Brevet FR2940700A1 — publié le 20100702

Procédé mis en oeuvre par ordinateur d'évaluation de la sécurité de systèmes critiques L'invention concerne un procédé mis en oeuvre par ordinateur d'évaluation de la sécurité de systèmes critiques et s'applique notamment aux domaines des systèmes critiques pour le contrôle de trafic aérien, pour le ferroviaire ou le nucléaire. 1 o Dans un système critique, une panne peut avoir des conséquences dramatiques. II est donc primordial de tenir compte des contraintes en termes de sécurité lors de sa conception. A titre d'exemple, la méthodologie SAM, acronyme venant de l'expression anglo-saxonne � Safety Assessment Methodology � et développée depuis quelques années pour les systèmes de 15 contrôle de trafic aérien et comprend trois étapes. La première étape vise notamment à répertorier les objectifs à atteindre en termes de sécurité du système. Dans un deuxième temps, l'architecture du système est analysée de manière à répondre au mieux aux objectifs de sécurité identifiés pendant 20 l'étape précédente. Cette analyse d'architecture se décompose, par exemple, en une analyse de l'architecture logique ou fonctionnelle et en une analyse de l'architecture physique. L'architecture physique est également appelée architecture technique ou architecture de déploiement. Ces architectures peuvent être analysées à l'aide de modèles permettant de faire 25 le lien entre les défaillances du système, les dangers et les effets en résultant. Ainsi, un système ou un sous système peut être associé à un niveau de sécurité. Ce niveau de sécurité tient compte notamment de la distance entre une défaillance du système et sa conséquence finale opérationnelle en incluant l'influence de barrières de sécurité. Les barrières 30 de sécurités peuvent être de plusieurs natures, par exemple logiciel, matériel ou être des procédures opérationnelles. Ladite distance est évaluée en calculant le produit de deux probabilités. La première probabilité Pe est la probabilité entre l'occurrence du danger et sa conséquence potentielle finale. La seconde probabilité Ph est la probabilité d'occurrence du danger suite à 35 une ou plusieurs défaillances du système. Durant la troisième étape de conception, le passage d'une architecture logique ou fonctionnelle à une architecture physique est réalisé. Dans la pratique, les considérations de sécurité ne sont pas suffisamment prises en compte lors de la deuxième phase. Un certain nombre de corrections doivent alors être apportées lorsque cette transition est opérée. Cette prise en compte tardive d'une partie des contraintes de sécurité mène à des architectures physiques sous-optimales. Lors de la deuxième étape, c'est-à-dire pendant l'étape d'analyse de io l'architecture logique ou fonctionnelle, le lien statistique entre l'occurrence de la défaillance d'une fonction ou d'une sous-fonction du système et l'occurrence d'un danger peut être analysé à l'aide d'un arbre de défaillance FTA, acronyme venant de l'expression anglo-saxonne � Fault Tree Analysis �. Pour cela, les fonctions ou sous-fonctions concernées par 15 chaque objectif de sécurité sont identifiées. Une analyse de type arbre de défaillance permet d'identifier les différentes causes possibles d'un danger. Dans la suite de la description, un danger est appelé également évènement initial. La décomposition est poursuivie à partir d'un évènement initial jusqu'aux défaillances ou évènements primaires, lesdits évènements 20 primaires étant également désignés par l'expression anglo-saxonne � Basic Events �, et de vérifier que l'objectif de sécurité est atteint. Un objectif de sécurité est appelé objectif SR dans la suite de la description, acronyme venant de l'expression anglo-saxonne � Security Requirements �. L'arbre de défaillances FTA est habituellement composé de portes logiques de types ET 25 et OU. De manière à tenir compte des imperfections du modèle, une hypothèse conservatrice est prise. Lorsqu'une porte ET est identifiée, la probabilité admissible Pfh d'occurrence des causes immédiates associées est augmentée d'un facteur 10. Par exemple, Pfh est majorée à 10"5 si la valeur ciblée est de 10"6. Lorsqu'une porte OU est identifiée, alors la 30 probabilité des événements de cause immédiate garde la même probabilité que celle de l'événement initial � père �. Cette solution permet de modéliser et d'étudier la sécurité d'une architecture fonctionnelle, mais les hypothèses faites pour simplifier sa mise