Brevet FR2910986A1 — publié le 20080704

MÉTHODE DE PRÉDICTION DE LA FIABILITÉ OPÉRATIONNELLE D'UN SYSTÈME AVIONIQUE DESCRIPTION 5 DOMAINE TECHNIQUE La présente invention concerne le domaine de la fiabilité opérationnelle et de la maintenance d'un aéronef. ÉTAT DE LA TECHNIQUE ANTÉRIEURE 10 La fiabilité opérationnelle est un des critères essentiels à prendre en compte lors de la phase de conception d'un avion. Elle caractérise la disponibilité de celui-ci lors de sa phase d'exploitation. La fiabilité opérationnelle de l'avion 15 est fonction de la fréquence de ses interruptions d'exploitation encore dénommées interruptions opérationnelles , causées par des pannes ou des opérations de maintenance suite à ces pannes. Parmi les interruptions opérationnelles, on peut notamment citer 20 les retards au décollage supérieurs à une valeur de seuil prédéterminée, des annulations de vol, des déroutages voire des retours à l'aéroport de départ. Ces interruptions opérationnelles sont pénalisantes en termes de temps et de coût pour les compagnies 25 aériennes. Afin de réduire le taux d'interruption opérationnelle, le constructeur aéronautique peut utiliser des composants plus fiables ou augmenter leur redondance, accroître la fréquence des tâches de 30 maintenance préventive ou encore optimiser l'architecture des systèmes de l'avion. Toutefois, étant donné la complexité de ces systèmes et le nombre de composants qu'ils comportent, il est difficile de déterminer l'impact d'une caractéristique d'un composant ou d'une modification de l'architecture d'un système sur le taux d'interruption opérationnelle de l'avion. Il a été proposé dans l'article de J. Loman et W. Wang intitulé On reliability modeling and analysis of high reliable large systems RAMS Symposium 2002, pages 456-459 d'utiliser une simulation de type Monte- Carlo. Toutefois, pour obtenir le degré de précision souhaité (marge de précision entre 1e et 10-7) sur la probabilité d'interruption d'exploitation lors d'un vol donné la quantité de simulations à effectuer est beaucoup trop élevée. Une modélisation de l'évolution de l'avion par un processus de Markov a été proposée dans l'article de E. Hugues et al. intitulé Application of Markov processes to predict aircraft operational reliability , 3rd European Systems Engineering Conference (EUSEC), Toulouse, 21-24 Mai 2002, pages 231-235. Toutefois, le nombre d'états à envisager dépendant exponentiellement du nombre de composants du système, cette modélisation s'avère inutilisable en pratique même pour des systèmes modérément complexes. Par ailleurs, une analyse d'arbre de défaillance selon la théorie classique de la fiabilité ne permet pas de rendre compte de l'évolution d'un système dynamique. Plus précisément cette théorie permet de calculer la probabilité de panne d'un système en fonction de l'arbre de défaillance et des probabilités de panne de ses éléments constitutifs. Cette approche est purement statique. Il est connu, notamment de l'article de Z. Tang et al. intitulé Minimal cut set/sequence generation for dynamic fault tree d'utiliser des arbres de défaillance dynamiques pour décrire des systèmes évolutifs. Toutefois, en pratique il est impossible d'extraire les séquences de coupure minimales (minimal cut set) dans un temps raisonnable dès lors que le système est complexe, tel un avion par exemple. Le premier problème à la base de l'invention est de proposer une méthode de prédiction de la fiabilité opérationnelle et plus précisément du taux d'interruption opérationnelle d'un système avionique, en particulier d'un aéronef, avec une faible marge d'erreur et des ressources calculatoires limitées. On entend ici par système avionique tout système à bord d'un aéronef remplissant une fonction prédéterminée et constitué d'éléments électroniques, électriques, mécaniques, hydrauliques ou autres. Un problème subsidiaire de celui de la prédiction du taux d'interruption opérationnelle d'un système avionique est celui de l'estimation des probabilités de maintenance et de remplacement d'un tel système lorsqu'il tombe en panne. EXPOSÉ DE L'INVENTION La présente invention est définie par une méthode de prédiction de la fiabilité d'un système avionique embarqué sur un aéronef, constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol, caractérisée en ce qu'elle comprend : une étape d'initialisation des probabilités de bon fonctionnement ou de défaillance de chaque élément au début de ladite exploitation ; et une boucle itérative, chaque itération correspondant à un cycle d'exploitation et incluant : une première étape d'estimation, pour chaque élément, des bornes supérieure et inférieure de la probabilité conditionnelle de panne du système si ledit élément tombe en panne au cours dudit cycle, l'estimation étant réalisée à partir des coupes minimales de l'arbre de défaillance, des chemins minimaux de diagramme de fiabilité dudit système et des bornes supérieures et inférieures de probabilité de bon fonctionnement ou de défaillance des