Brevet FR3029239A1 — publié le 20160603

DOMAINE TECHNIQUE GENERAL L'invention a pour objet le domaine de la sureté de fonctionnement, et concerne plus précisément un procédé d'évaluation de criticité de pannes, notamment applicable à 5 un aéronef. ETAT DE LA TECHNIQUE Les équipements d'un aéronef peuvent subir différentes défaillances conduisant l'aéronef à se trouver dans une configuration de fonctionnement dégradée. Une telle configuration peut, en fonction du type de défaillance constatée, présenter un risque plus 10 ou moins important pour l'intégrité des passagers de l'appareil. Le système de régulation numérique de l'appareil doit donc pouvoir déterminer pour chaque configuration dégradée potentielle le risque encouru et en déduire si l'aéronef peut être autorisé à continuer à voler ou non. Afin de caractériser le risque encouru, le système de régulation peut par exemple déterminer la probabilité, dans la configuration dégradée courante, de 15 survenance d'un évènement redouté tel que la perte de contrôle de la poussée LOTO (« Loss Of Thrust Control »). En fonction de la valeur d'une telle probabilité, la configuration dégradée courante peut être classée dans une catégorie de fonctionnement donnée dans laquelle un certain temps de fonctionnement reste autorisé. Plus la probabilité de l'évènement redouté augmente, plus la configuration dégradée courante 20 sera classée dans une catégorie autorisant un temps de fonctionnement court, jusqu'à ce que l'arrêt immédiat de l'aéronef soit requis dans la catégorie la plus élevée. Afin qu'une telle méthode de gestion de la sureté de fonctionnement soit efficace, il est nécessaire de connaitre pour chaque configuration dégradée potentielle, c'est-à-dire pour chaque combinaison d'une ou plusieurs défaillances possibles, la probabilité de 25 survenance de l'évènement redouté. Or la complexité de calcul de telles probabilités augmente de manière exponentielle avec le nombre de défaillances prises en compte. De plus, les différentes défaillances pouvant affecter un aéronef peuvent présenter des modes de défaillance communs. De telles défaillances ne peuvent alors plus être considérées comme des évènements indépendants en termes de probabilité. 30 Les méthodes actuelles de calcul de telles probabilités, telles que les méthodes par troncature de coupes minimales ou les diagrammes de décision binaires, ne réalisent réellement un calcul de telles probabilités que pour les configurations dégradées présentant une seule défaillance. La probabilité d'occurrence de l'évènement redouté pour les configurations présentant des défaillances multiples est alors généralement 2 3029239 estimée de manière très conservative en fonction de considérations qualitatives telles que la présence ou non de pannes affectant les deux voies du système de régulation. De plus, les différentes pannes possibles peuvent être considérées comme des évènements indépendants dans les algorithmes de calcul de probabilité, négligeant ainsi les modes de défaillance commun. De telles méthodes d'estimation conduisent ainsi à surévaluer la probabilité de survenance de l'évènement redouté, et donc à requérir un arrêt de l'appareil dans des délais bien plus courts que ceux réellement nécessaires. Ceci peut conduire, par exemple dans le cas de pannes multiples dont la combinaison présente une criticité faible, à interdire le redécollage d'un aéronef et à requérir une opération de maintenance de manière prématurée alors que l'aéronef présente encore un niveau de sureté de fonctionnement tout à fait compatible avec une prolongation de la durée de vol. Enfin, les procédés de calcul existants nécessitent d'être mis en oeuvre de manière répétée, pour chaque configuration dégradée à prendre en compte, et présentent ainsi une consommation de ressources de calcul importante. Il existe donc un besoin d'un procédé d'évaluation de criticité de pannes permettant de calculer de manière exacte la probabilité de survenance d'un évènement redouté pour une pluralité de pannes possibles, y compris pour des configurations dégradées présentant des pannes multiples, en un temps de calcul réduit, afin de ne requérir une interruption de la disponibilité de l'aéronef pour maintenance que dans des délais strictement nécessaires. PRESENTATION DE L'INVENTION La présente invention se rapporte ainsi selon un premier aspect à un procédé de surveillance du fonctionnement d'une turbomachine pilotée par un système de régulation 25 numérique comprenant au moins un composant, caractérisé en ce qu'un système de surveillance de fonctionnement met en oeuvre des étapes de : - acquisition d'informations d'état de fonctionnement relatives à l'état de l'au moins un composant ; - détermination en fonction des informations d'état acquises d'une configuration 30 dégradée courante dans laquelle au moins un desdits composants est défaillant ; - détermination d'une classification de ladite configuration dégradée courante à l'aide d'au moins une table de classification stockée dans un dispositif de stockage, lesdites tables de classification associant à au moins une configuration 3 3029239 dégradée une classification traduisant le niveau de criticité de ladite configuration dégradée, lesdites tables étant obtenues par calcul d'une probabilité conditionnelle d'un évènement redouté prédéfini à partir de la probabilité d'occurrence d'évènements élémentaires relatifs à une défaillance d'un desdits composants, 5 - estimation d'un temps de fonctionnement autorisé de ladite turbomachine en fonction de ladite classification déterminée pour ladite configuration dégradée courante. Un tel procédé permet d'estimer le niveau de criticité de la configuration courante à partir d'un calcul exact de la probabilité conditionnelle de l'évènement 10 redouté dans cette configuration dégradée. Le procédé selon le premier aspect peut comprendre en outre la mise en oeuvre d'au moins une opération de maintenance lorsque le temps de fonctionnement autorisé estimé est inférieur à un seuil prédéterminé. Une telle mise en oeuvre permet de ne déclencher une opération de 15 maintenance que lorsque le système présente des pannes le nécessitant réellement. L'étape d'obtention des tables de classification associant une classification à chaque configuration dégradée d'un ensemble prédéfini de configurations dégradées peut préalablement être mise en oeuvre hors ligne et peut comprendre : 20 - la modélisation d'un arbre de défaillances représentant des combinaisons logiques