Méthodes pour la validation de modèles formels pour la ... - ISAE

146 Chapitre 5. Cas d’étude et retour sur l’approche
les combinaisons de défaillances décrites dans les modèles (par exemple de valider les défaillances
dormantes et les phénomènes qui les activent).
Des différences ont été identifiées entre les résultats des deux approches. Par exemple, l’arbre
de défaillance est parfois plus concis que le modèle AltaRica. Une des raisons est la différence
existante au niveau même des modèles. Par exemple dans un arbre de défaillance, les ruptures
des différents pignons de S_Grbx sont regroupées dans un unique évènement élémentaire. Dans
le modèle AltaRica, on conserve un évènement par composant « Pignon ». Ainsi, là où l’arbre de
défaillance nous fournit une unique coupe « Rupture des pignons », le modèle AltaRica nous en
fournit n où n est le nombre de pignons (« Rupture des pignons »= « Rupture pignon 1 » or ... or
« Rupture pignon n »).
Remarque : Comme le présente la section 1.5.3.2, un résumé d’AMDE précède en pratique la
construction d’un arbre de défaillance. Dans la méthodologie proposée au chapitre 3
et pour rester au plus bas niveau, nous avons choisi de construire le modèle AltaRica
directement à partir de l’AMDE i.e. sans passer par un résumé. Cela nous permet
ainsi de conserver une structure du modèle AltaRica proche de l’architecture réelle
du système à modéliser. En contrepartie, les séquences obtenues grâce au modèle
AltaRica sont parfois de plus bas niveau que les coupes des arbres de défaillance.
Cela explique alors la différence mentionnée ci-dessus.
Système réel AMDE Résumé
Modèle
AltaRica
Arbres de
défaillance
Évaluation de
la SdF du
système
Une autre raison est la différence de périmètres entre les deux approches. En effet, on ne
pourra comparer les résultats entre modèle et arbres qu’en s’assurant que les périmètres des deux
modélisations soient identiques. Cela pose une difficulté importante, surtout en début de modélisation,
puisque dans les arbres, les interactions entre différents sous-systèmes rentrent rapidement
en jeu. Cependant, au fur et à mesure de l’intégration des différents sous-systèmes, nous sommes
parvenus à retrouver dans le modèle AltaRica une importante quantité des chemins de propagation
de défaillance présents dans les arbres de défaillance.
5.2.2.3 Comparaison des résultats quantitatifs
Une fois les résultats qualitatifs retrouvés, la comparaison des résultats quantitatifs est
immédiate grâce à l’outil Cecilia TM Arbor. Insistons cependant sur deux « bonnes pratiques »
à adopter lors de la phase de modélisation pour que l’obtention des résultats quantitatifs soit
possible.
– Comme indiqué en section 2.2.3, les lois de probabilité doivent être indiquées dans les nœuds
AltaRica pour pouvoir réaliser des analyses quantitatives sur les arbres extraits du modèle
AltaRica.
– Concernant les pannes dormantes, il ne faut pas oublier d’inclure les temps de latence dans
les nœuds AltaRica. En effet là aussi, ces temps de latence seront exportés sous Cecilia TM
Arbor.