différents éléments au début dudit cycle ; une seconde étape d'estimation des bornes supérieure et inférieure des probabilités de panne dudit système à partir des bornes supérieures et inférieures estimées à la première étape pour lesdits différents éléments du système et des probabilités respectives des différents éléments du système de tomber en panne en cours de cycle ; une troisième étape d'estimation, pour chaque élément dudit système, des bornes supérieure et inférieure de la probabilité conditionnelle de panne du système au cours dudit cycle si ledit élément était défaillant au début du cycle, l'estimation étant réalisée à partir des coupes minimales de l'arbre de défaillance et des chemins minimaux de diagramme de fiabilité dudit système ; une quatrième étape d'estimation des bornes supérieures et inférieures de probabilité de bon fonctionnement ou de défaillance des différents éléments du système au début du cycle suivant, à partir des bornes supérieures et inférieures estimées par la première étape ainsi que des bornes supérieures et inférieures estimées par la troisième étape. A chaque cycle on prédit avantageusement la probabilité de panne dudit système comme la borne supérieure de probabilité de panne dudit système. L'invention concerne également une méthode de prédiction du taux d'interruption opérationnelle d'un système avionique embarqué sur un aéronef et constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol. Selon cette méthode de prédiction du taux d'interruption opérationnelle, la fiabilité dudit système est prédite comme précédemment et l'on estime, à chaque dite itération, des bornes supérieure et inférieure de probabilité d'interruption opérationnelle dudit système en absence de panne de ce dernier, l'estimation de la borne supérieure de probabilité d'interruption opérationnelle étant obtenue à partir des bornes inférieures respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément tombant en panne au cours de ce cycle, ainsi que des bornes supérieures respectives des probabilités que chaque élément fonctionne au début dudit cycle. L'invention concerne encore une méthode de prédiction du taux d'interruption opérationnelle d'un système avionique embarqué sur un aéronef et constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol. Selon cette méthode de prédiction du taux d'interruption opérationnelle, la fiabilité dudit système est prédite comme précédemment, et l'on estime, à chaque dite itération, des bornes supérieure et inférieure de probabilité d'interruption opérationnelle dudit système en cas de panne de ce dernier, l'estimation de la borne supérieure de probabilité d'interruption opérationnelle étant obtenue à partir des bornes supérieures respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément du système tombant en panne au cours du cycle, des bornes supérieures respectives des probabilités conditionnelles de panne du système pour chaque élément défaillant au début dudit cycle, des bornes supérieures respectives des probabilités de bon fonctionnement de chaque élément en début du cycle ainsi qu'une borne supérieure de probabilité de panne du système au cours du cycle, l'estimation de la borne inférieure de probabilité d'interruption opérationnelle étant obtenue à partir des bornes inférieures respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément du système tombant en panne au cours du cycle, des bornes inférieures respectives des probabilités conditionnelles de panne du système pour chaque élément défaillant au début dudit cycle, des bornes inférieures respectives des probabilités de bon fonctionnement de chaque élément en début du cycle, ainsi qu'une borne inférieure de probabilité de panne du système au cours du cycle. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture d'un mode de réalisation préférentiel de l'invention fait en référence aux figures jointes parmi lesquelles : La Fig. 1 représente une séquence de cycles d'exploitation d'un aéronef ; La Fig. 2A représente l'arbre de défaillance d'un exemple de système avionique ; La Fig. 2B représente l'arbre de bon fonctionnement du même système ; La Fig. 3 représente de manière schématique les différents états d'un système pendant un cycle d'exploitation ; La Fig. 4 représente le diagramme des événements pouvant affecter un élément d'un système pendant un cycle d'exploitation ; La Fig. 5 représente un organigramme de la méthode d'estimation de la probabilité de remplacement d'un système avionique, selon un mode de réalisation de l'invention. La Fig. 6 représente un organigramme de la méthode d'estimation du taux d'interruption opérationnelle d'un système avionique selon un mode de réalisation de l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L'exploitation d'un aéronef est constituée d'une séquence de cycles comme représenté schématiquement en Fig. 1. Chaque cycle comprend une phase de vol et une phase de stationnement au sol, cette dernière pouvant comprendre des actions de maintenance. Durant chacune