Brevet FR3093829A1 — publié le 20200918

Description Titre de l'invention : Localisation de panne dans un système d'acquisition redondant [0001] DOMAINE TECHNIQUE GENERAL [0002] L'invention concerne la gestion des pannes dans des systèmes d'acquisitions duplex (aussi appelé systèmes d'acquisition redondants). [0003] L'invention sera illustrée dans le cadre général d'une turbomachine d'un aéronef mais est applicable à tout système d'acquisition duplex. [0004] Le système d'acquisition mesure par exemple la position d'une valve, la course d'un vérin, etc. [0005] ETAT DE L'ART [0006] Un moteur équipant un aéronef monomoteur est généralement plus contraint sur la sécurité que dans le cadre d'une application bimoteur. En effet pour unc application bimoteur, une coupure moteur cst un évènement avec une criticité moindre que pour unc application monomoteur où l'évènement est classé très dangereux puisqu'une perte de la poussée du moteur unique entrainc la perte de la propulsion de l'aéronef. [0007] La gestion des pannes pour unc telle application nécessite donc d'être adaptée afin d'éviter au maximum les pertes de poussée inacceptables (appelée LOTC : Los, Of Thrust Control). Les acquisitions pouvant engendrer un LOTC sont généralement physiquement redondécs (acquisitions duplex) afin d'éviter qu'une panne simple électrique puisse amener au LOTC (exigence de certification CS-E 50 par exemple). [0008] Lc système mécanique ou électrique ou électronique ou toute combinaison in- tervenant dans l'acquisition duplexe est donc redondant : il comprend au moins deux voies A et B effectuant la même fonction d'acquisition. [0009] La redondance physique permet de détecter les pannes simples et de s'en ac- commoder. En effet, un test d'écart A entre les voies A et B (par exemple le calcul de l'écart entre les valeurs mesurées par chaque voie A, B, telle qu'une intensité ou un voltage, ou leurs signaux numériques correspondants) cst généralement effectué sur les acquisitions dans le programme de régulation pour détecter ces pannes simples. [0010] La figure 1 illustre cette méthode. Elle sera décrite par la suite. [0011] Ce test d'écart A calcule l'écart A entre voies A, B et le compare à un seuil de détection prédéfini Th_D : - Si l'écart A entre les voies A et B est inférieur au seuil de détection Th_D, on considère qu'il n'y a pas de panne (soit les deux voies A, B sont effectivement sailles, soit une voie est légèrement défaillante mais la panne est suffisamment faible pour être sans impact au niveau moteur), 2 - Si l'écart A entre les voies A et B est supérieur au seuil de détection Th D, on considère qu'il y a une panne sur une des deux voies A, B puisque cet écart A est trop important pour traduire un comportement physique réel du moteur. On dit alors qu'une panne est détectée. [0012] Une fois détectée, il est alors nécessaire de localiser la panne, c'est-à-dire déterminer la voie défaillante parmi les deux voies testées. [0013] Généralement la localisation est effectuée simultanément à la détection en faisant un vote à trois avec un modèle d'arbitrage : à l'aide d'un modèle de la grandeur physique mesurée (le modèle fournissant des valeurs modélisées de la grandeur physique qui ont été élaborées à partir des mesures d'autres grandeurs physiques dans l'environnement du moteur), la voie A, B la plus proche de ce modèle, c'est-à-dire la voie A, B dont la valeur acquise est la plus proche de la valeur modélisée de la grandeur physique, est considérée valide. [0014] En d'autres termes, quand une panne est détectée et que la voie A (respectivement B) est proche du modèle, alors on considère que la voie B (respectivement A) est défaillante et on sélectionne la voie A (respectivement B). Par exemple, cette sélection signifie que ce sera la voie A qui sera utilisée pour toutes les autres actions concernant l'aéronef. La voie B est fonctionnellement ignorée. [0015] Le problème de cette stratégie est que la précision du modèle est généralement beaucoup moins bonne que la précision du capteur ce qui peut rapidement conduire à des mauvaises localisations. [0016] L'exemple ci-dessous permettra d'illustrer cette situation. [0017] En pratique, la valeur sélectionnée pour les traitements divers subséquent à l'acquisition (utilisation des mesures acquises dans d'autres calculs, etc.) est