en oeuvre réduisent sa précision. Une partie du problème concernant la maîtrise de la sécurité du système critique est alors 35 reportée sur l'étape de conception. Il apparaît que deux limitations sont inhérentes à cette approche. D'une part, l'indépendance des évènements primaires n'est pas garantie et d'autre part l'évaluation des portes logiques ET et OU n'est pas réalisée suffisamment précisément. Ces limitations ont pour conséquence un manque de fiabilité de l'évaluation de l'architecture logique ou fonctionnelle du système critique. Un but de l'invention est notamment de pallier les inconvénients précités. A cet effet l'invention a pour objet un procédé d'évaluation de la sécurité d'au moins un système critique, ledit système étant composé de fonctions et de sous fonctions, au moins un arbre de défaillance associé audit système étant construit afin de vérifier que des objectifs de sécurité définis en termes de probabilités sont atteints, ledit arbre étant composé de portes logiques permettant l'évaluation de la probabilité d'occurrence Ph d'un évènement initial suite à une ou plusieurs défaillances du système appelées évènements primaires. Le niveau d'indépendance fonctionnelle entre au moins deux fonctions ou sous-fonctions du système est évalué à l'aide d'indicateurs de couplage et la profondeur de l'arbre de défaillance étant choisie de manière à ce que l'indépendance fonctionnelle entre les évènements primaires de l'arbre de défaillance soit garantie. Un indicateur de couplage comprend, par exemple, N niveaux de couplage, chaque niveau de couplage correspondant à un ensemble flou. Le niveau d'indépendance fonctionnelle entre au moins deux fonctions ou sous-fonctions Fi, Fj du système correspond, par exemple, au degré d'appartenance à un des N ensembles flous correspondant aux N niveaux de couplage d'un indicateur de couplage donné. Un indicateur de couplage peut être associé, par exemple, à quatre niveaux de couplage � dépendant �, � moyennement dépendant �, � peu dépendant � ou � indépendant �. Selon un mode de réalisation, plusieurs indicateurs de couplage distincts sont associés au même ensemble d'au moins deux fonctions ou sous-fonctions Fi, Fj du système et sont combinés à l'aide de fonctions logiques ET et OU. Selon un aspect de l'invention, une étape calcule le degré d'appartenance 35 aux ensembles flous suite à la combinaison de plusieurs indicateurs de couplage, ledit degré d'appartenance correspondant au maximum des degrés d'appartenance à chaque ensemble flou desdits indicateurs de couplage. Selon un autre aspect de l'invention, une étape calcule un facteur de couplage FC d'au moins deux fonctions ou sous fonctions Fi et Fj en utilisant la règle de Mamdani, ladite règle étant appliquée aux degrés d'appartenance aux ensembles flous résultant d'une combinaison de plusieurs indicateurs de couplage. Les portes logiques de l'arbre de défaillance sont définies, par exemple, selon leur degré d'appartenance à une porte ET ou à une porte OU. Le degré d'appartenance d'une porte logique de l'arbre de défaillance est déterminé, par exemple, à l'aide d'au moins un indicateur de couplage. Selon un mode de réalisation, les probabilités d'occurrence Ph sont évaluées en intégrant les degrés d'appartenance aux portes ET et OU à chaque niveau logique de l'arbre de défaillance. Le système critique est, par exemple, un système de contrôle du trafic aérien. Le système critique est, par exemple, un système de contrôle du trafic ferroviaire. Le système critique est, par exemple, un système de contrôle d'au moins un réacteur nucléaire. D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit donnée à titre illustratif et non limitatif, faite en 25 regard des dessins annexés parmi lesquels : la figure 1 donne un exemple d'arbres utilisé pour l'évaluation de l'architecture de systèmes critiques ; la figure 2 illustre le principe des règles appliquées aux portes ET et OU de l'arbre de défaillance ; la figure 3 donne des exemples de fonctions d'appartenance associées à des ensembles flous pouvant être utilisés dans le cadre de l'invention pour un indicateur de couplage ; la figure 4 présente une manière de calculer le niveau de couplage entre deux fonctions Fi et Fj ; 30 35 La figure 5 représente un schéma bloc donnant les entrées et sorties d'un exemple de mise en oeuvre du procédé selon l'invention. La figure 1 donne un exemple d'arbres utilisés pour l'évaluation de l'architecture de systèmes