Module de sˆuret´ede fonctionnement

Claire Pagetti - ENSEEIHT 3`eme TR - option SE

10 d´ecembre 2012

Table des mati`eres

1 Principaux concepts3 1.1 Qu’est-ce que la sˆuret´ede fonctionnement...... 3 1.1.1 Bref historique...... 4 1.1.2 Coˆutde la sˆuret´ede fonctionnement...... 4 1.2 Etude des syst`emes...... 5 1.3 Taxonomie...... 7 1.3.1 Entraves...... 8 1.3.2 Attributs...... 11 1.3.3 Les moyens...... 12 1.4 Conception de syst`emes`ahaut niveau de sˆuret´ede fonctionnement...... 13

2 M´ethodes d’analyse de sˆuret´ede fonctionnement 13 2.1 Analyse pr´eliminairedes dangers...... 14 2.2 AMDE...... 15 2.3 Diagramme de fiabilit´e...... 17 2.4 M´ethodes quantitatives et qualitatives...... 18 2.4.1 Evaluation qualitative...... 18 2.4.2 Evaluation quantitative...... 18 2.4.3 Syst`ememulticomposants...... 22 2.5 TP sur les diagrammes de fiabilit´e...... 25

3 Arbres de d´efaillances 26 3.1 Construction d’un arbre de d´efaillance...... 26 3.2 TP arbres de d´efaillance...... 30 3.3 Codage des arbres de d´efaillancesous forme de DDB...... 32

4 Mod`eles`a´etatstransitions 34 4.1 Chaˆınesde Markov...... 34 4.1.1 Construction d’un mod`ele...... 36 4.2 Evaluation de la fiabilit´e,de la disponibilit´eet du MTTF...... 39 4.3 R´eseauxde Petri stochastiques...... 41 4.3.1 Mod´elisationdes syst`emesavec des r´eseauxde Petri...... 41 4.4 AltaRica...... 44 4.4.1 Mod´elisationdes syst`emeavec AltaRica...... 44

1 4.4.2 Codage avec l’outil OCAS...... 46 4.4.3 TP d’AltaRica...... 47

2 Organisation du cours

Le module de sˆuret´ede fonctionnement comporte 5 s´eances, format : cours/td/tp. S´eance1 : cours / exercices ; S´eance2 : cours / exercices / TP sur les diagrammes de fiabilit´eet les arbres de d´efaillances; S´eance3 : cours / exercices / TP sur les arbres de d´efaillanceset chaˆınesde Markov ; S´eance4 : cours / TP sur AltaRica ; S´eance5 : TP sur AltaRica / synth`ese ; Examen : `ala fin du mois de janvier (exercices papier) ; Supports de cours : polycopi´e,nombreuses r´ef´erences.

1 Principaux concepts

La sˆuret´ede fonctionnement est apparue comme une n´ecessit´eau cours du XX`eme, notam- ment avec la r´evolution industrielle. Le terme dependability est apparu dans une publicit´esur des moteurs Dodge Brothers dans les ann´ees1930. L’objectif de la sˆuret´ede fonctionnement est d’atteindre le Graal de la conception de syst`eme: z´eroaccident, z´eroarrˆet,z´erod´efaut(et mˆeme z´eromaintenance). Pour pouvoir y arriver, il faudrait tester toutes les utilisations possibles d’un produit pendant une grande p´eriode ce qui est impensable dans le contexte industriel voire mˆemeimpossible `ar´ealisertout court. La sˆuret´ede fonctionnement est un domaine d’activit´e qui propose des moyens pour augmenter la fiabilit´eet la sˆuret´edes syst`emesdans des d´elaiset avec des coˆutsraisonnables.

1.1 Qu’est-ce que la sˆuret´ede fonctionnement La sˆuret´ede fonctionnement est souvent appel´ee la science des d´efaillances ; elle inclut leur connaissance, leur ´evaluation, leur pr´evision,leur mesure et leur maˆıtrise.Il s’agit d’un domaine transverse qui n´ecessite une connaissance globale du syst`emecomme les conditions d’utilisation, les risques ext´erieurs,les architectures fonctionnelle et mat´erielle,la structure et fatigue des mat´eriaux.Beaucoup d’avanc´eessont le fruit du retour d’exp´erienceet des rapports d’analyse d’accidents.

D´efinition1 (SdF) La sˆuret´ede fonctionnement (dependability, SdF) consiste `a´evaluerles risques potentiels, pr´evoirl’occurrence des d´efaillances et tenter de minimiser les cons´equences des situations catastrophiques lorsqu’elles se pr´esentent.

D´efinition2 (Laprie96) La sˆuret´ede fonctionnement d’un syst`emeinformatique est la pro- pri´et´equi permet de placer une confiance justifi´eedans le service qu’il d´elivre.

Il existe de nombreuses d´efinitions,de standards (qui peuvent varier selon les domaines d’application - nucl´eaire,spatial, avionique, automobile, rail . . . ). On peut n´eanmoinsconsid´erer que le Technical Committee 56 Dependability de l’International Electrotechnical Commission (IEC) d´eveloppe et maintient des standards internationaux reconnus dans le domaine de la sˆuret´e de fonctionnement. Ces standards fournissent les m´ethodes et outils d’analyse, d’´evaluation, de gestion des ´equipements, services et syst`emestout au long du cycle de d´eveloppement.

3 1.1.1 Bref historique Le tableau ci-dessous pr´esente un bref historique de la sˆuret´ede fonctionnement. P´eriode Accidents Jusqu’aux ann´ees30 Approche intuitive : renforcer l’´el´ement le plus faible Explosion poudri`ere(1794) Premiers syst`emes parall`eleset redondants Accident chemin de fer (1842) Approche statistique, taux de d´efaillance Titanic (1912). . . Premi`eresestimation de probabilit´ed’accidents d’avion Pugsley : premier objectif de safety taux d’accident d’avion ≤ 10−5 per flight hour Ann´ees40 Analyse des missiles allemands V1 (Robert Lusser) Loi de Murphy “If anything can go wrong, it will” Quantification de la disponibilit´e Ann´ees50 Advisory Group on Reliability of Electronic Equipment (AGREE) Tcheliabinsk 40 (1957) - R´eductiondes coˆutsde maintenance - Augmentation de la fiabilit´e - MTBF Ann´ees60 Analyses des modes de d´efaillanceet de leurs effets Torrey Canyon (1967) Programmes de recherche spatiaux Arbre de d´efaillance (missile Minuteman) Arbres des causes (Boeing - NASA) Livres sur la fiabilit´e(ex. Barlow and Proschan) Ann´ees70 Analyse des risques Collecte de donn´eesREX Ann´ees80 `anos jours Nouvelles techniques (simulation, r´eseauxde Petri,..) Tchernobyl (1986) Mod´elisation Ariane V (1996) DART (NASA, 2005) Vol Rio Janeiro. . .

1.1.2 Coˆutde la sˆuret´ede fonctionnement Le coˆutd’un haut niveau de sˆuret´ede fonctionnement est tr`eson´ereux.Le concepteur doit faire des compromis entre les m´ecanismesde sˆuret´ede fonctionnement n´ecessaires et les coˆuts ´economiques.Les syst`emesqui ne sont pas sˆurs,pas fiables ou pas s´ecuris´espeuvent ˆetrerejet´es par les utilisateurs. Le coˆutd’une d´efaillancepeut ˆetreextrˆemement ´elev´e.Le coˆutde syst`emes avec un faible niveau de sˆuret´ede fonctionnement est illustr´edans les figures ci-dessous.

4 Coût moyen d'indisponibilité =,70+)*.7/-(*-0.1*,.C+*.7/-0?D/(,E.( #"& =,70+)*.7/-84/+;4)*+,.<,( !"% >.22.7/1- '()*(+,- :/1*.*+*.7/1-;./4/).<,(1 !"$ 0?@+,71- ./0+1*,.(2 911+,4/)(1 !"# A4,-B(+,(- A(,0+( 6788(,)( !"! 34/5+(1 ! Coût annuel des défaillances informatiques Estimation compagnies d’assurance (2002) France (secteur privé) USA Royaume Uni

Fautes accidentelles 1,1 G€ 4 G$ Malveillances 1,3 G€ 1,25 G£ Estimation globale USA : 80 G$ EU : 60 G€ Coûts de maintenance Logiciel embarqué de la navette spatiale : 100 M $ / an

Coût logiciels abandonnés (défaillance du processus de développement) USA [Standish Group, 2002, Succès Remise en question Abandon 13522 projets] 34% 51% 15% ~ 38 G$ de pertes (sur total 225 G$)

Figure 1 – Quelques chiffres [Laprie07] !

Figure 2 – Coˆutde la maintenance

1.2 Etude des syst`emes L’objet sous ´etudeest le syst`emeet les fonctions qu’il fournit. Il existe de nombreuses d´efinitionsde syst`emedans le domaine des syst`emes d’ing´enierie.

D´efinition3 (Un syst`eme) Un syst`emepeut ˆetre d´ecritcomme un ensemble d’´el´ementsen interaction entre eux et avec l’environnement dont le comportement d´epend : – des comportements individuels des ´el´ementsqui le composent, – des r`eglesd’interaction entre ´el´ements(interfaces, algorithmes, protocoles), – de l’organisation topologique des ´el´ements(architectures).

Le fait que les sous-syst`emessont en interaction implique que le syst`emen’est pas simplement la somme de ses composants. En toute rigueur, un syst`emedans lequel un ´el´ement est d´efaillant devient un nouveau syst`eme,diff´erent du syst`emeinitial.

5 Exemple 1 Une installation chimique, une centrale nucl´eaire ou un avion sont des syst`emes. Le contrˆole-commande est un sous-syst`eme,une vanne ou un relais sont des composants. La nature technologique d’un syst`eme est vari´ee: ´electrique, thermo-hydraulique, m´ecanique ou informatique.

Assurer les fonctions Tout syst`emese d´efinitpar une ou plusieurs fonctions (ou missions) qu’il doit accomplir dans des conditions et dans un environnement donn´es. L’objet d’´etudede la sˆuret´ede fonctionnement est la fonction. Une fonction peut ˆetred´efiniecomme l’action d’une entit´eou de l’un de ses composants exprim´eeen terme de finalit´e.Il convient de distinguer les fonctions et la structure (ou encore architecture mat´erielle support). – fonction principale : raison d’ˆetred’un syst`eme(pour un t´el´ephoneportable, la fonction principale est la communication entre 2 entit´es) ; – fonctions secondaires : fonctions assur´eesen plus de la fonction principale (sms, horloge, r´eveil, jeux . . . ) ; – fonctions de protection : moyens pour assurer la s´ecurit´edes biens, des personnes et envi- ronnement ; – fonctions redondantes : plusieurs composants assurent la mˆemefonction. Une description fonctionnelle peut g´en´eralement se faire soit par niveau soit pour un niveau donn´e.Une description par niveau est une arborescence hi´erarchis´ee.On donne l’exemple d’une description fonctionnelle d’une machine `alaver dans la figure3.

Machine `alaver Fonction laver la vaisselle et s´echer la vaisselle niveau 1

...

Circuit de Circuit de Circuit de Circuit de lavage chauffage s´echage vidange niveau 2

...

Alimentation Pompage Motorisation Evacuation ´electrique de l’eau de la pompe de l’eau niveau 3

Figure 3 – Description fonctionnelle d’une machine `alaver la vaisselle

On peut ´egalement d´esirerrepr´esenter les ´echanges de donn´eesentre fonctions, pour un niveau de granularit´edonn´e.On parle alors d’architecture fonctionnelle. Formellement, l’archi- tecture fonctionnelle est constitu´eed’un graphe (F, CF ) orient´epour lequel l’ensemble des nœuds F = {f1, ..., fm } d´esigneles fonctions et l’ensemble des arcs, CF ⊆ F ×F, repr´esente les ´echanges de donn´eesentre les fonctions. Un arc (fi, fj) ∈ CF mod´eliseun flux de donn´ees fi vers fj. La figure4 illustre l’architecture fonctionnelle de niveau 3 de l’exemple de la machine `alaver.

Structure du syst`eme Les fonctions sont r´ealis´eespar le syst`eme`apartir de ses composants. La structure du syst`emedoit ˆetreprise en compte pour les analyses de sˆuret´ede fonctionne- ment. Pour cela, il faut d´ecrireles composants mat´eriels,leur rˆole,leurs caract´eristiques et leurs

6 Alimentation Pompage ´electrique de l’eau

Motorisation de la pompe

Figure 4 – Architecture fonctionnelle de la machine `alaver performances. On peut `anouveau utiliser une description en niveau. La figure5 identifie les composants intervenant dans la structure de la machine `alaver.

Machine `alaver la vaisselle niveau 1

...

Panier R´esistance Filtre Programmateur Pompe Moteur niveau 2

...

Filtre Corps Axe Aubes niveau 3

Figure 5 – D´ecomposition mat´erielled’une machine `alaver la vaisselle

Il faut ´egalement d´ecrireles connexions entre composants, ce qui peut ˆetrefait par un graphe orient´epour lequel l’ensemble des nœuds d´esignel’ensemble de n ressources connect´eesentre elles par des liaisons repr´esent´eespar les arcs. Enfin, il est ´egalement important dans certains cas de pr´eciserla localisation des composants. Les analyses de sˆuret´ede fonctionnement reposent sur des hypoth`esesau sujet de l’ind´ependance des d´efaillancesdes fonctions ´el´ementaires. Le partage de ressources et l’installation de ces ressources dans une mˆemezone risquent de violer les exigences d’ind´ependances. Par exemple, un ´eclatement pneu dans un avion peut entraˆınerla d´efaillancede plusieurs composants.

1.3 Taxonomie La sˆuret´ede fonctionnement manipule un certain nombre de concepts que nous pr´ecisons dans cette partie en donnant des d´efinitionspr´ecises. La sˆuret´ede fonctionnement peut ˆetrevue comme ´etant compos´eedes trois ´el´ements suivants : – Attributs : points de vue pour ´evaluer la sˆuret´ede fonctionnement ; – Entraves : ´ev´enements qui peuvent affecter la sˆuret´ede fonctionnement du syst`eme; – Moyens : moyens pour am´eliorerla sˆuret´ede fonctionnement. Ces notions sont r´esum´eesdans la figure6.

7 Disponibilité Fiabilité Sécurité-innocuité Sécurité- Attributs Confidentialité immunité Intégrité Maintenabilité

Prévention de fautes Sûreté de Tolérance aux fautes Moyens fonctionnement Elimination de fautes Prévision des fautes

Fautes Entraves Erreurs Défaillances

1

Figure 6 – Arbre de la sˆuret´ede fonctionnement [Laprie]

1.3.1 Entraves Commen¸conspar d´etaillerles entraves qui peuvent affecter le syst`emeet d´egraderla sˆuret´ede fonctionnement. Les entraves sont r´epartiesen 3 notions : les fautes, les erreurs et les d´efaillances qui s’enchaˆınent comme illustr´edans la figure7. Les d´efinitionssont r´ecursives car la d´efaillance d’un composant est une faute pour le syst`emequi le contient.

D´efinition4 (Faute / Fault) La cause de l’erreur est une faute (par exemple un court-circuit sur un composant, une perturbation ´electromagn´etiqueou une faute de d´eveloppement logiciel).

D´efinition5 (Erreur / Defect) La cause de la d´efaillance est une erreur affectant une partie de l’´etatdu syst`eme(par exemple, une variable erron´ee).

D´efinition6 (D´efaillance/ Failure) Une d´efaillance est la cessation de l’aptitude d’une en- tit´e`aaccomplir une fonction requise.

D´efinition7 (Panne) La panne est l’inaptitude d’une entit´e`aaccomplir une mission. Une panne r´esulte toujours d’une d´efaillance.

Exemple 2 Voici trois exemples d’occurrence de d´efaillances.

