Méthodes pour la validation de modèles formels pour la ... - ISAE

26 Chapitre 1. Concepts généraux autour de la SdF
– d’obtenir des équations simples (d’un point de vue combinatoire) pour décrire l’occurrence
des évènements redoutés ;
– de se focaliser sur un évènement redouté et ne pas prendre en compte les évènements
n’intervenant pas dans son occurrence ;
– de pouvoir étudier le comportement du système à différents niveaux d’abstraction ;
– une validation pas à pas en permettant l’étude de sous-arbres indépendants.
Cependant, ces arbres de défaillance présentent également différentes limites d’utilisation.
En effet :
– leur taille peut devenir grande dans le cas de systèmes particulièrement complexes ; la lisibilité
des arbres peut ainsi devenir difficile ;
– ils permettent difficilement la représentation de défaillances « transitoires » et font abstraction
de l’ordre d’apparition des évènements (cependant, l’état de l’art sait modéliser les
stratégies de réparation ou de reconfiguration d’un système) ;
– ils ne permettent pas d’une manière générale de modéliser l’évolution d’un système au cours
du temps ;
– toute modification de l’architecture système doit être suivie d’une revue et de potentielles
modifications sur l’ensemble des arbres ;
– il est nécessaire de réaliser un arbre de défaillance par évènement redouté ; la validation de
l’ensemble des arbres peut se révéler coûteuse en temps et en ressources.
L’hypothèse du comportement non évolutif du système peut être en partie levée par l’ajout
d’extensions à l’analyse classique par arbres de défaillance (par exemple, l’ajout de porte logique
prenant en compte des priorités [63]). On pourra aussi se tourner vers d’autres types d’analyses
comme l’analyse par graphes de Markov préconisée par l’ARP 4761 [60] au même titre que l’analyse
par arbre de défaillance.
1.5.4 Graphe de Markov
En deux mots, un graphe de Markov est un processus stochastique (i.e. aléatoire), sans
mémoire (i.e. le futur ne dépend que de l’état présent), portant sur un nombre fini d’états reliés
entre eux par des probabilités de transition (éventuellement nulle). Un graphe de Markov permet
de modéliser le comportement de systèmes évoluant dans le temps.
De manière plus détaillée maintenant, un graphe de Markov représente le comportement
d’un système à l’aide d’un automate : les états du système sont représentés par les états de
l’automate ; les défaillances ou les évènements fonctionnels (e.g. reconfiguration...) modifiant l’état
du système sont décrits dans l’automate par des transitions. À l’aide de probabilités attachées à
chaque transition et connaissant l’état initial du système, la probabilité d’être dans chaque état
peut être calculée à tout moment. Pour plus de détails, le lecteur intéressé pourra consulter [65].
Si l’ensemble des transitions du graphe de Markov suit une loi exponentielle, des calculs
exacts peuvent être réalisés de manière relativement aisée. Par exemple, on peut calculer (on
trouvera davantage de détails dans [61]) :
– la probabilité d’être dans un état (ou un ensemble d’état) à un instant i donné ;
– le temps moyen de bon fonctionnement avant première défaillance (MTTF) ;
– pour un système réparable, le temps moyen entre deux défaillances (MTBF) ;
– la disponibilité d’un système...