possibles d'évènements conduisant à la réalisation dudit évènement redouté prédéfini, les feuilles de l'arbre représentant lesdits évènements élémentaires, - pour chaque configuration dégradée dudit ensemble prédéfini : o le calcul, à partir de la probabilité d'occurrence d'évènements élémentaires, de la probabilité conditionnelle dans ladite configuration dégradée dudit évènement redouté prédéfini, o l'association dans une desdites tables d'une classification avec ladite configuration dégradée en fonction de la probabilité conditionnelle calculée. Ceci permet de calculer efficacement la probabilité de survenance de l'évènement redouté à partir des probabilités connues des évènements 4 3029239 élémentaires et d'en déduire la classification à affecter à chaque configuration dégradée possible. Le calcul de la probabilité conditionnelle de l'évènement redouté prédéfini dans une configuration dégradée peut comprendre : 5 - pour chaque évènement de l'arbre de défaillances représentant une combinaison logique d'évènements fils de l'arbre, la détermination d'une première formule exprimant la probabilité de cet évènement en fonction desdits évènements fils, l'identification d'évènements élémentaires répétés dans l'arbre parmi lesdits évènements fils et la détermination d'une seconde formule, 10 dite formule factorisée, par factorisation de ladite première formule en fonction des évènements élémentaires répétés identifiés, chaque terme de factorisation de ladite formule factorisée ne dépendant que d'évènements indépendants du facteur auquel il est associé, - l'identification dans l'arbre des évènements réalisés dans ladite configuration 15 dégradée, - le calcul de la probabilité conditionnelle de l'évènement redouté prédéfini dans ladite configuration à partir desdites formules factorisées, des évènements réalisés identifiés, et des probabilités des évènements élémentaires. 20 Une telle factorisation permet de simplifier grandement l'expression de telles formules et le calcul des probabilités des évènements de l'arbre résultant de la combinaison de multiples évènements élémentaires, sans négliger de prendre en compte les interdépendances possibles entre les différentes branches de l'arbre. 25 Les formules factorisées peuvent par ailleurs être tronquées. Une telle troncature permet de simplifier l'expression des formules sans modifier substantiellement la valeur des probabilités calculées. L'étape de calcul de probabilité conditionnelle dans une configuration dégradée de l'évènement redouté prédéfini peut comprendre, pour un évènement 30 réalisé identifié, le calcul d'une probabilité conditionnelle dans ladite configuration dégradée d'au moins un évènement élémentaire répété dans l'arbre parmi les 5 3029239 évènements fils dudit évènement réalisé, à l'aide de la formule factorisée correspondant audit évènement réalisé. Un tel mode de mise en oeuvre permet de réévaluer la probabilité de certains événements élémentaires en prenant en compte les évènements 5 effectivement réalisés dans une configuration dégradée donnée. Dans un premier mode de mise en oeuvre, ledit dispositif de stockage comprenant un premier nombre de tables de classification et, pour chacune de ces tables, toutes les configurations d'une table comprenant le même nombre de composants défaillants, l'étape de détermination d'une classification de ladite 10 configuration dégradée courante, dans laquelle une pluralité de composants, dits composants défaillants courants, sont défaillants, comprend la recherche, parmi lesdites tables, en parcourant celles-ci par ordre croissant de nombre de composants défaillants, de la configuration dégradée associée à une classification traduisant un niveau de criticité maximal fixé dans laquelle le plus petit nombre de 15 composants parmi les composants défaillants courants sont défaillants. Un tel premier mode de mise en oeuvre permet de ne parcourir qu'un nombre limité de tables de taille réduite lorsqu'un nombre réduit de composants défaillants de la configuration recherchée dans les tables suffit à associer cette configuration avec le niveau de criticité le plus élevé. 20 Dans un deuxième mode de mise en oeuvre, ledit dispositif de stockage comprenant un premier nombre de tables de classification et, pour chacune de ces tables toutes les configurations d'une table comprenant le même nombre de composants défaillants, l'étape de détermination d'une classification de ladite configuration dégradée courante, dans laquelle une pluralité de composants, dits 25 composants défaillants courants, sont défaillants, comprend la détermination de la classification associée à la configuration dégradée courante dans la table associant une classification à des configurations dégradées comprenant le même nombre de composants défaillants que le nombre de composants défaillants courants. 30 La classification de la configuration dégradée courante peut ainsi être trouvée dans la table adéquate dédiée aux configurations présentant le même nombre de composants défaillants que la configuration courante. Ladite pluralité de composants peut comprendre au moins deux composants défaillants, par exemple deux composants défaillants. 6 3029239 Lors de l'étape de détermination d'une classification de ladite configuration dégradée courante si aucune desdites tables n'associe une classification à la configuration dégradée courante, la classification traduisant un niveau de criticité maximal peut être associée à ladite configuration dégradée courante. 5 Ceci permet d'affecter une classification conservative à la classification courante en cas de manque d'information dans les tables disponibles. Selon un deuxième aspect, l'invention concerne un produit programme d'ordinateur comprenant des instructions de code pour l'exécution d'un procédé selon le premier aspect lorsque ce programme est exécuté par un processeur. 