8 Effet Activation Propagation Effet …Défaillances Fautes Erreurs Défaillances Fautes…

Défaillances en contenu Phase de création Fautes de développement ou d’occurrence Fautes opérationnelles Défaillances temporelles, Domaine avance, retard Fautes internes Frontières système Défaillances par arrêt Fautes externes Défaillances erratiques Fautes naturelles Cause Défaillances signalées phénoménologique Fautes dues à l’homme Détectabilité Défaillances non signalées Fautes malveillantes Intention Défaillances cohérentes Fautes sans malveillance Cohérence Défaillances incohérentes Fautes accidentelles (byzantines) Capacité Fautes délibérées Défaillances bénignes Fautes d’incompétence  Conséquences   Fautes permanentes Persistance Défaillances catastrophiques Fautes temporaires

1

Figure 7 – Enchaˆınement et propagation des erreurs [Laprie96]

Faute dans Faute dans Erreur Programmeur le source du l’ex´ecutable D´efaillance (faute activ´ee) logiciel embarqu´e

Faute dans Erreur D´efaillance RAM l’ex´ecutiondu D´efaillance (faute activ´ee) logiciel embarqu´e

R´edacteurde Erreur de Faute dans consignes comportement du D´efaillance la documentation d’exploitation personnel

Exercice 1 On consid`ere le syst`emehydraulique suivant. Il est destin´eau transport de l’eau du point 1 aux lieux de consommation 2 et 3. Il contient les vannes V1, V2 et V3, la pompe centrifugeuse P0 et les tuyaux adjacents aux composants hydrauliques. Identifier des fautes, des erreurs et des d´efaillances possibles. V2 V1 P0 2 1

3 V3

Les d´efaillances dans un syst`emepeuvent avoir des effets diff´erents. Certaines d´efaillances n’affectent pas directement les fonctions du syst`emeet ne n´ecessitent qu’une action corrective ;

9 d’autres, en revanche, affectent la disponibilit´eou la s´ecurit´e.On utilise g´en´eralement une ´echelle de gravit´edes effets et on consid`eretraditionnellement 4 cat´egoriesde d´efaillances.Ces cat´egories sont repr´esent´eesdans la table1.

D´efaillancemineure D´efaillancequi nuit au bon fonctionnement (minor) d’un syst`emeen causant un dommage n´egligeableau syst`emeou `ason environnement sans pr´esenter de risque pour l’homme D´efaillancesignificative D´efaillancequi nuit au bon fonctionnement (major) sans causer de dommage notable ni pr´esenter de risque important pour l’homme D´efaillancecritique D´efaillancequi entraˆınela perte d’une (hazardous) (ou des) fonction(s) essentielle(s) du syst`eme et cause des dommages importants au syst`emeen ne pr´esentant qu’un risque n´egligeablede mort ou de blessure D´efaillancecatastrophique D´efaillancequi occasionne la perte d’une (catastrophic) (ou des) fonction(s) essentielle(s) du syst`eme en causant des dommages importants au syst`eme ou `ason environnement et/ou entraˆınela mort ou des dommages corporels

Table 1 – Classification des d´efaillancesen fonction des effets

D´efinition8 (Mode de d´efaillance/ Failure mode) Un mode de d´efaillance est l’effet par lequel une d´efaillance est observ´ee.Plus, pr´ecis´ement,il s’agit d’un des ´etats possibles d’une entit´een panne pour une fonction requise donn´ee.

On classe g´en´eralement les modes de d´efaillanceen 4 cat´egoriesrepr´esent´eesdans la table2.

Mode de d´efaillance Explication Fonctionnement pr´ematur´e Fonctionne alors que (ou intempestif) ce n’est pas pr´evu`acet instant ne fonctionne pas au moment pr´evu ne d´emarrepas lors de la sollicitation ne s’arrˆetepas au moment pr´evu continue `afonctionner alors que ce n’est pas pr´evu d´efaillanceen fonctionnement

Table 2 – Classification des modes de d´efaillance

Exercice 2 On reprend l’exercice1. Identifier les modes de d´efaillance de chaque composant. On constate que la fronti`ere entre causes de d´efaillance et modes de d´efaillance est faible. Chaque erreur doit pouvoir ˆetre rattach´e`aun mode. Si ce n’est pas le cas, c’est qu’il manque des modes de d´efaillance.

10 D´efinition9 (Syst`emecoh´erent) Un syst`emeest dit coh´erent si : – la panne de tous les composants entraˆınela panne du syst`eme, – le fonctionnement de tous les composants entraˆınele fonctionnement du syst`eme, – lorsque le syst`emeest en panne, aucune d´efaillance suppl´ementaire ne r´etablit le fonction- nement du syst`eme, – lorsque le syst`emeest en fonctionnement, aucune r´eparation n’induit la panne du syst`eme.

Nous ne consid´eronsdans la suite que des syst`emescoh´erents.

1.3.2 Attributs Les attributs de la sˆuret´ede fonctionnement sont parfois appel´esFDMS pour Fiabilit´e, Disponibilit´e,Maintenabilit´eet S´ecurit´e(RAMSS pour Reliability, Availability, Maintainability, Safety, Security). La disponibilit´eest le fait d’ˆetreprˆetau service.

D´efinition10 (Disponibilit´e/ Availability) La disponibilit´eest l’aptitude d’une entit´e`a ˆetre en ´etatd’accomplir une fonction requise dans des conditions donn´ees,`aun instant donn´e ou pendant un intervalle de temps donn´e,en supposant que la fourniture des moyens ext´erieurs n´ecessaires soit assur´ee.

La fiabilit´eest la continuit´ede service.

D´efinition11 (Fiabilit´e/ Reliability) La fiabilit´e(reliability) est l’aptitude d’un dispositif `aaccomplir une fonction requise dans des conditions donn´eespendant une dur´eedonn´ee.

La s´ecurit´eest l’aptitude `ane pas provoquer d’accidents catastrophiques.

D´efinition12 (S´ecurit´einnocuit´e/ Safety) La s´ecurit´einnocuit´eest l’aptitude d’une en- tit´e`a´eviterde faire apparaˆıtre, dans des conditions donn´ees,des ´ev´enementscritiques ou ca- tastrophiques.

La maintenabilit´eest la capacit´ed’un syst`eme`arevenir dans un ´etatde fonctionnement correct apr`esmodifications et r´eparations.

D´efinition13 (Maintenabilit´e/ Maintainability) Dans les conditions donn´eesd’utilisa- tion, la maintenabilit´eest l’aptitude d’une entit´e`aˆetre maintenue ou r´etablie,sur un intervalle de temps donn´edans un ´etatdans lequel elle peut accomplir une fonction requise, lorsque la maintenance est accomplie dans des conditions donn´eesavec des proc´edures et des moyens pres- crits.

D’autres attributs de sˆuret´ede fonctionnement ont ´et´eidentifi´escomme par exemple la testabilit´e(le degr´ed’un composant ou d’un syst`eme`afournir des informations sur son ´etat et ses performances), ou la diagnosticabilit´e (capacit´ed’un syst`eme`aexhiber des symptˆomes pour des situations d’erreur) survivabilit´e (capacit´ed’un syst`eme`acontinuer sa mission apr`es perturbation humaine ou environnementale) et ainsi de suite.

11 1.3.3 Les moyens Les moyens sont des solutions ´eprouv´eespour casser les enchaˆınements Faute → Erreur → D´efaillance et donc am´eliorerla fiabilit´edu syst`eme. – la pr´evention de faute consiste `a´eviterdes fautes qui auraient pu ˆetre introduites pendant le d´eveloppement du syst`eme.Cela peut ˆetreaccompli en utilisant des m´ethodologies de d´eveloppement (cf DO 178 B/C) et de bonnes techniques d’implantation. – L’´eliminationde faute peut ˆetredivis´eeen 2 cat´egories: ´eliminationpendant la phase de d´eveloppement et ´eliminationpendant la phase d’utilisation. Pendant la phase de d´eveloppement, l’id´eeest d’utiliser des techniques de v´erificationavanc´eesde fa¸con`a d´etecterles fautes et les enlever avant envoi `ala production. Pendant l’utilisation, il faut tenir `ajour les d´efaillancesrencontr´eeset les retirer pendant les cycles de maintenance. – La pr´evisionde faute consiste `aanticiper les fautes (de mani`erequalitative ou probabiliste) et leur impact sur le syst`eme. – La tol´eranceaux fautes consiste `amettre en place des m´ecanismesqui maintiennent le service fourni par le syst`eme,mˆemeen pr´esencede fautes. On accepte dans ce cas un fonctionnement d´egrad´e. La tol´eranceaux fautes repose sur l’utilisation de m´ecanismesde redondance, l’id´eeest de r´ealiserla mˆemefonction par des moyens diff´erents. On distingue plusieurs types de redondance : – Redondance homog`ene: on r´epliqueplusieurs composants identiques – Redondance avec dissemblance : les sous-syst`emesr´ealisent les mˆemesfonctions mais sont diff´erents (par exemple, plusieurs ´equipes de conception, mat´erieldiff´erent). – Redondance froide : les composants sont activ´esquand ceux d´ej`aactifs tombent en panne. – Redondance chaude : les composants tournent en parall`eleet politique de prise de main. – Redondance ti`ede: les composants sont idle avant de prendre la main. D’autres m´ecanismesexistent comme les comparateurs ou les voteurs. L’id´eeest de r´ecup´erer plusieurs valeurs calcul´eespar redondance et de d´eterminerquelle est la plus proche de la r´ealit´e.

Exemple 3 On consid`ere un voteur `a3 entr´ees.On suppose que le voteur ne tombe jamais en panne. Il y a plusieurs types de voteur : le voteur 1/3, 2/3 et 3/3. Dans le premier cas, il prend une valeur sur 3, dans le deuxi`eme,il faut que deux composants au moins s’accordent et dans le troisi`emetous les composants doit avoir la mˆemevaleur.

E1

E2 voteur

E3

On consid`ere un syst`emecompos´ede composants actifs et passifs.

12 On peut ´egalement utiliser un chien de garde (watchdog en anglais) : il s’agit d’un m´ecanisme destin´e`as’assurer qu’un automate ou un ordinateur ne reste pas bloqu´e`aune ´etape particuli`ere du traitement qu’il effectue. C’est une protection destin´eeg´en´eralement `ared´emarrerle syst`eme, si une action d´efinien’est pas ex´ecut´eedans un d´elaiimparti.

1.4 Conception de syst`emes`ahaut niveau de sˆuret´ede fonctionnement Le probl`emeg´en´eralest le suivant : Donn´ees: – une exigence de fiabilit´esur le syst`emecomplet (par exemple une valeur maximale de λ, une valeur minimale de A) – des composants utilisables pour construire le syst`emeavec leur fiabilit´e(normalement plus faible que la fiabilit´eglobale requise) Probl`eme: Trouver une architecture du syst`emecomplet qui r´epond aux exigences de fiabilit´e La solution `ace probl`emeest de : 1. Construire une architecture candidate 2. Analyser la fiabilit´ede cette architecture 3. Si le r´esultatest suffisant, la solution est correcte sinon retourner en 1. Trouver des architectures candidates peut rapidement devenir un casse tˆetedonc on utilise g´en´eralement des patterns. Nous nous concentrerons dans les parties suivantes sur le point 2.

2 M´ethodes d’analyse de sˆuret´ede fonctionnement

Une analyse pr´evisionnelle de sˆuret´ede fonctionnement est un processus d’´etuded’un syst`eme r´eelde fa¸con`aproduire un mod`eleabstrait du syst`emerelatif `aune caract´eristiquede sˆuret´e de fonctionnement (fiabilit´e,disponibilit´e,maintenabilit´e,s´ecurit´e).Les ´el´ements de ce mod`ele seront des ´ev´enements susceptibles de se produire dans le syst`emeet son environnement, tels par exemple : – des d´efaillanceset des pannes des composants du syst`eme, – des ´ev´enements li´es`al’environnement, – des erreurs humaines en phase d’exploitation. Le mod`elepermet ainsi de repr´esenter toutes les d´efaillanceset les pannes des composants du syst`emequi compromettent une des caract´eristiquesde SdF. Afin d’aider l’analyste, plusieurs m´ethodes d’analyse ont ´et´emises au point. Les principales sont : APD Analyse Pr´eliminairedes Dangers, AMDE Analyse des Modes de D´efaillanceset de leurs Effets, MDS M´ethode du Diagramme de Succ`es, MTV M´ethode de la Table de V´erit´e, MAC M´ethode de l’Arbre des Causes, MCPR M´ethode des Combinaisons de Pannes R´esum´ees, MACQ M´ethode de l’Arbre des Cons´equences, MDCC M´ethode du Diagramme Causes-Cons´equences,

13 MEE M´ethode de l’Espace des Etats. Nous ne verrons dans la suite que quelques unes de ces m´ethodes.

2.1 Analyse pr´eliminairedes dangers L’analyse pr´eliminairedes dangers a ´et´eutilis´ee la premi`erefois aux Etats-Unis dans les ann´ees60 dans le cadre d’une analyse de s´ecurit´ede missiles `apropergol liquide. Elle a ensuite ´et´eformalis´eepar l’industrie a´eronautiqueet notamment pas le soci´et´eBoeing. L’analyse se fait en phase amont de conception. L’objectif est d’identifier les dangers d’un syst`eme et leurs causes puis d’´evaluer la gravit´edes cons´equencesli´eesaux situations dangereuses. L’identification des dangers est effectu´ee`al’aide de l’exp´erienceet du jugement des ing´enieurs,aid´esde liste-guides ´elabor´eesdans des domaines pr´ecis et r´eguli`erement enrichies. Les grandes ´etapes de cette analyse sont : 1. Identification du contexte op´erationneldans lequel ´evolue le syst`eme. 2. Identification des dangers potentiels et de la s´ev´erit´ede leurs cons´equences. 3. D´efinitiond’actions correctives. 4. V´erificationde la compl´etudede la liste des conditions de panne issue de l’analyse de risque et de compl´eterles exigences de s´ecurit´e.Fournit ´egalement les premi`eresindications pour l’architecture du syst`emeafin de mitiger les cons´equences. 5. Evaluation de l’atteinte des objectifs de SdF. On illustre cette analyse avec un exemple extrait de l’ARP4761 (Aerospace Recommended Practice). On cherche `amettre des objectifs de s´ecurit´esur le syst`emede freinage.

Que doit-on ´evaluer ? Il faut d’abord identifier le syst`eme`a´evaluer, le contexte op´erationnel, et les fonctions.

avion, piste, contrˆolede l’avion au sol

La description fonctionnelle de l’avion est la suivante.

Fonctions avion Niveau 1 ...

Contrˆolede la Contrˆoledu Détermination Contrˆoleavion Contrˆolede la poussée plan de vol orientation sur le sol cabine

Niveau 2 ... Détermination Décélération Contrˆolede la transition avion sur direction sur air/sol le sol le sol

14 Que peut-il arriver ? On identifie ensuite les dangers fonctionnels (dangers dus `ade mauvaises performances des fonctions, ou `ades probl`emes contextuels)

Perte de la d´ec´el´erationsur la piste

A quel point cela est-il mauvais ? On ´evalue les cons´equencesdes dangers dans le pire cas.

sortie en bout de freinage mal contrˆol´e collision piste en atterrissage sur la voie de taxi avec un autre avion

Catastrophique Majeur Majeur

A quelle fr´equenceest-ce acceptable ? On d´eterminedes objectifs de safety en terme de fr´equenceacceptable pour ´ev´enements ayant une certaine s´ev´erit´e.(fh = flight hour)

catastrophique < 10−9/fh hasardeux < 10−7/fh majeur < 10−5/fh

Et on recommence Il faut faire cette ´etudepour toutes les fonctions et tous les risques. Le r´esultatpartiel de l’analyse est r´esum´edans la figure8.

2.2 AMDE La m´ethode de Analyse des Modes de D´efaillanceset de leurs Effets (AMDE) est une des premi`eresm´ethodes syst´ematiquespermettant d’analyser les d´efaillances. Elle a ´et´ed´evelopp´ee par l’arm´eeam´ericaineet se trouve dans la premi`ere guideline Military Procedure MIL-P-1629 “Procedures for performing a failure mode, effects and criticality analysis” du 9 novembre 1949. Cette analyse est largement utilis´eependant les phases initiales de d´eveloppement. Une AMDE (FMEA pour Failure Mode and Effects Analysis) est une analyse d´etaill´eede toutes les d´efaillancessimples, de leurs cons´equences(ainsi qu’un chiffrage pr´eliminairede probabilit´ed’oc- currence). Elle permet d’identifier les ´el´ements critiques de s´ecurit´e(provoquant des ´ev´enements critiques ou catastrophiques) ainsi que les fautes dormantes. En r´esum´e,une AMDE permet : 1. identifier les modes de d´efaillancesdes diff´erentes parties du syst`eme, 2. d’´evaluer les effets de chaque mode de d´efaillancedes composants sur les fonctions du syst`eme, 3. d’identifier les modes de d´efaillancesqui auront un effet important sur la s´ecurit´e,la fiabilit´e,la s´ecurit´e. . .

