# EN 50128 ou EN 50716 : ce qui change pour le logiciel ferroviaire

Source : https://consignestudio.fr/guides/en-50128-en-50716-ce-qui-change/ · publié le 2026-10-27 · Antoine Despres, Consigne

EN 50716:2023 réunit dans une seule norme le logiciel de signalisation, commande et contrôle (autrefois EN 50128) et le logiciel embarqué du matériel roulant (autrefois EN 50657). Les grandes familles de documents restent, les rôles sont clarifiés, le développement à base de modèles et les cycles itératifs sont mieux pris en compte. Elle n'est pas rétroactive : un projet en cours peut rester sous EN 50128, à confirmer avec l'évaluateur.

## La réponse courte

| Question | Réponse |
|---|---|
| EN 50128 est-elle encore valable ? | Les catalogues des organismes de normalisation la donnent retirée au 1er décembre 2023 (date de retrait des normes nationales en conflit). D'après les présentations publiques d'EN 50716, celle-ci n'est pas rétroactive. |
| Un logiciel développé selon EN 50128 doit-il être refait ? | Non, en général. Il peut rester acceptable sous conditions. Ce sont les nouveaux développements et les modifications qui sont visés. |
| Qui décide de la norme d'un projet ? | Le client, l'évaluateur indépendant et l'autorité, à partir de la clause d'application. Faites-le écrire dans le plan d'assurance qualité. |
| Faut-il jeter ses gabarits EN 50128 ? | Non. Les grandes familles de documents se retrouvent dans EN 50716. Il faut mettre à jour les renvois, les rôles et le registre des techniques. |

## Ce qui change, d'après les présentations publiques

| Sujet | EN 50128:2011 | EN 50716:2023 |
|---|---|---|
| Domaine | signalisation, commande et contrôle | signalisation, commande et contrôle, et logiciel embarqué du matériel roulant |
| Niveaux | SIL 0 à SIL 4 | intégrité de base, puis SIL 1 à SIL 4 |
| Lien avec les normes RAMS | EN 50126, EN 50129 | alignement renforcé sur EN 50126 et EN 50129 |
| Rôles | rôles et cumuls détaillés | rôles et responsabilités clarifiés et simplifiés |
| Méthodes | cycle en V de référence | prise en compte explicite du développement à base de modèles et des cycles itératifs |
| Outils | classes T1, T2, T3 | classification et qualification des outils maintenues |

> Ce tableau résume des informations publiques. Il ne remplace pas la lecture d'EN 50716, et seule votre exemplaire fait foi pour une décision de projet.

## Ce qui ne change pas : la logique d'EN 50128

Les deux normes partagent la même architecture. Le niveau d'intégrité vient de l'analyse de sécurité du système (EN 50126, EN 50129), et il fixe l'organisation, les documents et les techniques.

| Partie | Ce qu'elle demande | Sections EN 50128 |
|---|---|---|
| Organisation | rôles, indépendance, compétence | §5.1, §5.2 |
| Cycle de vie | phases, documents, critères de sortie | §5.3, §7.1 |
| Assurance | tests, vérification, validation, évaluation, assurance qualité, modifications, outils | §6.1 à §6.7 |
| Développement | exigences, architecture et conception, composants, implémentation, intégration, test global | §7.2 à §7.7 |
| Données d'application | préparation et vérification | §8 |
| Exploitation | déploiement, maintenance | §9.1, §9.2 |

L'Annexe A d'EN 50128 est le cœur pratique : le tableau A.1 liste les documents du cycle de vie, les tableaux A.2 à A.11 classent les techniques par niveau (obligatoire, fortement recommandée, recommandée, sans recommandation, déconseillée), et les tableaux A.12 à A.23 détaillent certaines techniques (normes de codage, analyse statique, couverture…).

