Méthodes pour la validation de modèles formels pour la ... - ISAE

5.5 Retours sur quelques difficultés rencontrées 153
C 1 C 2
Figure 5.2 – Exemple de système bouclé
alors potentiellement avoir des difficultés pour évaluer l’état et les sorties d’un tel système : il faut
éviter ce type de cas.
Le principe est en fait d’éviter qu’à un moment donnée t une variable soit définie par elle
même. Pour cela, il est possible de « casser » les boucles instantanées présentes dans le modèle
en introduisant par exemple des délais dans la propagation de certaines données du modèle.
Notons qu’il existe à l’intérieur de Cecilia TM OCAS un outil permettant la détection des boucles
instantanées 2 de modélisation.
5.5.2 Multiplicité des données transmises
Une autre difficulté liée au grand nombre de données à propager dans le modèle se situe au
niveau de la définition des assertions des nœuds AltaRica, i.e. à la définition des variables de sorties
des nœuds. En effet, si un nœud C a n entrées booléennes, la table de vérité à construire pour
définir chaque variable de sortie de C comporte 2 n cases à remplir. Ce nombre augmente avec
l’augmentation de la granularité des données transmises. En prenant l’exemple d’un engrenage du
système de transmission mécanique dans notre cas d’étude (section 3.4), celui-ci à 8 entrées et 5
sorties. Parmi les 8 entrées, 7 ont une granularité de 3 et une est booléenne. Ainsi pour chaque
variable de sortie, la table de vérité contient 3 7 × 2 = 4374 ! Même si des cas se regroupent et
qu’ainsi, plusieurs cas se remplissent en une unique équation, le travail à réaliser est potentiellement
conséquent.
5.5.3 Difficultés d’abstraction des données
Une première difficulté provient de la notion même de modèle. La plupart des systèmes
auxquels nous nous sommes intéressés sont des systèmes continus. Le langage AltaRica étant un
langage discret, le comportement des systèmes doit être abstrait et discrétisé en un nombre fini
de domaines (nominal, dégradé, perdu, erroné...). Pour de tels systèmes, un écart par rapport au
comportement réel est donc introduit à la création du modèle.
Ensuite et pour prendre en compte les différents domaines à l’intérieur desquels le système
évolue, le chapitre 3 (section 3.4 à 3.7) a montré que le nombre de données à considérer est grand.
Une seconde difficulté se trouve au niveau de l’identification de ces données. Même si l’idée est
sans aucun doute séduisante, il n’existe pas selon nous de moyen miracle permettant l’identification
systématique des données nous permettant de décrire la propagation d’une défaillance d’un
domaine physique à un autre.
Toujours au sujet de l’identification de ces données, nous avons vu, au chapitre 3, que cette
identification est fondée sur la représentation et sur l’abstraction de phénomènes physiques. En plus
de faciliter la généricité dans la modélisation des modes de défaillance, cette philosophie permet
de faciliter les revues du modèle par les spécialistes métiers en leurs permettant de retrouver les
relations physiques avec lesquelles ils sont familiers. En contrepartie, cette philosophie conduit à
une difficulté lors de l’abstraction si l’analyste en charge de la création du modèle n’a pas une
bonne connaissance de ces relations physiques. Pour faire face à ce « problème », le chapitre 3
adresse cependant un nombre de questions conséquent permettant de guider l’identification de
données devant en théorie permettre la propagation des évènements identifiés. Par exemple, il
faudra s’intéresser aux évènements redoutés à observer, aux conditions d’utilisation du système,
au niveau de modélisation souhaité...
2. Une boucle instantanée est une boucle dans la définition des variables du modèle où au même instant
logique, une variable est définie plus d’une fois.