critiques. Un premier arbre 100 est l'arbre de défaillances FTA. L'exemple de la figure présente deux niveaux logiques, c'est-à-dire qu'il y a, en partant de la base de l'arbre, deux niveaux de ramification. Le nombre de niveaux logiques de l'arbre est aussi appelé profondeur dans la suite de la description. Les événements initiaux se trouvent en amont de l'arbre FTA et représentent chacun un type de défaillance du système. Pour un événement initial donné 105, la probabilité Ph d'occurrence d'un danger 106 suite à cet évènement peut être estimée en parcourant l'arbre FTA. Inversement, pour un danger donné, il est possible en remontant l'arbre FTA de déterminer la ou les fonctions potentiellement responsables dudit danger. L'arbre FTA est composé de porte ET 103 et de portes OU 104, 108 permettant d'évaluer les valeurs de Ph. Un système critique contient des barrières de sécurité. Ces barrières de sécurité peuvent être considérées selon leur capacité à contrôler une défaillance en fonction du temps, c'est-à-dire avant, pendant et après la défaillance. II est alors intéressant de considérer leurs propriétés en termes de prévention de défaillance, de détection de défaillance, de contrôle de propagation de défaillance et de recouvrement de défaillance. Pour qu'un arbre de défaillances FTA soit correctement évalué de manière qualitative ou quantitative, l'indépendance des événements initiaux 102, 105, 109, 110 est requise. Ainsi, dans le cadre de l'invention, avant de procéder à l'évaluation de l'architecture du système critique, l'arbre FTA est développé avec une profondeur suffisante pour s'assurer que les évènements primaires sont indépendants entre eux et que chaque situation ou événement peut-être atteint. Dans le cadre de l'invention, il est notamment proposé d'étudier la validité de la logique des portes ET et OU lors de la construction de l'arbre. Un mode de défaillance correspond à la manière dont un élément de l'architecture fonctionnelle à évaluer peut créer une défaillance. Lors de la décomposition fonctionnelle de l'architecture à évaluer, les interactions entre les fonctions et sous-fonctions peuvent induire des incertitudes entre les logiques ET et OU vis-à-vis des causes immédiates des modes de défaillance. II peut être choisi, par exemple, qu'une porte ET soit placée entre deux fonctions ou sous fonctions (causes de l'événement père) dans la mesure ou l'occurrence d'une des défaillances cause décrite d'un côté de la branche du ET peut-être compensée et récupérée par une fonction ou sous-fonction assurée dans l'autre branche du ET. De plus il est important de garantir que la possibilité de propagation de la défaillance de l'autre côté de la branche du ET soit contrôlée et réduite, ou si possible éliminée. Il est donc utile d'introduire la notion de niveau de couverture fonctionnelle commune entre deux ou plusieurs branches d'une porte ET. Ainsi, dans le cadre de l'invention, des instances ET/OU sont utilisés dans l'arbre des défaillances FTA, lesdites instances étant évaluées selon leur degré d'appartenance à une porte ET ou à une porte OU. Ces degrés peuvent prendre une valeur comprise entre 0 et 1, par exemple. Le degré d'appartenance d'une porte à la logique OU peut être considéré comme le complément du degré d'appartenance d'une porte à la logique ET. Selon l'invention, des indicateurs de couplage sont introduits dans le but notamment de quantifier le degré de dépendance entre plusieurs fonctions ou sous-fonctions de l'architecture fonctionnelle à évaluer. Ainsi, lors de la construction de l'arbre de défaillance FTA, si deux fonctions ou sous-fonctions ne sont pas considérées comme suffisamment indépendantes, il est décidé d'ajouter un ou plusieurs niveaux logiques à l'arbre. Le tableau ci-dessous donne un exemple d'indicateur de couplage. Quatre niveaux de couplage allant de � dépendant � à � indépendant � sont définis pour quantifier la dépendance entre deux fonctions Fi ou Fj. L'indicateur de couplage de l'exemple analyse le niveau d'interaction humaine nécessaire à l'activation desdites fonctions. Suivant les cas un ou plusieurs indicateurs peuvent être utiles pour estimer le niveau de dépendance entre deux fonctions. Dépendant Moyennement Peu dépendant Indépendant dépendant Indicateur : Activation L'activation L'activation des L'activation Interaction automatique des fonctions fonctions Fi et Fj des fonctions des deux Fi et Fj est est souvent Fi et Fj n'est humaine pour