet de préciser les dispositions pour la prise en compte des aspects liés à la sécurité des logiciels du système ATM/CNS conformément aux dispositions de [3]. Afin de permettre et de faciliter la mise en œuvre de ces dispositions, la division SDS de la Mission MSQS a développé un certain nombre de guides et documents annexes. On peut citer dans ce cadre : le manuel d utilisation et formulaire ÉPISCA V2.3 de juin 2012 [11], le manuel d utilisation et formulaire ÉPISTIL V2.0 de juin 2012 [12], le manuel d utilisation et formulaire DSSL V3.0 du 30 août 2012 [13], le guide d application de la MET-006/DSNA V1.1 du 13 mai 2011 [14], ainsi que des études de sécurité dites génériques qui s utilise dans un contexte très précis de changement. La Mission MSQS a également bâti, en coopération avec l ÉNAC, des formations destinées aux personnels de la DSNA afin de connaître les principes de réalisation d une étude de sécurité : les stages SURSY et DESNA référencés dans le catalogue des formations disponible sur et aussi des formations sur sites plus ponctuelles en fonction des sollicitations et des besoins des entités de la DSNA (DO & DTI). 3 CNS : Communication, Navigation & Surveillance. DSNA page 22 sur 68

23 4.2 Principes généraux La réglementation en vigueur impose que tout changement dans le système ATM fasse l objet d une étude de sécurité, c est-à-dire qu une procédure d évaluation et d atténuation des risques (comprenant l identification des dangers ou évènements redoutés) soit systématiquement conduite. L approche pour l évaluation et l atténuation des risques consiste en la réalisation d une étude de sécurité qui couvre : l intégralité du cycle de vie du sous-ensemble considéré du système ATM, des phases initiales de planification à sa mise en œuvre, y compris la maintenance et le retrait du service, les trois éléments constitutifs du système ATM, à savoir les facteurs humains, les procédures et les équipements, leurs interactions ainsi que les interactions entre le sous-ensemble considéré et les autres constituants du système ATM, dans un environnement opérationnel donné, les composantes sol et air (y compris la composante spatiale) du système ATM, à travers une coopération avec les organismes compétents. Une étude de sécurité 4 désigne à la fois : un ensemble d activités visant à évaluer et atténuer les risques associés à un changement dans le système ATM et à en justifier l acceptabilité, conformément au Règlement UE n 1035/2011 du 17 octobre Annexe 2-3.2, un ensemble de documents rassemblant les résultats de ces activités. Afin de prendre en compte l ensemble des changements, qui peuvent être d ampleurs très diverses, la méthodologie DSNA [5] introduit la notion d Évaluation Préliminaire d Impact sur la Sécurité (ÉPIS), qui permet un «filtrage préliminaire» des changements : «L élaboration d une étude de sécurité comprend généralement deux phases : une évaluation préliminaire d impact sur la sécurité (ÉPIS) ; le cas échéant, la constitution d un dossier de sécurité qui est tenu à jour tout au long de la vie du système. [ ] ; Note : Dans le cas d un changement d ampleur évidente, il peut être décidé de développer directement un dossier de sécurité, sans faire d ÉPIS.» 4 L appellation «étude de sécurité» est générique, elle recouvre à la fois les ÉPIS et/ou les dossiers de sécurité. et de façon très marginale les DSSL. DSNA page 23 sur 68