10 Selon un troisième aspect l'invention concerne un système de surveillance du fonctionnement d'une turbomachine pilotée par un système de régulation numérique (FADEC) comprenant au moins un composant, caractérisé en ce qu'il comprend : - un module d'acquisition d'informations d'état de fonctionnement relatives à l'état 15 de l'au moins un composant, - un dispositif de stockage stockant au moins une table de classification associant à au moins une configuration dégradée une classification traduisant le niveau de criticité de ladite configuration dégradée, lesdites tables étant obtenues par calcul d'une probabilité conditionnelle d'un évènement redouté prédéfini (LOTO) à partir 20 de la probabilité d'occurrence d'évènements élémentaires relatifs à une défaillance d'un desdits composants, - un module de détection de panne pour déterminer en fonction des informations d'état acquises une configuration dégradée courante dans laquelle au moins un desdits composants est défaillant, 25 - un module de calcul pour déterminer une classification de ladite configuration dégradée courante à l'aide desdites tables de classification stockées, et pour estimer un temps de fonctionnement autorisé de ladite turbomachine en fonction de ladite classification déterminée de ladite configuration dégradée courante. De tels produit programme d'ordinateur et système de surveillance présentent les 30 mêmes avantages que ceux évoqués pour le procédé selon le premier aspect. 7 3029239 PRESENTATION DES FIGURES D'autres caractéristiques et avantages apparaîtront à la lecture de la description qui va suivre d'un mode de réalisation. Cette description est donnée en référence aux 5 dessins annexés dans lesquels : - la figure 1 illustre un exemple d'architecture d'un système de régulation numérique de type FADEC pour une mise en oeuvre du procédé selon l'invention ; - la figure 2 illustre un exemple d'architecture comprenant un système de surveillance du fonctionnement d'une turbomachine TLD (« Time Limited 10 Dispatch ») pour une mise en oeuvre du procédé selon l'invention ; - la figure 3 illustre un exemple d'arbre de défaillance pour une mise en oeuvre du procédé selon l'invention ; - la figure 4 illustre un autre exemple d'arbre de défaillance pour une mise en oeuvre du procédé selon l'invention ; 15 - les figures 5a et 5b sont des diagrammes schématisant un exemple de mise en oeuvre d'un procédé de surveillance de fonctionnement d'une turbomachine selon l'invention ; - la figure 6 illustre un autre exemple d'arbre de défaillance pour une mise en oeuvre du procédé selon l'invention ; 20 - la figure 7 illustre un autre exemple d'arbre de défaillance pour une mise en oeuvre du procédé selon l'invention dans lequel un évènement U est réalisé ; - la figure 8 illustre une première mise en oeuvre de l'étape de détermination de classification selon l'invention ; - la figure 9 illustre une deuxième mise en oeuvre de l'étape de détermination de 25 classification selon l'invention. 8 3029239 DESCRIPTION DETAILLEE En référence à la figure 1, une mise en oeuvre pour l'invention concerne un procédé de surveillance du fonctionnement d'une turbomachine d'un aéronef pilotée par 5 un système de régulation numérique 1 de type FADEC (« Full Authority Digital Engine Control »), comprenant au moins un composant. Un tel système de régulation numérique comprend notamment des composants électroniques de calculateurs 2a répartis entre deux voies A et B. Le système de régulation comprend également des capteurs 2b mesurant divers paramètres physiques 10 de la turbomachine tels que le régime de la turbine haute pression (HP) (N2) ou basse pression (BP) (Ni), la pression en sortie de compresseur ou la température en entrée de turbine. Les signaux envoyés aux calculateurs par ces capteurs sont utilisés par ceux-ci conjointement à des données issues de bus de transmission de données 2c, tels que les bus ARINC, pour déterminer en permanence l'état de la turbomachine. 15 Le système de régulation comprend également des actionneurs 2d, tels que les actionneurs de calage des stators du compresseur haute pression (« Variable Stator Vane » VSV) ou de dosage de carburant (« Fuel metering valve » FMV), pilotés par les calculateurs pour assurer la régulation de la turbomachine. Ces composants du système de régulation peuvent être affectés par des 20 défaillances plus ou moins graves, susceptibles d'affecter la capacité du système à assurer correctement la régulation de la turbomachine. Le système se trouve alors dans une configuration dégradée. De telles défaillances doivent donc être détectées et prises en compte afin de déterminer pour chaque configuration dégradée potentielle le risque encouru et d'en déduire si l'aéronef peut être autorisé à continuer à voler ou non. 25 Pour cela, l'aéronef est doté d'un système de surveillance du fonctionnement d'une turbomachine TLD (« Time Limited Dispatch ») 3 représenté en figure 2 et pouvant être en tout ou partie inclus dans le système de régulation numérique 1. Le système TLD a pour fonction de donner en temps réel une estimation du temps de vol autorisé en fonction de la configuration courante, qu'elle soit saine ou dégradée. Le temps autorisé de 30 fonctionnement est déterminé par le système TLD sur la base des résultats d'analyses de sûreté de fonctionnement qui évaluent la probabilité résiduelle d'occurrence d'un évènement redouté tel que la perte de contrôle de la poussée LOTO (« Loss Of Thrust Control ») défini comme l'état dans lequel la poussée du moteur ne peut plus être modulée par la manette de contrôle de la poussée ou lorsqu'une perte ou des oscillations 9 3029239 de poussée supérieures à 10% se produisent. Lorsque le système est dans une configuration dégradée déterminée, sa probabilité LOTO instantanée augmente par rapport à celle correspondant à une configuration sans défaillance dans la mesure où certaines fonctionnalités ne sont plus disponibles, par exemple en cas de perte de la 5 sonde de régime de la turbine BP de la voie A ou de perte de la commande électrique d'un actionneur. En fonction de la valeur d'une telle probabilité, la configuration dégradée courante peut être classée dans une catégorie de fonctionnement donnée dans laquelle un certain temps de fonctionnement reste autorisé. Plus la probabilité de l'évènement redouté 10 augmente, plus la configuration dégradée courante sera classée dans une catégorie autorisant un temps de fonctionnement court, jusqu'à ce que l'immobilisation de l'aéronef après sa mission en cours soit requise dans la catégorie la plus élevée. Un exemple de classification est donné dans le tableau en annexe 1. Le système TLD est relié aux divers composants du système de régulation par 15 l'intermédiaire d'un module d'acquisition 7 et comporte un module de détection de panne (« Build In Test Equipement » BITE) 4. Ce module peut déterminer, à partir des signaux reçus des composants du système acquis par le module d'acquisition 7, les défaillances présentées par ces composants, et donc la configuration dégradée courante. Ce module peut également déterminer les pannes d'autres composants