généralement la moyenne arithmétique entre voies A, B en fonctionnement nominal (i e quand les deux voies A et B sont saines), ce qui permet alors de diviser par deux l'impact d'une panne d'une des deux voies sur la valeur sélectionnée (sur la figure 1, le trait en pointillé jusqu'à t=t1). Cependant en cas de mauvaise localisation (c'est-à-dire que si en cas de panne, on sélectionne la voie défaillante), l'erreur est prise en totalité ce qui est le cas le plus défavorable. [0018] En effet, si on considère que Voie_saine=Valeur_réelle et Voie_défaillante=Valeur_réelle+Défaillance, on observe bien que la sélection de la voie défaillante est plus défavorable que l'absence d'accommodation. [0019] Si on choisit la voie saine, alors on a Valeur_sélectionnée=Voie_saine=Valeur_réelle [0020] Si on choisit la moyenne entre voies, alors on a Valeur_sélectionnée=1/2 (Voie_saine+Voie_défaillante) =1/2 (Valeur_réelle+Valeur_réelle+Défaillance) 3 = Valeur réelle+ 1/2 Défaillance [0021] Si on choisit la voie défaillante, alors on a Valeur sélectionnée=Voie défaillante =Valeur réelle+Défaillance [0022] Ainsi, en cas de mauvaise sélection, on subit la défaillance dans son intégralité, contre seulement la moitié de la défaillance dans le cas d'une prise en compte dc la moyenne. [0023] Dans l'exemple de la figure 1, on considère un capteur avec une voie B en dérive. On suppose qu'un évènement redouté (LOTC par exemple) arrive si on se trompe de 8K sur la mesure (seuil de défaillance Th Err). [0024] On définit (paramètre de conception) un seuil de détection de l'écart entre voies (seuil de « cross-check ») Th _D de 1K et on impose que la localisation se fasse en même temps que la détection. De plus, en fonctionnement nominal, on sélectionne la moyenne entre voies A, B. [0025] Au moment tO, une des deux voies dérive (supposons qu'il s'agisse de la voie B). La courbe sélectionnée, qui correspond à la moyenne en régime nominal dérive deux fois plus lentement (sur la figure 1, le trait en pointillé jusqu' t=t1). A tl, la voie B atteint le seuil dc détection. Comme les capteurs des voies A et B sont précis, cette détection est fiable (i.c. il y a réellement un problème). [0026] La localisation devant se faire aussi à tl, il faut comparer les voies A et B avec le modèle. En revanche, comme la détection s'est faite très tôt (avec un écart A faible), la « mauvaise » précision du modèle ne permet pas toujours de discriminer la voie défaillante de la voie saine. Ainsi, si la sélection se porte sur la voie B, la courbe sélectionnée B atteindra le seuil de l'évènement Th_Err plus rapidement que si la courbe sélectionnée était restée celle de la moyenne des voies A, B. On a donc rejeté la bonne voie A et la situation se retrouve immédiatement détériorée. [0027] On observe alors que dans certains cas, une localisation trop hâtive amène à amplifier un phénomène qui aurait été plus faible sans action. [0028] Il serait donc préférable de définir le bon moment pour localiser afin de minimiser la probabilité de mauvaise localisation. [0029] Enfin, une autre approche parfois utilisée est de ne pas détecter de panne tant qu'on n'est pas capable de la localiser. L'inconvénient est dans ce cas de retarder la détection de la panne. [0030] L'invention proposée par la suite définit une stratégie qui permet de diminuer fortement le nombre de fausses localisations et donc conduit à des systèmes de régulation plus sûrs. Exposé de l'invention [0031] L'invention part du constat que le taux de mauvaise localisation est relativement important avec la stratégie de gestion des pannes actuelles. En effet, la détection et la localisation de panne sont effectuées simultanément alors que ces deux phases ne répondent pas au même besoin : - la détection est une opération essentiellement basée sur la précision des capteurs et le seuil de détection est généralement déterminé par cette précision, - la localisation est une opération basée sur la précision du modèle d'arbitrage, durant laquelle on cherche à évaluer la voie la plus vraisemblablement vraie en s'appuyant sur la sortie du modèle. [0032] Les phases de détection et de localisation ont donc tout intérêt à être distinguées car elles ne sont pas dirigées par les mêmes paramètres dimensionnants. Lorsqu'une panne est d'amplitude relativement faible, il est plus sûr de ne pas