La Sûreté de Fonctionnement

Ce paragraphe présente une synthèse des définitions données dans [Laprie 96] et [Villemeur 88], références auxquelles le lecteur peut se rapporter pour des aspects plus détaillés ou complémentaires.
Quelques notions : La Sûreté de Fonctionnement (notée SdF) peut être définie, au sens large, comme la science des défaillances [Villemeur 88]. Elle inclut leur connaissance, leur évaluation, leur prévision, leur mesure et leur maîtrise. Elle représente l’aptitude d’une entité à satisfaire à une ou plusieurs fonctions requises dans des conditions données.
Selon [Laprie 96], la SdF est la propriété d’un système permettant à ses utilisateurs de placer une confiance justifiée dans le service délivré.
Au sens strict, la Sûreté de Fonctionnement est l’aptitude d’une entité à satisfaire une ou plusieurs fonctions requises dans des conditions données. Elle peut être caractérisée par les attributs suivants : La fiabilité : c’est l’aptitude d’une entité à accomplir une fonction requise, dans des conditions données, pendant une durée donnée. Elle est généralement mesurée  par la probabilité qu’une entité accomplisse une fonction requise, dans les conditions données, pendant l’intervalle de temps [0, t].
La disponibilité : c’est l’aptitude d’une entité à être en état d’accomplir une fonction requise dans des conditions données et à un instant donné. La disponibilité est généralement mesurée par la probabilité qu’une entité soit en état d’accomplir une fonction requise dans des conditions données et à un instant t donné. La maintenabilité : c’est l’aptitude d’une entité à être maintenue ou rétablie dans un état dans lequel elle peut accomplir une fonction requise, lorsque la maintenance est effectuée dans des conditions données avec des procédures et des moyens prescrits. Elle est généralement mesurée par la probabilité que la maintenance d’une entité accomplie dans des conditions données, avec des procédures et des moyens prescrits, soit achevée au temps t, sachant que l’entité est défaillante à l’instant t = 0.  La sécurité : c’est l’aptitude d’une entité à éviter de faire apparaître, dans des conditions données, des événements critiques ou catastrophiques. La sécurité est généralement mesurée par la probabilité qu’une entité évite de faire apparaître, dans des conditions données, des événements critiques ou catastrophiques.

La méthode des Arbres de Défaillances

L’analyse par Arbre de Défaillance est une analyse déductive qui permet de représenter graphiquement les combinaisons d’événements élémentaires qui conduisent à la réalisation d’un événement redouté. L’Arbre de Défaillance, dont la racine correspond à l’événement redouté pour lequel on cherche à évaluer la probabilité d’occurrence, est formé de niveaux successifs tels que chaque événement soit généré à partir des événements du niveau inférieur par l’intermédiaire d’opérateurs logiques (ET, OU, …). La décomposition s’arrête au niveau des événements élémentaires, caractérisés par le fait qu’ils sont indépendants entre eux ou que leurs probabilités peuvent être estimées ou qu’on ne désire pas les décomposer en éléments plus simples.
Un Arbre de Défaillance caractérise de façon claire les liens de dépendance, du point de vue du dysfonctionnement, entre les composants d’un système.
L’analyse par Arbre de Défaillance peut être uniquement qualitative, par recherche systématique des combinaisons minimales de défaillances entraînant l’apparition de l’événement redouté (coupes minimales), afin d’identifier les chemins les plus critiques, et donc d’identifier les points faibles du système. Elle peut aussi être d’ordre quantitative ; dans ce cas, on assigne à chaque événement de base une probabilité d’occurrence pour effectuer le calcul de celle de l’événement redouté.
L’analyse par Arbre de Défaillance est largement répandue et utilisée dans les études de sûreté de fonctionnement car elle caractérise de façon claire les liens de dépendance, du point de vue du dysfonctionnement, entre les composants d’un système. En dépit de la simplicité d’utilisation de cette technique, elle souffre néanmoins de l’existence d’hypothèses implicites dont la vérification a posteriori est rarement effectuée par les praticiens. Par exemple, il est supposé que toute modification de l’ordre dans lequel les événements sont considérés n’a pas d’impact sur le scénario redouté (y compris sa probabilité d’occurrence).