24 Figure 4 - Processus global de réalisation des études de sécurité dans la DSNA DSNA page 24 sur 68

25 4.3 Les DSSL Les démonstrations de sécurité simplifiées locales DSSL s appliquent à la DSNA uniquement pour les changements temporaires apportés à l organisation de l espace aérien et pour lesquels de la DSNA n est pas à l origine du changement. L entité de la DSNA consultée sur la modification temporaire trace dans un formulaire d une page (le formulaire DSSL), les impacts sur la sécurité induits par le changement temporaire pour la partie qui la concerne. Les impacts sur la sécurité sont évalués au regard des services qu elle rend dans l espace aérien où sera mis en œuvre le changement temporaire. L avis rendu par entité concernée contient a minima : l intitulé du changement, l impact sur la sécurité dans le volume d espace aérien où sont rendus les services de la CA ; les moyens en réduction de risque proposés par l entité ; l évaluation faite par la DSNA de l impact du changement temporaire sur la sécurité. Pour de plus amples précisions, le lecteur pourra se référer à [13] cependant, son attention doit être attirée sur le très faible impact de ce type d étude de sécurité dans les activités de la division SDS. Les informations ci-dessus figurent au présent CCTP à dessein d exhaustivité. 4.4 Les ÉPIS On se référera, pour comprendre le rôle et contenu des ÉPIS au de [5]. La majorité des changements portés au système ATM géré par la DSNA font l objet d une ÉPIS. Celles-ci seront conduites à la DTI ou à la DO et par les organismes locaux, SNA ou CRNA. Afin de faciliter la réalisation de ces ÉPIS, la Mission MSQS a mis à la disposition des agents de la DSNA des documents relatifs à : ÉPIS-CA : ÉPIS portant sur des modifications de dispositif de circulation aérienne ; ÉPIS-TIL : ÉPIS portant sur des changements sur des composantes techniques et/ou logicielles du système ATM. Au final, l ÉPIS est une étude de sécurité à part entière et, même si elle ne donne pas lieu à la réalisation d un dossier de sécurité, elle comporte les mêmes types d éléments qu un dossier de sécurité définis au 4.7 infra. La seule différence se situe dans la profondeur des analyses conduites. 4.5 Le Plan de Sécurité Le plan de sécurité est un document qui précède systématiquement un dossier de sécurité, il doit être un document synthétique qui contient [5] : l identification du changement ainsi que son échéance ; DSNA page 25 sur 68

26 la description du changement ; le périmètre du dossier de sécurité présentant le contour du système étudié, les interfaces avec les autres systèmes et ce qui est exclu du périmètre ; les entités concernées par le changement y compris celles «hors DSNA» ; l organisation des activités sécurité comprenant le rôle et les responsabilités des différents acteurs du dossier de sécurité ; la méthodologie suivie comprenant une description générale des méthodes qui seront utilisées pour l élaboration des activités liées au dossier de sécurité ; le calendrier des différentes phases des activités sécurité en lien avec le calendrier global du projet avec en particulier, l identification des jalons pertinents et des fournitures en sortie de ces phases. 4.6 Dossier de Sécurité : rôles et responsabilités des principaux acteurs La réalisation d un dossier de sécurité fait intervenir plusieurs acteurs, nécessitant une collaboration étroite entre les différents services de la DGAC et une clarification des responsabilités. Le schéma ci-dessous reprend les principes énoncés dans [4]. DSNA page 26 sur 68

27 Les acteurs d une étude de sécurité Responsable de la mise en service (chef d organisme ou représentant désigné) Décide la mise en service en fonction des éléments présentés par le responsable du changement et le coordonnateur de l étude Responsable du changement (expression générique pour désigner selon les cas: directeur de programme, chef de projet, responsable par sa fonction) S assure de la déclaration du changement dans SPIRIT Déclenche l étude de sécurité Prend en compte les activités et les résultats de l étude de sécurité Informe régulièrement le coordonnateur de l ES des modifications subies par le projet Propose la mise en service au responsable de la mise en service Le Coordonnateur Etude de Sécurité Coordonne les activités étude de sécurité avec les différents contributeurs, S assure de la rédaction du ou des documents constituant l Etude de Sécurité, Informe régulièrement le responsable du changement des résultats de l étude Rend compte de l acceptabilité du risque au responsable de la mise en service Assure l interface avec la DSAC en cas de suivi. Dans ce but, o Participe aux réunions de suivi DSNA-ANS o Adresse au correspondant le plan de sécurité (le cas échéant) o l informe des évolutions du projet (planning, organisation, contenu, o L informe régulièrement des résultats de l étude Est le point de contact de MSQS pour toute question relative au changement. S assure de la mise à jour des informations dans SPIRIT o Réactualisation date de Mise en Service o Gravité maximale o Déclaration de dossier de sécurité le cas échéant o Dépôt des documents produits o Déclaration de Mise en Service Correspondant DSAC Pour les changements suivis Organise les réunions de suivi DSNA-ANS Détermine en coordination avec le coordonnateur la date limite de remise de l EdS Vérifie toute ou partie des documents constituant l EdS Propose un avis (acceptation/refus/dem ande d infos) sur la base de l étude de sécurité MSQS Vérification de certaines études de Sécurité (méthodologie et cohérence) Support méthodologique Contributeurs à l étude de sécurité Leur nombre et profil sont en lien avec le changement étudié de façon à réunir une expertise dans l ensemble des domaines impactés. Participent aux activités étude de sécurité (identifier les risques et les moyens de les réduire) Contribuent à la réalisation du ou des documents étude de sécurité. Ont en charge la mise en œuvre d exigences de sécurité et/ou la réalisation d actions au titre de l assurance sécurité Contributeur Contributeur Contributeur Figure 5 - Principaux acteurs pour la réalisation d'un dossier de sécurité DSNA page 27 sur 68