15 Figure 8 – Exemple d’analyse de risque

Proc´edure 1. D´efinirle syst`eme`aanalyser. (a) Les missions et fonctions principales du syst`eme (b) Conditions op´erationnelleset environnementale 2. Collecter les informations disponibles qui d´ecrivent le syst`eme(incluant sch´emas,sp´ecifications, listes de composants, . . . ) et collecter les informations sur les pr´ec´edents conceptions simi- laires. 3. Pr´eparerles rapports AMDE.

Exemple 4 Consid´erons l’exemple extrait du livre d’A. Villemeur et repr´esent´edans la fi- gure9. Le syst`emepermet `aun op´erateur de commander le fonctionnement du moteur `acourant continu ; pour cela l’op´erateur appuie sur un bouton pressoir (B.P.) provoquant ainsi l’excita- tion d’un relais, la fermeture du contact associ´eet l’alimentation ´electrique du moteur. Lorsque l’op´erateur relˆachela pression, le moteur s’arrˆete.Un fusible permet de prot´egerle circuit ´electrique contre tout court-circuit. On suppose que le fil AB traverse une zone o`use trouvent des vapeurs inflammables : on ad- met que l’analyse pr´eliminaire des dangers a montr´eque l’´ev´enement ind´esirable est la surchauffe du fil AB. Le syst`emeest con¸cupour faire fonctionner le moteur ´electrique pendant un temps tr`es court ; on admet qu’un fonctionnement prolong´epeut entraˆınersa destruction par suite d’un ´echauffementdu moteur et de l’apparition d’un court-circuit. On admet ´egalementqu’apr`es l’apparition d’un courant ´elev´edans le circuit dˆu`aun court-circuit, le contact du relais reste coll´e,mˆemeapr`esla d´esexcitationdu relais.

16 B.P. batterie fusible

batterie relais moteur

A fil B

Figure 9 – Exemple d’illustration

L’analyse ne porte que sur le bouton-pressoir et le relais ; et on ne consid`ere pour ces com- posants qu’un ou deux modes de d´efaillances. Composant Modes de Causes possibles Effets sur le syst`eme d´efaillance B.P. - le B.P. est bloqu´e - d´efaillance m´ecanique - moteur ne tourne pas

- contact du B.P. - d´efaillance m´ecanique - moteur tourne trop bloqu´e - erreur humaine longtemps : d’o`ucourt- circuit moteur et fusion fusible Relais - contact - d´efaillance m´ecanique - moteur ne tourne pas bloqu´eouvert

- contact coll´e - d´efaillance m´ecanique - moteur tourne trop - courant ´elev´edans longtemps (idem) circuit

2.3 Diagramme de fiabilit´e Historiquement, la m´ethode du diagramme de fiabilit´eou de succ`esest la premi`ere`aavoir ´et´eutilis´eepour analyser les syst`emes.Ses limites sont rapidement apparues, n´eanmoinselle permet de mod´eliserrapidement le syst`eme.On suppose dans la suite que le syst`emen’est pas r´eparable.

D´efinition14 Un diagramme de fiabilit´eest d´efinipar : – Une entr´eeE, un corps de diagramme et un sortie S – Un flux est transmis de E jusqu’`aS en passant par les diff´erents chemins. – D´efaillance d’une entit´earrˆetele flux au niveau du composant. – S’il n’existe pas de chemin jusqu’`aS, le syst`emeest d´efaillant, sinon il fonctionne. – Configuration s´erieou/et parall`ele.

Exercice 3 On reprend l’exercice1. Donner le diagramme de fiabilit´eassoci´e.

Exercice 4 Un syst`emecontient 5 blocs. Deux blocs lisent deux entr´eescapteur, un bloc r´ealise le traitement et les deux derniers blocs contrˆolentdeux actionneurs identiques. Les entr´eeset le calculateur sont n´ecessaires `al’ex´ecutionde la fonction, en revanche un seul actionneur est suffisant. Donner le bloc diagramme associ´e`ace syst`eme.

17 2.4 M´ethodes quantitatives et qualitatives 2.4.1 Evaluation qualitative Une analyse qualitative de sˆuret´ede fonctionnement consiste `a: Donn´ee: structure du syst`eme(par exemple un diagramme de fiabilit´e) R´esultat: calculer la combinaison des composants qui am`ene`ala d´efaillancedu syst`eme. Pour exprimer la combinaison des blocs entraˆınant la d´efaillance,les analystes utilisent deux concepts : les chemins `asucc`eset les coupes.

D´efinition15 (Chemin `asucc`es) Un chemin `asucc`es est un ensemble de blocs de base qui r´ealisentla fonction. Un chemin est dit minimal s’il ne contient aucun sous chemin.

D´efinition16 (Coupe) Une coupe d´ecritun ensemble de blocs de base dont la d´efaillance entraˆınela d´efaillance du syst`eme.Une coupe est dite minimale si en retirant n’importe quel bloc de la liste, le syst`emen’est plus d´efaillant. La taille (ou l’ordre) de la coupe est le nombre d’´el´ementsdans la liste.

La connaissance des coupes minimale permet d’´etablir qualitativement la liste des composants critiques d’apr`esl’organisation fonctionnelle du syst`eme.

Exercice 5 Combien y a-t-il de coupes d’ordre 1 sur un syst`emeayant n ´el´ementsen s´erie? sur un syst`emeayant;n3#3+5<'&/0/'+;´el´ementsen redondance ?

Exercice 6 On reprend! l’exercice(,-./0.&&(.12340556,571. Calculer les chemins minimaux et les coupes minimales. !8 &6990-./05.1:0;295.;292;<,= Exercice 7 Calculez les%8 coupes&6990-./05.16,>05.;292;

'!

)! *!

$! ' # & (

$%

)+ *%

'%

2.4.2 Evaluation quantitative

23456 $%&'() *'+,-./(0-..'1'.(+ !"#! 73+85945: Une analyse quantitative de sˆuret´ede fonctionnement consiste!" `a: Donn´ees: – structure du syst`eme(par exemple un diagramme de fiabilit´e) – probabilit´ed’occurrence des d´efaillances des blocs de base R´esultat: Evaluer la probabilit´ede d´efaillancedu syst`emecomplet.

Syst`eme`acomposant unique Dans cette partie, nous allons ´etudierle comportement sto- chastique des syst`emes`acomposant unique subissant des d´efaillancesen les observant dans le temps. On suppose que le syst`emese met en fonctionnement `al’instant t=0 et ne pr´esente qu’un seul mode de d´efaillance.Le composant fonctionne pendant un temps al´eatoire X1 au bout duquel il tombe en panne. Il y reste pendant un temps al´eatoire Y1 durant son remplacement puis est remis en fonctionnement et ainsi de suite. On dit que le syst`emeest r´eparable. Lorsque le composant n’est jamais r´epar´e,on dit qu’il est non r´eparable. La description graphique du comportement du syst`emeest donn´eedans la figure 10.

18 1 syst`emenon r´eparable

0

1 syst`emer´eparable

0

Figure 10 – Diagramme des phases

D´efinition17 (Taux de d´efaillance/ Failure rate) Consid´erons un ensemble d’entit´esiden- tiques et en fonctionnement `al’instant initial. On d´efinitle taux de d´efaillance comme la pro- portion, ramen´ee`al’unit´ede temps, des entit´esqui ayant surv´ecu`aun temps arbitraire t ne sont plus en vie `al’instant t + dt.

Il est fr´equent que les entit´espr´esentent des taux de d´efaillanceen fonction du temps suivant une courbe dite en baignoire.

Figure 11 – Taux de d´efaillanceen fonction du temps [Wikipedia]

Rappels sur les variables al´eatoires Une variable al´eatoireest une fonction d´efinie sur l’ensemble des r´esultatspossibles d’une exp´erience al´eatoire.Ainsi, dans le jeu de jet d’un seul d´e,le r´esultatest une variable al´eatoire X pour laquelle nous lisons sur la face du d´eles valeurs possibles de 1 `a6. En sˆuret´ede fonctionnement, on rencontre des lois discr`eteslorsque les ´ev´enements qui se produisent sur un intervalle de temps donn´esont des nombres entiers. C’est, par exemple, le nombre de cartes ´electroniques d´efaillantes par mois dans un syst`eme de contrˆole-commande.Les variables al´eatoirescontinues sont `avaleurs r´eelles positives. Par

19 exemple, l’instant d’apparition d’une d´efaillancedans une structure m´etalliqueest une variable continue. Pour les ´evaluations probabilistes, on utilise deux variables al´eatoires: ( 1 si l’entit´efonctionne `al’instant t variable d’´etat X(t) = 0 si l’entit´eest d´efaillante `al’instant t instant de la d´efaillance T (time to failure) variable continue

En sˆuret´ede fonctionnement, il faut faire la distinction entre l’occurrence d’un ´ev´enement et son existence `al’instant t. L’assertion l’occurrence de la d´efaillance du composant au temps t signifie que la d´efaillancea eu lieu dans l’intervalle [t, t + dt]. En revanche, l’assertion existence de la d´efaillance au temps t signifie que la d´efaillancea eu lieu entre [0, t]. La fonction de r´epartitiond’une variable al´eatoire X est la fonction F (x) = P (X ≤ x). F tend vers 0 en −∞ et vers 1 en +∞. La densit´ede probabilit´elorsque F est d´erivable est k R ∞ k f(x) = dF (x)/dx. Le moment d’ordre k de la variable X est E[X ] = −∞ x f(x)dx. E[X] est l’esp´erance math´ematiqueou la moyenne. La variance est le r´eellorsqu’il existe V [X] = R ∞ 2 p −∞(x − E[x]) f(x)dx. (V [X]) est appel´el’´ecarttype. On rappelle quelques lois classiques que nous utiliserons dans la suite. Loi exponentielle : utilis´eefr´equemment car les calculs sont simples. La densit´ede probabilit´e −λt R t est f(t) = λe o`u λ est une constante. La fonction de r´epartitionest F (t) = −∞ f(t)dt = 1 − e−λt. La moyenne est de 1/λ et la variance de 1/λ2. Cette loi s’applique pour la dur´ee de vie utile repr´esent´eedans la courbe en baignoire. Loi normale : la loi normale ou de Gauss a deux param`etres N(m, σ) avec m la moyenne 1 −1/2( t−m )2 et σ l’´ecarttype. La densit´ede probabilit´eest f(t) = √ e σ . La fonction de σ 2π 1 R t −1/2( t−m )2 r´epartitionest √ e σ dx. Cette loi s’applique `ade nombreux ph´enom`enes σ 2π −∞ (incertitude sur des mesures ou des fabrications par exemple). Loi log-normale : une variable al´eatoireest distribu´ee suivant une loi log-normale si son logarithme est distribu´e selon une loi normale. La densit´e de probabilit´e est f(t) = 1 −1/2( log(t)−m )2 1 R t 1 −1/2( log(x)−m )2 √ e σ . La fonction de r´epartition est F (t) = √ e σ dx. σt 2π σ 2π −∞ x La moyenne est em+σ2/2 et la variance e2m+σ2 (eσ2 − 1). Cette loi est souvent utilis´eepour repr´esenter les dur´eesde r´eparation des composants ou les incertitudes dans la connais- sance d’une donn´eede sˆuret´ede fonctionnement. Loi de Weibull : cette loi d´epend de 3 param`etreset permet de repr´esenter un grand nombre β(t−γ)β−1 t−γ β −( σ ) de distributions exp´erimentales. La densit´ede probabilit´eest f(t) = σβ e −( t−γ )β avec β > 0, σ > 0 et t > γ. La fonction de r´epartitionest F (t) = 1 − e σ . La moyenne 1+β 2 2 2 1 R ∞ β−1 −x est γ + σΓ( β ) et la variance σ (Γ( β + 1) − Γ ( β + 1)) avec Γ(x) = 0 x e .

D´efinitionprobabiliste des attributs D´efinition18 (Fiabilit´e) La fiabilit´ed’une entit´e E peut s’exprimer par

R(t) = P (E non d´efaillante sur la dur´ee [0, t]) = R(t) = P [T > t] o`u T est le temps de la d´efaillance.

20 On peut exp´erimentalement calculer cette probabilit´e.On prend n composants identiques qui fonctionnent `at=0, et on compte `achaque instant ti combien sont toujours en marche v(t). Alors, R(t) = v(t)/n. La d´efiabilit´e R¯(t) = 1 − R(t) est donc ´egale`ala fonction de r´epartition de T , R¯(t) = F (t). Il y a une relation forte entre fiabilit´eet le taux de d´efaillance λ.

− R t λ(x)dx R(t) = e 0

Le MTTF (Mean Time to Failure) est le temps moyen de fonctionnement avant la 1`ere panne. Z ∞ MTTF = E[T ] = R(t)dt 0

On peut ´egalement l’obtenir de mani`ere exp´erimentale puisque MTTF = limn→∞Σti/n.

Exercice 8 Le taux de d´efaillance d’un module est constant et vaut λ = 10−4h−1. Calculez le temps moyen de d´efaillance MTTF.

D´efinition19 (Maintenabilit´e) La maintenabilit´ed’une entit´e E peut s’exprimer par

M(t) = P (E en panne en 0 et r´epar´esur [0, t])

Soit Y la variable al´eatoired´esignant la dur´eede la panne du composant, alors M(t) = P (Y ≤ t). MUT (Mean Up Time) : dur´eemoyenne de fonctionnement du syst`emeapr`esr´eparation MDT (Mean Down Time) : dur´eemoyenne de non fonctionnement du syst`eme. MTBF (Mean Time Between Failure) : dur´eemoyenne entre 2 pannes. On a MTBF = MUT+MDT. MTTR (Mean Time To Restoration) : dur´eemoyenne avant remise en service. MTTR = R ∞ R ∞ E[Y ] = 0 tG(t)dt = 0 [1 − M(t)]dt. Les diff´erents temps moyens sont repr´esent´esdans la figure 12.

Mise en service Remise en service Remise en service

1ère défaillance 2ème défaillance 3ème défaillance

MTTF MDT1 MUT1 MDT2 MUT2 MTBF1 MTBF2

Figure 12 – Repr´esentation des temps moyens dans la vie en op´eration

Exercice 9 Un moteur peut ˆetre vu comme un syst`emer´eparable, les brosses en carbone doivent ˆetre chang´eesapr`esun certain nombre d’heures en op´eration. Durant une ann´ee,le moteur doit ˆetre r´epar´e3 fois. La premi`ere r´eparation a lieu apr`es98 jours et dure 10h, la deuxi`emeapr`es 100 autres jours et dure 9h, la troisi`emeapr`es105 autres jours et ce pendant 11 heures. Calculer le temps moyen en op´eration MUT et le temps moyen de r´eparation MDT du mo- teur.

21 D´efinition20 (Disponibilit´e) La disponibilit´ed’une entit´e E peut s’exprimer par

A(t) = P (E non d´efaillante `al’instant t)

C’est une grandeur instantan´ee,le syst`emepeut avoir subi plusieurs pannes et r´eparationsavant t. Lorsque l’entit´en’est pas r´eparable,on a A(t) = R(t). En particulier dans le cas o`ule taux de d´efaillanceest constant, on A(t) = e−λt ; On utilise parfois la notion de disponibilit´emoyenne, elle vaut MUT / (MUT + MDT).

Exemple 5 Dans le cas suivant, la disponibilit´emoyenne est de 1/2.