de la turbomachine. Les 20 composants dont les pannes sont détectées sont préférentiellement des composants dont une panne ne rend pas la turbomachine inutilisable, tels que certains des vérins. Le système TLD comprend également un module de calcul 5 apte à déterminer une classification de la configuration dégradée courante. Pour cela, le système de régulation comprend un dispositif de stockage 6 relié au système TLD et stockant au 25 moins une table de classification associant à au moins une configuration dégradée une classification traduisant le niveau de criticité de ladite configuration dégradée. Les éléments du système TLD peuvent être en tout ou partie inclus dans un ou plusieurs systèmes de régulation numérique FADEC de l'aéronef et/ou dans toute autre partie du système informatique de l'aéronef. Certains équipements informatiques de 30 l'aéronef peuvent à la fois jouer le rôle d'un ou plusieurs éléments du système TLD et assurer par ailleurs des fonctions supplémentaires. Ces éléments peuvent également être des éléments dédiés distincts des autres équipements informatiques de l'aéronef et utilisés uniquement pour la mise en oeuvre des fonctions du système TLD. 10 3029239 Des tables couvrant non seulement les configurations dégradées présentant une défaillance simple mais également certaines configurations présentant des défaillances multiples peuvent être utilisées. A titre d'exemple, tout ou partie des configurations présentant deux ou trois défaillances peuvent être associées à une classification de 5 criticité dans ces tables. Un exemple de telles tables est donné en annexe 2. La classification associée à une configuration dégradée dans ces tables peut être déterminée à partir d'un calcul de la probabilité exacte d'occurrence de l'évènement redouté LOTO dans cette configuration dégradée, et non de manière approchée par l'application de conservatismes. Une telle probabilité peut être obtenue par calcul d'une 10 probabilité conditionnelle de l'évènement redouté LOTO à partir de la probabilité d'occurrence d'évènements élémentaires relatifs à une défaillance d'un desdits composants du système de régulation. Un tel calcul de probabilité conditionnelle peut être réalisé à l'aide d'un arbre de défaillance tel que celui représenté en figure 3. Un tel arbre représente graphiquement 15 des combinaisons logiques possibles d'évènements conduisant à la réalisation dudit évènement redouté LOTO. Les feuilles d'un tel arbre, c'est-à-dire les noeuds de plus bas niveau de l'arbre dénués de noeuds fils, correspondent à des évènements élémentaires. Ces évènements élémentaires sont relatifs à la défaillance d'un composant du système de régulation. Dans l'exemple de la figure 3 ces évènements élémentaires sont la perte 20 de la commande par la voie A des actionneurs de calage des stators du compresseur haute pression (VSV), la perte de la commande par la voie B des actionneurs de calage des stators du compresseur haute pression (VSV), la perte de la commande par la voie B des actionneurs de dosage du carburant (« Fuel Meter Valve » FMV), la perte par la voie B ou la voie A du capteur de régime de la turbine BP (Ni) et la perte de la voie B. Les 25 autres noeuds de l'arbre correspondent à des évènements pouvant s'exprimer comme une combinaison booléenne à l'aide de portes logiques de ces évènements élémentaires. Le sommet de l'arbre correspond à l'évènement redouté LOTO. A l'aide d'un tel arbre, il est possible de calculer pour chaque évènement correspondant à un noeud de l'arbre, c'est-à-dire à une combinaison d'évènements élémentaires, la formule exprimant la 30 probabilité de cet évènement en fonction de ses évènements fils dans l'arbre. De telles formules peuvent être calculées pour tous les noeuds jusqu'au noeud racine correspondant à l'évènement LOTO. La connaissance des probabilités des évènements élémentaires permet alors de calculer la probabilité d'occurrence de tout évènement de l'arbre, y compris de l'évènement LOTO. A titre d'exemple, en notant « A » la probabilité d'un évènement A, un évènement U correspondant à ((l'évènement A) OU (l'évènement B)), les évènements A et B étant supposés indépendants, aura pour formule U = A + B - 11 3029239 A.B. A titre d'exemple complémentaire, les formules d'une partie des évènements correspondant à l'arbre représenté en figure 4 sont données dans le tableau en Annexe 3. Il convient de noter que, dans de telles formules, les exposants des termes portés à une puissance entière supérieure à 1 peuvent être supprimés. Par exemple un terme en 5 A2 pourrait être remplacé par le terme A. En effet, un terme en A2 correspond d'un point de vue booléen à la combinaison d'évènements ((évènement A) ET (évènement A)), équivalente bien évidemment à l'évènement A dont la probabilité est « A ». Plus précisément, en référence à l'organigramme de la figure 5a, lors d'une étape 10 d'acquisition E101, le système acquiert des informations d'état de fonctionnement relatives à l'état de l'au moins un composant du système de régulation. Lors d'une première étape de détermination E102, le système détermine en fonction des informations d'état acquises une configuration dégradée courante dans laquelle au moins un desdits composants est défaillant. Alternativement, si aucun des 15 composants n'est défaillant, le système détermine une configuration courante saine. Lors d'une étape de détermination de classification E103, le système détermine une classification de la configuration dégradée courante à l'aide d'au moins une table de classification stockée dans le dispositif de stockage 6, lesdites tables de classification associant à au moins une configuration dégradée une classification traduisant le niveau 20 de criticité de ladite configuration dégradée, lesdites tables étant obtenues par calcul d'une probabilité conditionnelle d'un évènement redouté prédéfini LOTO à partir de la probabilité d'occurrence d'évènements élémentaires relatifs à une défaillance d'un desdits composants. De telles tables peuvent être calculées hors ligne par un système extérieur et être stockées dans le dispositif de stockage 6 pour une utilisation ultérieure en vol. 25 Lors d'une étape d'estimation E104, le système estime un temps de fonctionnement autorisé de la turbomachine en fonction de la classification déterminée pour la configuration dégradée courante. Une opération de maintenance peut être mise en oeuvre lors d'une étape de maintenance E105 lorsque le temps de fonctionnement autorisé estimé est inférieur à un 30 seuil prédéterminé. Par exemple une opération de maintenance peut être initiée une fois l'aéronef revenu à terre si le système de régulation présente une combinaison de pannes nécessitant un arrêt immédiat, autant que possible, de la turbomachine, c'est-à-dire si lors de l'étape d'estimation le temps de fonctionnement autorisé de la turbomachine a été estimé nul. 12 3029239 Des tables de classification associant une classification à chaque configuration dégradée d'un ensemble prédéfini de configurations dégradées, stockées dans le dispositif de stockage et utilisées lors de l'étape de détermination de classification E103 peuvent être obtenues lors d'une étape d'obtention des tables de classification E106. 