Méthodes pour la validation de modèles formels pour la ... - ISAE

5.2 Bilan de l’activité de validation des modèles 145
5.2.2 Comparaison des résultats entre modèle AltaRica et arbres de défaillance
Une fois la revue du modèle effectuée et avant de s’intéresser à l’application du processus
de validation défini au chapitre 4, nous nous sommes intéressé à la comparaison entre les résultats
fournis par le modèle et ceux fournis par les arbres de défaillance qui nous le rappelons sont
existants dans le contexte de recherche dans lequel se déroule les travaux rapportés ici.
Le travail étant conséquent et les retombées théoriques limitées, nous ne présentons que le
principe général de l’approche et les leçons qui en sont tirées.
5.2.2.1 Processus expérimental
Notre objectif est de s’assurer que les résultats fournis par les modèles sont similaires à ceux
fournis par les arbres de défaillance actuels. Pour cela, nous utilisons les outils d’analyse supportant
le langage AltaRica. Sont donc candidats l’outil de génération d’arbres de défaillance et l’outil de
génération des séquences conduisant à l’occurrence d’un évènement redouté (section 2.4.3.1). Nos
modèles comportant des reconfigurations et des boucles de modélisation, nous utiliserons le générateur
de séquences. Ces différentes séquences sont représentés sous forme d’arbres de défaillance
de type « râteau » : un évènement de haut niveau, une porte « OU » ayant en entrée l’ensemble
des séquences. Une fois ces séquences obtenues et mises sous forme d’arbres de défaillance, l’outil
Cecilia TM Arbor nous permet d’importer cet arbre afin d’en réaliser l’étude quantitative.
Le principe de la comparaison est donc d’une part, de comparer les séquences données
par le modèle AltaRica avec les coupes minimales fournis par les arbres de défaillance. Une fois
ces séquences comparées, nous comparons la probabilité d’occurrence de l’évènement redouté
considéré à l’aide de l’outil Cecilia TM Arbor. Si une différence est détectée, deux cas de figure se
présentent :
– si la différence est une erreur du modèle, il faudra modifier le modèle ;
– si la différence est due à une erreur présente dans les arbres de défaillance, celle-ci devra
être tracée et justifiée.
5.2.2.2 Comparaison des résultats qualitatifs
L’analyse qualitative d’un modèle AltaRica s’intéresse à l’identification des chemins de propagation
de défaillances du système représenté par le modèle. Ces chemins correspondent aux
séquences obtenues à partir du modèle AltaRica (grâce à l’outil Cecilia TM OCAS). Le principe du
travail décrit ici est d’observer si pour toutes les séquences minimales issues du modèle AltaRica,
il existe une coupe correspondante issue des arbres de défaillance. Par contre, l’arbre de défaillance
et le modèle AltaRica portant sur des périmètres de systèmes différents, il n’est pas pertinent de
vérifier que l’ensemble des coupes de l’arbre sont incluses dans les séquences générées à partir du
modèle AltaRica.
Sans autre outil que Microsoft Excel pour supporter cette activité, ce travail a été réalisé
pour l’occurrence d’un évènement redouté (l’arrêt en vol) et sur les modèles suivants :
– S_Grbx et S_Red pour les séquences d’ordres 1, 2 et 3 ;
– S_Oil, S_Fuel pour les séquences d’ordres 1 et 2 ;
– S_Air pour les séquences d’ordre 1 ;
Par comparaison à l’ordre 1, nous entendons en fait la validation des effets des défaillances
simples. Cela revient en fait à comparer les séquences d’ordre 1 issues du modèle avec les défaillances
présentes dans l’AMDE. Concernant les ordres supérieurs, cela nous permettra de valider