de ces phases une panne peut intervenir. Nous considérerons dans la suite les pannes affectant un système avionique, l'aéronef pouvant lui-même être vu comme un système avionique particulier. De manière générale, chaque système avionique est constitué d'une pluralité d'éléments et remplit une fonction prédéterminée (par exemple fonction de positionnement pour le système inertiel). Si un élément x tombe en panne pendant un cycle T, il peut causer une perte totale TL (Total Loss) du système. On appelle perte totale d'un système une panne nécessitant un remplacement de ce système. Les relations entre les pannes des éléments et la perte totale du système sont décrites par un arbre de défaillance (fault tree). Cet arbre indique au moyen d'une logique combinatoire comment les pannes individuelles des éléments affectent le système avionique. Un exemple d'arbre de défailllance est donné en Fig. 2A pour un système avionique S constitué de 21 éléments A1,A2 ; B1,B2 ; C1,C2,C3 ; D1,D2,D3 ; El,••,E6 ; F, F2, F3 ; G1, G2, G3. Dans ce diagramme, les cercles représentent des évènements élémentaires, les rectangles des combinaisons d'évènements. Un rectangle incluant la référence d'un élément est l'évènement correspondant à une panne de cet élément. On appelle coupe (cut) une panne d'un ensemble éléments du système (cut set) entraînant la perte totale de celui-ci. On appelle coupe minimale (minimal cut) une coupe qui ne contient aucune autre coupe. On peut montrer que, l'évènement de perte totale correspond à: T Im TL =UCm m=1 où les C., m =1,..,M sont les coupes minimales de l'arbre de défaillance, c'est-à-dire : (1) Zm_ Cm = n EZ où EZ est l'évènement correspondant à l'élément i en panne. L'état du système peut être alternativement représenté par un arbre dual appelé diagramme de fiabilité (ou plus précisément arbre de bon fonctionnement). On a représenté en Fig. 2B l'arbre de bon fonctionnement correspondant à l'arbre de défaillance de la Fig. 2A. On remarque que le système S ne fonctionne que s'il existe au moins un chemin entre une entrée et la sortie du diagramme tel que tous les éléments de ce chemin ne soient pas défaillants. On appelle chemin minimal (minimal path) tout chemin ne contenant aucun autre chemin. On peut montrer que l'évènement de non perte totale correspond à : K TL = U Pk (2) k=1 où les Pk , k =1,..,K sont les chemins minimaux du diagramme de fiabilité, c'est-à-dire : %k Pk = nE~ où E. est l'évènement correspondant à J=J l'élément j en marche. Un élément qui tombe en panne ne cause pas nécessairement la panne du système auquel il appartient. Par exemple, si le système est redondant, il pourra exister un chemin minimal ne contenant pas cet élément. Dans ce cas, bien que le système continue à assurer sa fonction, sa fiabilité sera dégradée. Lorsqu'un système est dans ce mode, noté dans la suite DM (degraded mode), deux options sont possibles : - accepter le système en mode dégradé, au besoin en configurant l'élément défaillant lors d'une tâche de maintenance au sol ; - refuser le système en mode dégradé, auquel cas l'élément défaillant doit être remplacé. La Fig. 3 récapitule les différentes situations possibles à la fin d'un cycle T. En 310, on vérifie s'il existe un élément défaillant. Dans la négative on passe au cycle suivant en 340. Dans l'affirmative, on vérifie en 320 si une perte de la fonction est intervenue, c'est-à-dire si l'on a une perte totale du système S. Dans l'affirmative, on procède en 330 au remplacement ou à la réparation de tous les éléments défaillants du système. Dans la négative, on décide en 333 si un fonctionnement en mode dégradé est acceptable. Si c'est le cas, on procède en 335 aux opérations de maintenance éventuelles et l'on passe au cycle d'exploitation suivant en 340. L'événement correspondant à la décision de poursuivre en mode dégradé est noté ADM . En revanche, si le fonctionnement en mode dégradé n'est pas acceptable, on procède à la réparation ou à l'échange de l'élément défaillant (et seulement de celui-ci) avant de passer au cycle suivant. L'événement correspondant au refus de poursuivre en mode dégradé est noté RDM . On supposera dans la suite que les probabilités de panne affectant différents éléments d'un système sont indépendantes. On négligera en outre le cas où plusieurs éléments d'un système tombent en panne au cours d'un cycle donné. En pratique ces hypothèses sont vérifiées de sorte qu'elles n'induisent pas une perte de généralité. On a représenté en Fig. 4 un diagramme des évènements qui peuvent intervenir au cours d'un cycle T. On a noté sur la figure : xDT, l'événement correspondant à une bonne marche de l'élément x au début du cycle T ; xDT est l'évènement complémentaire ; xFT : l'événement correspondant à une panne de l'élément x pendant le cycle T ; xFT est l'évènement complémentaire ; TLT est l'événement correspondant à une perte totale du système pendant le cycle T ; TLT est l'événement complémentaire ; DMT est l'évènement correspondant à la décision du cycle T