5 Cette étape d'obtention des tables de classification E106 peut être mise en oeuvre hors-ligne, préalablement à la mise en oeuvre des autres étapes du procédé. Cette étape peut par exemple être mise en oeuvre par des dispositifs de calcul dédiés, à terre, dans les locaux du constructeur du système de régulation, avant le décollage de l'aéronef. Cette étape d'obtention des tables de classification E106 peut comprendre une 10 étape de modélisation E1061 au cours de laquelle est modélisé un arbre de défaillances représentant des combinaisons logiques possibles d'évènements conduisant à la réalisation de l'évènement redouté prédéfini LOTC, les feuilles de l'arbre représentant lesdits évènements élémentaires, comme expliqué ci-dessus. Comme illustré en figure 5b, cette étape d'obtention des tables de classification 15 E106 peut également comprendre, pour chaque configuration de l'ensemble prédéfini de configurations dégradées à prendre en compte dans les tables de classification en cours de génération : - une première étape de calcul E1062, à partir de la probabilité d'occurrence d'évènements élémentaires, de la probabilité conditionnelle dans ladite 20 configuration dégradée de l'évènement redouté prédéfini, - une étape d'association E1063 dans une desdites tables d'une classification avec ladite configuration dégradée en fonction de la probabilité conditionnelle calculée. 25 Le calcul lors de la première étape de calcul E1062 d'une probabilité d'un évènement en fonction de la probabilité d'occurrence d'évènements élémentaires peut être rendu complexe par le fait que certains évènements élémentaires peuvent être répétés dans plusieurs branches de l'arbre. Les différentes branches de l'arbre conduisant à l'évènement dont on veut calculer la probabilité d'occurrence ne sont alors 30 plus des évènements indépendants. Pour simplifier le calcul de probabilité dans de telles circonstances, la première étape de calcul E1062 peut comprendre pour chaque évènement de l'arbre de défaillances représentant une combinaison logique d'évènements fils de l'arbre: 13 3029239 - une étape de détermination de premières formules E10621 au cours de laquelle on détermine une première formule exprimant la probabilité de cet évènement en fonction desdits évènements fils, - une première étape d'identification d'évènements répétés E10622 au cours de 5 laquelle on détermine des évènements élémentaires répétés dans l'arbre parmi les évènements fils dudit évènement, et - une étape de factorisation E10623 au cours de laquelle on détermine une seconde formule, dite formule factorisée, par factorisation de la première formule dudit évènement en fonction des évènements élémentaires répétés identifiés , chaque 10 terme de factorisation de ladite formule ne dépendant que d'évènements indépendants du facteur auquel il est associé. Les probabilités des évènements élémentaires répétés à divers endroits de l'arbre apparaissent ainsi clairement dans les formules. La probabilité d'un évènement associant deux branches de l'arbre comportant des évènements élémentaires au moins en partie 15 identiques peut alors être calculée aisément. A titre d'exemple, les formules factorisées correspondant à une partie des évènements de l'arbre de la figure 4 sont données dans le tableau en Annexe 3. Les évènements répétés de cet arbre sont les évènements A et C. Les probabilités des évènements U et V peuvent être exprimées sous forme factorisée en fonction des 20 probabilités des évènements répétés, c'est-à-dire en fonction de A et C. A l'aide de ces formules factorisées, la formule factorisée de l'évènement X = U OU V peut également être écrite sous forme factorisée en fonction de A et C. Dans toutes ces formules chaque terme de factorisation ne dépend que d'évènements indépendants du ou des évènements élémentaires auxquels correspond le facteur. Ainsi, UA, XA et XAc ne dépendent que des 25 évènements B et D qui sont indépendants de A. Le calcul de la probabilité de l'évènement racine de l'arbre à partir de la probabilité de l'évènement X sera facilité puisque celle-ci fait déjà apparaitre clairement les termes A, C et AC qui vont également se retrouver dans la formule factorisée exprimant la probabilité de l'évènement Y. A titre de deuxième exemple, les formules correspondant aux évènements de 30 l'arbre de la figure 6 sont données dans le tableau en Annexe 4. Les formules factorisées des probabilités des évènements M et N étant déjà exprimées en fonction des évènements élémentaires répétés A et C, il est simple de déterminer la formule factorisée de la probabilité de l'évènement Y. 14 3029239 Afin de limiter le nombre de termes apparaissant dans de telles formules pour conserver un temps de calcul acceptable, il est possible de réaliser une troncature des formules factorisées. Par exemple, les termes correspondant à un produit d'un nombre élevé de termes élémentaires, plus de quatre ou cinq par exemple, peuvent être 5 supprimés des formules, comme dans le cas d'un calcul de probabilité par troncature. De tels termes correspondent en effet à l'occurrence d'autant de pannes de manière simultanée et présentent donc une faible probabilité. La première étape de calcul E1062 peut également comprendre une deuxième étape d'identification E10624 au cours de laquelle on identifie les évènements de l'arbre 10 réalisés dans la configuration dégradée pour laquelle la probabilité conditionnelle de l'évènement redouté prédéfini doit être calculée, et une deuxième étape de calcul E10625 au cours de laquelle la probabilité conditionnelle de l'évènement redouté prédéfini dans ladite configuration dégradée est calculée à partir desdites formules factorisées, des évènements réalisés identifiés, et des probabilités des évènements élémentaires. 