Brevet FR3156928A1 — publié le 20250620

Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique permettant la détection de la survenue d’un tel évènement redouté. L’invention concerne la modélisation de la survenue d’évènements redoutés au sein d’un système critique comprenant au moins deux sous-systèmes, un premier sous-système étant représenté au moyen d’un premier modèle comprenant une pluralité d’états internes caractérisant une condition possible du sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à des états internes. Plus précisément, le procédé repose sur l’obtention d’une première liste de pannes élémentaires pouvant survenir au sein d’un deuxième sous-système, d’une deuxième liste de combinaisons de ces pannes élémentaires, une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté. Le procédé génère un deuxième modèle représentant le deuxième sous-système comprenant une pluralité d’états internes chacun correspondant à une panne élémentaire, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système. Figure pour l’abrégé : Fig. 2. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique permettant la détection de la survenue d’un tel évènement redouté. La présente invention appartient au domaine général de la détection d’évènements redoutés impactant des systèmes critiques. Plus particulièrement, la présente invention concerne une solution de détection de la survenue d’un évènement redouté au sein d’un système critique reposant sur la modélisation des différents sous-systèmes constituant le système critique prenant en compte l’hétérogénéité des formats d’informations fournies pour chaque sous-système. La modélisation et l'analyse formelle des systèmes à haute intégrité sont des pratiques cruciales dans le domaine de l'ingénierie des systèmes critiques, où des erreurs peuvent avoir des conséquences graves, telles que des accidents, des pertes financières importantes, ou des dommages humains. Ces systèmes sont souvent rencontrés dans des domaines tels que l'aérospatiale, l'automobile, les systèmes médicaux, l'énergie nucléaire, etc. où la sûreté de fonctionnement est primordiale. Elles constituent toutes deux des pratiques essentielles pour garantir la fiabilité et la sûreté des systèmes à haute intégrité, minimisant ainsi les risques associés à des conséquences graves en cas de défaillance. La modélisation formelle consiste à décrire le comportement attendu du système de manière précise et non ambiguë à l'aide de langages formels. Ces spécifications servent de base pour le développement et la vérification du système critique. L'analyse formelle implique, quant à elle, l'utilisation d'outils automatisés pour vérifier mathématiquement que le système critique satisfait ces spécifications. Cela peut inclure, entre autre, la vérification la détection d'erreurs. Le langage Altarica est un langage de spécification formelle utilisé dans le domaine de la conception et de la vérification des systèmes critiques. Un tel langage repose sur la notion d’états logiques, ou états internes dans la suite du présent document. Les états logiques sont utilisés pour représenter l'état d’un système ou d’un sous-système à différents moments. Ainsi, un modèle conforme au langage Altarica comprend un ensemble d'états logiques qui caractérisent les conditions possibles du système ou du sous-système considéré. Ces états logiques sont utilisés pour exprimer des propriétés du système considéré, des transitions entre les états internes, des événements, etc. Par exemple, dans le contexte d'un système embarqué, il est possible de définir des états internes représentant des conditions telles que "en marche", "arrêté", "en mode d'attente", etc. Ces états internes peuvent ensuite être utilisés pour spécifier le comportement attendu du système et pour effectuer des analyses formelles. L’une des spécificités du langage Altarica est qu’il est utilisé pour décrire des comportements dynamiques. De tels comportements dynamiques sont représentés par des transitions entre états internes du système considéré, où des conditions logiques déterminent le passage d'un état interne à un autre. Lorsqu'une transition entre deux états internes intervient, les valeurs des variables associées à ces états internes sont mises à jour, et ces nouvelles valeurs se propagent ensuite à travers le reste du modèle. Le comportement du système considéré peut également être influencé par d'autres éléments extérieurs, tels que des événements, des actions, des opérations, etc. Il existe d’autres méthodes pour représenter le comportement d’un système critique parmi lesquels la méthode dite des arbres de défaillances ou FTA pour « Fault Tree Analysis » en langue anglaise. Cette méthode FTA est une technique d'analyse de la sûreté de fonctionnement elle aussi utilisée pour évaluer et modéliser les causes potentielles de défaillances dans un système critique. L'objectif principal la méthode FTA est d'identifier les événements qui pourraient conduire à une défaillance du système et d'évaluer la probabilité de ces défaillances. Pour cela, la méthode FTA repose sur la notion d’arbre de défaillances. Un arbre de défaillances est un diagramme logique qui représente graphiquement les combinaisons logiques d'événements qui conduisent à une défaillance du système. L'arbre de défaillances est un outil puissant pour évaluer et améliorer la fiabilité et la sûreté de fonctionnement des systèmes complexes, en identifiant les scénarios de défaillance potentiels et en facilitant la prise de décision pour la réduction des risques. Cependant, un tel outil ne prend pas en compte l’aspect dynamique du fonctionnement du système étudié. Cela constitue un frein lorsqu’il s’agit de modéliser un système critique composé de plusieurs sous-systèmes modélisés à la fois selon des modèles conformes au langage Altarica et à la fois au moyen d’arbres de défaillances car on perd l’aspect dynamique du comportement du système critique. La présente invention a pour objectif de remédier aux inconvénients précités en proposant une solution permettant de faire abstraction de la méthode utilisée pour modéliser un système critique et identifier les évènements impactant les sous-systèmes le constituant. A cet effet, et