1

0

1 2 3 heure

On r´esumedans la table3 les attributs de sˆuret´ede fonctionnement pour les lois usuelles.

loi application loi loi normale loi de Weibull al´eatoire fiabilit´e exponentielle −λt 1 R t −1/2( (t−m) )2 −( t−γ )β fonction R(t) 1 − exp √ e σ 1 − e σ σ 2π −∞ r´epartition β(t−γ)tβ−1 taux d´efaillance λ U(t)/R(t) σβ

F (t) = R(t)

λ(t)

Table 3 – Attributs de sˆuret´ede fonctionnement pour les lois usuelles

2.4.3 Syst`ememulticomposants Dans la partie pr´ec´edente, nous avons ´etudi´ela d´efaillanced’un syst`eme`acomposant unique. Dans ce cas, la d´efaillancedu composant implique la d´efaillance du syst`eme.Dans un syst`eme multicomposants, la d´efaillance du syst`emesurvient `ala suite de d´efaillancede sous-ensembles de composants. Par exemple, la d´efaillanced’un frein sur un v´elone remet pas en cause le fonctionnement global mˆemes’il faut adapter son mode d’utilisation. Par contre, la d´efaillance d’une roue conduit `al’immobilisation du v´elo. Soit un syst`eme`a n composants, on note par xi l’´etatdu i-`emecomposant. xi = 1 si le composant fonctionne et 0 sinon. On note φ(x) l’´etatdu syst`emecomplet. On rappelle ´egalement

22 que : P (A ∧ B) = P (A) × P (B|A) = P (A).P (B) si A et B sont ind´ependants

P (A ∨ B) = P (A) + P (B) − P (A ∧ B) ∼ P (A) + P (B)

Exemple 6 L’´etatdu syst`emede freinage d’un v´elod´epend de l’´etatdes deux freins x1 et x2. On a φ(x) = 1 − (1 − x1)(1 − x2).

Syst`emes´erie Un syst`emeest dit en s´eriesi son fonctionnement est assujetti au fonctionne- ment simultan´ede tous ses composants. Si un seul composant est en panne, alors tout le syst`eme Q Q est en panne. On a alors φ(x) = i xi. Si le syst`emen’est pas r´eparable,on a A(t) = i Ai(t).

1 2 ... n

Syst`emeparall`ele Un syst`emeest dit en parall`elesi son fonctionnement est assur´esi au moins un des composants est en bon ´etat.Le syst`emeest en panne si et seulement si tous les Q composants sont en panne. On a alors φ(x) = 1 − i(1 − xi). Si de plus, le syst`emen’est pas Q r´eparable,alors A(t) = 1 − i(1 − Ai(t)).

1

2

...

n

Exercice 10 Un syst`emecontient 7 modules identiques dont le taux de d´efaillance est λ = 10−4h−1. Calculer la fiabilit´edu syst`emesur un temps de t = 1000 heures lorsque : 1. tous les modules sont n´ecessaires `ala r´ealisationde la fonction ; 2. au moins un module doit fonctionner.

Exercice 11 Calculez la fiabilit´edu syst`eme suivant.

E2

E1 E3 E4

E5

E6 E7

E8

Analyse d’un diagramme de fiabilit´e Dans la partie 2.4.3 p. 23, nous avons illustr´esur les diagrammes s´eriesou parall`eles le calcul de la fiabilit´e.

Exercice 12 On consid`ere n composants identiques de taux de d´efaillance constant λ. Si l’as- semblage est en s´erie,quel est le taux de d´efaillance du syst`emeet quel est son MTTF ?

23 Analyse de syst`emecomplexe Si le syst`emen’est pas un assemblage de structures s´eries/parall`eles, il faut adapter le calcul.

Th´eor`eme1 (Bayes) Soit S un syst`emetel que A est un composant, alors

R(S) = R(S/A est OK)R(A) + R(S/A est KO)R¯(A)

Exemple 7 Consid´erons l’exemple d´ecritci-dessous.

E1 E4

E2

E3 E5

Consid´erons les deux ´ev´enementsle composant E2 fonctionne `al’instant t et le composant E2 est d´efaillant `al’instant t de probabilit´erespectivement R2 et 1 − R2. La fiabilit´edu syst`eme s’´ecritalors :

R = P [S fonctionne `al’instant t/E2 fonctionne `al’instant t].R2 P [S fonctionne `al’instant t/E2 est d´efaillant `al’instant t].(1 − R2)

Si E2 fonctionne, S fonctionne si et seulement si E4 ou E5 fonctionne. Donc P [S fonctionne `al’instant t/E2 fonctionne `al’instant t] = 1 − (1 − R4)(1 − R5). Si E2 est d´efaillante, S fonctionne si et seulement l’une des deux s´eries E1.E4 ou E3.E5 fonctionne. Donc P [S fonctionne `al’instant t/E2 est d´efaillant `al’instant t] = 1 − (1 − R1.R4)(1 − R3.R5). Finalement, R = [1 − (1 − R4)(1 − R5)]R2 + [1 − (1 − R1.R4)(1 − R3.R5)](1 − R2).

Certains syst`emes utilisent des m´ecanismesplus complexes comme des voteurs.

Exemple 8 Consid´erons un syst`emecompos´ed’un voteur et de 3 composants redondants. ON suppose que le voteur est parfait et ne tombe jamais en panne. Il y a plusieurs types de voteur : 1/3, 2/3 et 3/3. Un voteur 1/3 choisit une valeur parmi 3, un voteur 2/3 prend la valeur sur laquelle au moins 2 composants s’accordent et un voteur 3/3 n´ecessite que les 3 composants s’accordent pour produire une valeur.

E1

E2 voter

E3

Supposons que A(E1) = 0.9, A(E2) = 0.8 et A(E3) = 0.7. On veut calculer la disponibilit´e du syst`emeavec voteur.

24 E1 E2 E3 1/3 2/3 3/3 0.1 0.2 0.3 1 − 0.1 × 0.2 × 0.3

0.1 0.2 0.7 0.1 0.8 0.3 0.1 0.8 0.7 0.1 × 0.8 × 0.7+

0.9 0.2 0.3 0.9 0.2 0.7 0.9 × 0.2 × 0.7+ 0.9 0.8 0.3 0.9 × 0.8 × 0.3+

0.9 0.8 0.7 0.9 × 0.8 × 0.7 0.9 × 0.8 × 0.7

=0.994 =0.904 =0.504

Lien avec les chemins `asucc`eset les coupes Lorsque tous les chemins minimaux {Li}i=1...p ont ´et´eidentifi´es,on obtient le r´esultat :

R = P (Σi=1...pLi)

Lorsque toutes les coupes minimales {Ci}i=1...n ont ´et´eidentifi´ees,on obtient le r´esultat:

k R = P (Σi=1...nCi) = ΣiP (Ci) − Σk(−1) Σi1,...,ik P (Ci1 ∧ ... ∧ Cik )

Si les probabilit´esont tr`es faibles, on approxime g´en´eralement la probabilit´eavec ΣiP (Ci). Sinon, on encadre n i−1 ΣiP (Ci) − Σi=2Σj=1P (Ci.Cj) ≤ R ≤ ΣiP (Ci)

2.5 TP sur les diagrammes de fiabilit´e On va utiliser le logiciel GRIF http://grif-workshop.fr/tag/total/ d´evelopp´epar les soci´et´esSATODEV et TOTAL. Il existe une version gratuite install´ee sur les machines de la salle B302. Pour y acc´eder,allez dans D´emarrer → tous les programmes → GRIF 2012 → Reliability block diagramme.

Exercice 13 Dessinez en GRIF un bloc diagramme compos´ed’un unique composant. Essayez ensuite plusieurs distributions (Constant, Exponential −10−3, Weibull) et calculez la fiabilit´e pour 1000 heures. Attention GRIF calcule la d´efiabilit´e R¯(t).

Utilisez pour configurer les calculs et s´electionnez l’affichage des coupes.

Exercice 14 Dessinez en GRIF un syst`emecompos´ede 5 ´el´ementsen s´erieavec un taux de d´efaillance exponentiel 10−3. Calculez la fiabilit´epour 1000 heures ainsi que les coupes mini- males. Idem pour un syst`emecompos´ede 5 ´el´ementsen parall`ele.

25 Exercice 15 On reprend l’exemple7, calculez les coupes minimales. Idem avec l’exercice 11.

Exercice 16 On consid`ere le syst`emesuivant avec N=6. Calculez les valeurs du tableau de droite pour 1000 heures. k R 1 2 3 4 5 6

Exercice 17 Calculez les chemins `asucc`esminimaux, les coupes minimales et la fiabilit´e`a 1000h du syst`emesuivant.

3 Arbres de d´efaillances

La m´ethode de l’arbre de d´efaillances,encore appel´eearbre des causes (fault tree) est n´ee en 1962 dans la soci´et´eBell Telephone grˆace`aWatson qui travaillait sur le projet Minuteman. Dans les ann´eessuivantes, les r`eglesde construction ont ´et´eformalis´eespar Haasl en 1965, par l’University of Washington et Boeing. Dans les ann´ees70, Vesely a jet´eles bases de l’´evaluation quantitative, Kinetic Tree Theory (KITT). Enfin, en 1992, la derni`eregrande avanc´eeest due `aCoudert, Madre et Rauzy qui les ont cod´esavec des Diagrammes de d´ecisionbinaires (DDB) obtenant ainsi une grande efficacit´ede calcul. Cette m´ethode a pour objectif de d´eterminerles combinaisons possibles d’´ev´enements qui entraˆınent l’occurrence d’un ´ev´enement ind´esirable(ou redout´e).L’id´eeest de repr´esenter graphiquement la logique de dysfonctionnement d’un syst`eme.

3.1 Construction d’un arbre de d´efaillance L’analyse par l’arbre de d´efaillancese concentre sur un ´ev´enement particulier qualifi´ed’ind´esirable ou de redout´e car on ne souhaite pas le voir se r´ealiser.Cet ´ev´enement devient le sommet de l’arbre et l’analyse a pour but d’en d´eterminertoutes les causes. La syntaxe des arbres de d´efaillancesest d´ecritedans la figure 13 et l’´equivalence avec les diagrammes de fiabilit´eest donn´eedans la figure 14. On utilise g´en´eralement la convention du rond pour d´enoterun ´ev´enement terminal, ou une feuille. Un ´ev´enement interm´ediairesera repr´esent´epar une rectangle. Quand un sous-arbre

26 Figure 13 – Syntaxe des arbres de d´efaillance

Reliability block diagram Fault tree

S

E1 E2

E1 E2

S E1

E2

E1 E2

Figure 14 – Equivalence entre diagramme de fiabilit´eet arbre 3

27 apparaˆıtplusieurs fois, on peut factoriser l’´ecritureen utilisant les reports symbolis´espar des triangles. Dans le cas de la porte et, la sortie S est vraie si toutes les entr´ees Ei le sont. Pour la porte ou, la sortie S est vraie si au moins une des entr´ees Ei est `avrai. Dans le cas de la porte ou exclusif, la sortie S est vraie si une seule entr´eeest `avrai. Enfin, pour la porte k/n, S est `avrai si k ´ev´enements au moins sont `avrai sur les n. Il existe d’autres portes dont nous ne parlerons pas dans la suite. Le sch´emasuivant est un guide permettant l’´elaboration d’un arbre de d´efaillance.L’id´eeest de d´eterminertoutes les causes ´el´ementaires qui m`enent `al’´ev´enement redout´e.

Définir l’événement-sommet représentant l’ER

Rechercher ses causes immédiates, nécessaires et suffisantes et déterminer la nature de la porte-connectrice

Définir les événements intermédiaires représentant chacune de ces causes

Cet événement est-il du type- composant ? Oui Non

Définir la défaillance primaire du composant Cet événement est l’événement du type-système

Existe-t-il ? Passer à Oui Non l’événement-cause suivant FIN

Exemple 9 On reprend l’exemple de la figure9. L’´ev´enementind´esirable est la surchauffe du fil AB. Il ne peut r´esulterque de la pr´esence d’un courant ´elev´edans le circuit de droite ce qui est le r´esultatd’un court-circuit du moteur et du fait que le circuit reste ferm´e.On en d´eduit l’arbre

Surchauffe AB

Court-circuit Circuit droit moteur ferm´e

On recommence pour chaque ´ev´enementinterm´ediaire. Les causes du court-circuit moteur sont : – soit une d´efaillance premi`ere du moteur (comme par exemple le vieillissement), c’est un ´ev´enement´el´ementaire ;

28 – soit le r´esultatd’une cause externe, ici ce sera le contact du relais rest´ecoll´e.

Les causes de l’´ev´enementle contact du relais rest´ecoll´esont : – soit une d´efaillance premi`ere du relais (comme par exemple une d´efaillance d’origine m´ecanique), c’est un ´ev´enement´el´ementaire ; – soit le contact du relais reste coll´esi un courant ´elev´etraverse le contact, c’est-`a-dire s’il existe un court-circuit moteur ; – soit le contact de B.P. reste coll´e.

On tombe sur un probl`emepuisque le court-circuit moteur apparaˆıtdeux fois dans la mˆeme branche. Il faut donc supprimer cet ´ev´enement.Les causes de l’´ev´enementle contact du B.P. rest´ecoll´esont : – soit une d´efaillance premi`ere du B.P. (comme par exemple une d´efaillance d’origine m´ecanique), c’est un ´ev´enement´el´ementaire ; – soit le contact du BP reste coll´epar suite d’une erreur humaine.

29 Finalement l’arbre complet est la suivant

3.2 TP arbres de d´efaillance Dans ce TP, nous allons ´ecriredes arbres de d´efaillance`al’aide de l’outil GRIF Fault tree. Ce type de logiciel est tr`esutilis´edans l’industrie. On peut ´egalement citer les outils Arbor (Dassault), Simfia (Apsys), Aralia (Arboost Technology - maintenant inclus dans Arbor) et Fault-Tree+ (Isograph).

Exercice 18 Dessinez deux arbres ´el´ementaires avec une porte pour l’un et une porte ou pour l’autre, reliant deux blocs ´el´ementaires e1 et e2. Calculez les coupes et la fiabilit´e.

Exercice 19 On reprend l’exercice1 et on consid`ere un mode de d´efaillance unique par com- posant (HS pour la pompe, bloqu´eeferm´eepour les vannes). L’´ev´enementredout´eest : pas de d´ebiten 2 et 3. Donner l’arbre de d´efaillance associ´e.Calculez les coupes minimales. Si Aralia

30 est disponible, calculez leur probabilit´ed’occurrence (avec lois constante et exponentielle). Un fichier est g´en´er´eautomatiquement `apartir d’Arbor. !3#3 5;'&/0/'+! Exercice 20 On consid`ere les 2 blocs diagramme repr´esent´esci-dessous. On suppose que tous "# $%&'()*+),-./012 34*+56.,&(-7 8,-1+69)6::,-1,-'*88;' les composants sont identiques non r´eparables<# =)%*5,)-.,'-8%*>,'-:+&+:6.,'-1,-8,(-6)?), et qu’ils ont un unique mode de d´efaillance (perte). Ecrivez les arbres de d´efaillance associ´eset donnez les coupes minimales.

E1 E2 $ @ B E5 @ A

0 2 E3 E4

Exercice 21 (Etude simplifi´eed’une unit´ede production chimique) On consid`ere le syst`eme repr´esent´egraphiquement dans la figure 15. L’objectif est de fabriquer un produit chimique Z `a

23456 $%&'() *'+,-./(0-..'1'.(+ !"#! 73+85945: l’aide d’un r´eacteuraliment´epar deux r´eactifsX et Y (ils sont tous les deux! n´ecessaires pour obtenir le produit Z). Deux r´eservoirs RX et RY permettent cette alimentation, sachant qu’un r´eservoirsuppl´ementaire RX2 en produit X est ´egalementdisponible en secours grˆace `al’ouver- ture de la vanne VS. L’unit´ede contrˆoleC est inform´eedu d´ebitpar le d´etecteur DX apr`esla vanne de r´egulation VX . Cette derni`ere est command´eepar C. La vanne de r´egulation VY le cir- cuit en produit Y. Les vannes V1, V2, V3 et V4 sont des vannes de s´ecurit´een cas de d´etection de fuites (le produit X est nocif) et aussi en cas d’arrˆetd’urgence (risque d’explosion du r´eacteur). On ne tiendra pas compte ici des fuites des canalisations.