l'accommoder (conservation de la moyenne entre voies) que de chercher à la localiser en prenant un risque important de se tromper. [0033] A cet égard, selon un premier aspect, l'invention propose un procédé de détection et de localisation de panne dans un système d'acquisition comprenant deux voies d'acquisition redondantes de la mesure d'une grandeur physique dans un environnement, le procédé utilisant une unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d'autres grandeurs physiques dans ledit environnement, le procédé mettant en oeuvre les étapes suivantes : - (El) détection d'une erreur symptomatique d'une voie d'acquisition défectueuse lorsqu'un écart entre les valeurs mesurées des deux voies (A, B) atteint un seuil de détection, - (E2) attente pour laisser le système d'acquisition évoluer pendant une certaine durée de maintien sous contrôle de l'erreur, - (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l'écart des valeurs mesurées entre les voies atteint un seuil de localisation ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisée de la grandeur physique, le seuil de localisation étant différent du seuil de détection. [0034] La durée T est préférablement non-nulle. Elle correspond à une durée d'inoffensivité de l'erreur. [0035] Dans un mode de réalisation, l'unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d'acquisition tant que l'étape de localisation (E3) n'est pas déclenchée, ledit procédé comprenant une étape de : [0036] - (E4) sélection de la voie non-défectueuse comme grandeur de travail une fois l'étape de localisation (E3) de la voie défectueuse effectuée. [0037] Dans un mode de réalisation, un seuil de défaillance est prédéfini et l'unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d'acquisition tant que l'étape de localisation (E3) n'est pas déclenchée, et dans lequel le seuil dc localisation est choisi de sorte que l'écart entre les valeurs des deux voies puisse dépasser le seuil de défaillance niais que l'écart entre la donnée dc travail et la valeur de l'une ou l'autre des deux voies ne puisse pas dépasser le seuil de défaillance. [0038] Dans un mode de réalisation, le seuil de localisation est supérieur à un seuil de dé- faillance. [0039] Dans un mode de réalisation, la grandeur de travail correspond à une grandeur dc sortie de l'unité pour le traitement subséquent par d'autres calculateurs. [0040] Dans un mode de réalisation, la grandeur de travail correspond à une moyenne arithmétique des grandeurs des voies. [0041] Dans un mode de réalisation, le seuil de localisation est compris (préférablement strictement) entre le seuil de défaillance et deux fois le seuil de défaillance. [0042] Dans un mode de réalisation, une étape de notification de la détection est émise par l'unité de calcul avant la mise en oeuvre de l'étape de localisation (E4), préférablement au moment de l'étape de détection (E3), pour fournir une information d'un état de panne détectée niais non localisée. [0043] Dans un mode de réalisation, le seuil de détection et/ou le seuil de localisation et/ou le seuil dc défaillance et/ou le modèle de la grandeur physique est/sont fonction des plages de fonctionnement du système d'acquisition et/ou de la précision du modèle. [0044] Dans un mode de réalisation, le seuil de détection est fixé en fonction des spéci- fications de capteur des deux voies. [0045] Dans un mode de réalisation, les seuils et les écarts sont exprimés en valeur absolue (et sont donc positifs). [0046] Selon un deuxième aspect, l'invention propose une unité de calcul pour la détection et de localisation de panne d'une voie d'acquisition de mesure dans un système d'acquisition comprenant deux voies d'acquisition redondantes de la mesure d'une grandeur physique dans un environnement, l'unité de calcul comprenant une mémoire (24) stockant un modèle (Mod) de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d'autres grandeurs physiques dans ledit environnement, l'unité de calcul étant configuré pour recevoir des données de mesure issues des voies d'acquisition du système d'acquisition, l'unité de calcul étant configurée pour mettre en oeuvre les étapes du procédé décrit précédemment, c'est-à-dire notamment les étapes suivantes : - (El) détection d'une erreur lorsque l'écart entre les valeurs mesurées des deux voies franchit un seuil de