28 4.7 Dossiers de sécurité : présentation de la démarche La réalisation d un dossier de sécurité doit permettre au prestataire de services ATM de s assurer que les dangers liés à la modification d un système ont été systématiquement identifiés et que les risques ont été évalués et atténués, afin de démontrer que le niveau de sécurité offert est satisfaisant. La DSNA/MSQS a défini un plan type pour les dossiers de sécurité - cf. annexe 3 de [5] - dont les principales étapes sont schématisées ci-dessous. À titre d information, les correspondances avec les phases de la SAM (Safety Assessement Methodology)[9] d Eurocontrol sont indiquées : FHA, PSSA & SSA. Figure 6 Principales étapes de réalisation d un dossier de sécurité Description des phases de FHA, PSSA & SSA Les différentes étapes de la méthodologie «Safety Assessment Methodology» sont décrites plus en détails ci-dessous. La FHA La phase de FHA consiste en : L évaluation des risques (phase Functional Hazard Assessment de la SAM) : analyse technique et fonctionnelle : le règlement d exécution (UE) n 1035/2011 de la commission du 17 octobre 2011 [1] (annexe a) en fait une partie intégrante de l identification des dangers liés à l évolution ; identification des évènements redoutés : elle s appuie sur l analyse du système pour analyser les modes de défaillances et leurs effets (par exemple à travers une APR ou une DSNA page 28 sur 68

29 Prestations d'études pour le suivi, le contrôle interne, l'assistance méthodologique et l'élaboration AMDEC ou, pour des changements à forte composante CA et/ou FH, sur des sessions de brainstorming) et ainsi permettre l identification des évènements redoutés ; définition des objectifs de sécurité : une fois les évènements redoutés identifiés, il faut en caractériser la gravité en fonction des effets opérationnels sur la sécurité et se fixer des objectifs en particulier de fréquences tolérables d exposition au risque. La PSSA : L évaluation préliminaire de la sécurité du système (PSSA : Preliminary System Safety Assessment) : qui consiste en la déclinaison des objectifs de sécurité en exigences de sécurité : en fonction de l architecture du système (i.e. allocation des fonctions à des éléments structurels : composants techniques, humains, procéduraux), des exigences de sécurité sont dérivées sur les différents éléments du système à partir des objectifs de sécurité globaux. La SSA : L évaluation de la sécurité du système (SSA : System Safety Assessment) : l évaluation qualitative et quantitative de la sécurité : il s agit de démontrer que le système présente un niveau de sécurité compatible avec les objectifs de sécurité identifiés précédemment. L évaluation peut regrouper différentes analyses de sécurité à différents niveaux du système. l analyse des phases de transition : lors des phases de transition (toutes les périodes de non utilisation opérationnelle du système, dès lors que le système est tout ou partie présent dans le centre ainsi que toutes les phases de passage de l état non opérationnel à opérationnel inversement), le système ne doit pas dégrader le niveau de sécurité de l ATM. la détermination des moyens d assurance sécurité : il faut définir les moyens mis en œuvre pour assurer la pérennité des niveaux de sécurité visés tout au long de la vie opérationnelle du système considéré. Ces différentes étapes de la «Safety Assessment Methodology» d EUROCONTROL sont mises en application à travers la structure documentaire des dossiers de sécurité. 4.8 Dossier de sécurité : structure du dossier chapitre 1 Synthèse Ce chapitre présente une synthèse de l ensemble des résultats prouvant que les niveaux de sécurité évalués correspondent aux objectifs de sécurité. Cette synthèse doit permettre au responsable de la mise en service du changement considéré d avoir connaissance de tous les éléments nécessaires de l étude de sécurité pour qu il puisse prendre sa décision. Il faut donc présenter de manière synthétique : un bilan sur la tenue des objectifs de sécurité attribués aux évènements redoutés «dimensionnants», en précisant leur niveau de gravité et les moyens en réduction de risques associés ; DSNA page 29 sur 68