Méthodes pour la validation de modèles formels pour la ... - ISAE

22 Chapitre 1. Concepts généraux autour de la SdF
1.5 Démarches et méthodes traditionnelles en SdF
Le processus d’évaluation de la sécurité d’un système aéronautique décrit dans l’ARP 4754
[59] nécessite à ses différentes étapes différents types d’analyses. Pour réaliser ces analyses, diverses
approches et méthodes sont classiquement utilisées. Nous présentons ici certaines d’entre elles.
1.5.1 Analyse fonctionnelle
Selon la norme NF X 50-151 [5], une analyse fonctionnelle est « une démarche qui consiste à
rechercher, ordonner, caractériser et hiérarchiser les fonctions du produit attendu par l’utilisateur en
phase de conception »... Nous retiendrons, pour présenter le pourquoi de son application en Sûreté
de Fonctionnement, que l’analyse fonctionnelle « permet d’identifier les fonctions qui réalisent les
services pour lesquels un niveau de confiance devra être justifié » [41].
Ainsi, une analyse fonctionnelle est généralement réalisée au commencement d’une étude de
Sûreté de Fonctionnement. Elle permet alors :
– de systématiser la recherche des fonctions primaires (fonctions pour lesquelles le produit est
réalisé) du système ;
– de systématiser la recherche des fonctions contraintes (imposées par l’environnement extérieur
au produit) du système ;
– de représenter les dépendances fonctionnelles entre ses fonctions ;
– de raffiner une fonction d’un niveau N au niveau N − 1 ;
– d’identifier et de décrire le périmètre et les limites du système.
Cette identification du système, de ses fonctions et de son environnement est un point
de départ satisfaisant pour l’identification des caractéristiques dysfonctionnelles du système : ses
évènements redoutés, ses modes de défaillance, ses chemins de propagation de défaillance, ses
barrières de sécurité...
1.5.2 Analyse des Modes de Défaillance et de leurs Effets - AMDE
L’Analyse des Modes de Défaillance et de leurs Effets, ou AMDE, est une méthode inductive
(car partant des évènements de bas niveau, on en déduit les conséquences sur le système ; par
opposition aux méthodes déductives où l’on cherche les évènements élémentaires conduisant à
un évènement redouté donné) d’analyse prévisionnelle de la fiabilité permettant de recenser de
manière systématique les défaillances potentielles d’un composant d’un système puis d’estimer les
conséquences sur le fonctionnement de ce système. Pour cela, l’AMDE s’intéresse à la recherche
systématique :
– des modes de défaillance de chacun des composants ou des fonctions du système (e.g. perte
de la fonction, dégradation de la fonction, réalisation intempestive de la fonction) ;
– des conséquences de chacun de ces modes de défaillance sur l’environnement du composant
(la fonction) ainsi que sur le système ;
– des moyens de détection et de mitigation de ces modes de défaillance.
Le tableau 1.3 présente le principe général d’une AMDE. L’exemple considéré est celui d’un
système hydraulique composé de deux pompes fonctionnant en parallèle.
Si l’AMDE est à coup sûr un outil intéressant pour évaluer la Sûreté de Fonctionnement
d’un système, elle ne permet cependant pas d’obtenir une vision des combinaisons de défaillance