détection, - (E2) attente pour laisser le système d'acquisition évoluer pendant une certaine 6 durée, - (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l'écart des valeurs mesurées entre les voies franchit un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisé de la grandeur physique, le seuil de localisation étant différent du seuil de détection. [0047] Selon un troisième aspect, l'invention propose un ensemble comprenant une unité de calcul telle que décrite précédemment et un système d'acquisition duplex. [0048] Selon un quatrième aspect, l'invention propose un procédé de localisation de panne dans un système d'acquisition comprenant deux voies d'acquisition redondantes de la mesure d'une grandeur physique dans un environnement, le procédé utilisant une unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d'autres grandeurs physiques dans ledit environnement, le procédé mettant en oeuvre les étapes suivantes : - (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu'un écart des valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire, dans lequel un seuil de défaillance est défini et l'unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d'acquisition tant que l'étape de localisation (E3) n'est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l'écart A, entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l'écart entre la donnée de travail et l'une ou l'autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l'écart le plus grand parmi les deux écarts). [0049] L'étape de localisation implique ici l'étape de détection. [0050] Selon un cinquième aspect, l'invention propose une unité de calcul pour la détection et de localisation de panne dans un système d'acquisition comprenant deux voies d'acquisition redondantes de la mesure d'une grandeur physique dans un environnement, l'unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d'autres grandeurs physiques dans ledit environnement, l'unité de calcul étant configuré pour recevoir des données de mesure issues des voies d'acquisition du système d'acquisition, l'unité de calcul étant configurée pour mettre en oeuvre les étapes du procédé décrit précédemment, c'est-à-dire notamment les étapes suivantes : - (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu'un écart des 7 valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire, dans lequel un seuil de défaillance est défini et l'unité de calcul génère une donnée de travail qui prend en compte les valeurs deux voies d'acquisition tant que l'étape de localisation (E3) n'est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l'écart A entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l'écart entre la donnée de travail et. l'un ou l'autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l'écart le plus grand parmi les deux écarts). Brève description des dessins [0051] D'autres caractéristiques, buts et avantages de l'invention ressortiront de la des- cription qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés, sur lesquels : [0052] [fig.1] La figure 1 illustre une méthode de détection et de localisation connue. [0053] [fig.2] La figure 2 illustre un ensemble permettant de mettre en oeuvre l'invention. [0054] [fig.3] La figure 3 illustre une méthode conforme à un mode de réalisation de l'invention. Description des modes de réalisation 100551 En référence à la figure 2 a été illustré un ensemble comprenant un système d'acquisition duplex ou redondant 10 et une unité de calcul 20 apte à recevoir des données issues du système d'acquisition 10. 100561 Le système d'acquisition 10 comprend une première voie A et une deuxième voie B permettant de mesurer des données relatives à un dispositif 30 mécanique, électronique, électrique et/ou hydraulique. Les voies A, B sont destinées à mesurer la même grandeur physique du même dispositif 30. Les voies A et B comprennent pour cela chacune au moins respectivement un capteur 12, 14 (capteur de tension, de champ magnétique, de température, de couple, de force, etc.). 100571 Les capteurs 12, 14 des deux voies A, B envoient ensuite leurs données à l'unité de calcul 20. Les données sont généralement sous forme de valeur de tension électrique indicative du paramètre que les capteurs 12, 14 mesurent. Les données peuvent être transmises de façon numérique ou analogique. En particulier, les données peuvent être prétraitées (filtrage, lissage, etc., soit au niveau du capteur, soit au niveau de l'unité de calcul 20) pour pouvoir être utilisée dans le cas d'un procédé conforme aux différents modes de réalisation de l'invention. 