fonctions parfois réalisée réalisée réalisée que l'activation manuellement manuellement manuellement II est possible de combiner plusieurs indicateurs. Une manière de réaliser cette combinaison est détaillée plus loin dans la description. Comme explicité précédemment, une des conditions de fiabilité de l'analyse par arbre FTA est la garantie d'indépendance des évènements primaires 102, 105, 109, 110. L'utilisation d'indicateurs de couplage permet de déterminer la profondeur de l'arbre FTA. En plus de l'analyse descendante de type FTA, il est possible de procéder, dans le cadre de l'analyse globale de sécurité, à une analyse complémentaire pour déterminer les causes communes de défaillances. L'analyse de l'indépendance des évènements primaires permet de contribuer à la préparation de cette analyse de causes communes de défaillances CCA, acronyme venant de l'expression anglo-saxonne � Common Cause Analysis �. Le calcul des indicateurs de couplage va aider à l'analyse de ces aspects d'indépendance. L'analyse des degrés d'indépendance doit-être considérée en 2 temps. Dans un premier temps, l'indépendance des évènements primaires à l'intérieur du même ensemble de fonctions est considérée. Dans un second temps, l'indépendance des fonctions entre-elles est étudiée afin d'en déduire l'indépendance des évènements primaires de chaque groupe fonctions avec ceux des autres groupes fonctions. La figure 1 montre également un second arbre 101 permettant de lier statistiquement l'occurrence d'un danger 106 avec un effet El, E2, E3, E4, résultant de ce danger. Par exemple, l'occurrence d'un danger 106 aura pour conséquence un effet E4 107 avec une probabilité Pe, Pe étant donc la probabilité entre l'occurrence du danger et sa conséquence potentielle finale. La figure 2 illustre le principe des règles appliquées aux portes ET/ OU 301. Un évènement père 200 est appliqué en entrée de ladite instance 201. Le degré d'appartenance à une porte ET ou OU peut être déterminé, par exemple, en tenant compte de la possibilité de récupérer une défaillance. Si la possibilité de récupérer la défaillance �Evènement A � 202 par la fonction ou sous-fonction associée à � Evènement B � 203 est importante (ou réciproquement), et si la possibilité de propagation de la défaillance � Evènement A � vers B (ou réciproquement) est faible, alors il est vraisemblable que la porte ET soit plus justifiée que la porte OU. Si la possibilité de récupérer la défaillance � Evènement A � 202 par la fonction ou sous-fonction associée à � Evènement B � 203 (ou réciproquement) est moins forte ou faible ou si la possibilité de propagation de la défaillance de � Evènement A � 202 vers B 203 (ou réciproquement) est forte, alors il est vraisemblable que la porte OU soit plus justifiée que la porte ET. Une porte ET implique que si l'évènement père 200 a une probabilité égale à 10-", alors les évènements A 202 et B 203 ont une probabilité égale à 10('-"). Dans le cas d'une porte OU, par mesure conservatrice, les probabilités restent inchangées. Pour tenir compte du degré d'appartenance � à la logique ET ou (1-�) à la logique OU, les probabilités peuvent être exprimées par l'expression suivante : P 10-' X10('-�) Ainsi il est bien vérifié que dans le cas d'une porte ET, si p. = 1, alors P = 10('-"). Et, dans le cas d'une porte OU, si � = 0 alors P= 10(""). Donc dans les cas aux limites, l'évaluation actuelle reste inchangée. De manière à évaluer le degré d'appartenance d'une porte à la 30 logique ET ou à la logique OU, un exemple d'indicateurs de couplage est présenté dans le tableau suivant. Indicateurs de couplage Fort Faible Parties communes des spécifications Plutôt ET Plutôt OU utilisateur 10-n (1) Partage de sous-fonctions : Plutôt ET Plutôt OU niveau des sous fonctions utilisées en commun par Fi et Fj Réutilisation des traitements : Plutôt OU Plutôt ET Fi réutilise les traitements de Fj pour satisfaire à ses spécifications Données et ressources communes : Plutôt OU Plutôt ET Fi et Fj utilisent un niveau de ressources et de données en commun Echange de données : Plutôt OU Plutôt ET volume de données échangé par Fi et Fj pendant une période de référence La figure 3 donne des exemples de fonctions d'appartenance associées à des ensembles flous pouvant être utilisés pour un indicateur de couplage donné dans le cadre de l'invention. Afin d'évaluer les aspects de couplage pour une architecture logique ou fonctionnelle, l'invention utilise notamment les