Méthodes pour la validation de modèles formels pour la ... - ISAE

2.5 Autres langages pour la réalisation d’étude de Sûreté de Fonctionnement 53
Ce contre-exemple est alors en fait une séquence conduisant le système dans la configuration non
souhaitée.
2.5.2 Langages dédiés Sûreté de Fonctionnement
2.5.2.1 Le langage Figaro
Le langage Figaro [16] a été développé par EDF (Électricité De France) dans les années
1990 pour modéliser la propagation des défaillances au sein d’un système. L’article [17] compare
les langages AltaRica et Figaro et explicite le fait que, s’il est entendu que les objectifs des deux
langages sont similaires, ils différent profondément dans leurs philosophies.
Tout d’abord, Figaro est un langage orienté objet : une base de connaissance décrit des
classes de composant ; chacune de ces classes inclut le comportement nominal et dysfonctionnel
du composant qu’elle représente ; le système global est ensuite construit par instanciation de
composant. À noter que les composants ne sont pas organisés hiérarchiquement, ni encapsulés
(il n’y a pas d’emboîtement entre objets) contrairement au langage AltaRica qui, comme nous
l’avons vu, est fondé sur la notion de compositionnalité : des objets sont définis puis instanciés
pour créer des objets de niveau supérieur (le plus haut niveau représentant alors le modèle global).
Figaro est supporté par l’outil KB3, aussi développé par EDF. KB3 contient un éditeur
graphique de modèles ainsi que différents algorithmes permettant d’évaluer quantitativement et
qualitativement le modèle réalisé. À ce sujet, notons une différence entre Figaro et AltaRica. La
simulation (et donc la sémantique) de modèles Figaro est réalisée en intriquant des caractéristiques
qualitatives (gardes des transitions) et quantitatives (loi suivie par la probabilité d’occurrence
d’un évènement) des évènements. En AltaRica, la simulation dépend des gardes des transitions
mais les relations entre évènements sont définies en terme de priorités. Les lois peuvent être
ajoutées ensuite pour par exemple réaliser des simulations stochastiques. En résumé, l’approche
Figaro consiste à écrire des modèles quantitatifs à partir desquels on réalise ensuite des analyses
qualitatives ; l’approche AltaRica consiste à écrire des modèles qualitatifs pouvant être complétés
par des analyses quantitatives.
Enfin, une dernière différence entre AltaRica et Figaro provient de leurs utilisations. La
syntaxe de Figaro permet d’écrire des expressions plus proches du langage naturel. Ainsi et en
accord avec [17], le langage Figaro est plus adapté à qui veut concevoir des outils de modélisation
« clef en main » (une fois la base de connaissance créée, la réalisation de modèle n’imposera
l’écriture d’aucune ligne de code Figaro). Le langage AltaRica quant à lui possède une syntaxe
plus formelle et moins accessible aux non-initiés. Cependant, une fois cet « obstacle » franchi,
le langage AltaRica est plus facilement utilisable pour les ingénieurs étant de manière directe en
charge des études de systèmes.
2.5.2.2 HIP-HOPS
HiP-HOPS (Hierarchically Performed Hazard Origin and Propagation Studies) [49] est une
méthode se proposant de supporter les analyses de Sûreté de Fonctionnement en autorisant la
génération automatique d’arbres de défaillance ou d’AMDE. Pour cela, un modèle hiérarchique
du système est construit à partir d’une décomposition de ce système sous forme de schémas blocs
successifs. Les modes de défaillance de chaque « bloc » identifiés sont étudiés et introduit dans
un tableau décrivant, pour chaque composant, l’effet système de ces modes de défaillance. Un
algorithme est ensuite appliqué pour générer l’arbre de défaillance correspondant à un évènement
redouté et calculer ses coupes minimales. HIP-HOPS est supporté par un outil réalisant des
analyses qualitatives et quantitatives de systèmes.
Le travail présenté dans [14] propose une approche permettant d’insérer la méthode HiP-
HOPS dans un processus de développement de systèmes automobiles fondé sur EAST-ADL2.