Méthodes pour la validation de modèles formels pour la ... - ISAE

150 Chapitre 5. Cas d’étude et retour sur l’approche
– l’analyse de l’occurrence de plusieurs évènements redoutés sur un même système ;
– les analyses de sécurité réalisées sur des systèmes différents.
Concernant le premier point, les modèles réalisés ont été choisis de bas niveau afin d’être
en mesure de retrouver les résultats issus des analyses actuelles de sécurité. Descendant dans une
telle analyse au niveau du composant, les modèles AltaRica réalisés sont donc très proches des
architectures réelles des systèmes modélisés (systèmes mécaniques, hydromécaniques, informatiques...).
Concernant les deux autres points et en partie grâce à la présence de bibliothèques de bas
niveau, la cohérence est améliorée entre les analyses de sécurité d’un même système et entre les
analyses de sécurité de différents systèmes. En effet actuellement, il est courant de trouver un
même mode de défaillance nommé de façon différente entre deux analyses de sécurité d’un même
système. Par exemple si on analyse deux systèmes différents A et B, la perte de la fonction d’une
vis pourra être intitulée « rupture » sur le système A et « cassure » sur le système B (cela n’est
qu’un exemple !). En utilisant un unique nœud de la bibliothèque pour la modélisation de la vis
au sein des systèmes A et B, le même terme sera utilisé dans les deux analyses.
La cohérence des analyses est également améliorée au niveau de la description des effets des
modes de défaillance des composants. En effet et comme présenté au chapitre 3, la méthodologie
de modélisation propose la définition de modes de défaillance génériques. Un analyste, lorsqu’il
sera confronté à la représentation d’un mode de défaillance dans un nouveau modèle, pourra aller
puiser dans les documentations existantes des modèles AltaRica pour coder son modèle AltaRica.
Grâce à une cohérence et une telle traçabilité, la prise en charge d’un modèle par un analyste ne
l’ayant pas réalisé sera aussi largement améliorée. Celui-ci, lors de la lecture du modèle, retrouvera
en effet des termes connus et une logique déjà validée indépendamment du nœud.
5.4 Quelques bonnes pratiques recommandées lors de la modélisation
Cette section a pour vocation d’exhiber certaines bonnes pratiques qui faciliteront selon
nous certains aspects de la modélisation. Si quelques unes de ses bonnes pratiques ont déjà été
évoquées au chapitre 3, cette section les regroupent, les développent et les complètent.
5.4.1 Analyse préliminaire - Identification des besoins
Comme nous avons vu dans le chapitre 2, un modèle est réalisé avec l’objectif de répondre
à une ou plusieurs questions que l’on se pose sur un système. Il n’a donc pas pour vocation de
reprendre l’ensemble des caractéristiques du système qu’il représente [40]. L’analyse en charge de
la réalisation d’un modèle cherchera ainsi à construire un modèle pertinent vis-à-vis de la question
à laquelle il doit répondre... L’analyse en charge de la réalisation d’un modèle cherchera ainsi à
construire un modèle mettant en évidence les caractéristiques du système qui l’intéressent.
Exemple : Il n’est pas nécessaire de modéliser le déplacement des électrons dans le silicium à
l’aide de la théorie des gaz de Fermi pour faire comprendre le fonctionnement de son système
informatique à un utilisateur. [40]
Il est donc indispensable pour l’analyste d’identifier les objectifs de la modélisation. Identifier
l’ensemble des objectifs de la modélisation permettra leurs prises en compte dès le commencement