8 [0058] Le système d'acquisition 10 peut ainsi comprendre un module de traitement 16 pour effectuer le pré-traitement des données issues des voies A, B afin que l'unité de calcul 20 reçoive des données utilisables directement. [0059] L'unité de calcul 20 comprend un processeur 22 apte à traiter des données (par exemple calculer les différences entre les valeurs des voies d'acquisition A, B, calculer une nouvelle grandeur à partir de ces voies d'acquisition A, B, calculer une moyenne, etc.) et à effectuer des calculs, et comprend en outre une mémoire 24. Le processeur 22 peut communiquer avec la mémoire 24. [0060] L'unité de calcul 20 a aussi pour fonction de générer une donnée de travail S, qui est ensuite utilisée par les autres calculateurs de l'aéronef. La donnée de travail S correspond à une fonction des valeurs des voies d'acquisition A, B, que l'on peut écrire sous la forme S=f(A,B). Le principe de redondance appelle un principe de symétrie dans la fonction f (car les deux voies A, B sont généralement préférablement indifférenciées et aucune n'est privilégiée par rapport l'autre) donc on choisit préférablement une fonction f telle que f(A,B)=f(B,A). Il peut arriver que ce ne soit pas le cas : parfois, pour certaines températures, on préfère privilégier le maximum entre voies pour sc protéger des sur-températures. [0061] Dans un mode de réalisation préférentielle, la fonction f est une moyenne et on a S=moy AB,(A+B)/2. Cela signifie que la donnée de travail S correspond à la moyenne des valeurs des voies d'acquisition A et B. [0062] La mémoire 24 stocke un modèle informatique Mod de la grandeur mesurée par les voies A, B. Ce modèle a été élaboré préalablement à partir d'autres mesures. [0063] Comme indiqué précédemment, la précision des capteurs 12, 14 est meilleure que celle du modèle Mod. [0064] L'unité de calcul 20 peut regrouper plusieurs sous-unités de calcul, notamment dans le cas où les taches sont partagées entre différents calculateurs ou ordinateurs. [0065] Les voies d'acquisition A, B acquièrent en continu (ou à intervalle régulier) des données relatives au dispositif 30. Ces données sont envoyées à l'unité de calcul 20 qui calcule notamment un écart A entre les valeurs mesurées des voies A, B. Cet écart A peut être en valeur absolue ou en relatif (positive ou négative). Pour illustrer certaines situations dans la présente description, on considèrera que les valeurs acquises vérifient la définition de A suivante : B=A+A. [0066] On définit un seuil de défaillance Th_Err à partir duquel on considère que l'écart A sur la mesure, consécutif à une panne, risque de provoquer un évènement redouté ou indésiré (LOTC par exemple). Cela signifie que si la donnée de travail S correspond à la voie d'acquisition défectueuse (ce que l'on souhaite éviter donc), il y a un risque de provoquer l'évènement indésiré. [0067] En référence à la figure 3, qui illustre graphiquement les différentes étapes du 9 procédé de détection et de localisation, cc procédé va être décrit. On suppose ici un seuil de défaillance de 8K. [0068] Dans une première étape El, une erreur, consécutive à une défaillance, est détectée lorsque l'écart A atteint un seuil de détection Th_D OK sur la figure 3). L'erreur est symptomatique d'une voie d'acquisition défectueuse. La donnée relative au seuil de détection Th_D est typiquement stockée dans la mémoire 24. Le seuil de détection Th_D dépend du système d'acquisition 10 dont notamment les spécifications des capteurs 12, 14 (donc de leur précision). [0069] L'étape El est mise en oeuvre par l'unité de calcul 20. Sur la figure 3, l'étape El survient à tl . [0070] Optionnellement, une étape de notification El' est déclenchée par l'unité de calcul 20 pour fournir une information selon laquelle une erreur a été détectée. L'information de détection d'erreur peut être exploitée par un calculateur, un autre module de l'unité de calcul 20, ou encore par un opérateur humain, etc.). Par conséquent, il existe une information de détection d'erreur relative au système d'acquisition indiquant qu'une des deux voies A, B est défectueuse, mais