15 A titre d'exemple, dans le cas de l'arbre représenté en figure 4, lorsque la configuration dégradée pour laquelle on veut calculer une probabilité conditionnelle de l'évènement redouté consiste en ce que l'évènement U soit réalisé, les évènements concernés dans l'arbre sont identifiés, comme représenté sur l'arbre en figure 7. La probabilité conditionnelle des autres évènements de l'arbre est alors calculée en tenant 20 compte du fait que l'évènement U est réalisé, c'est-à-dire que sa probabilité est égale à 1. Les formules correspondant à certains des évènements de l'arbre représenté en figure 7 sont données dans le tableau en Annexe 5. Puisque U=1, on peut choisir de poser UA= 0 et U0=1. Les termes de factorisation de la formule de X peuvent alors être recalculés et la probabilité de X sachant U vaut 1. 25 De plus, la deuxième étape de calcul E10625 peut comprendre, pour au moins un évènement réalisé identifié dans une configuration dégradée, une troisième étape de calcul E106251 au cours de laquelle la probabilité conditionnelle dans ladite configuration dégradée d'au moins un évènement élémentaire répété dans l'arbre parmi les évènements fils dudit évènement réalisé est calculée à l'aide de la formule factorisée 30 correspondant audit évènement réalisé. Le fait qu'un évènement soit réalisé modifie les probabilités des évènements élémentaires ayant pu conduire à l'évènement réalisé. Ceci est particulièrement important dans le cas d'évènements élémentaires répétés puisque leur probabilité va être utilisée pour calculer la probabilité d'autres évènements que l'évènement réalisé. 15 3029239 A titre d'exemple, dans le cas de l'arbre représenté en figure 7 dont les formules sont données dans le tableau en Annexe 5, la formule de A peut être recalculée en tenant compte du fait que U=1, à l'aide de la formule factorisée de U. La probabilité de A sachant U pourra ensuite être utilisée pour calculer la probabilité de Y sachant U. 5 A l'issue de la première étape de calcul E1062, lors de l'étape d'association E1063, la probabilité conditionnelle dans ladite configuration dégradée de l'évènement redouté prédéfini calculée est comparée à un ou plusieurs critères, tels que ceux présentés en annexe 1, et cette configuration dégradée est associée à une classification adéquate dans une des tables de classification. 10 A l'issue de l'étape E106, un ensemble de tables associant à diverses configurations dégradées potentielles une classification traduisant le niveau de criticité de ladite configuration dégradée est donc obtenu, tel que celui représenté en Annexe 2. Ces tables peuvent être stockées dans un dispositif de stockage et utilisées lors de l'étape de détermination de classification E103 pour déterminer la classification d'une configuration 15 dégradée courante. Plus précisément, ledit dispositif de stockage peut comprendre un premier nombre de tables de classification, et pour chacune de ces tables toutes les configurations d'une table peuvent comprendre le même nombre de composants défaillants. A titre d'exemple, le dispositif de stockage peut stocker N tables correspondant respectivement à des 20 configurations dégradées avec une panne simple, deux pannes simultanées, ... , M pannes simultanées, M pouvant être égal à N ou différent. L'étape de détermination de classification E103 peut alors comprendre, pour la configuration dégradée courante, dans laquelle une pluralité de composants, dits composants défaillants courants, sont défaillants, la recherche, parmi lesdites tables, en 25 parcourant celles-ci par ordre croissant de nombre de composants défaillants, de la configuration dégradée associée à une classification traduisant un niveau de criticité maximal fixé dans laquelle le plus petit nombre de composants parmi les composants défaillants courants sont défaillants. Lorsque le nombre de composants défaillants augmente, le nombre de 30 configurations dégradées correspondantes possibles augmente également et la taille des tables correspondantes augmente donc rapidement avec l'augmentation du nombre de composants en panne si elles prennent en compte toutes les configurations dégradées possibles. Afin de limiter le temps nécessaire pour déterminer la classification de la configuration dégradée courante on cherche ainsi à déterminer si un sous-ensemble des 16 3029239 composants défaillants est associé à un niveau de criticité maximal, en commençant par les tables les plus petites, c'est-à-dire celles correspondant à un nombre faible de composants défaillants. Si un sous-ensemble des composants défaillants est associé au niveau de criticité maximal, le parcours de la table correspondant au nombre de 5 composants de ce sous-ensemble suffit à déterminer que la configuration courante est associée au niveau de criticité maximal et les tables correspondant à davantage de composants défaillants n'ont pas besoin d'êtres parcourues. A titre d'exemple, comme représenté en figure 8, une première table 81 comprend des configurations à 1 composant défaillant, une deuxième table 82 comprend des 10 configurations à 2 composants défaillants, une troisième table 83 comprend des configurations à 3 composants défaillants. Lorsqu'un seul composant est défaillant, correspondant à une défaillance F1, la classification associée à cette configuration est recherchée 107 dans la première table 81. Lorsque la configuration dégradée courante comprend deux composants défaillants, correspondant à deux défaillances F1 et F2, la 15 première table 81 est tout d'abord parcourue pour déterminer 108 si une configuration présentant la défaillance F1 ou la défaillance F2 est associée à la classification A traduisant un niveau de criticité maximal. Si c'est le cas, la configuration dégradée courante présentant les défaillances F1 et F2 peut être associée 109 à la classification A sans avoir besoin de parcourir la deuxième table 82. Sinon, la deuxième table 82 est 20 parcourue pour y chercher la classification associée à la configuration présentant les défaillances F1 et F2 110. De façon similaire, lorsque la configuration dégradée courante comprend trois composants défaillants, correspondant à trois défaillances F1, F2 et F3, la première table 81 est tout d'abord parcourue pour déterminer 111 si une configuration présentant la défaillance F1, F2 ou F3 est associée à la classification A 112. Si ce n'est 25 pas le cas la deuxième table 82 est ensuite parcourue pour déterminer 113 si une configuration présentant une combinaison de deux défaillances parmi les défaillances F1, F2 et F3 est associée à la classification A 114. Si ce n'est pas le cas la troisième table 83 est enfin parcourue pour y chercher 115 la classification associée à la configuration présentant les défaillances F1, F2 et F3 116. 