Aide à la conception des systèmes embarqués sûrs de fonctionnement

Sûreté de fonctionnement, concepts et méthodes 

Cette section est une synthèse des principaux concepts de base de la sûreté de fonctionnement. Un bref rappel est donné de toutes les notions définies dans [Laprie & al, 1996], [Laprie & al, 2004] et [Villemeur, 1988]. Le lecteur pourra se référer à ces travaux. Il y trouvera une vue plus détaillée de l’ensemble du domaine.

 Concepts de la sûreté de fonctionnement

 La sûreté de fonctionnement regroupe les activités d’évaluation de la fiabilité, de la maintenabilité, de la disponibilité et de la sécurité (FMDS) d’une organisation, d’un système, d’un produit ou d’un moyen. Ces évaluations permettent, par comparaison aux objectifs ou dans l’absolu, d’identifier les actions de construction (ou amélioration) de la sûreté de fonctionnement de l’entité. Ces évaluations sont prédictives et reposent essentiellement sur des analyses inductives ou déductives des effets des pannes, dysfonctionnements, erreurs d’utilisation ou agressions de l’entité. La sûreté de fonctionnement (SDF) est un ensemble d’outils et de méthodes qui permettent, dans toutes les phases de vie d’un produit, de s’assurer que celui-ci va accomplir la (les) mission(s) pour laquelle (lesquelles) il a été conçu, et ce, dans des conditions de fiabilité, de maintenabilité, de disponibilité et de sécurité bien définies. La SdF doit être prise en compte tout au long du cycle de vie du produit. Villemeur [Villlemeur, 1988] définit la sûreté de fonctionnement comme la science des défaillances. Elle inclut ainsi leur connaissance, leur évaluation, leur prévision, leur mesure et leur maîtrise. Au sens strict, elle est l’aptitude d’une entité à satisfaire une ou plusieurs fonctions requises dans des conditions données. Selon [Laprie & al, 2004], la sûreté de fonctionnement d’un système est son aptitude à délivrer un service de confiance justifiée. Cette définition mettant l’accent sur la justification de la confiance, cette dernière peut être définie comme une dépendance acceptée, explicitement ou implicitement. La dépendance d’un système vis-à-vis d’un autre système est l’impact, réel ou potentiel, de la sûreté de fonctionnement de ce dernier sur la sûreté de fonctionnement du système considéré. La sûreté de fonctionnement peut être définie par les attributs suivants : ƒ La fiabilité : au sens strict, c’est la probabilité qu’une entité fonctionne sur l’intervalle de temps [0,t]. Elle représente l’aptitude de l’entité à satisfaire une fonction requise dans des conditions données ƒ La maintenabilité : au sens strict, c’est la probabilité que la maintenance d’une entité défaillante soit achevée à un instant t sachant que la défaillance s’est produite à l’instant t=0. C’est l’aptitude d’une entité à être maintenue ou remise en état de fonctionnement, état dans lequel elle peut accomplir une fonction requise. La disponibilité : au sens strict, c’est la probabilité qu’un composant ou un système soit en état de marche à un instant donné t. Elle représente l’aptitude d’une entité à être en état d’accomplir une fonction requise. ƒ La sécurité-innocuité : C’est l’aptitude d’un produit à respecter, pendant toutes les phases de vie, un niveau acceptable de risques d’accident susceptible d’occasionner une agression du personnel ou une dégradation majeure du produit ou de son environnement. Elle représente l’absence de conséquence catastrophique pour l’environnement. Pour [Laprie, 1996], la sûreté de fonctionnement a pour objectif de spécifier, concevoir, réaliser et exploiter des systèmes où la faute est naturelle, prévue et tolérable. Elle est alors la propriété qui permet à ses utilisateurs de placer une confiance justifiée dans le service qu’il leur délivre.

 Quelques définitions Défaillance

 C’est la cessation d’une entité à accomplir une fonction requise. En fonction de ses effets une défaillance peut être mineure, significative, critique ou catastrophique. En fonction de ses causes, une défaillance peut être première, seconde ou de commande. Modes de défaillance C’est l’effet par lequel la défaillance est observée, la manière dont la défaillance apparaît. C’est la forme perceptible du dysfonctionnement d’un produit ou d’une opération. Causes de défaillance Les causes entraînent les défaillances et peuvent dépendre de circonstances liées à la conception, la fabrication et/ou à l’emploi. Les causes d’une défaillance peuvent être internes ou externes à l’entité. Effets d’une défaillance Pour chaque mode de défaillance recensé, il correspond les effets (conséquences sur la fonction du produit) chez le client en termes d’insatisfaction ou de non-conformité (le client peut être l’utilisateur final du produit ou de l’opération suivante du processus). Reconfiguration Une reconfiguration est l’action de modifier la structure d’un système qui a défailli (figure I.1), de telle sorte que les composants non défaillants permettent de délivrer un service acceptable bien que dégradé (fonctionner en mode dégradé, c’est tenter de fournir le service jugé indispensable, en manquant de ressources complètes ou fiables). L’exemple de la figure I.1 représente un système reconfigurable. En effet, le switch permet de reconfigurer le système en utilisant la ressource secours en cas de défaillance de la ressource primaire.

