Contribution à la surveillance distribuée des systèmes à événements discrets complexes

La surveillance n’améliore pas seulement les performances et la productivité d’un système complexe mais aussi protége les vies et les biens. Pour ces raisons, des approches de surveillance ont été largement étudiées dans la littérature. La plupart des approches de surveillance dans la littérature ont été développées pour des systèmes où l’information utilisée par la surveillance est centralisée ou hiérarchique. Or, la majorité des systèmes complexes (réseaux de communication, systèmes manufacturiers, systèmes de puissance, etc.) sont informationnellement distribués. Récemment, l’attention s’est portée sur la distribution de la commande et de la surveillance de systèmes de natures diverses. Dans un contexte économique devenu austère, la distribution tend à doter la commande et la surveillance de caractéristiques leur permettant de palier aux carences existant au niveaux des architectures conventionnelles (centralisée, hiérarchique…). La conséquence la plus visible est une amélioration de la disponibilité et de la fiabilité du système de commande-surveillance, d’où une augmentation des performances et des gains de l’entreprise. Plus particulièrement, la détection, comme étant une fonction de la surveillance ayant pour rôle de détecter toute violation des spécifications de bon fonctionnement du système surveillé, doit être distribuée sur plusieurs sous systèmes de détection communicants et coopérants. Cette fonction, comme toutes les fonctions de surveillance, a besoin d’informations concernant l’état du procédé. Cette information provient des capteurs renvoyant des événements relatifs au déroulement des opérations réalisées. L’intégration d’un modèle du procédé dont l’état est en permanence remis à jour par les évolutions provoquées par la commande et les signaux émis par les capteurs est nécessaire pour vérifier les contraintes structurelles régissant le fonctionnement du procédé. Les contraintes temporelles peuvent, quant à elles, être exprimées à l’aide d’un modèle temporel distribué tout en respectant la structure distribuée de la détection.

La distribution nécessite la résolution de problèmes jusque là non traités. La décomposition du système physique en sous-systèmes doit être spécifiée, les délais de communication et les délais opératoires doivent être pris en compte dans les mécanismes de détection et enfin, une modélisation de tous les mécanismes proposés doit être faite avec un outil adéquat.

Cadre de l’étude 

Durant les trente dernières années, plusieurs types d’architectures de commande-surveillance ont été adoptées pour supporter des systèmes de natures diverses (de production automatique, informatiques, médicaux…). La surveillance, composée de plusieurs fonctions (détection, diagnostic pronostic, décision, reprise, etc.) a été généralement implantée sur la base d’une architecture centralisée ou hiérarchique. L’architecture distribuée permet de résoudre les problèmes associés à ces architectures conventionnelles. De nouvelles architectures pour la conception de systèmes complexes comme les architectures holarchiques, bioniques, fractales se basent sur une structure distribuée. Une architecture distribuée de surveillance est une architecture qui repose sur un ensemble d’entités autonomes et coopérantes.

Concepts de base et définitions

Nous présentons ici quelques définitions prises de (Combacau et al., 2000) et de (Patton et al 1999). Il existe dans la littérature de nombreuses autres définitions des termes présentés par la suite. Celles que nous considérons sont issues d’un travail de réflexion mené dans le cadre du Groupement de Recherche en Productique, auquel participent la plupart des équipes de recherche françaises travaillant dans les domaines de la supervision, surveillance, commande.

• Commande : elle déclenche l’exécution d’un ensemble d’opérations en donnant des ordres aux actionneurs. Il peut s’agir :

o d’un ensemble d’opérations correspondant à une séquence d’opérations pour la réalisation d’un produit ou d’un service.
o d’un ensemble d’opérations exécutées afin de restaurer la fonctionnalité du procédé offerte durant l’exécution normale.
o d’actions avec un degré élevé de priorité engagées afin de protéger les opérateurs humains et prévenir les évolutions catastrophiques.
o d’opérations de test, de réglage ou de maintenance exécutées afin de garder le procédé dans son état opérationnel.

La définition de la commande inclut toutes les fonctions agissant sur le procédé comme nous le verrons au § I.3.

• Surveillance : elle collecte les données du procédé et du système de commande. Elle détermine l’état actuel du système contrôlé et produit les inférences nécessaires à la production de données additionnelles (historique, détection, diagnostic, etc.). La surveillance est limitée au traitement des données et ne possède pas d’actions directes sur les modèles ou sur le procédé.
• Supervision : elle calcule et met à jour les paramètres de la séquence de commande à exécuter en prenant compte de l’état du système de commande et de l’état du procédé. Elle inclut les opérations normales et anormales (inattendues).
o Durant une opération normale, la supervision prend des décisions pour lever l’indécision dans le système de commande (ordonnancement temps-réel, optimisation, mise à jour de la commande, et remplacement d’une loi de commande par une autre).
o Quand un symptôme de défaillance est identifié, la supervision prend toutes les décisions nécessaires pour permettre au système de reprendre son fonctionnement normal (ré-ordonnancement, actions de recouvrement, procédures d’urgence, etc.).