sans pouvoir à ce stade identifier laquelle. [0071] Ensuite, une étape d'attente E2 est effectuée, ce qui correspond simplement à une attente pour laisser le système évoluer pendant une durée T. Durant cette étape d'attente E2, la panne est connue mais sous contrôle, c'est-à-dire que l'on sait que l'erreur engendrée ne va pas conduire à l'évènement redouté : il s'agit donc d'une durée de maintien sous contrôle de l'erreur ou d'une durée d'inoffensivité de l'erreur. La durée T dure jusqu'à ce qu'une étape de localisation E3 de la voie défectueuse soit déclenchée (voir figure 3). La durée T est typiquement non nulle (sauf dans les cas de panne franche, où une voie se déplace instantanément). [0072] L'étape de localisation E3 est effectuée lorsque l'écart A des valeurs mesurées entre les voies A, B atteint un seuil de localisation Th_L (figure 3). La localisation se fait en comparant les valeurs mesurées pour les voies A, B avec le modèle Mod des voies A, B stockés dans la mémoire 24. Typiquement, la voie A, B considérée comme non-défectueuse est celle qui est le proche du modèle Mod. Plus proche signifie que l'écart entre les valeurs est le plus faible. [0073] L'étape E3 est mise en oeuvre par l'unité de calcul 20. Sur la figure 3, l'étape E3 survient à t2. [0074] Grâce à l'attente E2, l'écart A a pu grandir depuis l'étape de détection El (par exemple dans le cas d'une dérive de gain du capteur), ce qui fait que l'identification de la voie se fait avec moins de risque d'erreur malgré l'imprécision du modèle Mod. [0075] Naturellement, le seuil de localisation Th_L a une valeur différente de celle du seuil de détection Th_D, sinon les mêmes risques d'erreur liée à une localisation précoce seraient présents. [0076] De plus, comme la détection El a été effectuée en amont, un nouvel état de panne détectée niais panne non localisée est créé. TI y ainsi une détection préventive qui peut provoquer la mise en place de certaines mesures préventives : non prise en compte des données générées par le système d'acquisition 10 ou opération de maintenance. En effet, même si le risque de se tromper de voies A, B est élevé à ce stade, la criticité en maintenance est largement moindre que lors d'opération. Il est donc raisonnable dans ce cadre-là d'essayer de localiser plus tôt l'erreur. [0077] Une fois que la localisation E3 a été effectuée et que la voie défectueuse a été identifiée (ou concomitamment), une étape de sélection (aussi appelée accommodation) E4 de la voie non-défectueuse est mise en oeuvre. Cela signifie que la donnée de travail S de l'unité de calcul 20 devient la voie d'acquisition non défectueuse - l'autre voie étant ignorée. [0078] L'étape de sélection E4 est mise en oeuvre par l'unité de calcul 20. Sur la figure 3, l'étape E4 survient à tl aussi. [0079] TI y a donc deux seuils à régler : le seuil de détection Th_D et le seuil de localisation Th_L. Le seuil de détection Th_D dépend uniquement des spécifications capteurs. [0080] En revanche, il reste à déterminer la valeur du seuil de localisation Th L, ce qui impose de connaitre le moment à partir duquel on aboutirait à l'évènement redouté sans accommodation. [0081] En pratique, comme cela a été indiqué plus tôt, la donnée de travail S correspond à la moyenne Moy_AB des voies d'acquisition A, B. Par définition, si on se trompe sur la mesure d'un écart A égal à Th_Err et que la donnée de travail S correspond à la voie défectueuse, on risque d'aboutir à l'évènement redouté. [0082] Or, tant que l'on n'a pas localisé la voie d'acquisition défectueuse, la panne a un impact divisé par deux (car la donnée de travail S est la moyenne Moy_AB entre les deux voies A, B). [0083] Par conséquent, le risque ne se produit que lorsque que S-A=Moy_AB-A=Th_En--A. On a donc Th_Err-A =(A+B)/2-A,(A-FA+A)/2-A= Al2, soit A=2Th_Err. [0084] Il est donc possible de ne mettre en oeuvre l'étape E3 de localisation que lorsque l'écart A entre voies atteint 2Th_Err, c'est-à-dire le plus tardivement possible. Cette valeur étant extrémale, l'application d'une marge de sécurité fait que l'on cherche à localiser lorsque l'écart A entre voies atteint Th_L tel que Th_En Th_Err (Th_L est strictement supérieur à Th_Err), l'écart A entre voies A, B sera amené à dépasser le seuil de défaillance Th_Err durant l'étape d'attente E2. En revanche, comme Th_L