Soutenance mémoire
La Sûreté de Fonctionnement des systèmes mécatroniques
Limites des méthodes classiques
Les méthodes classiques de sûreté de fonctionnement, comme celles que nous avons vues en section I, sont basées sur une représentation logique du système étudié. Basées sur la logique booléenne, ces approches sont dites statiques. En effet, ces méthodes sont bien adaptées à l’étude des systèmes dits à configuration statique, c’est-à-dire des systèmes dont les relations fonctionnelles entre leurs composants restent figées tout au long de leur mission. Dans le cadre de nos travaux, la prise en compte des mécanismes de reconfiguration dans les systèmes mécatroniques est essentielle. Les méthodes classiques de sûreté de fonctionnement ne prennent pas en compte cet aspect, comme nous l’expliquerons dans le paragraphe suivant. Considérons par exemple la méthode des Arbres de Défaillance. Elle ne permet pas de différencier les scénarios comportant des ordres d’apparition d’événements différents. En effet, une séquence d’événements peut conduire à un événement redouté alors que les mêmes événements se produisant dans un ordre différent ou à des dates différentes n’y conduisent pas. De plus, le temps séparant deux événements n’est pas explicitement pris en compte dans la construction du scénario, nous ne peut donc pas représenter les reconfigurations. Enfin, il n’est pas possible de prendre en compte les défaillances temporaires. Un exemple simple et connu [Moncelet 98], permettant d’illustrer ces limites, est celui du système à deux composants en redondance passive. Ces deux composants (a et b) peuvent tomber en panne en service (défaillances notées respectivement defa et defb) et subir des réparations (notées respectivement repa et repb). La commutation d’un composant à un autre est supposée immédiate et fiable. L’événement redouté du système est l’absence de service. Le composant a étant le composant principal, les séquences suivantes ont des conséquences différentes : s1 = [defa, defb, repa] et s2 = [defa, repa, defb]. En effet, la première séquence conduit à l’événement redouté puisque les deux composants sont simultanément défaillants pendant un certain temps, tandis que le système continue à délivrer un service pendant et après la séquence s2.
Cet exemple correspond exactement au cas des systèmes avec reconfiguration. Si une deuxième défaillance arrive avant la fin de la reconfiguration il y a occurrence d’un événement redouté, dans le cas contraire tout se passe bien (comme cela a été prévu).
Plusieurs extensions des méthodes classiques ont été proposées afin d’élargir leur champs d’application pour prendre en compte le problème que nous venons de mentionner. Citons à titre d’exemple les Arbres de Défaillance avec les portes « A avant B ». Ces méthodes restent tout de même fortement combinatoires et incapables de prendre en compte les changements d’états et les reconfigurations dans les scénarios redoutés. Dans ce but, d’autres méthodes ont été introduites, comme les Diagrammes de Séquence d’Evènements (Event Sequence Diagrams, noté ESD) [Labeau 02a], afin de permettre une meilleure représentation visuelle des scénarios dynamiques. Ils apportent une aide à l’identification et à la construction d’événements ordonnés dans le temps. Des phénomènes tels que les compétitions, les conditions, les synchronisations peuvent être représentés grâce à ce formalisme. Bien que les ESD représentent de manière claire les scénarios en compétition, ils ne peuvent pas être générés automatiquement et nécessitent de la part de l’analyste une définition des états et des transitions. Le concepteur doit donc énumérer tous les états de commande et de reconfiguration. Or, dans le cas des systèmes mécatroniques qui sont des systèmes dynamiques hybrides, cela veut dire que le nombre d’états du système est infini si on prend en compte la partie énergétique.
