Méthodes pour la validation de modèles formels pour la ... - ISAE

28 Chapitre 1. Concepts généraux autour de la SdF
•
T
T
• •
Figure 1.4 – Exemple de Réseau de Petri
Marquage avant puis après le franchissement de la transition T
Remarque : Sans rentrer dans les détails ici, la simulation de Monte-Carlo [62] se veut remplacer
le calcul analytique exact par un calcul statistique. Pour cela, la méthode est fondée
sur la réalisation d’un grand nombre de simulations d’un modèle stochastique. Le
principe est ainsi de simuler un grand nombre de fois le modèle en générant aléatoirement
à chaque simulation les évènements se produisant (ces évènements devant
alors être dotés de loi de probabilités). Les différentes simulations nous permettent
alors d’évaluer la probabilité de se trouver dans tel ou tel état du modèle (on peut
par exemple calculer la probabilité d’occurrence d’un évènement redouté). Le résultat
est alors une approximation du résultat exact. Plus le nombre de simulations est
grand, plus l’approximation est bonne.
1.6 Positionnement des travaux de thèse par rapport à la
problématique SdF : vers une modélisation formelle de
système
Comme nous le verrons par la suite, les systèmes moteurs étudiés contribuent à la génération
et à la distribution d’énergie mécanique au rotor de l’hélicoptère. Pour accomplir ces fonctions,
ils sont structurés en différents systèmes (circuit d’air, circuit carburant, circuit d’huile, système
de contrôle moteur...) constitués de composants de natures physiques différentes (mécanique,
hydromécanique, électronique, logiciel...). On s’intéresse à l’évaluation des exigences de sécurité
que ces systèmes doivent satisfaire (FHA, PSSA, SSA du processus décrits dans l’ARP 4754).
Pour l’évaluation de ces exigences, différentes méthodes couramment utilisées pour évaluer
la Sûreté de Fonctionnement d’un système complexe aéronautique ont ainsi été présentées. Si les
graphes de Markov sont sans doute moins répandus de part la limitation concernant la taille des
systèmes pouvant être étudiés, les arbres de défaillance sont aujourd’hui toujours l’approche la
plus utilisée pour les industries mettant en œuvre des systèmes critiques complexes (sinon, une
identification des pannes simples grâce à l’AMDE suffit). Cependant et de part les limitations déjà
évoquées section 1.5.3.5, ces arbres de défaillance présentent des difficultés lors de la représentation
de systèmes possédant des défaillances transitoires, lors de la représentation de systèmes sujets à
réparation ou reconfiguration ou lors de la représentation de systèmes à l’intérieur desquels l’ordre
des évènements influe sur l’état final du système.
Nous présenterons dans le chapitre 2 le langage formel AltaRica qui supporte les analyses
de sécurité qualitatives et quantitatives de systèmes critiques complexes.