principes de la logique floue. Un des avantages de la logique floue est de permettre à la fois une représentation de l'imprécision sous forme d'ensembles flous et la quantification de l'incertitude par des nombres flous. Ainsi les ensembles flous peuvent être modifiés par des variables linguistiques telles que � très �, � un peu �, � pas �, � extrêmement � ou � plus ou moins �. Cela permet notamment de représenter de nouveaux ensembles flous dérivés de l'ensemble flou initial. Dans le cadre de l'invention, des ensembles flous candidats sont préalablement définis pour l'évaluation de l'architecture fonctionnelle ciblée. Ces derniers sont la base des règles qui vont permettre d'évaluer le niveau de couplage, par exemple entre deux fonctions ou sous-fonctions Fi, Fj de l'architecture à évaluer. Concernant l'exemple de la figure 3, quatre ensembles flous sont considérés : � dépendant �, � moyennement dépendant �, � peu dépendant � et � indépendant �. Ceux-ci sont associés à un indicateur de couplage nommé � activation par interaction humaine �. Les courbes présentées à l'aide de la figure 3 sont les fonctions d'appartenance associées à ces quatre ensembles flous. Ces dernières correspondent aux termes linguistiques basés sur les univers de valeurs termes linguistiques indiqués en abscisse du diagramme. En ordonnées du diagramme sont représentés les degrés d'appartenance aux ensembles flous considérés. Comme explicité précédemment, plusieurs indicateurs de couplage peuvent être combinés afin d'évaluer l'indépendance entre deux fonctions Fi et Fj ou le degré d'appartenance des portes de l'arbre FTA à la logique ET ou à la logique OU. Une manière de combiner ces indicateurs de couplage est explicitée dans la suite de la description. La figure 4 présente une manière de calculer le niveau de couplage, appelé également facteur de couplage, entre deux fonctions Fi et Fj. Cette méthode peut également être appliquée afin d'évaluer l'appartenance des portes de l'arbre FTA. Ce calcul peut être réalisé à partir de la combinaison de plusieurs indicateurs de couplage appliqués à ces deux fonctions. En effet, plusieurs indicateurs de couplage, utilisés notamment pour évaluer l'indépendance entre deux fonctions ou sous-fonctions Fi et Fj, peuvent être reliés logiquement par des portes OU, par exemple. Le degré d'appartenance résultant pour les ensembles flous � dépendant �, � moyennement dépendant �, � peu dépendant � ou � indépendant � associés à chaque indicateur sera le maximum des degrés d'appartenance pour chaque indicateur de couplage. L'exemple de la figure 4 considère l'utilisation de portes OU pour relier logiquement les indicateurs de couplage, mais il est également possible que lesdits indicateurs soient évalués conjointement avec des portes ET. Il est possible de calculer le facteur de couplage des deux fonctions ou sous-fonctions Fi et Fj en utilisant la règle de Mamdani. Celle-ci consiste en un calcul de la projection 400 sur l'axe des abscisses du centre de gravité 401 de l'aire 402 délimitant les degrés d'appartenance aux ensembles flous � dépendant �, � moyennement dépendant �, � peu dépendant � ou � indépendant �. Le facteur de couplage FC peut alors s'exprimer en utilisant l'expression suivante : EX; xY; FC = (2) Dans laquelle : X; représente les valeurs en abscisse, c'est-à-dire de résultat de l'application des règles de logique floue ; Y; représente les valeurs en ordonnées, c'est-à-dire le niveau de couplage entre Fi et Fj. Pour l'exemple de la figure 4, Xi = [0,25 ; 0,5 ; 0,75 ; 1] et Yi = [0,25 ; 0,5 ; 1 ; 0,5], ce qui implique que FC = 0.69. La figure 5 représente un de schéma bloc donnant les entrées et sorties d'un exemple de mise en oeuvre du procédé selon l'invention. Lors de la conception d'un système critique, des objectifs de sécurité SR sont choisis et servent de critère de conception. De manière à évaluer la sécurité de l'architecture fonctionnelle, des indicateurs de couplage IC sont définis tels qu'explicités précédemment dans la description. Pour une architecture fonctionnelle AF donnée composée notamment de fonctions et de sous fonctions, au moins un arbre de défaillance FTA est construit. Les règles de couplage basées sur le calcul des indicateurs de couplage vont servir d'une part pour l'évaluation des instances ET et OU en tenant compte du sous-ensemble des indicateurs choisi dans ce but, et d'autre part pour déterminer la profondeur de l'arbre en vérifiant l'indépendance