La fiabilité des systèmes dynamiques hybrides
Cette section a pour but de présenter la problématique de la fiabilité des systèmes mécatroniques vus comme une classe particulière des systèmes dynamiques hybrides. Quelques exemples illustreront les notions importantes relatives à ce type de système, à savoir l’intime dépendance entre les processus de défaillance et de reconfiguration et le processus continu. La fiabilité des systèmes dynamiques hybrides est une discipline relativement récente (une dizaine d’années) de la sûreté de fonctionnement. Elle est également connue sous le nom de « fiabilité dynamique» ou encore « Probabilistic Dynamics » [Devooght 92a et b] [Labeau 02a]. [Labeau 02a] définit cette discipline comme « la partie de la sûreté de fonctionnement qui étudie de manière intégrée le comportement des systèmes industriels complexes affectés par une évolution dynamique continue sous-jacente ». Comme pour les systèmes mécatroniques, le fonctionnement de tels systèmes est régi par deux phénomènes : la variation continue et déterministe des paramètres énergétiques, mais aussi par les sollicitations et défaillances des composants du système, de nature discrète et/ou stochastique. Ces deux phénomènes sont en interaction et leur interaction influence les paramètres de sûreté de fonctionnement tels que la fiabilité ou la sécurité. Les méthodes classiques de sûreté de fonctionnement, y compris les méthodes fondées sur les graphes de Markov sont incapables de prendre en compte de manière satisfaisante la dynamique des variables continues correspondant aux paramètres énergétiques [Dufour 02]. Illustrons au travers de quelques exemples les interactions entre les phénomènes continus et les phénomènes discrets et/ou stochastiques et leur influence sur la fiabilité ou la sécurité. Considérons un composant électronique dont le taux de défaillance peut être affecté par sa température. Le fonctionnement de ce composant est caractérisé par trois plages de température. En dessous du seuil T1 = 180°, le taux de défaillance de ce composant est λ1 . Quand sa température dépasse ce seuil mais reste inférieure à T2 = 250°, son taux de défaillance devient égal à λ2 ( λ2 > λ1 ). Au delà du seuil T2, le composant cesse de fonctionner. On voudrait calculer la fiabilité de ce composant dans un environnement où la température est variable. Il est indispensable de relier cette évolution de la température avec les différents états du composant pour évaluer sa fiabilité. Cet exemple illustre l’influence des paramètres continus sur les paramètres stochastiques des défaillances. Pour souligner l’influence des défaillances sur les phénomènes continus, imaginons que ce composant serve à commander un ventilateur qui a pour mission de ralentir la croissance de la température ambiante. La défaillance de ce composant empêcherait le ventilateur de fonctionner, ce qui contribuerait à accélérer la croissance de la température ambiante.
Considérons l’exemple de la figure 1.3. Celui-ci a été traité dans [Dufour 02] et dans [Plabeau 02a]. Il s’agit d’un système (réservoir), décrit par une variable continue x (la pression), au sein duquel a lieu un transitoire caractérisé par la croissance rapide de x dans une configuration i = 1. Un endommagement de l’installation se produit si x excède la valeur L. Si le seuil l correspondant à une valeur d’alerte est atteint, un dispositif de protection est sollicité, avec des probabilités p0 de succès (entrée du système dans l’état i = 2) et de p1 de fonctionnement partiel (p0 + p1 = 1), correspondant à une atténuation moins forte du transitoire (i = 3). Supposons en outre que le transitoire puisse devenir plus sévère, avant d’atteindre le seuil l, par la défaillance supplémentaire d’un autre composant. Après cette défaillance, qu’on suppose pouvoir se produire uniquement pour des valeurs de x croissantes, le système se trouve dans une configuration i = 4. Dans ce cas, le dispositif de protection peut encore couper la montée de x s’il fonctionne parfaitement (configuration i = 5), mais son mode de fonctionnement partiel (i = 6) n’est plus suffisant pour permettre d’empêcher la panne du système. Cependant, celle-ci se produit plus tard que dans les configurations i = 1 et i = 4, ce délai laissant une possibilité supplémentaire d’intervention sur le système.