Les systèmes mécatroniques

Un système mécatronique est un système combinant des technologies qui relèvent des domaines de la mécanique, de l’hydraulique, de la thermique, de l’électronique et des technologies de l’information [Moncelet 98]. Il peut être décomposé en quatre entités en interaction : les capteurs, la partie opérative, le système de commande et de reconfiguration et les actionneurs. Les capteurs mesurent des grandeurs physiques continues caractéristiques de la partie opérative. Le système de commande et de reconfiguration établit en fonction de ces mesures les actions à réaliser. Les actionneurs agissent sur la partie opérative.
Le système de commande a aussi pour objectif d’assurer que certaines grandeurs de la partie opérative soient maintenues dans un intervalle de sécurité. Lorsque certains événements relatifs à la sécurité du système se produisent, comme le franchissement d’un seuil de sécurité par une variable caractéristique de la partie opérative, des actions sont mises en œuvre de façon à reconfigurer la partie opérative et à ramener les grandeurs caractéristiques de celle-ci dans les limites permises.
Les systèmes mécatroniques sont, par leur nature même, des systèmes hybrides dont la partie continue est constituée par la mécanique et l’hydraulique, et la partie discrète est représentée en partie par la commande numérique et les défaillances.

Système d’antiblocage des roues (ABS)

Le freinage a connu ces dernières années d’importantes évolutions. La plus spectaculaire concerne sans aucun doute l’antiblocage des roues : l’ABS (Anti-lock Braking System), un système qui a fait son apparition en 1952 sur les avions puis, dès 1978, sur les voitures.
L’ABS est désormais devenu incontournable sur la quasi-totalité des véhicules produits, au grand bénéfice de la sécurité active2 [Kassaagi 01].
Le fonctionnement de l’ABS repose sur un calculateur électronique qui analyse en permanence la vitesse du véhicule et sa variation, ainsi que celle des quatre roues (capteurs embarqués). Lorsqu’il détecte un blocage d’une ou plusieurs roues (glissement de 100%), le système réagit en ordonnant au système de freinage de diminuer son action sur la ou les roues désignées. Cette action est rendue possible par l’utilisation d’électrovalves (ou électrovannes du bloc hydraulique). Une pompe électrique remet de la pression dès que la roue a repris sa vitesse (cette opération peut s’effectuer jusqu’à 12 fois par seconde). Grâce à un temps de réaction très court, le système peut maintenir chaque roue à la limite du blocage, permettant ainsi une décélération optimale (glissement autour de 15%) et empêchant le dérapage du véhicule. En général, le déclenchement de l’ABS est accompagné de vibrations dans la pédale de frein dues au relâchement et à la mise en pression successifs dans le circuit de freinage.
Lors d’un freinage d’urgence, ce système évite donc aux roues du véhicule de se bloquer, de sorte que celui ci « roule » et « ne glisse pas ». Il reste ainsi dirigeable par le conducteur, lui permettant de réaliser un évitement par déport latéral tout en bénéficiant d’une décélération maximale. Lors d’un freinage sur une surface sèche ou mouillée, la distance d’arrêt avec un ABS est légèrement inférieure à celle qu’on aurait obtenu avec les freins conventionnels. En revanche, le freinage avec ABS sur une surface meuble (gravier, neige,…) a pour effet de rallonger relativement les distances d’arrêt : les pneus tournent, demeurent sur le dessus de la surface et, par conséquent, « flottent » sur celle-ci (avec un train conventionnel, le pneu s’enfonce dans le sol, créant un effet « chasse-neige » qui accentue le ralentissement).