30 L'étape de détermination de classification E103 peut également comprendre, pour la configuration dégradée courante, dans laquelle une pluralité de composants, dits composants défaillants courants, sont défaillants, la détermination de la classification 118 associée à la configuration dégradée courante dans la table associant une classification à des configurations dégradées comprenant le même nombre de composants défaillants 35 que le nombre de composants défaillants courants. A titre d'exemple, comme représenté en Figure 9, si la configuration courante présente P défaillances, sa classification peut 17 3029239 être recherchée 117 dans la table correspondant aux configurations dégradées avec P composants en panne. Une telle recherche peut être mise en oeuvre directement au lieu de parcourir les tables par ordre croissant du nombre de composants défaillants comme indiqué ci-dessus, ou bien une telle recherche peut être effectuée lorsque la recherche 5 par ordre croissant du nombre de composants défaillants dans les tables correspondant à 1 à P-1 défaillances n'a pas permis d'identifier un sous-ensemble de composants défaillants associé au niveau de criticité maximal. Un tel procédé peut être appliqué à une configuration courante comprenant plus d'un composant défaillant, par exemple deux composants défaillants. Le dispositif de 10 stockage comprend alors notamment une table de classification des configurations à trois défaillances permettant de déterminer de manière précise la classification de configurations dégradées courantes à deux défaillances. Le procédé selon l'invention permet ainsi d'obtenir une classification très précise des configurations dégradées multipannes à plus de d'une défaillance alors qu'une telle détermination n'était jusqu'ici pas 15 permise par les procédés existants. Si aucune desdites tables n'associe une classification à la configuration dégradée courante, la classification traduisant un niveau de criticité maximal peut être associée 119 à ladite configuration dégradée courante. En l'absence d'information sur la criticité des pannes de la configuration courante, le niveau de criticité maximal peut ainsi être retenu 20 de manière conservative. Afin de minimiser la taille des tables, une table correspondant à des configurations dégradées à N pannes peut ne répertorier que des configurations dégradées à N composants défaillants telles qu'aucune configuration dont les composants défaillants sont un sous-ensemble de ces N composants défaillants n'est associée au niveau de 25 criticité maximal dans les autres tables. A titre d'exemple, si la configuration dégradée correspondant aux défaillances des composants A ET B est associée au niveau de criticité maximal, il est inutile d'associer une classification aux configurations dans lesquelles au moins trois composants dont les composants A et B sont défaillants dans les tables correspondant à trois pannes ou plus. Le parcours de la table correspondant à 30 des configurations à deux pannes suffit à déterminer que toutes ces configurations dans lesquelles les composants A et B sont défaillants seront également associées au niveau de criticité maximal. Ainsi la probabilité de survenance d'un évènement redouté pour une pluralité de pannes possibles peut être calculée de manière précise et rapide, y compris pour des 35 configurations dégradées présentant des pannes multiples, et en un temps de calcul 18 3029239 réduit, afin de ne requérir une interruption du vol de l'aéronef pour maintenance que dans des délais strictement nécessaires. 19 3029239 Annexe 1 Configuration Probabilité instantanée LOTC Temps de fonctionnement autorisé Classification de la configuration Dégradée LOTC > 10*10-4/h Oh A 7,5*10-5/h Triple panne Classification (VSV act, WF act,N1) même voie 21 3029239 Annexe 3 Noeud Noeuds Formule non Formule factorisée Facteurs descendants développée répétés U A U = A + B - AB U = ZIAA +110 UA = 1- B 110 = B V C V = C + D - CD V = VcC + Vo Vc = 1- D Vo = D X A, C X = U + V - UV X XA= (1 - Vo)UA Xc = (1 - U0)Vc XAc = UAVc = XAA + XcC + XAcAC X0 =110 +Vo -U0V0 + X.0 22 3029239 Annexe 4 Noeud Formule non Formule factorisée développée M M M = M'A A + .11fc C + M'A c A C + .11/(0 N N N = .NAA + .N', Y Y = M. N X = (M'A.NA + MAN, + .7vf0.NA3A + (.7vfc.NA + .MAc.W0 + .MAc.NA)AC + JI/G.1\1'0C + Jvco.wo 23 3029239 Annexe 5 Noeud Formule Action particulière Probabilité U U = UA + Uo On force Pu(UA) = 0 et Pu(U0) = 1 Pt(U) = 1 V V = VcC +Vo U et V sont indépendants. Pt(V) = P(V) X X PU('L1A) = 0 et IPu(1/0) = 1 implique : P(XIU) = 1 = XAA + XcC + XAcAC +10 Pu(XA) = P(X) = Pu(XAc) = 0 et Pu(X0) = 1 A - Comme U a été factorisé en fonction de A: IP u (A) = I E D (A n u)/P(u) Pu (A) AU = UAA +U0A. I E D (U AMA) + I E D (U 0)1 E D (A) = IP(A)IP(A) + IP(1/0) B - B n'est pas un facteur de la formule de U: - 24 REVENDICATIONS1. Procédé de surveillance du fonctionnement d'une turbomachine pilotée par un système de régulation numérique (1) comprenant au moins un composant, caractérisé en ce qu'un système de surveillance de fonctionnement met en oeuvre des étapes de : - acquisition (E101) d'informations d'état de fonctionnement relatives à l'état de l'au moins un composant ; - détermination (E102) en fonction des informations d'état acquises d'une configuration dégradée courante dans laquelle au moins un desdits composants est défaillant ; - détermination d'une classification (E103) de ladite configuration dégradée courante à l'aide d'au moins une table de classification stockée dans un dispositif de stockage (6), lesdites tables de classification associant à au moins une configuration dégradée une classification traduisant le niveau de criticité de ladite configuration dégradée, lesdites tables étant obtenues (E106) par calcul d'une probabilité conditionnelle d'un évènement redouté prédéfini (LOTO) à partir de la probabilité d'occurrence d'évènements élémentaires relatifs à une défaillance d'un desdits composants, - estimation (E104) d'un temps de fonctionnement autorisé de ladite turbomachine en fonction de ladite classification déterminée pour ladite configuration dégradée courante. 