Les méthodes de modélisation
Nous avons soulevé, dans le paragraphe précédent, les limites des méthodes classiques de sûreté de fonctionnement. Nous avons également souligné la nécessité d’utiliser des méthodes plus adaptées à la modélisation et à l’analyse des systèmes dynamiques hybrides tels les modèles états transitions. Ces modèles englobent les graphes d’états (graphes de Markov et automates) et les approches basées sur le formalisme des réseaux de Petri. Nous présentons ici un ensemble de méthodes de modélisation que nous avons classées selon deux points de vue : les méthodes qui permettent de décrire les aspects dysfonctionnels (les défaillances et les réparations) et le comportement du système en présence de dysfonctionnements, et les méthodes qui permettent la description comportementale des systèmes dynamiques hybrides. La séparation entre ces deux aspects (le comportemental et le dysfonctionnel) est, selon nous, le plus grand handicap qui se dresse contre l’efficacité des méthodes SdF classiques concernant les problèmes relevant de la fiabilité dynamique. En effet, ces deux aspects doivent être intégrés au sein d’un même modèle de fiabilité respectant leur interaction mutuelle.
Modélisation de l’aspect dysfonctionnel
Graphes de Markov
Cette méthode est destinée à analyser et évaluer la sûreté de fonctionnement des systèmes réparables. La première étape de construction d’un graphe de Markov consiste à identifier les différents états (défaillants ou non défaillants) que le système peut occuper. L’étape suivante consiste à chercher comment le système passe d’un état à un autre. A chaque transition, de l’état Ei vers l’état Ej, est associé un taux de transition Lij défini de telle sorte que Lij.dt est égal à la probabilité de passer de Ei vers Ej entre deux instants très proches t et t + dt sachant que l’on est en Ei à l’instant t.
|
Table des matières
Introduction générale
Objectif de la thèse et contribution
Plan du manuscrit
Chapitre 1. Sûreté de Fonctionnement des systèmes mécatroniques : concepts, méthodes et limites
I Introduction
II La Sûreté de Fonctionnement
II.A Quelques notions
II.B Quelques méthodes
III Les systèmes mécatroniques
III.A Définition
III.B Exemples de systèmes mécatroniques
III.C L’aspect dynamique hybride des systèmes mécatroniques
IV La Sûreté de Fonctionnement des systèmes mécatroniques
IV.A Limites des méthodes classiques
IV.B La fiabilité des systèmes dynamiques hybrides
IV.C Les méthodes de modélisation
IV.D Les méthodes d’analyse
V Un tour d’horizon
V.A Travaux de J. L. Chabot
V.B Méthode des graphes de flux dynamiques
V.C Travaux de G. Moncelet
VI Synthèse
Chapitre 2. Modélisation hybride et logique
I Introduction
II Aspect hybride
II.A Approches de modélisation de l’aspect hybride avec les RdP
II.B Les RdP associés à des équations différentielles
II.C Les réseaux de Petri Predicats-Transitions Différentiels et Stochastiques (RdP PTDS)
II.D Discussion sur le modèle hybride
III Aspect logique et accessibilité
III.A Introduction
III.B Logique Linéaire
III.C Traduction des réseaux de Petri en logique Linéaire 58
III.D Construction de l’arbre de preuve canonique
III.E Graphe de précédence
III.F Séquent caractéristique d’un seul ordre partiel
III.G Exemple avec conflit
III.H Apport de la logique Linéaire
Chapitre 3. Extraction des scénarios redoutés à partir d’un modèle RdP
I Introduction
II Scénarios redoutés
II.A Définition
II.B Formalisation en RdP et en logique Linéaire
III Accessibilité entre deux marquages : deux approches duales
III.A Accessibilité avant
III.B Accessibilité arrière
IV Raisonnement dans un contexte inconnu
IV.A Raisonnement avant
IV.B Raisonnement arrière
V Méthode de recherche de scénarios redoutés
V.A Principe
V.B Les différentes étapes
V.C Exemple d’application de la méthode
V.D La recherche des scénarios est un processus itératif
VI Algorithme pour la recherche de scénarios
VI.A Enrichissement du marquage
VI.B Structures de données
VI.C Quelques procédures
VI.D Algorithme
VI.E Application sur un cas d’étude
VII Conclusion
Chapitre 4 : Application
I Introduction
II Le conjoncteur disjoncteur électromécanique
II.A Présentation du système
II.B Modélisation du conjoncteur-disjoncteur
II.C Application de la méthode de recherche de scénarios
III Le système de régulation des réservoirs
III.A Présentation
III.B Modélisation
III.C Application de la méthode de recherche de scénarios
IV Conclusion
Conclusion générale