L’aspect dynamique hybride des systèmes mécatroniques

Un système dynamique hybride est un système dont la description nécessite l’utilisation de variables continues et de variables discrètes, ainsi que la prise en compte d’une dynamique continue (variables continues apparaissant sous forme dérivée) et d’une dynamique discrète (changements d’états dus à l’occurrence d’événements), ce qui rend la modélisation hybride indispensable.
Un ouvrage [Zaytoon 01], très intéressant, recense un grand nombre de travaux sur les systèmes dynamiques hybrides et en donne quelques applications sur des systèmes industriels. Plusieurs modèles dits « hybrides » y sont présentés. Ces modèles peuvent être classés selon deux approches : celle qui intègre, au sein d’un même formalisme, les aspects continus etdiscrets, dite approche intégrée ; et celle qui sépare ces deux aspects en faisant coopérer deux modèles différents. Cette dernière est appelée l’approche séparée. L’approche intégrée englobe tous les modèles issus de l’extension de modèles existants. Nous distinguons ceux issus de l’extension de modèles continus comme les Bond Graph à commutations [Buisson 93] et ceux issus de l’extension de modèles à événements discrets comme les réseaux de Petri hybrides [David 89]. Quant à l’approche séparée, elle regroupe les modèles à base d’Automates hybrides, de Statecharts hybrides, de réseaux de Petri Mixtes ou de réseaux de Petri Prédicats-Transitions-Différentielles (RdP PTD). Dans le chapitre suivant, nous reprendrons une présentation détaillée des principales approches de modélisation de l’aspect hybride basées sur les réseaux de Petri, à savoir les RdP hybrides, les RdP Mixtes et les RdP PTD.
Les systèmes dynamiques hybrides sont caractérisés par une interaction entre des processus continus et des processus discrets [Zaytoon 01], ce qui rend la modélisation hybride indispensable. Les systèmes mécatroniques sont un exemple de systèmes dynamiques hybrides. En effet, la partie opérative est un processus continu puisque c’est un système énergétique. Le système de commande et de reconfiguration, quant à lui, est un processus discret. Les défaillances peuvent également être vues comme un processus discret si on ne s’attache qu’à leur date d’apparition.

Table des matières

Introduction générale
Objectif de la thèse et contribution
Plan du manuscrit
Chapitre 1. Sûreté de Fonctionnement des systèmes mécatroniques : concepts, méthodes et limites
I Introduction
II La Sûreté de Fonctionnement
II.A Quelques notions
II.B Quelques méthodes
III Les systèmes mécatroniques
III.A Définition
III.B Exemples de systèmes mécatroniques
III.C L’aspect dynamique hybride des systèmes mécatroniques
IV La Sûreté de Fonctionnement des systèmes mécatroniques
IV.A Limites des méthodes classiques
IV.B La fiabilité des systèmes dynamiques hybrides
IV.C Les méthodes de modélisation
IV.D Les méthodes d’analyse
V Un tour d’horizon
V.A Travaux de J. L. Chabot
V.B Méthode des graphes de flux dynamiques
V.C Travaux de G. Moncelet
VI Synthèse
Chapitre 2.Modélisation hybride et logique
I Introduction
II Aspect hybride
II.A  Approches de modélisation de l’aspect hybride avec les RdP
II.B Les RdP associés à des équations différentielles
II.C Les réseaux de Petri Predicats-Transitions Différentiels et Stochastiques (RdP PTDS)
II.D Discussion sur le modèle hybride
III Aspect logique et accessibilité
III.A Introduction
III.B Logique Linéaire
III.C Traduction des réseaux de Petri en logique Linéaire
III.D Construction de l’arbre de preuve canonique
III.E Graphe de précédence
III.F Séquent caractéristique d’un seul ordre partiel
III.G Exemple avec conflit
III.H Apport de la logique Linéaire
Chapitre 3. Extraction des scénarios redoutés à partir d’un modèle RdP
I Introduction
II Scénarios redoutés
II.A Définition
II.B Formalisation en RdP et en logique Linéaire
III Accessibilité entre deux marquages : deux approches duales
III.A Accessibilité avant
III.B Accessibilité arrière
IV Raisonnement dans un contexte inconnu
IV.A Raisonnement avant
IV.B Raisonnement arrière
V Méthode de recherche de scénarios redoutés
V.A Principe
V.B Les différentes étapes
V.C Exemple d’application de la méthode
V.D La recherche des scénarios est un processus itératif
VI Algorithme pour la recherche de scénarios
VI.A Enrichissement du marquage
VI.B Structures de données
VI.C Quelques procédures
VI.D Algorithme
VI.E Application sur un cas d’étude
VII Conclusion
Chapitre 4 : Application
I Introduction
II Le conjoncteur disjoncteur électromécanique
II.A Présentation du système
II.B Modélisation du conjoncteur-disjoncteur
II.C Application de la méthode de recherche de scénarios
III Le système de régulation des réservoirs
III.A Présentation
III.B Modélisation
III.C Application de la méthode de recherche de scénarios
IV Conclusion
Conclusion générale
Bibliographie
Annexe A1. Conflit de jetons et de transitions : duplication de l’arbre de preuve
Annexe A2. Organigramme ½
Annexe A2. Organigramme 2/2

Télécharger le rapport complet