de poursuivre l'exploitation en mode dégradé, malgré la panne de x ; DMT est l'évènement correspondant à la décision inverse. Ces mêmes conventions de notation s'appliquent de la même façon au cycle suivant T +l. Une première idée à la base de l'invention est de fournir de manière itérative un encadrement des probabilités des événements TL (perte totale entraînant remplacement/ réparation de l'ensemble des éléments défaillants), ADM (fonctionnement en mode dégradé accepté, moyennant maintenance éventuelle), RDM (fonctionnement en mode dégradé refusé et donc remplacement/réparation de l'élément défaillant). Un avantage important de la présente invention est de proposer une formulation analytique des bornes d'encadrement, ce qui permet d'obtenir rapidement une prédiction de la fiabilité du système. Si une perte totale du système S intervient pendant un cycle T, cela implique qu'un élément de ce système est nécessairement tombé en panne pendant ce cycle, ce qui s'exprime par la partition: TLT = U (TLT n xFT n xDT ) (3) XE S Etant donné que l'on considère qu'un seul élément de S peut tomber en panne pendant un cycle T, les évènements {xFT}XEs sont disjoints, ce qui se traduit en termes de probabilités par : Pr{TLT 1= L Pr{TLT xFT n xDT }x Pr{xFT xDT }x Pr{xDT } ( 4 ) xE S où l'on note Pr{X Y} la probabilité conditionnelle de l'événement X par rapport à l'événement Y. On déduit du diagramme des événements de la Fig. 4 que l'événement ADMT peut se décomposer au moyen de la partition suivante : ADMT = U (ADMT n TLT n xFT n xDT ) (5) XE S ce qui se traduit en termes de probabilités par : Pr{ADMT } = ; Pr{ADMT xE sTLT n xFT n xDT }x (1- Pr{TLT xFT n xDT })x Pr{xFT xDT }x Pr{xDT } (6) 5 De la même façon, l'événement RDMT peut se décomposer au moyen de la partition suivante : RDMT = U RDMT n TLT n xFT n xDT ) (7) XE S ce qui se traduit en termes de probabilités par : Pr{RDMT } = E Pr{ADMT xEsTLT n xFT n xDT M1- Pr{TLT xFT n xDT }) x Pr{xFT xDT }x Pr{xDT } 10 (8) Le passage d'une itération à la suivante est obtenu en remarquant que, d'après le diagramme de la Fig. 4 . 15 xDT+I = (xDT n TLT) u ADMT n TLT n xFT n xDT ) et donc, en termes de probabilités : Pr{xDT+1 }= Pr{xDT }-Pr{TLT n (xDT )} + Pr{ADMT TLT n xFT n xDT l - Pr{TLT (9) xFT n xDT })x Pr{xFT xDT }x Pr{xDT } 20 (10) Si l'on considère maintenant une coupe minimale MC , 1 0 sinon (12) Bien entendu, dans les inégalités précédentes (11) et 10 (12), lorsque l'on indique qu'un terme de probabilité est inférieur ou égal à 0, cela signifie qu'il est effectivement égal à 0. Ces majorations font appel au fait que, pour tout couple x,y d'éléments distincts de S, on peut supposer 15 que, si l'on a P(yDTJ#0 : P(xDT yDT) P(xDT ) (13) Ceci traduit la constatation qu'un élément x a 20 moins de chance d'être en panne si un élément y l'est. En effet, ce dernier peut causer une perte totale du système auquel cas les éléments x et y seront tous deux remplacés/réparés au cours du cycle. Etant donné que Pr{xDT n yDT}= Pr xDT yDT XPr{yDT} l'inégalité (13) peut encore s'écrire Pr{xDT n yDT } si xEMP' ou yEMP' Pr'MPT xFT n xDT } et Pr{MPT nyFTnyDTnxDT} Par ailleurs, en utilisant le théorème d'Esary-Proschnan tel qu'exposé par exemple dans l'article des mêmes auteurs intitulé Coherent structures of nonidentical components , Technometrics 5, 1963, pages 191-209, à partir d'une décomposition de l'arbre de défaillance de S en coupes minimales et des propriétés (11),(12), on obtient les majorations, VxE S k Pr{TLT xFT n xDT } zEMC' z≠x 1û zy x Pr{xDT } Pr{yDT } De manière similaire, en utilisant ce même théorème, on peut obtenir les minorations suivantes à partir d'une décomposition de l'arbre dual de l'arbre 20 de défaillance de S en chemins minimaux et des propriétés (16), (17) , VxE S p Pr{TLT xFT n xDT }> fl 1- fl Pr{yDT } J=1 yEMP' xempi et (20) yDT }x Pr{yDT }x Pr{xDT } yDT }x r n Pr{zDT }jx Pr{yDT }, Pr{yFT ymp, s p Pr{TLTnxDT}> n L YES Î=1 Y≠x x,yéMPyDT }x Pr{xDT } (21) La probabilité de perte totale du système S pendant le cycle T peut être majorée, selon (4), par la borne supérieure : UB(TLT) = L UB(TLT xFT n xDT )x Pr{xFT xDT }x UB(xDT ) xE S (22) De même, la probabilité de perte totale du système S 15 peut être minorée par la borne inférieure : LB (TLT) = L LB (TLT xFT n xDT) x Pr{xFT xDT }x LB (xDT ) xE S (23) 20 La probabilité d'accepter un mode dégradé de fonctionnement au terme du cycle T est majorée, selon (6), par la borne supérieure UB(ADMT) = E Pr{ADMT TLT n xFT n xDT }x (1- LB (TLT xFT n xDT ))x Pr{xFT xDT }x UB (xDT ) x, s (24) 5 et minorée par borne inférieure : xFT n xDT ))x Pr{xFT xDT }x LB xDT ) (25) Enfin, la probabilité de refuser un mode dégradé de fonctionnement pendant le cycle T est majorée, selon (8), par la borne supérieure : TLT n xFT n xDT }x (1- UB (TLT LB ADMT ) = Pr{ADMT xE S ,.s UB (RDMT) = (1- Pr{ADMT TLT n xFT n xDT })x (1- LB(TLT xFT n xDT )) x Pr{xFT xDT }x UB (xDT ) 10 (26) et minorée par la borne inférieure : LB(RDMT) = (1- Pr{ADMT ,.s TLT n xFT n xDT })x (1- UB(TLT xFT n xDT ))x Pr{xFT xDT }x LB (xDT ) 15 (27) Le terme UB(TLT xFT nxDT) apparaissant dans les expressions (22), (25) et (27) peut être obtenu grâce à (18), à savoir : ~UB(GDT )\ yEMC' 1 - y≠x LB(xDT ) ( k UB(TLT xFT n xDT) =1- fj Z=i xEMC' (28) 20 dans laquelle on a majoré Pr(yDT) par UB(yDT) et l'on a minoré Pr(xDT) par LB(xDT). De même, le terme LB(TLT xFT nxDT) apparaissant dans les expressions (23), (25) et (27) peut être obtenu grâce à (20), à savoir : P ( LB(TLT xFT nxDT)= fl 1- fUB(yDT) J=1 yEMPi xeMP' Les termes Pr{xFT xDT}, xE S apparaissant dans les expressions (22) à (27) sont connus, par exemple au moyen de statistiques ou de règles établies dans le 10 domaine du métier, Pr{xFT xDT} représentant simplement la probabilité de panne de l'élément x pendant le cycle T sachant qu'il fonctionnait en début de cycle. Les termes Pr{ADMT TLT nxFT nxDT}, xE S apparaissant dans les expressions (24) à (27) sont connus au moyen 15 de statistiques ou de règles établies dans le domaine du métier, Pr{ADMT TLT nxFT nxDT} représentant simplement la probabilité d'accepter un fonctionnement dégradé dû à une panne de x pendant le cycle T n'entraînant pas de perte totale du système, sachant que x fonctionnait 20 en début de cycle. Les termes UB(xDT) et LB(xDT) peuvent se déduire par récurrence, à partir de l'expression (10) . UB(xDT+, ) = UB(xDT ) 25 - LB(TLT n xDT ) + Pr{DMT TLT n xFT n xDT }x (1-LB(TLT (29) xFT n xDT ))x Pr{xFT xDT }x UB xDT (30) 5 et LB(xDT+,) = LB(xDT - UB(TLT n xDT ) + Pr {DMT TLT n xFT n xDT }x (1- UB (TLT avec UB(xDT)=1-LB(xDT) et LB(xDT )=l - UB(xDT ). Le terme UB(TLT nxDT) dans l'expression (31) s'obtient grâce à 21 (31) xFT n xDT ))x Pr{xFT xDT }x LB (xDT LB( yDT) - fJ UB (zDT) x UB (xDT ) zEMCi z≠x z≠y 10 UB(TLT n xDT) _ ( ( k L yES y≠x 1- 11 i=1 yEMC x Pr{yFT yDT } (32) De même, le terme LB(TLT nxDT) dans l'expression (30) s'obtient grâce à : LB(TLT n xDT) _ y≠x x yyMPi JJ(1-UB(MPT'))xPr{yFT yDT} ES j=1 15 x LB(yDT )x LB(xDT ) (33) La méthode d'estimation de la probabilité de perte totale du système S, et donc du remplacement de ses éléments défaillants, est illustrée en Fig. 5. 20 A l'étape 510, on initialise la méthode d'estimation par les valeurs UB(xD1)=LB(xD1)=Pr{xD1}, UB(xDi )=LBxDI)=1-Pr{xDT}, dxE S. On pourra choisir par exemple Pr{xDl}=1 c'est-à-dire supposer que tous les éléments fonctionnent au début de l'exploitation. On passe ensuite à une boucle itérative, chaque itération étant relative à un cycle T. A l'étape 520, connaissant les coupes minimales de l'arbre de défaillance du système S, ainsi que les chemins minimaux du diagramme de fiabilité correspondant, on calcule grâce aux expressions (28) et (29) les valeurs UB(TLT xFT nxDT) et LB(TLT xFT nxDT). A l'étape 530, on calcule les valeurs de UB(TLT) et LB(TLT) grâce aux expressions (22) et (23), à partir des données statistiques Pr{xFT xDT}, xE S. A l'étape 540, on calcule les valeurs UB(TLT nxDT) et LB(TLT nxDT) grâce aux expressions (32) et (33), à partir des données statistiques Pr{xFT xDT}, xE S . A l'étape 550, on déduit des valeurs UB(TLT xFT nxDT) et LB(TLT xFT nxDT) calculées à l'étape 520 et des valeurs UB(TLT nxDT) et LB(TLT nxDT) calculées à l'étape 540, les valeurs UB(xDT+I) et LB(xDT+I) permettant d'initialiser le cycle suivant. On utilise pour ce faire les expressions (30) et (31). On teste en 560 si l'on a atteint le nombre de cycles T. souhaité pour la prédiction. Dans la négative, on incrémente le numéro de cycle en 565 et on retourne à l'étape 520. Dans l'affirmative, on termine la prédiction en 570. Bien que l'on ait présenté ci-dessus la méthode d'estimation selon l'invention dans le cadre de la perte totale (TL) d'un système avionique, il apparaîtra clairement à l'homme du métier qu'elle s'applique de manière similaire à l'estimation des probabilités d'acceptation de fonctionnement dégradé (ADM) et de refus de fonctionnement dégradé (RDM ). En pratique, on vérifie que les bornes supérieures UB(TLT), UB(ADMT), UB(RDMT) sont de bonnes approximations des probabilités respectives Pr{TLT}, Pr(ADMT) et Pr(RDMT), déterminées grâce à une modélisation du système par un processus de Markov. Toutefois, alors cette dernière méthode nécessite des temps de calcul particulièrement longs, la méthode selon l'invention permet d'obtenir un résultat de prédiction fiable avec un temps de calcul bien moindre. On peut ainsi déterminer rapidement si les taux de panne des éléments d'un système avionique permettent d'atteindre le degré de fiabilité de consigne pour ce système. On peut également mesurer l'impact du remplacement d'un élément de fiabilité donnée par un élément de fiabilité supérieure ou inférieure sur la fiabilité du système. Cette méthode peut s'appliquer à un système avionique particulier ou à l'aéronef entier. Nous exposerons maintenant la méthode de prédiction du taux d'interruption opérationnelle d'un système avionique, selon un mode de réalisation de l'invention. On rappelle que le taux d'interruption opérationnelle est