Réservoir de controleur RX2 secours produit X C réservoir détecteur VS vanne d’alimentation produit Y DX de débit de secours produit X Pompe VX V1 V2 V3 RY RX P R Vanne de reacteur chimique régulation V4 VY

sortie du produit

Figure 15 – Unit´ede production

On consid`ere que tous les composants sont susceptibles d’ˆetre d´efaillants (on supposera qu’il n’y a qu’un mode de d´efaillance panne) sauf le d´etecteur et le r´eservoir RX2. Les taux de d´efaillance sont suppos´esconstants. On souhaite maintenir la production du produit Z quand il n’y a pas d’incidents majeurs dans le syst`eme. V1, V2, V3 sont ouvertes initialement et V4 est ferm´ee.

composants taux λ −5 RX , RY , R 5.10 /h −5 VX , VY 5.10 /h P, C 10−4/h −5 V1, V2, V3, V4 5.10 /h

31 Construire le bloc diagramme associ´eainsi que l’arbre de d´efaillance. En d´eduire les coupes minimales et leur probabilit´e.

3.3 Codage des arbres de d´efaillancesous forme de DDB En 1992, J.-C. Coudert et O. Madre d’un cˆot´e,A. Rauzy d’un autre, ont propos´eun codage efficace des arbres de d´efaillances.Un arbre de d´efaillanceest ´equivalent `aune formule binaire. En effet, un arbre est constitu´ed’´ev´enements E = {e1, . . . , en} et de portes logiques P = {ou, et . . .}. Chaque ´ev´enement est transform´een une variable bool´eenne xi qui vaut 1 si l’´ev´enement s’est produit et 0 sinon. Les portes logiques sont directement traduites en connecteurs logiques.

´ev´enement ei variable bool´eenne xi se produit 1 ne se produit pas 0 Exemple 10 Voici la traduction en formule bool´eenne d’un arbre de d´efaillance.

S¯

Ei = xi E¯1 pbm F = x1 ∨ (x2 ∧ x3)

E¯2 E¯3

Les diagrammes de d´ecisionbinaires (BDD pour Binary Decision Diagram) sont une struc- ture de donn´eesqui permet de repr´esenter de fa¸con compacte les relations entre variables bool´eennes.Ils ont ´et´eintroduits par Randal E. Bryant et sont devenus incontournables pour les outils de v´erification. Exemple 11 Consid´erons la fonction

f(x1, x2, x3) =x ¯1x¯2x¯3 + x1x2 + x2x3 Le diagramme de d´ecisionbinaire et la table de v´erit´esont repr´esent´esci-dessous.

32 On en d´eduit le codage des arbres de d´efaillances.

Arbre de d´efaillance Diagramme de d´ecisionbinaire

S E

1 0 E

S E1

E2 0

E1 E2 1 0

S E1

1 E2

E1 E2 1 0

On peut ensuite appliquer des r`eglesde simplification quand une variable apparaˆıtplusieurs fois dans une mˆemebranche. Consid´eronsl’exemple ci-dessous :

S E1

E3 E1

E1.E2 E1.E3 1 E1 E2 0

E2 0 1 0

E1 E2 E1 E3 1 0

Le BDD peut se simplifier en E1 dans les deux branches et on obtient :

33 E1

E3 0

1 E2

1 0

Grˆace`acette repr´esentation sous forme de diagramme de d´ecisionbinaire, on trouve rapi- dement les coupes minimales d’un arbre, il s’agit en effet d’une branche menant `aun 1. Dans l’exemple, il y a deux coupes minimales E1.E2 ou E1.E3. Exercice 22 Donner le diagramme de d´ecisionbinaire associ´e`al’arbre suivant ainsi que l’en- semble des coupes minimales.

S

G1 G2

G4 E1 G3 E2 1

1

E3 E4

4 Mod`eles`a´etatstransitions

4.1 Chaˆınesde Markov La M´ethode de l’Espace d’Etat (MEE) a ´et´ed´evelopp´eepour l’analyse de sˆuret´ede fonc- tionnement de syst`emer´eparable.Les arbres de d´efaillances,vus dans le chapitre pr´ec´edent, permettent de bonnes descriptions statiques de syst`ememais ne prennent pas en compte les reconfigurations, comme les r´eparations.Les premi`eresutilisations des processus stochastiques dans les ann´ees50 utilisaient des processus markoviens ; des g´en´eralisationsont ensuite ´et´e faites. Dans cette partie nous nous concentrons sur les processus markoviens. Andrei Markov a publi´eses premiers r´esultatsen 1906, qui ont ensuite ´et´eg´en´eralis´es`aun espace d’´etatsinfini d´enombrable par Andrei Kolmogorov en 1936. Un processus stochastique est un ensemble de variables al´eatoires(Xt)t≥0 `avaleurs dans l’ensemble des observations. Un processus est markovien si la probabilit´ede passage de l’´etape pr´esente `ala suivante ne d´epend pas du pass´e,i.e.

P (Xt ∈ A | Xtn ∈ An, ··· ,X1 ∈ A1) = P (Xt ∈ A | Xtn ∈ An)

34 Exemple 12 (Exemple Wikipedia : Doudou le hamster) Cet exemple est `atemps dis- cret. Doudou le hamster paresseux ne connaˆıt que 3 endroits dans sa cage : les copeaux o`u il dort, la mangeoire o`uil mange et la roue o`uil fait de l’exercice. Ses journ´eessont assez sem- blables les unes aux autres, et son activit´ese repr´esenteais´ementpar une chaˆınede Markov. Toutes les minutes, il peut soit changer d’activit´e,soit continuer celle qu’il ´etaiten train de faire. L’appellation processus sans m´emoire n’est pas du tout exag´er´eepour parler de Doudou. – Quand il dort, il a 9 chances sur 10 de ne pas se r´eveiller la minute suivante. – Quand il se r´eveille, il y a 1 chance sur 2 qu’il aille manger et 1 chance sur 2 qu’il parte faire de l’exercice. – Le repas ne dure qu’une minute, apr`esil fait autre chose. – Apr`esavoir mang´e,il y a 3 chances sur 10 qu’il parte courir dans sa roue, mais surtout 7 chances sur 10 qu’il retourne dormir. – Courir est fatigant ; il a donc 80 % de chance de retourner dormir au bout d’une minute. – Sinon il continue en oubliant qu’il est d´ej`aun peu fatigu´e. La chaˆınede Markov associ´eeau comportement du hamster est donn´eedans la figure 16 et la version compl`eteest repr´esent´eedans la figure 17.

Figure 16 – Chaˆınede Markov associ´ee`aDoudou le hamster

On peut ensuite d´ecrire la matrice de simulation associ´ee`ala chaˆınede Markov o`ules lignes et les colonnes correspondent dans l’ordre aux ´etatsdormir, manger, courir :

0, 9 0, 05 0, 05 T = 0, 7 0 0, 3  0, 8 0 0, 2

Il est alors possible de simuler le comportement du hamster sachant qu’initialement il dort : x(0) = 1 0 0. Au bout d’une minute, on peut pr´edire qu’il y a 90 % de chances que Doudou dorme encore, 5 % qu’il mange et 5 % qu’il coure : x(1) = x(0)T = 0.9 0.05 0.05. Au bout de deux minutes, x(2) = x(1)T = x(0)T 2 = 0.885 0.045 0.07 et ainsi de suite.

Exercice 23 (Petitot) Chaque ann´ee`aNo¨el,les mangeurs de chocolat adoptent un type de chocolat, pour une dur´eed’un an renouvelable. Un sondage effectu´esur un ´echantillon repr´esentatif

35 Figure 17 – Chaˆınede Markov compl`eteassoci´ee`aDoudou le hamster de cette population a donn´eles chiffres suivants : parmi les mangeurs de chocolat noir, 65% sont fid`eles`aleur choix, tandis que 35% pr´ef`erent essayer le chocolat au lait. De mˆeme,parmi les mangeurs de chocolat au lait, 70% restent fid`eleset 30% changent pour le noir. Initialement, il y avait 50% de mangeurs de chocolat noir et 50% de mangeurs de chocolat au lait. Quelle sera la tendance au bout d’un an ? 10 ans ? Mod´elisezle probl`emeavec une chaˆınede Markov en GRIF.

4.1.1 Construction d’un mod`ele Consid´eronsun syst`emecompos´ede n composants, chaque composant ayant un nombre fini d’´etatsde fonctionnement et de panne ; ce syst`emeest suppos´er´eparableet chaque composant est r´epar´eapr`esconstatation de la panne. Le syst`emeest donc compos´e: – des ´etatsde fonctionnement : un ´etatde bon fonctionnement o`utous les composants fonctionnent, et des ´etatso`ucertains composants sont en panne mais le syst`emereste fonctionnel, – des ´etatsde pannes : o`usuffisamment de composants sont en panne pour affecter le syst`eme globale. La construction du mod`elese fait en 3 ´etapes : 1. recensement de tous les ´etatsdu syst`eme.Si chaque composant a 2 ´etats(ok ou panne) et si le syst`eme`a n composants, le nombre maximal d’´etatsest 2n. Au cours de la vie du syst`eme,des ´etatsde panne peuvent apparaˆıtre`ala suite de d´efaillanceou disparaˆıtre`a la suite de r´eparation; 2. recensement de toutes les transitions possibles entre ces diff´erents ´etatset l’identification de toutes les causes de ces transitions. Les causes des transitions sont g´en´eralement des d´efaillancesdes composants ou la r´eparationde composants ; 3. calcul des probabilit´esde se trouver dans les diff´erents ´etatsau cours d’une p´eriode de vie du syst`eme,calcul des temps moyens (MTTF, MTBF, MTTR . . . )

Exemple 13 (Composant unique) Pour un syst`eme`aun composant qui n’a qu’un mode de d´efaillance panne, on obtient l’automate d´ecritci-dessous. Initialement, on est dans l’´etatok, `a

36 tout instant le composant peut tomber en panne avec le taux de d´efaillance instantan´e λ puis se faire r´eparer avec le taux de r´eparation µ.

λ

ok ko µ

Exemple 14 (Deux composants) On consid`ere un syst`emeconstitu´ede deux composants et on suppose qu’une seule panne `ala fois peut survenir. Chaque composant a trois ´etatspossibles : l’´etat 0 correspond au bon fonctionnement, l’´etat 1r correspond au fait que le composant est indisponible mais en cours de r´eparation et 1 correspond `al’´etatde panne. L’automate associ´e au syst`emeest la combinaison de tous ces ´etats,par exemple 00 est le bon fonctionnement du syst`emealors que 11 correspond `al’arrˆettotal. A gauche, la chaˆıne de Markov avec un seul r´eparateur qui intervient d`esla d´etection d’une panne ; et `adroite deux r´eparateurs sont `a disposition.

λ2 λ 1 λ1 µ1 1r 0 1r 0 1r 1

µ2 00 λ1 r r µ1 00 µ1 1 1 µ1 µ λ2 2 λ 01r 11r 2 01r µ2 λ2 µ2 λ1

Les graphes des ´etatsavec deux r´eparateurspour un syst`emes´erie`adeux composants et un syst`emeen redondance active sont donn´esci-dessous.