Quelques termes supplémentaires que nous serons amenés à utiliser par la suite doivent être définis. Certains d’entre eux peuvent être trouvés dans (Laprie 1992).

• Faute : action, volontaire ou pas, ne prenant pas en compte toutes les spécifications.
• Défaut : différence entre la valeur actuelle et nominale d’un paramètre.
• Erreur : une partie du modèle ne correspondant pas aux spécifications du système physique et/ou logique. Une erreur est la conséquence d’une faute.
• Erreur latente : une erreur est qualifiée de latente aussi longtemps que la partie erronée du modèle n’a pas été utilisée. Après utilisation de la partie erronée du modèle, l’erreur devient effective.
• Défaillance : un événement caractérisant une situation dans laquelle une opération n’est pas exécutée par une ressource parce que son état ne correspond pas aux spécifications nominales.
• Etat d’échec : un état d’une ressource à partir duquel le système ne peut pas fournir le service spécifié. Cet état est une conséquence d’une défaillance.
• Symptôme : un événement ou des données à partir desquels le système de détection identifie une opération anormale du procédé. Le symptôme est la seule information connue par le système de surveillance au stade de la détection.
• Disponibilité : c’est l’aptitude d’une entité à être en état d’accomplir une fonction requise, dans des conditions données, à un instant donné, en supposant que la fourniture des moyens extérieures nécessaires est assurée.
• Sécurité : c’est l’aptitude d’une entité à éviter de faire apparaître, dans des conditions données, des événements critiques ou catastrophiques. Ces événements peuvent être critiques pour l’opérateur, le système ou son environnement.
• Fiabilité : c’est l’aptitude d’une entité à accomplir une fonction requise, dans des conditions données, pendant un intervalle de temps donné. La fiabilité traduit une notion de continuité de fonctionnement.

Grâce à ce qui a été défini précédemment, nous pouvons maintenant présenter les différentes fonctions de supervision-surveillance.

Les fonctions de supervision-surveillance 

Dans ce paragraphe, nous définissons les fonctions élémentaires du système de supervision et de surveillance. Les lettres M, S ou C indiquent à quel système précédemment étudié (surveillance (M), Supervision (S), Commande (C)) est rattachée la fonction (Combacau et al 2000).

• Détection (M) : elle détermine la normalité ou l’anormalité du système en fonctionnement. Deux classes d’opérations anormales sont considérées :
o la première inclut les situations dans lesquelles les contraintes opérationnelles du procédé sont violées (par exemple les situations de collisions),
o la deuxième regroupe les situations dans lesquelles la loi de commande n’est pas respectée (par exemple, les situations de retards dus à des délais de fabrication trop long).
• Suivi (M) : il maintient un historique des traitements exécutés et une trace des événements observés par le système de commande-supervision.
• Diagnostic (M) : il cherche une causalité liant le symptôme, la défaillance et son origine. Classiquement, trois sous-fonctions sont distinguées :
o localisation : détermine le sous-système responsable de la défaillance,
o identification : identifie les causes de la défaillance,
o explication : justifie les conclusions.
• Pronostic (M) : le but de la fonction pronostic est de déterminer les conséquences d’une défaillance sur le fonctionnement futur du système. Deux types de pronostic peuvent être distingués (Boufaied et Combacau 2001). Le premier, appelé pronostic préliminaire, cherche les conséquences inévitables d’une défaillance (identification de l’ensemble des tâches qui ne peuvent plus être exécutées en respectant l’ordonnancement). Le deuxième, appelé pronostic préventif, est centré sur l’erreur latente et sur la propagation de défaillance (la répétition de la même défaillance). Ce type de pronostic est utilisé afin d’éviter de l’exécution d’activités menant à la détection du même symptôme.
o Pronostic préliminaire :
à ce stade du traitement correctif, seules la défaillances et ses causes sont connues. Afin de prévoir les effets de la faute, trois types d’information sont prises en compte :
➤ l’ordonnancement des tâches à exécuter sur la ressource défectueuse,
➤ l’analyse hors ligne des conséquences de la défaillance (AMDE pour l’Analyse des Modes de Défaillance et de leurs Effets) (Villemur 1998),
➤ les données statistiques concernant l’état d’échec de la ressource (MTTR pour Mean Time To Repair).
o Pronostic préventif : seules les défaillances dont les effets ne sont pas immédiatement détectés sont considérées dans ce cas. En effet, une propagation d’erreur peut avoir lieu suivant le routage d’un produit défectueux. Le pronostic préventif détermine s’il y a d’autres produits qui sont affectés par le même défaut qui induirait le même symptôme dans le futur.
• Décision (S) : elle détermine l’état qui doit être atteint afin de continuer l’opération normale, ensuite elle détermine la séquence d’actions correctives à réaliser pour atteindre cet état.
• Recouvrement (C, S) : c’est une fonction intervenant après l’occurrence d’une panne (détectée et diagnostiquée). Il détermine un nouvel état du système, nécessitant un ensemble ordonné d’actions correctives, qui vont modifier le comportement du procédé et de la commande, afin d’assurer la sécurité et la disponibilité du système (Berruet et al 1998a). Trois types d’action peuvent être distinguées :
o l’arrêt complet du système et réparation de la ressource en panne,
o la marche dégradée de la ressource affectée par la défaillance,
o la reconfiguration du système.
• Reconfiguration (C, S) : elle agit sur le procédé pour changer l’état de la ressource ou de l’équipement et sur le système de commande en changeant les lois de la commande, la gamme d’une pièce, etc. (Berruet et al 1998b). Trois classes de reconfiguration peuvent être définies :
o Mineure, seules les lois de commande sont adaptées,
o Significative, d’autres ressources sont réallouées,
o Majeure, les ressources réallouées ont besoin d’être préparées pour exécuter la reconfiguration.