## Les documents d'un projet, sous l'une ou l'autre norme

| Famille | Documents |
|---|---|
| Plans | SQAP (assurance qualité, organisation, cycle de vie), SCMP (configuration), plans de vérification (SVERP) et de validation (SVALP), plan de maintenance (SMP) |
| Choix des techniques | registre des techniques par tableau de l'Annexe A, avec la justification de chaque technique écartée |
| Spécifications | exigences logicielles (SRS) et spécification de test global, architecture et spécification de test d'intégration, conception de composants et spécification de test de composant |
| Rapports | rapports de vérification de chaque phase, rapports de test, rapport de validation, note de version |
| Outils | classement T1, T2, T3 et fiche de confiance pour chaque outil T2 et T3 |

L'idée qui fait gagner le plus de temps : **écrire les spécifications de test en même temps que les spécifications** qu'elles vérifient (SRS et test global, architecture et intégration, composant et test de composant), pas après le code.

## Ce qui change selon le niveau

| Point | SIL 0 | SIL 1 et 2 | SIL 3 et 4 |
|---|---|---|---|
| Évaluateur indépendant | à confirmer au §6.4 | oui | oui |
| Indépendance du vérificateur | recommandée | selon les cumuls permis au §5.1 | exigée vis-à-vis du concepteur et du réalisateur |
| Rattachement du validateur | à fixer dans le SQAP | à justifier | hors de la ligne hiérarchique du chef de projet |
| Techniques fortement recommandées | peu | nombreuses | très nombreuses |

Les tableaux de l'Annexe A regroupent souvent SIL 1 et 2 d'une part, SIL 3 et 4 d'autre part. Si votre logiciel est SIL 1 ou SIL 3, vérifiez quand même la colonne exacte de votre niveau.

## Passer un projet à EN 50716 sans tout réécrire

1. **Faites trancher la norme applicable** par le client et l'évaluateur, et écrivez la décision dans le SQAP.
2. **Gardez la structure documentaire** : plans, registre des techniques, spécifications, rapports.
3. **Mettez à jour les renvois** document par document avec votre exemplaire d'EN 50716. Une annexe « Renvois » en fin de chaque document, qui liste les sections citées et leur sujet, rend ce travail mécanique.
4. **Reprenez l'organisation** avec les rôles d'EN 50716 et vérifiez les cumuls permis pour votre niveau.
5. **Refaites le registre des techniques** avec les tableaux d'EN 50716.
6. **Si vous développez à base de modèles** ou en itérations, décrivez-le explicitement dans le cycle de vie : c'est l'un des apports de la nouvelle norme.

## Les erreurs qui coûtent le plus en évaluation

1. Cumul de rôles non permis pour le niveau.
2. Validateur rattaché au chef de projet à SIL 3 ou 4.
3. Techniques fortement recommandées écartées sans justification.
4. Registre des techniques rempli en fin de projet.
5. Tests globaux écrits après le code.
6. Outils T3 sans preuve de confiance, ou changement de version d'outil sans analyse d'impact.
7. Modification après mise en service sans analyse d'impact ni re-vérification.
8. Évaluateur sollicité trop tard.

## Partir d'un dossier structuré

Le [kit EN 50128 en français](https://consignestudio.fr/modeles-en-50128/) fournit 20 gabarits Word en trois dossiers (SIL 0, SIL 1 et 2, SIL 3 et 4), les checklists de vérification en Excel, une matrice de traçabilité et un guide de mise en œuvre qui traite le passage à EN 50716. Il ne reproduit pas le texte des normes. La checklist de vérification des plans (SIL 1 et 2) est gratuite sur la même page.

## Sources

- CENELEC EN 50128:2011 et amendements, Applications ferroviaires · Logiciels pour systèmes de commande et de protection ferroviaire (sections citées, texte non reproduit)
- CENELEC EN 50716:2023, Applications ferroviaires · Exigences pour le développement de logiciels
- CENELEC EN 50657:2017, logiciel embarqué du matériel roulant
- CENELEC EN 50126 et EN 50129, sûreté de fonctionnement et systèmes électroniques de sécurité
- Présentations publiques d'EN 50716 par les organismes de normalisation et les éditeurs d'outils (résumé, à confirmer sur votre exemplaire)