2. Procédé selon la revendication 1, comprenant en outre la mise en oeuvre d'au moins une opération de maintenance (E105) lorsque le temps de fonctionnement autorisé estimé est inférieur à un seuil prédéterminé. 3. Procédé selon la revendication 1, dans lequel l'étape d'obtention (E106) des tables de classification associant une classification à chaque configuration dégradée d'un ensemble prédéfini de configurations dégradées est préalablement mise en oeuvre hors ligne et comprend : - la modélisation (E1061) d'un arbre de défaillances représentant des combinaisons logiques possibles d'évènements conduisant à la réalisation dudit évènement 25 3029239 redouté prédéfini (LOTO), les feuilles de l'arbre représentant lesdits évènements élémentaires, - pour chaque configuration dégradée dudit ensemble prédéfini : o le calcul (E1062), à partir de la probabilité d'occurrence d'évènements 5 élémentaires, de la probabilité conditionnelle dans ladite configuration dégradée dudit évènement redouté prédéfini, o l'association (E1063) dans une desdites tables d'une classification avec ladite configuration dégradée en fonction de la probabilité conditionnelle calculée. 10 4. Procédé selon la revendication 3, dans lequel le calcul de la probabilité conditionnelle de l'évènement redouté prédéfini dans une configuration dégradée (E1062) comprend : - pour chaque évènement de l'arbre de défaillances représentant une combinaison logique d'évènements fils de l'arbre, la détermination (E10621) 15 d'une première formule exprimant la probabilité de cet évènement en fonction desdits évènements fils, l'identification (E10622) d'évènements élémentaires répétés dans l'arbre parmi lesdits évènements fils et la détermination (E10623) d'une seconde formule, dite formule factorisée, par factorisation de ladite première formule en fonction des évènements élémentaires répétés identifiés, 20 chaque terme de factorisation de ladite formule factorisée ne dépendant que d'évènements indépendants du facteur auquel il est associé, - l'identification (E10624) dans l'arbre des évènements réalisés dans ladite configuration dégradée, - le calcul (E10625) de la probabilité conditionnelle de l'évènement redouté 25 prédéfini dans ladite configuration à partir desdites formules factorisées, des évènements réalisés identifiés, et des probabilités des évènements élémentaires. 5. Procédé selon la revendication 4, comprenant une troncature des formules factorisées. 30 6. Procédé selon l'une des revendications 4 ou 5, dans lequel l'étape de calcul de probabilité conditionnelle (E10625) dans une configuration dégradée de l'évènement redouté prédéfini comprend, pour un évènement réalisé identifié, 26 3029239 le calcul (E106251) d'une probabilité conditionnelle dans ladite configuration dégradée d'au moins un évènement élémentaire répété dans l'arbre parmi les évènements fils dudit évènement réalisé, à l'aide de la formule factorisée correspondant audit évènement réalisé. 5 7. Procédé selon l'une quelconque des revendications précédentes, dans lequel, ledit dispositif de stockage comprenant un premier nombre de tables de classification et, pour chacune de ces tables, toutes les configurations d'une table comprenant le même nombre de composants défaillants, l'étape de détermination (E103) d'une classification de ladite configuration 10 dégradée courante, dans laquelle une pluralité de composants, dits composants défaillants courants, sont défaillants, comprend la recherche, parmi lesdites tables, en parcourant celles-ci par ordre croissant de nombre de composants défaillants, de la configuration dégradée associée à une classification traduisant un niveau de criticité maximal fixé dans laquelle le plus 15 petit nombre de composants parmi les composants défaillants courants sont défaillants. 8. Procédé selon l'une quelconque des revendications 1 à 6, dans lequel, ledit dispositif de stockage comprenant un premier nombre de tables de classification et, pour chacune de ces tables toutes les configurations d'une 20 table comprenant le même nombre de composants défaillants, l'étape de détermination (E103) d'une classification de ladite configuration dégradée courante, dans laquelle une pluralité de composants, dits composants défaillants courants, sont défaillants, comprend la détermination de la classification associée à la configuration dégradée courante dans la table 25 associant une classification à des configurations dégradées comprenant le même nombre de composants défaillants que le nombre de composants défaillants courants. 9. Procédé selon la revendication précédente, dans lequel ladite pluralité de composants comprend au moins deux composants défaillants. 30 10. Procédé selon l'une des revendications 8 ou 9, dans lequel, lors de l'étape de détermination d'une classification de ladite configuration dégradée courante, si aucune desdites tables n'associe une classification à la configuration dégradée courante, la classification traduisant un niveau de criticité maximal est associée à ladite configuration dégradée courante. 27 3029239 11. Produit programme d'ordinateur comprenant des instructions de code pour l'exécution d'un procédé de surveillance selon l'une quelconque des revendications précédentes lorsque ce programme est exécuté par un processeur 5 12. Système de surveillance du fonctionnement d'une turbomachine pilotée par un système de régulation numérique (1) (FADEC) comprenant au moins un composant (2), caractérisé en ce qu'il comprend : - un module d'acquisition (7) d'informations d'état de fonctionnement relatives à l'état de l'au moins un composant, 10 - un dispositif de stockage (6) stockant au moins une table de classification associant à au moins une configuration dégradée une classification traduisant le niveau de criticité de ladite configuration dégradée, lesdites tables étant obtenues par calcul d'une probabilité conditionnelle d'un évènement redouté prédéfini (LOTO) à partir de la probabilité d'occurrence d'évènements élémentaires relatifs à 15 une défaillance d'un desdits composants, - un module de détection de panne (4) pour déterminer en fonction des informations d'état acquises une configuration dégradée courante dans laquelle au moins un desdits composants est défaillant, - un module de calcul (5) pour déterminer une classification de ladite configuration 20 dégradée courante à l'aide desdites tables de classification stockées, et pour estimer un temps de fonctionnement autorisé de ladite turbomachine en fonction de ladite classification déterminée de ladite configuration dégradée courante.