la probabilité qu'intervienne une interruption d'exploitation pendant un intervalle de temps donné. On considère un cycle d'exploitation T comme précédemment et on distingue, en cas de panne, selon qu'il y a ou non perte totale du système S. En absence de perte totale, on distingue à nouveau les cas d'acceptation de fonctionnement en mode dégradé (ADM ) et de refus de fonctionnement en mode dégradé (RDM ). En supposant toujours qu'un seul élément peut subirune panne pendant un cycle T, l'évènement d'interruption opérationnelle relatif à ce cycle peut être décomposé selon la partition : OIT n TLT =U xOIT n ADMT n TLT n xFT n xDT XE S u U xOIT nRDMT nTLT n xFT n xDT XES (34) où l'on a noté xOIT l'événement d'interruption opérationnelle pendant le cycle T due à une panne de x et, le cas échéant, à une opération consécutive de maintenance. On déduit de (34) la probabilité d'une interruption opérationnelle pendant le cycle T, en absence de perte totale du système : Pr{OIT nTLT } = 2 5 L [Pr{xOIT .}Pr{ADMT xFT n xDT n TLT }+ Pr{xOIT ..}Pr{RDMT xFT n xDT n TLT E XES x (1- Pr{TLT xFT n xDT }) * Pr{xFT n xDT } (35) où les termes Pr{xOIT .}= Pr{xOIT ADMT n xFT n xDT nTLT} et Pr{xOIT ..}= Pr{xOIT RDMT nxFT nxDT nTLT} sont connus. En effet pour une panne de x, on connaît les actions à entreprendre sur cet élément (par exemple remplacement, action de maintenance) et leurs impacts en termes d'interruption de l'exploitation. Les termes Pr{ADMT xFT nxDT nTLT} et Pr{RDMT xFT nxDT nTLT} sont également connus au moyen de statistiques ou de règles définies dans le domaine du métier, comme déjà remarqué précédemment. Les termes Pr{TLT xFT nxDT} sont bornés par les valeurs UB(TLT xFT nxDT) et LB(TLT xFT nxDT) obtenus par itération, comme décrit en relation avec la Fig. 5. La probabilité Pr{OIT nTLT} est par conséquent elle-même bornée par une borne supérieure UB(OIT nTLT) et une borne inférieure LB(OIT nTLT) : UB(OIT n TLT) [Pr{xOIT .}Pr{ADMT xFT n xDT n TLT }+ Pr{xOIT ..}Pr{RDMT xFT n xDT n TLT x (1- LB(TLT xFT n xDT ))Pr{xDT }UB(xDT ) (36) LB(OIT nTLT)-[Pr{xOIT .}Pr{ADMT xFT n xDT n TLT }+ Pr{xOIT ..}Pr{RDMT xFT n xDT n TLT x (1- UB(TLT xFT n xDT ))Pr{xDT }LB(xDT ) (37) En pratique, on constate que la borne supérieure UB(OIT nTLT) réalise une bonne approximation de la probabilité Pr{OIT nTLT}. Si l'on considère maintenant le cas d'une perte totale intervenant pendant le cycle T, on peut décomposer l'événement d'interruption opérationnelle selon la partition : OIT n TLT = U xOIT n TLT n xFT n xDT) u (xDT )) (38) Les événements figurant sous le signe union ne sont pas disjoints puisqu'une perte totale peut intervenir suite à la panne d'un élément x alors qu'un autre élément y de S l'est aussi (et n'a pas été remplacé par acceptation d'un mode dégradé de fonctionnement à une étape antérieure). Cependant, on a la majoration : Pr{OIT nTLT } Pr{OIT n TLT } Max(Pr{xOIT .}{Pr{TLT xFT n xDT }Pr{xFT xDT }Pr{xDT }+ Pr{TLT n xDT I) 25 (40) avec la convention Pr{xOIT.}=Pr{xOITTLTn((xFTnxDT)u(xDT))}. Au pire, tous les éléments du système sont à remplacer en parallèle. D'autre part l'absence d'une interruption opérationnelle au niveau du système suppose qu'aucun des éléments de la coupe ne génère d'interruption opérationnelle pendant l'opération de remplacement, ce qui se traduit par : 1ùPr{OITTLT}>_ fl(1-Pr{xOIT.}) ~xEs i et par conséquent par : Pr{OIT nTLT} \\ XES / (43) (41) (42) ( UB(OIT n TLT) = min Par ailleurs, la perte totale du système est nécessairement due à une coupe minimale MC`. On a : Pr{OIT n MC` 1, Pr{OIT MC` }Pr{MC` } (44) Suite à la perte totale, tous les éléments de cette coupe minimale doivent être remplacés en parallèle. Pour qu'une interruption opérationnelle n'intervienne pas, il faut qu'aucun élément de la coupe minimale n'induise lui-même d'interruption opérationnelle, ce qui se traduit par : 1-Pr{OIT MC`} d'où la majoration : Pr{OIT TLT } > min où k est le nombre de coupes minimales du système S. En définitive, il résulte de (40) et (46) que la probabilité d' interruption opérationnelle Pr{OIT nTLT} est minorée par la plus grande des deux bornes 25 inférieures, soit : (45) (46) i 7 7 LB(TLT xFT n xDT )Pr{xFT max Pr{xOIT + LB (TLT n xDT 7 min 1- 11 (1- Pr{xOIT .}) LB(TLT 1 A cette même étape, on estime LB(OIT nTLT) selon l'expression (47), à partir des valeurs LB(TLT xFT nxDT) et LB(TLT nxDT) obtenues respectivement à l'étape 620 et à l'étape 640, de la valeur LB(TLT) obtenue à l'étape 630 et des valeurs courantes L1411),)=1ùU410. L'estimation des valeurs précitées s'effectue de manière itérative comme en Fig. 5. La méthode d'estimation du taux d'interruption opérationnelle selon l'invention trouve notamment application lors de la phase de conception de l'aéronef pour vérifier que ce dernier obéit bien au cahier des charges. Elle peut également trouver application lors d'une mise à niveau de l'appareil. REVENDICATIONS 1. Méthode de prédiction de la fiabilité d'un système avionique (S) embarqué sur un aéronef et constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol, caractérisée en ce qu'elle comprend : une étape d'initialisation (510) des probabilités de bon fonctionnement ou de défaillance de chaque élément (Pr{xDl}, Pr{xDl}) au début de ladite exploitation ; et une boucle itérative, chaque itération correspondant à un cycle d'exploitation et incluant : une première étape d'estimation (520), pour chaque élément, des bornes supérieure (UB(TLT xFT nxDT) ) et inférieure (LB(TLT xFT nxDT)) de la probabilité conditionnelle de panne du système si ledit élément tombe en panne au cours dudit cycle, l'estimation étant réalisée à partir des coupes minimales de l'arbre de défaillance, des chemins minimaux de diagramme de fiabilité dudit système et des bornes supérieures et inférieures de probabilité de bon fonctionnement (UB(xDT); LB(xDT)) ou de défaillance (UB(xDT), LB(xDT)) des différents éléments au début dudit cycle; une seconde étape d'estimation (530) des bornes supérieure (UB(TLT)) et inférieure (LB(TLT)) des probabilités de panne dudit système à partir des bornes supérieures et inférieures estimées à la première étapepour lesdits différents éléments du système et des probabilités respectives des différents éléments du système de tomber en panne en cours de cycle (Pr{xFT xDT }) ; une troisième étape d'estimation (540), pour chaque élément dudit système, des bornes supérieure (UB(TLT nxDT)) et inférieure (LB(TLT nxDT)) de la probabilité conditionnelle de panne du système au cours dudit cycle si ledit élément était défaillant au début du cycle, l'estimation étant réalisée à partir des coupes minimales de l'arbre de défaillance et des chemins minimaux de diagramme de fiabilité dudit système ; une quatrième étape d'estimation (550) des 15 bornes supérieures et inférieures de probabilité de bon fonctionnement (UB(xDT+I); LB(xDT+I)) ou de défaillance (UB(xDT+I), LB(DT+I)) des différents éléments du système au début du cycle suivant, à partir des bornes supérieures et inférieures estimées par la première étape ainsi que 20 des bornes supérieures et inférieures estimées par la troisième étape. 2. Méthode de prédiction selon la revendication 1, caractérisée en ce qu'à chaque cycle 25 on prédit la probabilité de panne du système comme la borne supérieure de probabilité de panne dudit système (UB(TLT)) . 3. Méthode de prédiction selon la revendication 1 ou 2, caractérisée en ce que l'estimation de première étape est réalisée par : k UB(TLT xFT n xDT) =1- fl z-1 xeMC' p LB (TLT xFT n xDT ) = fl 1- fl UB(yDT ) J=1 yEMPi xeMP' où UB(TLT xFT nxDT) et LB(TLT xFT nxDT) sont respectivement les bornes supérieure et inférieure de la probabilité conditionnelle de panne du système si ledit élément tombe en panne au cours dudit cycle, UB(yDT) et UB(yDT) sont respectivement les bornes supérieures des probabilités que l'élément y fonctionne et soit défaillant en début dudit cycle, LB(xDT) la borne inférieure de la probabilité que l'élément x fonctionne en début dudit cycle, MC , i =1,..,k sont les coupes minimales de l'arbre de défaillance du système et MP' , j =1,..,p sont les chemins minimaux du diagramme de fiabilité du système. 4. Méthode de prédiction selon la revendication 3, caractérisée en ce que l'estimation de la seconde étape est réalisée par : ~UB(yDT)' yeMC 1 ù y≠x LB(xDT )25 UB(TLT )=LUB(TLT xFT nxDT)xPr{xFT xDT}xUB(xDT) xE S LB (TLT) = L LB (TLT xFT n xDT) x Pr{xFT xDT }x LB (xDT ) xE S où UB(TLT) et LB(TLT) sont respectivement les bornes supérieure et inférieure des probabilités de panne dudit système, Pr{xFTxDT} la probabilité que l'élément x tombe en panne au cours dudit cycle, UB(xDT) et LB(xDT) sont respectivement les bornes supérieure et inférieure de la probabilité que l'élément x fonctionne au début dudit cycle. 5. Méthode de prédiction selon l'une des revendications 3 ou 4, caractérisée en ce que la troisième étape d'estimation est réalisée par : UB(TLT n ( ( LB(yDT) - fJ UB(DT )x UB(xDT ) zEMCi z≠x z≠y k L yES y≠x 1- 11 i=1 yEMC x Pr{yFT yDT } // LB(TLT n xDT) = le -UB(MPT'))xPr{yFT yDT} xyyMP= L yES y≠x x LB(yDT )x LB(xDT ) où UB(TLT nxDT) et LB(TLT nxDT) sont respectivement les bornes supérieure et inférieure de la probabilitéconditionnelle de panne du système au cours dudit cycle si ledit élément était défaillant au début du cycle, LB(yDT) est la borne inférieure de la probabilité que l'élément y fonctionne au début du cycle, UB(zDT) est la borne supérieure de la probabilité que l'élément z soit défaillant au début du cycle, UB(xDT) et LB(xDT) respectivement les bornes supérieure et inférieure des probabilités que l'élément x soit défaillant au début du cycle, Pr{yFTyDT} la probabilité que l'élément y tombe en panne au cours du cycle, MC , i =1,..,k sont les coupes minimales de l'arbre de défaillance du système et MP', j =l,..,p sont les chemins minimaux du diagramme de fiabilité du système, UB(MPT') la borne supérieure de la probabilité que le chemin minimal MP' soit constitué d'éléments qui fonctionnent au cours du cycle. 