Méthodes d’analyse de la sûreté de fonctionnement 

L’évaluation de la sûreté de fonctionnement d’un système consiste à analyser les défaillances des composants pour déterminer leurs causes et estimer leurs conséquences sur le service rendu par le système. L’analyse de sûreté de fonctionnement peut être qualitative et/ou quantitative. Les principales méthodes sont réalisées suivant deux types de raisonnement logique (figure I.2) : ƒ Approche inductive : raisonnement du particulier au général. Dans ce cas, on recherche les effets d’une défaillance sur le système ou son environnement. approche déductive : raisonnement du général au particulier. Dans ce cas on suppose que le système est défaillant et on recherche les causes possibles de la défaillance Causes Effets Analyse inductive Analyse déductive Figure I.2. Différents raisonnements logiques Dans la partie qui va suivre nous allons passer en revue les principales méthodes classiques d’analyse de sûreté de fonctionnement. Mais avant cela nous présentons d’abord l’analyse fonctionnelle qui est une étape nécessaire pour toute étude de sûreté de fonctionnement. 

 L’analyse fonctionnelle 

Pour analyser les défaillances d’un système, il est nécessaire auparavant de bien identifier à quoi doit servir ce système : c’est à dire de bien identifier toutes les fonctions que ce système doit remplir durant sa vie de fonctionnement et de stockage. D’après la norme (AFNOR NF X 50-1), l’analyse fonctionnelle est une démarche qui consiste à rechercher, ordonner, caractériser, hiérarchiser et / ou valoriser les fonctions du produit (matériel, logiciel, processus, service) attendues par l’utilisateur. Une fonction est l’action d’un élément constitutif d’un système exprimée exclusivement en terme de finalité (par ce qu’il « fait »). Chaque fonction doit être exprimée, formulée, par un verbe à l’infinitif suivi d’un ou plusieurs compléments. L’analyse fonctionnelle est utilisée au début d’un projet pour créer (conception) ou améliorer (reconception) un produit. Elle est un élément indispensable à sa bonne réalisation. On détermine donc, par exemple, les fonctions principales, les fonctions secondaires et les fonctions contraintes d’un produit. Il est important de faire ce recensement afin d’effectuer un dimensionnement correct des caractéristiques du produit. Une analyse fonctionnelle, précède donc une étude de sûreté de fonctionnement. Une première analyse fonctionnelle dite externe permet de définir avec précision les limites matérielles du système étudié, les différentes fonctions et opérations réalisées par le système ainsi que les diverses configurations d’exploitation. L’analyse fonctionnelle interne permet de réaliser une décomposition arborescente et hiérarchique du système en éléments matériels et/ou fonctionnels. Elle décrit également des fonctions dans le système. 

 L’Analyse Préliminaire des Risques

 L’Analyse Préliminaire des Risques (APR) est une extension de l’Analyse Préliminaire des Dangers (APD). Elle est réalisée après l’analyse fonctionnelle. Elle a pour but d’établir une liste Chapitre 1 Sûreté de fonctionnement des systèmes embarqués 22 aussi exhaustive que possible des incidents ou accidents pouvant avoir des conséquences sur la sécurité du personnel ou du matériel [Villemeur, 1988]. Un autre objectif de L’APR est d’évaluer la gravité des conséquences liées aux situations dangereuses et les accidents potentiels. La méthode permet de recenser les dangers et déduire ensuite tous les moyens et toutes les actions correctrices permettant d’éliminer ou de maîtriser les situations dangereuses et les accidents potentiels. Il est recommandé de commencer l’APR dès les premières phases de la conception. Cette analyse sera vérifiée et complétée au fur et à mesure de l’avancement dans la réalisation de système. L’APR permet de mettre en évidence les événements redoutés critiques qui devront être analysés en détail dans la suite de l’étude de sûreté de fonctionnement, en particulier par la méthode des arbres de défaillances.