Diagramme de fiabilit´e chaˆınede Markov

Fonctionnement Syst`eme correct d´efaillant

λ1 µ1 1r 0

E1 E2 λ1 r r 00 µ1 1 1

µ2 λ2 r 01 λ2 µ2

Correct Failed functioning system

λ1 µ1 r E1 1 0

λ1 r r 00 µ1 1 1

µ2 E2 λ2 r 01 λ2 µ2

37 Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45 Ce document a été délivré pour le compte de 7200045062 - universite de toulouse buANALYSE sciences // 147.127.81.45 DES RISQUES DES SYSTÈMES DYNAMIQUES : APPROCHE MARKOVIENNE ______Exemple______15 (Signoret) On consid`ere un syst`emecompos´ede ANALYSE DES RISQUES DES 2 composantsSYSTÈMES DYNAMIQUES redondants. : APPROCHE MARKOVIENNE Un seul r´eparateur est disponible et doit r´eparer en priorit´e E1. La chaˆınede Markov est — disponibilité limite A : Tableau 1 – Disponibilité en fonction du temps (1) • valeur limite de A ( t ) quand t tend vers l’infini, • valeur moyenne de A (t ) sur une durée infinie, sans mémoire.1, Cela 0E – 05implique qu’il converge 1, 0E – 01 au bout d’un délai plus ␭ 1 ␮ 1 • valeur limite de A (0, t ) quand t tend vers l’infini, Paramètresou moins long vers un état d’équilibre indépendant des conditions E3 5, 0E – 04 4, 2E – 02 • valeur limite du ratio moyen du temps de marche/temps total, initiales.␭ 2 ␮ 2 • pourcentage du temps moyen de bon fonctionnement sur une P1 durée infinie. λ1 λ2 Temps États P2 (h) Disponibilité moyenne et disponibilité limite possèdent donc dif- Il s1234’agit ici des caractéristiques fondamentales des processus férentes interprétations. Il faut faire une mention spéciale pour0 de1, 000E Markov + 00 homogènes 0, 000E + 00 0, dont 000E +il 00 convient 0, 000E +de 00 bien se souvenir. celle correspondant au ratio du temps de bon fonctionnement rapporté au temps µ d’observation1 car elle permetµ2 de réaliser des20 9, 932E – 01 6, 735E – 03 8, 595E – 05 1, 000E – 06 estimations statistiques à partir de donnéesP2 prioritaire observées dans le40 Lo 9, 903Ersque – 01 les 9, taux613E –de 03 transitions 9, 758E – 05 ne 2, 229E sont – 06pas constants, on parle mondeP1 physique. On retrouve aussi ici pour le lien la réparation entre les mathé-P1 E1matiques et le monde réel. E4 60de 9,processus 891E – 01 1,semi-markoviens 084E – 02 9, 934E –. 05Nous 3, 038E ne –les 06 aborderons pas dans P2 P2 ce dossier car leur traitement analytique est beaucoup moins facile Les probabilités complémentaires D (t ) et U (t ) de la fiabilité et 80 9, 885E – 01 1, 137E – 02 9, 972E – 05 3, 498E – 06 que les processus markoviens homogènes. Pour des systèmes de de la disponibilitéµ sont dénommées « défiabilité » et100 9, 883E – 01 1, 159E – 02 9, 986E – 05 3, 743E – 06 « indisponibilité » : 2 taille industrielle, et sauf cas particuliers, seule la simulation de 120 9, 882E – 01 1, 169E – 02 9, 992E – 05 3, 869E – 06 — D (t ) = 1 – R (t ) ; Monte-Carlo permet de les traiter réellement. Cela sera décrit en λ — U (t ) = 1 – A (t ).λ2 1 140détail 9, 882E dans – 01 le 1, dossier 173E – 02 concernant 9, 996E – 05 l’utilisation 3, 931E – 06 des réseaux de Petri P1 160stochastiques 9, 881E – 01 1,. 175E – 02 9, 997E – 05 3, 962E – 06 P2 180 9, 881E – 01 1, 176E – 02 9, 998E – 05 3, 977E – 06 2.2 Graphe de MarkovE2 ver sus 200 9, 881E – 01 1, 176E – 02 9, 999E – 05 3, 984E – 06 paramètres classiquesMarche Panne 300 9, 881E – 01 1, 176E – 02 9, 999E – 05 3, 990E – 06 P1, P2Revenons pompes au en graphe état de de marche Markov de la figure 2. Nous n’avons4002. 9, 881EApproche – 01 1, 176E – 02 9, 999E markovienne – 05 3, 991E – 06 encore rien dit sur la nature des états rencontrés. Dans le cadre P1, P2 pompes en panne –5 classique, la première étape est de les répartir en deux classes(1) On rappelle que classiquela notation E-05, par exemple, signifie × 10 . distinctes – Marche/Panne – afin de pouvoir mener à bien les Figurecalculs 2 –Exemple de fiabilité/disponibilité de graphe de ordinaires. Markov Comme les deux pompes sont redondantes, cette répartition est2.2.2 Fiabilité prévisionnelle Exercicetrès simple 24 : lesDonner états {E1, E2, la E3} chaˆınedecorrespondent au Markovbon fonction- associ´eeau2.1 syst`emesuivant.Quelques définitions de base simultanémentnement et l’état en {E4}panne, à la panneil devient du système. nécessaire de définir la politi- Puisque le graphe de la figure 2 permet d’évaluer la disponibilité du système, comment faut-il le modifier pour obtenir un modèle que de maintenance à mettre en œuvre et, dans un premier temps,permettant d’évaluerAvant lad’aller fiabilité plus dudit loin, système il convient ? de rappeler quelques notions nous 2.2.1considéreronsDisponibilité que P2 prévisionnelle est prioritaire pour la réparation. élémentaires du domaine de la sûreté de fonctionnement. Elles E1 La réponseE2 se trouve dans la définition même de la fiabilité : il faut assurerdevraient la continuité être du bonparfaitement fonctionnement connues du système mais, sur à l’expérience, on les Une fois la dichotomie réalisée entre les états de marche et de La construction du graphe de Markov relatif à un tel systèmel’intervalle découvre[0, t ]. Il est doncun peu nécessaire oubliées de modifier ou mal le assimilées graphe de la par les ingénieurs qui panne, on peut se demander ce que permet de calculer effecti- s’effectue en deux étapes (figure 2) : figure 2 de manière qu’aucun chemin aboutissant à l’un ou l’autre vement le graphe de Markov dessiné précédemment et représentéles utilisent : des états de marche E1, E2 ou E3 à l’instant t ne soit jamais passé figure 2. E — identification des différents états que le système peut occuperpar3 l’état de panne— fiabilité E4 dans Rl’intervalle (t ) : probabilité [0, t ] ou, ce dequi revient bon fonctionnementau sur un au coursPour de répondre son exploitation à cette question, il suffit de remarquer qu’un telmême, faireintervalle en sorte qu’aucun de temps chemin donné passant [0, par t ] l’étatet dans de panne des conditions données ; graphe représente, de manière synthétique, tous les cheminsE4 ne revienne — jamaisdisponibilité vers un des A états (t ) :de probabilité marche E1, E2 de ou bon E3. fonctionnement à un (séquences d’événements) que le système peut emprunter à partir • il y en a quatre dénommés E1, E2, E3 et E4 ; La modification de notre graphe est alors très simple à réaliser de son état initial durant son évolution au cours du temps. instant donné t et dans −des5 conditions données. Supposons que les composants ne sont pas r´eparablespuisqu’il suffit de et supprimer que λ lesi = transitions 10 de, comparer {E4} vers {E1, E2, les simula- — constructionUn tel chemin du sera graphe par exemple de Markov E1, E2, E1,proprement E3, E4, E2, dit E1... : CeE3}. En fait, il Iln’y résulte en a qu’une de ces seule définitions à supprimer que de E4 la vers fiabilité, E3 et au sens mathémati- tions Grifgraphe avecrenferme diagramme donc des chemins de permettant fiabilit´eet au système chaˆınede decela nous Markov. conduitque du au terme,graphe présenté correspond sur la àfigure un 3 fonctionnement. sans interruption • passerreprésentation par l’état dede pannechacun E4 despuis états de revenir par un dans cercle, un état de Grâce à sur cette une transformation, certaine période.P 1 (t ) + P 2 La (t ) notion+ P 3 (t ) représente de fiabilité est donc très utile marche E2. Il décrit donc le comportement d’un système qui peutmaintenant la probabilité d’être en marche à l’instant t sans jamais • êtrereprésentation en marche à un des instant transitions donné en entre ayant lesété étatsune ou par plusieurs des flèches. pour traiter des problèmes liés à la sécurité, car elle s’intéresse à être tombél’occurrence en panne auparavant, de la c’est-à-dire première la probabilité panne (ou d’être premier accident) du fois en panne auparavant. Il s’agit donc typiquement d’un modèleresté en bon état de fonctionnement sur toute la durée [0, t ] ou SimplificationChaquede disponibilité transition. symboliseQuand la onfaçon mod´eliseun dont le système saute syst`emeavec d’unsystème une concerné. chaˆınede Markov, on rencontre le état vers un autre. autrement dit la fiabilité du système étudié. La disponibilité A (t ) du système étudié est donc égale à la pro- n probl`emede l’explosion combinatoire des ´etatspuisqueDe même queCela laprécédemment, nous chaˆınea conduit on a à adonc introduire priori : une2 autre´etatspour notion de baseun indis- Exbabilitéemple de: sede trouver l’état àde l’instant marche t dans parfait l’un E1,ou l’autre on peut des sauter trois états vers E2 ou de marche E1, E2 ou E3 et son indisponibilité U (t ) est égale à la — P 1 (t ) sociable+ P 2 ( t ) + Pde3 (t )celle + P 4 (det ) = fiabilité 1 ; : E3 par défaillance de P2 ou P1, de l’état E2 on peut aller soit vers l’état syst`emedeprobabilitén de ´el´ementsse trouver dans l’état `a2 de ´etats.Il panne E4. est n´eanmoinspossible— R (t ) = P 1— (t ) MT+ P 2TF de(t ): + temps Pr´eduirela3 (t ) ; moyen avanttaille la de première la chaˆıne défaillance en (Mean de panne totale E4 par défaillance de P1 ou revenir à l’état E1 par répa- — D (t ) = P (t ). (0) Posons P (t ) = probabilité d’être dans l’état Ei à l’instant t. 4 agglom´erantration de P2, ...,i des et finalement ´etats.Cela de l’état supposeE4 on peut revenir que uniquement les composantsLes formulesTime ci-dessussoient To Fail ). sont identiques identiques à celles avec permettant les mˆemestaux de vers E3Comme par réparation le système de ne P2 peut qui pas est se prioritaire trouver dans pour plusieurs la réparation. étatscalculer la disponibilité. Il est à noter Ce qui que, est pour différent, un c’estcomposant le graphe élémentaire qui régi par une à la fois, les états E1, E2, E3 et E4 sont disjoints. Il en résulte : permet d’évaluer les probabilités des différents états. Cependant, de d´efaillanceet de r´eparation.Dans le cas d’un syst`eme`adeuxloi exponentielle decomposants taux de défaillance actifs, λ, le MTTF on peutest alors égal — P (t ) + P (t ) + P (t ) + P (t ) = 1 ; maintenant, il n’est plus possible de sortir de l’état E4 une fois 1 2 3 4 à 1/λ. Sauf cas très particulier, cette propriété n’est en général pas simplifierÀ la fin— Ade les(t ) cet= P chaˆınesvues exercice, (t ) + P (t ) on+ P se (t ) retrouve; ci-dessus en présence de la d’un sorte. graphe qu’on L’´etat y est entréi correspond : on dit que celui-ci `al’ensemble est devenu absorbant des. Cette ´etatso`uil d’états qui modélise1 le2 comportement3 du système formé de deuxdifférence, vraie qui peutau niveau paraître du minime, système entraîne global, cependant même unsi celui-ci ne comporte — U (t ) = P 4 (t ). y apompes.i pannes. Pour qu’il représente aussi le processus de Markovcomportementque trèsdes différent composants du processus régis depar Markov. des lois Comme exponentielles. il D’autre part Le tableau 1 montre l’évolution de la probabilité des différentsn’existe plus de possibilité de sortir de E4, toute la probabilité va associé,états il dureste système à préciser en fonction quelles du temps sont et les la probabilitéchances quede l’état chacune 4 dese retrouverle concentrée MTTF est dans un cet paramètre état lorsque qui le temps peut être va tendre estimé statistiquement à ces transitionsdonne directement soit réellement l’indisponibilité empruntée instantanée au Ucours (t ). de la vie(0) du sys-vers l’infini.partir Cela ne de fait données que traduire observées la certitude dans que le le système monde physique (retour tème. Cela est obtenu en affectant des taux de transition2λ λij à cha- λd’expérience). Il permet donc de faire le lien entre les mathé- cune d’elles. matiques et le monde réel. 0 1 À l’opposé2 de la fiabilité, la disponibilité s’intéresse à la proba- Ce document a été délivré pour le compte de 7200045062 - universite toulouse bu sciences // 147.127.81.45 Mathématiquement, λTouteij · d reproductiont est la probabilitésans autorisation conditionnelle du Centre français d’exploitation de du droit de copie est strictement interdite. sauterSE de 4 Ei 071 vers − 4 Ej entre t et t + dt lorsqu’on est dans© Tec hniques l’état Eide l’Ingénieur àbilité que le système fonctionne à un instant donné sans se pré- µ 2µoccuper de ce qui s’est passé auparavant. Elle caractérise donc un l’instanttiwekacontentpdf_se4071 t. Dans le cas usuel, les taux de transition sont constantsCe document a été délivré pour le compte(2 de 7200045062 - universite r´eparateurs) de toulouse bu sciences // 147.127.81.45 et correspondent aux taux de défaillance ou aux taux de réparationfonctionnement pouvant être interrompu puis repris. des composants qui causent les changements d’état. Toutes les loisLa disponibilité A (t ) a surtout un intérêt théorique et, en pratique, de probabilités qui régissent les divers phénomènes2λ pris enλc’est plutôt à sa valeur moyenne que l’on s’intéresse. D’où l’intro- compte sont donc de nature exponentielle et un tel processus sto- duction de deux autres définitions : chastique est dénommé processus de Markov homogène0 . 1 2 — disponibilité moyenne pour une mission A (t 1 , t 2) : µ Comme, dans ce cas, la probabilité de sauter de Ei vers Ej neµ • moyenne de A (t ) sur l’intervalle [t 1 , t 2], dépend que de la présence dans Ei à l’instant t mais pas de la(1 r´eparateur)• ratio temps moyen de bon fonctionnement/(t 2 – t 1), manière dont on y est arrivé entre 0 et t, le devenir du système ne• pourcentage du temps moyen de bon fonctionnement sur dépend que de son état à l’instant t. Il s’agit donc d’un processus[t 1 , t 2] ; Exercice 25 Donner la forme g´en´erale de la chaˆınede Markov d’un syst`emede n composants en redondance active avec k r´eparateurs.

Ce document a été délivré pour le compte de 7200045062 - universite toulouse bu sciences // 147.127.81.45 Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie est strictement interdite. © Techniques de l’Ingénieur SE 4 071 − 3

tiwekacontentpdf_se4071 Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45

38 4.2 Evaluation de la fiabilit´e,de la disponibilit´eet du MTTF Pour calculer les attributs de sˆuret´ede fonctionnement sur un syst`ememod´elis´epar une chaˆınede Markov, il faut calculer la probabilit´ed’ˆetredans un ´etat`aun instant t.

Equations d’´etatsdu syst`eme La transition entre un ´etat i et j se fait avec un taux de transition instantan´e ρi,j (viennent des comportements physiques). Pi est la probabilit´ed’ˆetre dans l’´etat i. L’´equationd’´etatd’un graphe de Markov :

Pi(t + dt) = P ( dans l’´etati `a t et durant [t, t + dt])+ P j6=i P ( dans l’´etatj `a t dans l’´etati `a t + dt)

Comme ρi,j(t)dt est la probabilit´ede passer de i `a j entre t et t + dt, on a : X X Pi(t + dt) = Pi(t)[1 − ρi,j(t)dt] + Pj(t)ρj,i(t)dt j6=i j6=i On en d´eduit : Pi(t + dt) − Pi(t) X X = −P (t) ρ (t) + P (t)ρ (t) dt i i,j j j,i j6=i j6=i On obtient un syst`emed’´equationsde Chapman-Kolmogorov du premier ordre : dP (t) = M(t)P (t) dt o`u M est la matrice des taux de transition Mij = ρj,i avec ρi,i = −Σj6=1ρi,j. On en d´eduit directement la disponibilit´edu syst`eme X A(t) = Pi(t) i∈´etatsde fonctionnement Exercice 26 Ecrire l’´equationd’´etatde la chaˆınede Markov d’un syst`eme`aun composant, dont les taux de d´efaillance et de r´eparation sont constants, et la r´esoudre. En d´eduire la disponibilit´e.

R´esolution La r´esolutionde l’´equationd’´etat,lorsqu’on connaˆıtla distribution initiale Pi(0), peut ˆetreeffectu´eepar des m´ethodes de r´esolutionexplicite `al’aide de la transform´eede Laplace, de discr´etisationou de calcul de valeurs propres de la matrice (en effet, si M est constante on trouve P (t) = eMtP (0)). La m´ethode des valeurs propres posent des probl`emes pour les syst`emes tr`esfiables. En effet, la plus grande valeur propre −β1 est beaucoup plus petite en valeur absolue que les autres et la pr´ecisionrisque d’ˆetremauvaise lorsque le nombre d’´etatest assez grand. Ceci est d’autant plus gˆenant que c’est cette valeur propre qui d´eterminele comportement du syst`emequand t est grand. Du fait de ces limites, cette m´ethode est peu utilis´eeen pratique. La r´esolutiond’un syst`emelin´eaire d’´equationsdiff´erentielles du premier ordre est classique en analyse num´erique et de nombreux programmes sont disponible.

Exemple 16 On illustre le calcul de la r´esolutiondu graphe d’´etatpour un syst`emeen redon- dance active `aun r´eparateur. La chaˆınea d´ej`a´et´ed´ecrite,il s’agit de

2λ λ 0 1 2 µ µ

39 L’´equationd’´etats associ´eeest alors  dP1(t) = −2λP (t) + µP (t)  dt 1 2 dP2(t) dt = 2λP1(t) − (λ + µ)P2(t) + µP3(t)  dP3(t) dt = λP2(t) − µP3(t)

On suppose P1(0) = 1 et P2(0) = P3(0) = 0. Pour r´esoudre ce syst`eme,on utilise transform´ee de Laplace. On note L(Pi) = Li et on rappelle

R ∞ −st L(Pi)(s) = 0 e Pi(t)dt dPi(t) L( dt )(s) = sLi(s) − Pi(0) On trouve alors   s.L1(s) − 1 = −2λL1(s) + µL2(s) s.L2(s) = 2λL1(s) − (λ + µ)L2(s) + µL3(s)  s.L3(s) = λL2(s) − µL3(s) d’o`u  2 2 L (s) = s +(2µ+λ)s+µ  1 s.f(s)  λ(s+µ) s.L2(s) = 2 s.f(s)  λ2  s.L3(s) = 2 s.f(s) avec f(s) = s2 + s(2µ + 3λ) + (2λ2 + 2λµ + µ2) On calcule ensuite les transform´eesde Laplace −1 1 −αt inverses en utilisant la formule L ( s+α ) = e et on trouve

2 2  α µ
s1t β µ
s2t P1(t) = 2 s1 + λ + 2µ + e + 2 s2 + λ + 2µ + e  2λ s1 2λ s2  2  µ γ + 2λ2 α µ
s t β µ
s t µγ  P2(t) = 1 + e 1 + 1 + e 2 +  λ s1 λ s2 λ  P (t) = α es1t + β es2t + γ 3 s1 s2

Calcul de la fiabilit´eet du MTTF Pour calculer la fiabilit´ed’un syst`emerepr´esent´esous forme d’une chaˆınede Markov, il faut modifier la chaˆınede fa¸con`a´eliminertoutes les transitions de r´eparation d’un ´etatde panne vers un ´etatde fonctionnement. Les ´etatsde panne deviennent alors absorbants. Ainsi la nouvelle chaˆınede Markov associ´ee`aun syst`eme en redondance active `a2 composants devient

2λ λ 0 1 2 µ

dP (t) 0 On trouve alors la nouvelle ´equationd’´etatde cette chaˆıne dt = M (t)P (t). Ce qui permet ensuite de calculer la fiabilit´edu syst`eme: X R(t) = Pi(t) i∈´etatsde fonctionnement

Comme seuls les ´etatsde fonctionnement contribuent au calcul de la fiabilit´eet que les ´etatsde panne sont absorbants, il suffit de r´esoudrele syst`emed’´equationsur les ´etatsde fonctionnement.

40 Exercice 27 On consid`ere les syst`emes`adeux composants non r´eparables s´erieou redondance active. Calculer la fiabilit´eet le MTFF des syst`emes.Retrouve-t-on les r´esultatsde la partie 2.4.3 page 23?

Exercice 28 Calculer la fiabilit´edu syst`eme en redondance active `a2 composants.

