Méthodes pour la validation de modèles formels pour la ... - ISAE

5.1 Bilan de l’activité de modélisation 143
de combustion en fonction de la valeur de signaux de référence (pression, température,
vitesse...).
Concernant la modélisation du système de régulation, nous ne pouvons que fournir des résultats
issus de [33] qui s’est intéressé à la modélisation des erreurs logicielles dans le système
de régulation d’un turbomoteur. Le périmètre de cette étude était composé de l’ensemble des
composants fournissant des données au calculateur (capteurs moteurs, commandes hélicoptère...)
ainsi que des différentes fonctions assurées par le calculateur (acquisition des données, pilotage
des sorties, surveillance, gestion des communications à l’intérieur du calculateur et avec l’hélicoptère...).
Le modèle réalisé contenait environ 60 nœuds dans la bibliothèques, 200 instances dans
le modèle et 360 évènements. Ces évènements concernaient principalement les fonctions logicielles
et décrivaient des erreurs de conception hypothétiques. Bien que cela ne soit pas réellement le
cas d’application traité dans les analyses de sécurité actuelles (on y traite plutôt les défaillances
aléatoires plutôt que celles systématiques dues à la conception), cela nous fournit une indication
pertinente sur la potentielle taille du modèle d’un système de régulation. À lui seul donc, il se
pourrait que le modèle du système de régulation soit équivalent au tiers du modèle présenté en
terme d’architecture (200 instances là où nous en avons 586) et à sa moitié (au moins) en terme
de comportements (360 évènements là où nous en avons 642).
Concernant le système d’air secondaire, il s’agit clairement d’une perspective intéressante
pour la suite de ces travaux. Sans pour autant trop s’avancer sur la taille ou la complexité d’un
potentiel futur modèle, certaines caractéristiques d’un tel système nous permettent cependant de
réfléchir. En effet, le principe et la fonction du circuit d’air secondaire est de prélever de l’air sur
le circuit d’air primaire (celui-ci est modélisé) et d’envoyer cet air à différents endroits du moteur.
Pour ce faire, l’air emprunte des chemins à travers les composants mécaniques du moteur (une
partie est modélisée) et arrive jusqu’aux composants à refroidir (turbines, compresseurs... eux
aussi déjà modélisés). Sans prétendre que l’ensemble des nœuds nécessaires à la modélisation du
circuit d’air secondaire sont déjà présents dans les bibliothèques et dans notre modèle (les joints
par exemple ne le sont pas pour la plupart), nous pensons que la complexité de modélisation d’un
tel système résidera plus probablement dans les nombreuses interactions qu’il implique et qu’il
crée entre les autres sous-systèmes déjà modélisés que dans la modélisation des composants de
ce système.
5.1.2 Retour sur l’analyse des modèles
5.1.2.1 Couverture de l’étude des évènements redoutés
Dans un premiers temps, précisons qu’actuellement les évènements redoutés de haut niveau
étudiés sur le cas d’application présenté sont au nombre de 16 1 . Ceux-ci sont d’origines diverses
et proviennent aussi bien du règlement moteur [27], d’exigences clients ou encore d’exigences
internes.
Parmi ces 16 évènements redoutés, nous nous sommes donné 3 évènements redoutés de haut
niveau à étudier : l’arrêt en vol du moteur, la non disponibilité de la puissance maximale ainsi que
l’occurrence d’un feu sur le moteur. En déclinant ces évènements redoutés aux sous-systèmes, le
tableau 5.1 montre que les ensembles d’objectifs de chacun des sous-modèles sont différents : tous
les systèmes ne sont pas concernés par l’ensemble des évènements redoutés ; tous les évènements
redoutés ne se manifestent pas de façon similaire sur les systèmes.
1. Sans donner l’ensemble de ces évènements redoutés, nous pouvons citer l’arrêt en vol du moteur, l’impossibilité
d’arrêter le moteur si cela est souhaité, l’indisponibilité de la puissance maximale pouvant être fournie par
le moteur, l’occurrence d’un feu (contrôlé et non contrôlé) sur le moteur, l’émission d’air toxique en cabine, une
rupture du système d’attache entre le moteur et l’hélicoptère...