Table des matières

Introduction
I. Cadre de l’étude
I.1. Introduction
I.2. Concepts de base et définitions
I.3. Les fonctions de supervision-surveillance
I.4. La fonction détection
I.4.1. L’approche modèle du procédé
I.4.2. L’approche signature de défaillance
I.4.3. Outils statistiques pour la détection
I.5. L’évolution des architectures de commande-surveillance
I.6. Les architectures hétérarchiques ou distribuées
I.6.1. Caractérisation de systèmes distribués à base d’entités
I.6.2. Exemple d’un système distribué sur la base d’entités
I.6.3. La tolérance aux fautes dans un système distribué à base d’entités
I.6.4. Les protocoles d’interaction dans un système distribué à base d’entités
I.6.5. Les nouvelles architectures distribuées
I.6.6. L’architecture basée agent
I.7. Conclusion
II. Distribution du système de surveillance-commande : prise en compe des aspects temporels dans les systèmes à événements discrets
II.1. Introduction
II.2. La distribution du système de surveillance-commande
II.2.1. Les systèmes de commande distribués
II.2.1.1. Commande distribuée par réseaux de Petri contrôlé
II.2.1.2. Commande distribuée par automates à états finis
II.2.1.3. Prise en compte des délais de communication dans les systèmes de commande distribués
II.2.2. Les systèmes de surveillance distribués
II.2.2.1. Les approches de la surveillance distribuée
II.2.2.1.1. Architecture de surveillance décentralisée proposée par l’Université du Michigan
II.2.2.1.2. Architecture de surveillance décentralisée proposée par l’Université de Toronto
II.2.2.2. Surveillance distribuée à base de modèle
II.2.2.2.1. Surveillance distribuée à base de modèle de comportement
II.2.2.2.2. Surveillance distribuée à base de modèle temporel
II.2.2.2.2.1. Automate temporel
II.2.2.2.2.2. Automate temporisé
II.2.2.2.2.3. Treillis temporel
II.2.2.3. Spécification de contraintes temporelles
II.2.2.3.1. Détermination des contraintes temporelles
II.2.2.3.2. Expression des contraintes temporelles
II.2.2.4. Vérification de contraintes temporelles
II.2.2.4.1. Prévision des dates d’occurrence des événements
II.2.4.2.2 Modèle pour la surveillance de procédé à instance-unique
II.2.2.4.3. Modèle pour la surveillance de procédé à instance-multiple
II.2.2.5. Détection au plus tôt de la violation de contraintes temporelles
II.3. Problèmes liés à la distribution du système de surveillance-commande
II.3.1. Synchronisation d’horloge
II.3.2. Prise en compte des délais de communication
II.3.3. Rétablissement de l’ordre global des messages échangés
II.3.4. Minimisation du coût de communication et de calcul
II.4. Les chroniques
II.5. Conclusion
III. La fonction détection distribuée : prise en compte des délais
III.1. Introduction
III.2. Définitions
III.3. Décomposition de l’architecture de surveillance
III.3.1. Contraintes locales, contraintes globales
III.3.2. Notion de sous-chronique et de reconnaissance de chronique
III.3.3. Distribution des contraintes temporelles
III.3.4. Le protocole de communication entre superviseurs
III.3.5. Notion de délai
III.3.5.1. Délai de communication
III.3.5.2. Délai opératoire
III.4. Reconnaissance d’une sous-chronique avec prise en compte des délais
III.4.1. Prise en compte du délai de communication dans la vérification des contraintes
III.4.1.1. Cas de contrainte de type intervalle
III.4.1.2. Cas de contrainte de précédence
III.4.1.3. Cas de contrainte de type fenêtre d’admissibilité
III.4.2. Prise en compte du délai opératoire dans la vérification des contraintes
III.4.3. Prise en compte des délais, cas général
III.4.4. Exemples d’application
III.4.4.1. Délai de communication entre superviseurs
III.4.4.2. Délai opératoire ou de transport
III.4.5. Interprétation de la notion de flou
III.4.6. Coopération entre superviseurs
III.4.6.1. Cas d’un délai opératoire
III.4.6.2. Cas d’un délai de communication
III.5. Date d’occurrence imprécise
III.6. Conclusion
Conclusion

Lire le rapport complet