Maintenabilit´e On peut calculer l’immaintenabilit´e M¯ (t) = 1−M(t) directement `apartir de la chaˆınede Markov pr´ec´edente. En effet, c’est la probabilit´eque le syst`emequi est initialement en panne ne puisse pas ˆetrer´epar´e.Il faut donc consid´ererla chaˆınede Markov o`uon supprime toutes les transitions des ´etatsde marche vers les ´etatsde panne. X M¯ (t) = Pi(t) i∈´etatsde panne

Exercice 29 Calculer la maintenabilit´edu syst`emeen redondance active `a2 composants.

4.3 R´eseauxde Petri stochastiques Carl Adam Petri a propos´edans ses travaux de th`ese(1962) un nouvel outil d´edi´es `ala mod´elisationdes automates. Dans les ann´ees70, S. Natkin et G. Florin ont propos´edes r´eseaux de Petri markoviens. Dans les ann´ees80, J.P. Signoret et A. Leroy ont utilis´eles r´eseauxde Petri comme mod`elescomportementales pour r´ealiserdes simulations de Monte-Carlo (pour les grands syst`emes).De nombreuses recherches sont en cours sur le sujet, notamment LAAS, MOCA-RP, Marsan et al., Trivedi et al.(USA), Les r´eseauxde Petri sont un bon outil pour mod´eliserle comportement dysfonctionnel d’un syst`eme.On appr´ehendeplus ais´ement les diff´erentes pannes et l’impact sur le syst`eme.Pour rappel, un r´eseaude Petri est un graphe orient´eavec deux types de nœuds : les places (´etats ou conditions) repr´esent´eespar des cercles et les transitions (ou ´ev´enements ) symbolis´eespar des barres. Ces nœuds sont connect´esentre eux par des arcs orient´es`ades places aux tran- sitions (arcs amont) et des transitions aux places (arcs aval) exclusivement. La circulation de jetons (marqueurs indivisibles), symbolisant la pr´esence`aun instant donn´ed’une information ou d’une initialisation particuli`ereaux places o`uils r´esident, permet la mod´elisationdynamique du comportement syst`eme(aussi bien d´esir´eque redout´e)au sein du r´eseau.Un r´eseaude Pe- tri stochastique (ou dans notre cas fiabiliste) est un r´eseaude Petri ´etendutel qu’on associe `achaque transition une dur´eede franchissement al´eatoireou d´eterministe(nulle ou non). Si la dur´eed´eterministeest 0, on parle de transitions imm´ediates.Une pr´esentation compl`etese trouve dans le livre [3].

4.3.1 Mod´elisationdes syst`emesavec des r´eseauxde Petri r´eseauxde Petri sont un bon outil pour mod´eliserles comportements dysfonctionnels.

Syst`emeavec un composant unique Supposons que le composant `aun taux de d´efaillance constant λ et un taux de r´eparationconstant µ. En plus des deux ´etatsstandard (ok et r´eparation),on peut ´egalement d´ecrirele moment o`ule syst`emetombe en panne et attend d’ˆetrer´epar´e.Le r´eseaude Petri est montr´efigure 18, partie gauche. Sur ce premier mod`ele, l’attente et le r´eparateursont repr´esent´espar un d´elaiconstant. Dans le mod`elede droite, on repr´esente le r´eparateur par un jeton dans une place. Si le r´eparateurest disponible, il intervient de suite pour r´eparerle syst`eme.

41 Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45

______ANALYSE DES RISQUES DES SYSTÈMES DYNAMIQUES : RÉSEAUX DE PETRI

Sur la figure 10, le jeton dans la place Marche indique que le composant est, au départ, en bon état de fonctionnement. À partir de cet état, un seul événement peut se produire car une seule tran- sition est valide : Défaillance. Celle-ci surviendra après un délai exponentiel de paramètre λ tiré au hasard selon la formule donnée au paragraphe 4.3.3.1. Le tir de la transition Défaillance retire le jeton de la place Marche

Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45 et en met un dans la place Attente. La transition Début réparation devient alors valide. Elle se produit dès qu’une équipe de réparateurs est disponible, par exemple au bout d’un délai moyen δ modélisé pro- visoirement par une loi de Dirac. Le jeton est alors enlevé de la place ______ANALYSE DES RISQUES DES SYSTÈMES DYNAMIQUESAttente : RÉSEAUX et DEun PETRIjeton est mis dans la place Réparation. Après un délai a Tir 1b Tir 2 exponentiel de paramètre µ, la réparation est terminée, la transition Fin réparation est tirée, le jeton est enlevé de la place Réparation, un Figure 8 – Effet du tir de la transition jeton créé dans la place Marche et on est revenu à l’état initial.

Sur la figure 10, le jeton dans la place MarcheCette indique simulation, que le où tout se passe comme si le jeton se déplaçait composant est, au départ, en bon état de fonctionnement.d’une place À partir à l’autre, doit être poursuivie pour la durée prévue de cet état, un seul événement peut se produire pourcar une le seule calcul, tran- par exemple 1 an : on obtient ainsi une histoire. Il sition est valide : Défaillance. Celle-ci surviendrasuffit après alors un de délai recommencer le processus, avec les mêmes condi- exponentielF∆ (deδ) paramètre λ tiré au hasard selon tionsla formule initiales, donnée un nombre suffisant de fois pour récolter des échan- au paragraphe 4.3.3.1. tillons statistiques et évaluer les paramètres d’intérêt : Le tir de la transition Défaillance retire le jeton de– la nombre place Marche de défaillances (fréquence de tir de la transition et en met un dans la place Attente. La transitionDéfaillance) Début réparation ; Figure 9 – Loi du délai de tir devientd’une transition alors valide. Elle se produit dès qu’une équipe– temps de réparateurs cumulé de bon fonctionnement (temps passé avec est disponible, par exemple au bout d’un délai moyen1 jeton δ modélisé dans la pro- place Marche) ; – un délai stochastique correspondvisoirement à par un uneévénement loi de Dirac. qui Lese jeton pro- est alors enlevé– disponibilité de la place (marquage moyen de la place Marche) ; duit après un délai aléatoireAttente δ régi et par un lajeton fonction est mis de dans répartition la place Réparation.– tempsAprès un cumulé délai d’attente avant réparation (temps passé avec a Tir 1b Tir 2 F∆(δ) attachée à l’événementexponentiel en question. de paramètre µ, la réparation est terminée,1 jeton ladans transition la place Attente) ; Contrairement à l’approcheFin réparation markovienne, est tirée, la le simulationjeton est enlevé de de la place– chargeRéparation, de maintenance un (marquage moyen de la place Réparation) ; Figure 8 – Effet du tir de la transition Monte-Carlo permet donc dejeton mêler créé directement dans la place phénomènes Marche et ondéte- est revenu à l’état– etc. initial. rministes et stochastiques sansCette avoir simulation, à se poser où tout de se question passe comme ni si le jeton se déplaçait Sur la figure 10, l’attente des réparateurs est modélisée par un tordre la réalité. d’une place à l’autre, doit être poursuivie pour la durée prévue rudimentaire délai constant mais il est très facile d’améliorer ce pour le calcul, par exemple 1 an : on obtient ainsi une histoire. Il δ Nous avons vu au paragraphe 4.3 comment simuler les délais sto- modèle en introduisant explicitement l’équipe de réparateurs. Cela chastiques à partir de leur fonctionsuffit dealors répartition de recommencer et comment le processus,la distri- avec les mêmes condi- F ( ) est réalisé très simplement sur la figure 11 à l’aide de la place ∆ δ bution de Dirac couvrait le castions des délaisinitiales, constants. un nombre Donc, suffisant et bien de que fois pour récolter des échan- tillons statistiques et évaluer les paramètres d’intérêtauxiliaire : Réparateurs qui vient s’insérer très naturellement sans certains ouvrages traitent séparément ces deux types de délais, il n’y perturber le modèle précédent. Cette place contient un jeton qui – nombre de défaillances (fréquence de tir de la transition a pas de réelles raisons pratiques à le faire. Pour notre part, nous pré- représente une équipe de réparateurs unique. Lorsque le jeton est férons unifier la démarche enDéfaillance) les traitant de; manière identique. présent, l’équipe est disponible, si le jeton est absent, c’est qu’elle Figure 9 – Loi du délai de tir d’une transition – temps cumulé de bon fonctionnement (temps passé avec Nous verrons cependant plus loin qu’il convient de se méfier un est déjà occupée par ailleurs. 1 jeton dans la place Marche) ; peu des délais constants – surtout ceux à délais nuls – qui peuvent – un délai stochastique correspond à un événement qui se pro- – disponibilité (marquage moyen de la place Marche) ; duit après un délai aléatoire δ régi par la fonctionengendrer de des répartition problèmes particuliers. – temps cumulé d’attente avant réparation (temps passé avec Marche F∆(δ) attachée à l’événement en question. Cela étant, dès lors que des1 jeton délais dans aléatoires la place sontAttente) introduits, ; les Contrairement à l’approche markovienne,réseaux la simulation de Petri prennent de du – galoncharge etde deviennentmaintenance stochastiques(marquage moyen de la place Réparation) ; Fin Monte-Carlo permet donc de mêler directement(RdPS) phénomènes. déte- µ – etc. réparation λ Défaillance rministes et stochastiques sans avoir à se poser de question ni Sur la figure 10, l’attente des réparateurs est modélisée par un tordre la réalité. δ 5.2.5 Exemples simplesrudimentaire délai constant δ mais il est très facile d’améliorer ce Nous avons vu au paragraphe 4.3 comment simuler les délais sto- modèle en introduisant explicitement l’équipe de réparateurs.Réparation Cela Attente chastiques à partir de leur fonction de répartition5.2.5.1 et comment Composant la distri- uniqueest réparable réalisé très simplement sur la figure 11 à l’aide de la place bution de Dirac couvrait le cas des délais constants. Donc, et bien que auxiliaire Réparateurs qui vient s’insérer très naturellement sans certains ouvrages traitent séparément ces deux typesPour deillustrer délais, l’utilisation il n’y des RdPS, on utilise traditionnellement Début perturber le modèle précédent. Cette place contient un jeton qui réparation a pas de réelles raisons pratiques à le faire. Pourdepuis notre pluspart, denous 20 pré- ans un exemplereprésente très une simple équipe qui depermet réparateurs de bien unique. Lorsque le jeton est férons unifier la démarche en les traitant de manièrefixer les identique. idées sur la démarche de modélisation. Il s’agit d’un com- présent, l’équipe est disponible, si le jeton est absent,Figure c’est10 – Composantqu’elle réparable Nous verrons cependant plus loin qu’il convientposant de simple se méfier réparable un ayantest les déjà propriétés occupée parsuivantes ailleurs. : peu des délais constants – surtout ceux à délais– nulstaux –de qui défaillance peuvent λ et taux de réparation µ ; engendrer des problèmes particuliers. – non prioritaire pour les réparations. Réparateurs Marche Cela étant, dès lors que des délais aléatoiresEn sont plus introduits, des deux les états classiques (marche et réparation), un tel Marche réseaux de Petri prennent du galon et deviennentsystème stochastiques possède donc un troisième état où il est en panne et où il Fin (RdPS). attend son tour pour être réparé. Cela se représente trèsµ facile- Fin λ réparation λ Défaillance Défaillance ment avec un réseau de Petri, comme le montre la figure 10. réparation µ δ 5.2.5 Exemples simples Le fonctionnement des réseaux de Petri s’inscrit dans la lignée δ=0 de l’usage millénaire des abaques à jetons où le déplacement de Réparation Attente Réparation Attente 5.2.5.1 Composant unique réparable petits cailloux ou calculi permettait à nos ancêtres de réaliser leurs calculs. Renouant avec cette tradition, le lecteur a tout intérêt à se Pour illustrer l’utilisation des RdPS, on utilise traditionnellement Début Début munir dès maintenant de quelques calculi (petite monnaie,réparation len- depuis plus de 20 ans un exemple très simple qui permet de bien réparation fixer les idées sur la démarche de modélisation.tilles, Il s’agit cailloux, d’un ...) com- pour s’aider à comprendre les mécanismes de création/destruction des jetons.Figure 10 – Composant réparable Figure 11 – Équipe de réparateurs posant simple réparable ayant les propriétés suivantes : Figure 18 – Mod`elepour un composant unique r´eparable – taux de défaillance λ et taux de réparation µ ; – non prioritaire pour les réparations. Réparateurs En plus des deux états classiques (marche et réparation), un tel Marche système possède donc un troisième état où il est en panne et où il Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie attend son tour pour être réparé. Cela se représente très facile- Exercice 30 DonnerFin est les strictement r´eseauxλ interdite. de Petri – © Editions associ´es`a T.I. SE 4 072 – 9 Ce document a été délivré pour le compte de 7200045062 - universite toulouse bu sciences // 147.127.81.45 réparation Défaillance ment avec un réseau de Petri, comme le montre la figure 10. 1. un syst`eme`adeuxµ composants r´eparables et deux r´eparateurs ; Le fonctionnement des réseaux de Petri s’inscrit dans la lignée δ=0 de l’usage millénaire des abaquestiwekacontentpdf_se4072 à jetons où le déplacement de Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45 2. un syst`eme`adeuxRéparation composantsAttente non r´eparables. petits cailloux ou calculi permettait à nos ancêtres de réaliser leurs calculs. Renouant avec cette tradition, le lecteur a tout intérêt à se Les ´etatsde fonctionnementDébut et de pannes sont alors des ensembles de marquages du r´eseau munir dès maintenant de quelques calculi (petite monnaie, len- réparation tilles, cailloux, ...) pour s’aider à comprendre les mécanismes de de Petri. Dans le cas de la figure 18 partie droite, si le syst`emecontient les deux composants création/destruction des jetons. enFigure s´erie,un 11 – Équipe seul de marquage réparateurs repr´esente les ´etatsde fonctionnement, s’il s’agit d’une redondance active 5 marquages constituent la fonctionnement.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie s´erie redondance est strictement interdite. – © Editions T.I. SE 4 072 – 9 Ce document a été délivré pour le compte de 7200045062 - universite toulouse bu sciences // 147.127.81.45 Marche1 1 1 0 0 1 1 Attente1 0 0 1 0 0 0 tiwekacontentpdf_se4072 Ce document a été délivré pour le compte de 7200045062 - universite de toulouse bu sciences // 147.127.81.45 R´eparation1 0 0 0 1 0 0 R´eparateurs 1 1 0 0 0 0 Marche2 1 1 1 1 0 0 Attente2 0 0 0 0 1 0 R´eparation2 0 0 0 0 0 1

G´en´erationde chaˆınesde Markov Si on repr´esente le graphe des ´etatsassoci´es,syst`eme de transition entre marquage on retombe sur la chaˆınede Markov repr´esentant le syst`eme. Exercice 31 Donner les chaˆınesde Markov obtenues `apartir des r´eseaux de Petri associ´es`a 1. un syst`eme`adeux composants r´eparables et deux r´eparateurs ; 2. un syst`eme`adeux composants non r´eparables. Exemple 17 On donne un exemple complet d’un syst`emem´ecatronique ´etudi´edans [10]. Le syst`eme´etudi´eest l’ouverture automatique d’une porti`ere : le conducteur du v´ehiculeen posses- sion de la cl´eest d´etect´epar le capteur du syst`emece qui d´eclenchel’activation d’un convertisseur qui alimente le reste du syst`eme.L’information est re¸cuepuis trait´eepar un processeur muni d’un RAM qui d´eclencheun moteur qui ouvrira la porti`ere.