des évènements primaires. En remontant l'arbre de défaillances FTA depuis sa base jusqu'aux évènements primaires, les probabilités Ph sont évaluées en intégrant les degrés d'appartenance aux portes ET et OU à chaque niveau logique de l'arbre de défaillance. La fiabilité de l'évaluation de la distance entre la défaillance d'un niveau considéré dans l'arbre et un danger est ainsi améliorée. Ces probabilités sont ensuite comparées aux objectifs de sécurité SR et un résultat R est ensuite fourni, ledit résultat indiquant, par exemple, si lesdits objectifs de sécurité sont atteints. REVENDICATIONS1- Procédé d'évaluation de la sécurité d'au moins un système critique, ledit système étant représenté par une architecture fonctionnelle composée de fonctions et de sous-fonctions permettant de générer une architecture physique, au moins un arbre de défaillance (100) associé à ladite architecture étant construit afin de prévoir l'impact sur la sécurité du système des défaillances d'une ou plusieurs fonctions ou sous-fonctions, ces défaillances étant appelées évènements primaires, ledit arbre étant composé de portes logiques (103, 104, 108) permettant l'évaluation de la probabilité d'occurrence (Ph) d'un évènement initial suite à une ou plusieurs défaillances du système, ledit procédé étant caractérisé en ce que le niveau d'indépendance fonctionnelle entre au moins deux fonctions ou sous-fonctions composant l'architecture fonctionnelle est évalué à l'aide d'indicateurs de couplage, la profondeur de l'arbre de défaillance étant choisie de manière à ce que l'indépendance fonctionnelle entre les évènements primaires (102, 105, 109, 110) de l'arbre de défaillance soit garantie. 2- Procédé selon la revendication 1 caractérisé en ce qu'un indicateur de couplage comprend N niveaux de couplage, chaque niveau de couplage correspondant à un ensemble flou. 3- Procédé selon la revendication 2 caractérisé en ce que le niveau d'indépendance fonctionnelle entre au moins deux fonctions ou sous-fonctions Fi, Fj du système correspond au degré d'appartenance à un des N ensembles flous correspondant aux N niveaux de couplage d'un indicateur de couplage donné. 4- Procédé selon l'une quelconque des revendications 2 ou 3 caractérisé en ce qu'un indicateur de couplage est associé à quatre niveaux de couplage � dépendant �, � moyennement dépendant �, � peu dépendant � ou � indépendant �. 5- Procédé selon l'une quelconque des revendications 2 à 4 caractérisé en ce que plusieurs indicateurs de couplage distincts sont associés au même ensemble d'au moins deux fonctions ou sous-fonctions Fi, Fj du système et sont combinés à l'aide de fonctions logiques ET et OU. 6- Procédé selon l'une quelconque des revendications 3 à 5 caractérisé en ce qu'une étape calcule le degré d'appartenance aux ensembles flous suite à la combinaison de plusieurs indicateurs de couplage, ledit degré d'appartenance correspondant au maximum des degrés d'appartenance à chaque ensemble flou desdits indicateurs de couplage. 7- Procédé selon la revendication 6 caractérisé en ce qu'une étape calcule un facteur de couplage FC d'au moins deux fonctions ou sous fonctions Fi et Fj en utilisant la règle de Mamdani (400, 401, 402), ladite règle étant appliquée aux degrés d'appartenance aux ensembles flous résultant d'une combinaison de plusieurs indicateurs de couplage. 8- Procédé selon l'une quelconque des revendications 2 à 7 caractérisé en ce que les portes logiques de l'arbre de défaillance sont définies selon leur degré d'appartenance à une porte ET ou à une porte OU. 9- Procédé selon la revendication 8 caractérisé en ce que le degré 25 d'appartenance d'une porte logique de l'arbre de défaillance est déterminé à l'aide d'au moins un indicateur de couplage. 10- Procédé selon l'une quelconque des revendications 8 ou 9 caractérisé en ce que les probabilités d'occurrence Ph sont évaluées 30 en intégrant les degrés d'appartenance aux portes ET et OU à chaque niveau logique de l'arbre de défaillance. 11- Procédé selon l'une quelconque des revendications précédentes caractérisé en ce que le système critique est un système de contrôle 35 du trafic aérien. 5 12- Procédé selon l'une quelconque des revendications 1 à 10 caractérisé en ce que le système critique est un système de contrôle du trafic ferroviaire. 13- Procédé selon l'une quelconque des revendications 1 à 10 caractérisé en ce que le système critique est un système de contrôle d'au moins un réacteur nucléaire.