6. Méthode de prédiction selon l'une des revendications 3 à 5, caractérisée en ce que : UB(xDT+,)= UB(xDT - LB (TLT nxDT) + Pr{DMTTLT n xFT n xDT }x (l - LB(TLT LB xDT+i) = LB xDT - UB (TLT nxDT) + Pr{DMT TLT n xFT n xDT }x (l - UB(TLT xFT n xDT))x Pr{xFT xDT }x UB xDT xFT n xDT))x Pr{xFT xDT }x LB xDT où UB(xDT+I) et LB(xDT+I) sont respectivement les bornes supérieure et inférieure de la probabilité que l'élément x ne fonctionne pas au début du cycle suivant, UB(xDT) et LB(xDT) sont respectivement les bornes supérieure de la probabilité que l'élément x fonctionne au début du cycle courant, UB(xDT) et LB(xDT) sont respectivement les bornes supérieure de la probabilité que l'élément x ne fonctionne pas au début du cycle courant, UB(TLT nxDT) et LB(TLTnxDT) sont respectivement les bornes supérieure et inférieure de la probabilité conditionnelle de panne du système au cours dudit cycle si l'élément x était défaillant au début du cycle, Pr{xFT xDT} est la probabilité que l'élément x tombe en panne au cours du cycle courant, Pr{DMT TLT nxFT nxDT} est la probabilité que l'exploitation soit poursuivie bien que l'élément x soit tombé en panne lors du cycle courant sans causer toutefois la panne dudit système. 7. Méthode de prédiction du taux d'interruption opérationnelle d'un système avionique (S) embarqué sur un aéronef et constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol, caractérisée en ce que la fiabilité dudit système est prédite selon l'une des revendications 3 à 6 et que l'on estime, à chaque dite itération, des bornes supérieure (UB(OIT nTLT)) et inférieure ( LB(OIT nTLT)) de probabilité d'interruption opérationnelle dudit système en absence de panne de ce dernier, l'estimation de la borne supérieure (UB(OIT nTLT) ) de probabilité d'interruption opérationnelle étant obtenue à partir des bornes inférieures ( LB(TLT xFT nxDT) respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément x tombant en panne au cours de ce cycle, ainsi que des bornes supérieures ( UB(xDT) ) respectives des probabilités que chaque élément x fonctionne au début dudit cycle. 8. Méthode de prédiction selon la revendication 7, caractérisée en ce que la borne supérieure de probabilité d'interruption opérationnelle dudit système en absence de panne est estimée par : UB(OIT nTLT)- [Pr{xOIT .}Pr{ADMT xFT n xDT n TLT }+ Pr{xOIT ..}Pr{RDMT xFT n xDT n TLT x (1-LB(TLT xFT n xDT ))Pr{xDT }UB(xDT ) et sa borne inférieure par : LB(OIT n TLT) [Pr{xOIT .}Pr{ADMT xFT n xDT n TLT }+ Pr{xOIT ..}Pr{RDMT xFT n xDT n TLT }I x (1- UB(TLT xFT n xDT ))Pr{xDT }LB(xDT ) où Pr{xOIT .} = Pr{xOIT ADMT n xFT n xDT n TLT } et Pr{xOIT ..} = Pr{xOIT RDMT n xFT n xDT n TLT } . 9. Méthode de prédiction du taux d'interruption opérationnelle d'un système avionique (S) embarqué sur un aéronef et constitué d'une pluralité d'éléments, l'exploitation dudit aéronef comprenant une séquence de cycles, chaque cycle comprenant une phase de vol et une phase de stationnement au sol, caractérisée en ce que la fiabilité dudit système est prédite selon l'une des revendications 3 à 6, et que l'on estime, à chaque dite itération, des bornes supérieure (UB(OIT nTLT)) et inférieure (LB(OIT nTLT)) de probabilité d'interruption opérationnelle dudit système en cas de panne de ce dernier, l'estimation de la borne supérieure (UB(OIT nTLT)) de probabilité d'interruption opérationnelle étant obtenue à partir des bornes supérieures (UB(TLT xFT nxDT)) respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément x du système tombant en panne au cours du cycle, des bornes supérieures (UB(TLT nxDT)) respectives des probabilités conditionnelles de panne du système pour chaque élément x défaillant au début dudit cycle, des bornes supérieures (UB(xDT)) respectives des probabilités de bon fonctionnement de chaque élément x en début du cycle ainsi qu'une borne supérieure (UB(TLT)) de probabilité de panne du système au cours du cycle, l'estimation de la borne inférieure (LB(OIT nTLT)) de probabilité d'interruptionopérationnelle étant obtenue à partir des bornes inférieures (LB(TLT xFT nxDT)) respectives des probabilités conditionnelles de panne du système au cours dudit cycle pour chaque élément x du système tombant en panne au cours du cycle, des bornes inférieures (LB(TLTn xDT)) respectives des probabilités conditionnelles de panne du système pour chaque élément x défaillant début dudit cycle, des bornes inférieures (LB(xDT)) respectives des probabilités de bon fonctionnement de chaque élément x en début du cycle, ainsi qu'une borne inférieure (LB(TLT)) de probabilité de panne du système au cours du cycle. 10. Méthode de prédiction selon la revendication 9, caractérisé en ce que la borne supérieure de probabilité d'interruption opérationnelle dudit système en cas de panne est estimée par UB(TLT xFT n xDT )Pr{xFT xDT }UB(xDT ) E Pr{xOIT .} , xES + UB(TLT n xDT ) ( 1-[J(1-Pr{xOIT.}) UB(TLT) \\ XES / et la borne inférieure par : 7 7 LB(TLT xFT n xDT )Pr{xFT max Pr{xOIT x{S + LB (TLT n xDT 7 min 1- 11(1-Pr{xOIT.}) LB(TLT) 1