Convertisseur

capteur Processeur RAM Moteur

42 Les auteurs ont mod´elis´ele syst`emeen un r´eseau de Petri : chaque composant a deux ´etats correct ou d´efaillance, tout ´equipement arrˆet´ene peut tomber en panne. Le syst`emesous forme de r´eseau de Petri est mod´elis´edans la figure 19. 12 marquages sont accessibles et le graphe de marquage du r´eseau de Petri est donn´edans la figure 20.

convertisseur

T3 T4

mu

capteur_def capteur T11 processeur T12 RAM T13 moteur

T1 T2 T5 T6 T1 T2 T5 T6

lambda mu

mu mu mu mu

capteur_def processeur_def RAM_def moteur_def

T14

Figure 19 – R´eseaude Petri du syst`eme

Simulation de Monte-Carlo L’exploitation quantitative d’un r´eseaude Petri se fait g´en´eralement, soit en traitant le mod`elemarkovien issu du graphe des marquages accessibles du r´eseaude Pe- tri, chaque marquage non ´evanescent correspondant `aun ´etatde la chaˆınede Markov, soit en animant par simulation de Monte-Carlo directement le mod`eler´eseaude Petri et non son graphe d’accessibilit´e. La simulation se montre relativement insensible `ala taille du mod`ele`aanimer, elle est donc utilis´eepour traiter des syst`emes de grandes tailles. L’id´eeest de r´ealiserune marche al´eatoire`a travers l’espace d’´etatsdu syst`ememod´elis´e.Le principe des simulations de Monte-Carlo est de jouer un certain nombre de scenarii d’´evolution du r´eseaude Petri en tirant pseudo-al´eatoirement les d´elaisassoci´esaux transitions et en faisant des statistiques sur des valeurs ayant un int´erˆet telles que le nombre de tirs d’une transition, le temps moyen de s´ejour dans une place . . . Un sc´enarioredout´eest une liste d’´ev´enements qui conduisent d’un ´etatde fonctionnement normal `aun ´etatredout´eavec une relation d’ordre partiel entre ces ´ev´enements. Si f(t) est la loi de probabilit´eassoci´ee`aune transition, pour obtenir un d´elaipseudo-al´eatoire δ on choisit un nombre z entre 0 et 1 (suivant une loi uniforme) et on prend δ = f −1(z). Lorsque f n’est pas

43 T14

T14

T T 2 T11 T12 T13 2 M1 M0 M3 M6 M8 M9 T1 T1

T3 T4 T3 T4 T5 T6 T7 T8 T9 T10 T9 T10

T2 T2 M4 M2 M5 M7 M10 M11 T1 T1

Figure 20 – Graphe de marquage du syst`eme inversible, on calcule la valeur num´eriquement. Les inconv´enients de cette approche sont la pr´ecisionvariable qui d´epend du nombre de simulations effectu´eeset le temps de traitement qui est potentiellement long et peut difficilement s’appliquer aux ´ev`enements rares. Les deux structures principales sont : Horloge de simulation : elle enregistre le temps de mission d’une simulation. Liste d’´ev´enements : les ´ev´enements sont maintenus dans un ordre chronologique. Leurs dates d’occurrence sont g´en´er´eesal´eatoirement en fonction de leurs distributions probabilistes. La simulation se d´eroulealors de la mani`eresuivante : – Choisir l’´ev´enement le plus r´ecent pour l’ex´ecution. – Ex´ecuterl’´ev´enement et avancer l’horloge. – Mettre `ajour les donn´ees(liste d’´ev´enements, variables d’observation,. . . ) – Arrˆetersi une des deux conditions suivantes se v´erifient : – le temps de mission est d´epass´e – ou il n’y a plus d’´ev´enement `aex´ecuter.

4.4 AltaRica Le langage Altarica a ´et´econ¸cupour sp´ecifier formellement le comportement de syst`emesen pr´esencede fautes et exploiter ces sp´ecifications`al’aide d’outils compl´ementaires : simulateur symbolique, model-checker ou g´en´erateurd’arbre de d´efaillances.AltaRica est un langage de description de syst`emebas´esur des automates `acontraintes. La premi`ered´efinitiondu langage est apparue en 1996 au Labri `aBordeaux conjointement avec des industriels (comme Dassault) et le premier atelier a ´et´emis en place en 2001.

4.4.1 Mod´elisationdes syst`emeavec AltaRica Le langage Altarica a ´et´econ¸cuau LaBri pour sp´ecifierformellement le comportement de syst`emesen pr´esencede fautes et exploiter une unique sp´ecification`al’aide d’outils compl´ementaires :

44 simulateur symbolique, model- checker, g´en´erateurd’arbre de d´efaillance,simulation stochas- tique. Le simulateur permet d’animer des sp´ecificationscomportementales non d´eterministes. Apr`esavoir bri`evement pr´esent´ele langage AltaRica, nous donnons une m´ethodologie pour mod´eliserdes syst`emesd’un point de vue sˆuret´ede fonctionnement.

Node block flow I,A,R : bool : in ; O : bool : out ; state S : bool ; event fail ; trans S=true |- fail -> S := false ; assert O = I and S and R and A ; init S := true ; law extern =constant 1e-4 edon

Figure 21 – Structure d’un nœud AltaRica

La figure 4.4.1 d´ecritla mod´elisationd’un composant en AltaRica. Un nœud est d´efinipar son nom (ici block), des variables internes seulement visibles dans ce nœud introduits par la clause state (dans l’exemple il n’y a qu’une variable s), des variables externes appel´ees flow visibles par d’autres nœuds (dans l’exemple il y a O qui est ´emiseet I, A, R qui sont lue par le nœud), des transitions (gardes, ´ev´enements, affectations) d´ecrivant apr`esle mot cl´e trans les diff´erents comportements du composant (dans l’exemple, une seule transition est d´ecrite sp´ecifiant que si s a pour valeur true et que l’´ev´enement fail survient, alors s prend pour valeur flase), des contraintes d´efinissant les configurations autoris´eesentre les variables. Ces assertions mettent principalement en relation les variables de flux avec les variables d’´etat.Dans l’exemple, la variable de flux O prend pour valeur correct si s et I sont corrects et lost sinon, ce qui traduit bien la notion d’erreur. Enfin, une valeur d’initialisation peut ˆetred´eclar´ee.On suppose dans l’exemple que le fonctionnement est correct initialement. La s´emantique d’un nœud AltaRica est donn´eepar un syst`emede transition interfac´e qui est un syst`emede transition ´etenduavec des variables externes. La s´emantique du nœud fonction est repr´esent´eedans la partie droite de la figure 4.4.1. Formellement un nœud AltaRica, sans hi´erarchie, est d´efini par un automate de mode M = hD, S, F in,F out, dom, Σ, δ, σ, Ii avec : – D est un domaine fini de valeurs des variables, – S, F in et F out sont des ensembles finis de variables appel´eesrespectivement variable d’´etat, variable de flux d’entr´eeet de sortie. Ces ensembles sont tous 2 `a2 disjoints. Dans la suite, on note V = S ∪ F in ∪ F out, – dom : V → 2D est une fonction qui associe `aune variable son domaine telle que ∀v ∈ V, dom(v) 6= ∅, – Σ est un ensemble fini d’´ev´enements, – δ est une fonction partielle appel´ee transition : dom(S) × dom(F in) × Σ → dom(S). On appelle dom(S) × dom(F in) la garde de la transition, – σ est une fonction totale appel´ee assertion : dom(S) × dom(F in) → dom(F out), – I ⊂ dom(S) d´ecritles conditions initiales. Pour d´efinir des modes de d´efaillanceplus complexes que simplement la perte, on peut utiliser des domaines abstraits en AltaRica. Par exemple, une valeur calcul´eepar un calculateur peut

45 ˆetre correct, erroneous si elle est calcul´eemais le r´esultatest faux (par exemple si les entr´ees sont fausses ou si le logiciel a un bug) ou lost lorsqu’aucune sortie n’est ´emise (si le calculateur est d´econnect´epar exemple). On note alors domain data = {correct, lost, erroneous}. Un syst`emeest la combinaison de composants et de sous-syst`emes.On peut alors d´efinirun nœud AltaRica hi´erarchique faisant appel `aun ensemble de composants et/ou syst`eme.Si on souhaite mod´eliserle syst`emede deux composants en s´erie: node serie state s:bool; sub C1, C2: block assert C1.out = C2.in; s = C2. out ;

4.4.2 Codage avec l’outil OCAS Pour lancer l’outil, aller dans le menuN7 et lancer Cecilia.bat, choisir OCAS, mettre le login : admin et mot de passe : admin.

D´efinitiondes composants L’id´eeest de d´efinirune librairie de composants puis de sp´ecifier des syst`emescomplets utilisant les ´el´ements de la librairie. T´el´echargez sur l’url http://www.cert.fr/anglais/deri/pagetti/enseignement/SDF/lecture.html le fichier icones.zip. Nous allons dans une premier d´efinirun composant. Allez dans l’onglet Composant et cr´eezune nouvelle famille TP N7. Cr´eezensuite un nouveau mod`eledans cette famille composant ´el´ementaire. Une fenˆetres’ouvre alors comme illustr´eci-dessous. Dans l’onglet g´en´eral,mettez le nom du composant composant elementaire. Ouvrez le fichier icˆoneet importer les figures en gif contenus dans l’archive icones.zip. Choisissez alors block_ok.gif.

Dans l’onglet E/S, mettez une entr´ee I et une sortie O de type enum {ok, lost}. Positionner sur le sch´emales entr´ees/sorties.Dans l’onglet event, mettez un ´ev´enement fail. Dans l’onglet state mettez un ´etat S de type enum {ok, lost}, dont la valeur initiale est ok. Dans l’onglet ic^ones, ajoutez les deux icˆones block_ok.gif et block_nok.gif. Dans l’onglet Altarica Code mettez

46 trans S=ok |- fail -> S:=lost; assert O=case {S=ok : I, else lost}; icone = case {S=ok : 1, else 2};;

Tous les onglets de l’´editeurde mod`elecontiennent quatre boutons communs : – Sauver : permet de sauvegarder les informations saisies, – Syntaxe : permet d’effectuer un contrˆolede syntaxe sur le code AltaRica – Coh´erence: permet d’effectuer un contrˆolede coh´erencesur le code AltaRica, – Fermer : permet de fermer l’´editeurde mod`ele. Cliquez sur syntaxe pour v´erifierla syntaxe et sur coh´erencepour v´erifierla coh´erence. Cr´eezensuite un composant source avec une sortie qui est toujours ok. Choisissez l’icˆone source.gif. Cr´eezun composant sortie avec une entr´eeet une sortie tels que sortie=entree. Choisissez les icˆones sortie_ok.gif et sortie_nok.gif.

D´efinitiond’un syst`emes´erie A partir de cette premi`erelibrairie, nous pouvons concevoir des syst`emess´erieset parall`eles.Dans l’onglet syst`eme, cr´eezun projet modeles AR puis un syst`eme modele serie. Une fenˆetres’ouvre alors. Retourner dans l’onglet composant drog and dropper 2 composants ´el´ementaires, une source et une sortie. Tracer les liens de sorte `aobtenir un syst`emeen s´eriecomme dans la figure.

Pour lancer la simulation cliquez sur le feu vert et utilisez l’insecte pour tirer les ´ev´enements de panne. G´en´erezensuite les coupes avec les s´equenceurset jouez-les ensuite. Nous devons retrouver les mˆemescoupes minimales qu’avec les arbres de d´efaillance.

Exercice 32 Ecrivez un syst`emeen redondance active non r´eparable et r´eparable. N’oubliez pas d’´etendre la librairie si besoin.

4.4.3 TP d’AltaRica Exercice 33 Ecrire le syst`emede la vanne hydraulique et calculer les coupes minimales. G´en´erez l’arbre de d´efaillance, dans Syst`emes, G´en´erationd’arbre (Ex´ecutableinf´erence). Ouvrez le fi- chier .dag g´en´er´eet comparez-le avec l’arbre que vous avez ´ecrit`ala deuxi`emes´eance.

Exercice 34 Ecrire le syst`emede la vanne hydraulique et calculer les coupes minimales. G´en´erez l’arbre de d´efaillance, dans Syst`emes, G´en´erationd’arbre (Ex´ecutableinf´erence). Ouvrez le fi- chier .dag g´en´er´eet comparez-le avec l’arbre que vous avez ´ecrit`ala deuxi`emes´eance.

47 Exercice 35 Mod´elisezle syst`emed´efinidans l’exercice 20 p.31. Calculez les coupes minimales et l’arbre de d´efaillance.

Exercice 36 On veut mod´eliserun calculateur tol´erant aux pannes appel´es COM-MON. Ce syst`emeest compos´ede deux cartes : dans chaque carte se trouvent un calculateur et un compa- rateur. Les calculateurs sont identiques et font les mˆemescalculs `apartir d’une entr´eecommune. Les comparateurs comparent les valeurs de sortie des deux calculateurs : si ces valeurs sont iden- tiques, le comparateur envoie vrai sinon faux. A la sortie des deux cartes, un interrupteur laisse passer la valeur calcul´eepar la premi`ere carte s’il re¸coitdeux discrets `avrai.

1. Donner les modes de d´efaillance des composants : calculateur et comparateur, 2. R´ealisezun premier mod`eleavec un unique mode de d´efaillance lost. Calculez les coupes minimales, 3. R´ealisezun deuxi`ememod`eleavec deux modes de d´efaillance lost et erroneous. Calculez les coupes minimales pour chaque mode. On rajoute ensuite l’alimentation ´electrique du syst`emeCOM-MON. D`esque l’interrupteur se d´econnecte, il coupe d´efinitivementl’alimentation ´electrique. Pour cela, on ajoute une loi dirac(0) sur l’´ev´enement stop de l’alimentation ´electrique. Calculez les nouvelles coupes mini- males. Quelles conclusions en tirez-vous ?

48 R´ef´erences

Livres Plusieurs livres sont disponibles. [1] J.C. Laprie et al., Guide de la sˆuret´ede fonctionnement, C´epadu`es,1996, 380 p. [2] A. Villemeur, Sˆuret´ede fonctionnement des syst`emesindustriels, Eyrolles, Direction des ´etudeset recherches d’Electricit´ede France (EDF), 1997, 822 p. [3] M. Ajmone Marsan, G. Balbo, G. Conte, S. Donatelli, G. Franceschinis, Modelling with Generalized Stochastic Petri Nets . Wiley Series in Parallel Computing, John Wiley and Sons, 1994, ISBN : 0-471-93059-8.

Cours Plusieurs cours sont disponibles sur Internet. [4] Cours d’Andreas Polzer http://www-i11.informatik.rwth-aachen.de/index.php?id=sre_ss06&L=0 [5] Cours de Philip Koopman http://www.ece.cmu.edu/~ece849/ [6] Cours d’Eric Chatelet : Approche Markovienne en sˆuret´ede fonctionnement - UTT - 2000.

Th`eses- Articles Quelques articles disponibles sur Internet. [7] Aymeric Vincent, Conception et r´ealisationd’un v´erificateur de mod`elesAltaRica. PhD thesis, LaBRI, University of Bordeaux 1, December 2003 http://www.labri.fr/perso/vincent/Research/V-CRVMAR-2003.pdf [8] O. Coudert and J.C. Madre, Implicit and incremental computation of primes and essential primes of Boolean functions. Proceedings of the 29th ACM/IEEE Design Automation Confe- rence, DAC’92, June (1992). http://citeseer.ist.psu.edu/4897.html [9] A. Rauzy, New algorithms for fault trees analysis. Reliab Engng Syst Saf 40 (1993), pp. 203 –211 http://iml.univ-mrs.fr/~arauzy/publis/Rau93a.pdf.zip [10] Amel Demri, Abd´erafiCharki, Fabrice Gu´erin,Patrice Kahn et Herv´eChristofol, Analyse Qualitative et Quantitative d’un Sys-t`emeM´ecatronique. CPI 2007. http://www.supmeca.fr/cpi2007/articles2007/CPI2007-048-Demri.pdf [11] F. Innal et Y. Dutuit, Evaluation de la performance d’un syst`emede production et des contri- butions individuelles de ses unit´esconstitutives, 6e Conf´erenceFrancophone de MOd´elisationet SIMulation - MOSIM’06 - du 3 au 5 avril 2006 – Rabat –Maroc http://www.isima.fr/mosim06/actes/articles/4-AMOEP/25.pdf [12] Charles Castel et Christel Seguin, Mod`elesformels pour l’´evaluationde la sˆuret´ede fonc- tionnement des architectures logicielles d’avionique modulaire int´egr´ee. In AFADL : Approches Formelles dans l’Assistance au D´eveloppement de Logiciels, 2002. ftp://altarica.labri.fr/pub/publications/afadl2001.pdf

Manuels d’utilisation Les manuels d’utilisation d’Arbor et OCAS se trouvent sur les ma- chines. [13] Module Arbor. [14] Module Ocas : Analyse syst`emepar arbre de d´efaillance. Manuel Utilisateur OcasV4.3 (Sep- tembre2007)

49