selon un premier aspect, l’invention concerne un procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique comprenant au moins deux sous-systèmes, au moins un premier sous-système étant représenté au moyen d’un premier modèle comprenant une pluralité d’états internes caractérisant une condition possible du sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, le procédé comprenant les étapes suivantes mises en œuvre par au moins un processeur configuré pour : obtenir une première liste de pannes élémentaires pouvant survenir au sein d’un deuxième sous-système, obtenir une deuxième liste de combinaisons de pannes élémentaires pouvant survenir au sein du deuxième sous-système, une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté, générer un deuxième modèle représentant le deuxième sous-système, le deuxième modèle comprenant une pluralité d’états internes chacun correspondant à une panne élémentaire, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, transmettre, à destination du premier modèle, une information relative à la survenue d’un évènement redouté au sein du deuxième sous-système dans le cas où la combinaison de pannes élémentaires courante correspond à l’une des combinaisons de pannes élémentaires comprises dans la deuxième liste. De manière générale, le système critique est représenté au moyen d’une pluralité de sous-systèmes. Au moins l’un de ces sous-systèmes est modélisé au moyen d’un arbre de défaillances, les autres étant représentés par des modèles conformes au langage Altarica. La présente solution permet, partant de données issues d’un arbre de défaillances représentant un sous-système, de créer un modèle représentant un comportement dynamique de ce même sous-système. La génération de ce modèle ne nécessite pas de posséder des informations concernant le sous-système autres que celles contenues dans l’arbre de défaillance. En d’autres termes, il n’est pas besoin de connaitre les différents composants du sous-système ou les valeurs physiques mises en jeu lors du fonctionnement dudit sous-système. Dans des modes particuliers de mise en œuvre, la première liste comprend, pour au moins une panne élémentaire, un type de loi de probabilité associé. Dans des modes particuliers de mise en œuvre, la première liste comprend, pour au moins une panne élémentaire, un taux d’occurrence. Dans des modes particuliers de mise en œuvre, le procédé comprend en outre une étape d’obtention d’une troisième liste associant au moins une panne élémentaire de la première liste à un composant du deuxième sous-système. Dans des modes particuliers de mise en œuvre, un modèle représentant chaque composant du deuxième sous-système est généré. L’invention a également pour objet un procédé de détermination de la survenue d’un évènement redouté au sein d’un système critique composé d’au moins deux sous-systèmes, ledit système critique étant représenté par : un premier modèle représentant un premier sous-système et comprenant une pluralité d’états internes caractérisant une condition possible du sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, et au moins un deuxième modèle représentant un deuxième sous-système, le deuxième modèle comprenant une pluralité d’états internes chacun correspondant à une panne élémentaire pouvant survenir au sein du deuxième sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, ledit procédé comprenant les étapes suivantes mises en œuvre par au moins un processeur configuré pour : détecter un évènement déclenchant, au sein du deuxième modèle, une transition d’un état interne vers autre état interne, lorsque la survenue d’un évènement redouté au sein du deuxième sous-système est détectée, transmettre une information indiquant la survenue de l’évènement redouté au sein du deuxième sous-système à destination du premier modèle, la réception de cette information modifiant une valeur courante d’au moins un état interne du premier modèle, déterminer la survenue dudit évènement redouté au sein du système critique en fonction d’une information indiquant la survenue d’au moins un évènement redouté au sein du premier sous-système. L’invention concerne encore un dispositif apte à modéliser la survenue d’évènements redoutés au sein d’un système critique comprenant au moins deux sous-systèmes, au moins un premier sous-système étant représenté au moyen d’un premier modèle comprenant une pluralité d’états internes caractérisant une condition possible du sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, le dispositif comprenant au moins un processeur configuré pour : obtenir une première liste de pannes élémentaires pouvant survenir au sein d’un deuxième sous-système, obtenir une deuxième liste de combinaisons de pannes élémentaires pouvant survenir au sein du deuxième sous-système, une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté, générer un deuxième modèle représentant le deuxième sous-système, le deuxième modèle comprenant une pluralité d’états internes chacun correspondant à une panne élémentaire, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, transmettre, à destination du premier modèle, une information relative à la survenue d’un évènement redouté au sein du deuxième sous-système dans le cas où la combinaison de pannes élémentaires courante correspond à l’une des combinaisons de pannes élémentaires comprises dans la deuxième liste. L’invention concerne enfin un dispositif apte à déterminer la survenue d’un évènement redouté au sein d’un système critique composé d’au moins deux sous-systèmes, ledit système critique étant représenté par : un premier modèle représentant un premier sous-système et comprenant une pluralité d’états internes caractérisant une condition possible du sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, et au moins un deuxième modèle représentant un deuxième sous-système, le deuxième modèle comprenant une pluralité d’états internes chacun correspondant à une panne élémentaire pouvant survenir au sein du deuxième sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, ledit dispositif comprenant au moins un processeur configuré pour : détecter un évènement déclenchant, au sein du deuxième modèle, une transition d’un état interne vers autre état interne, lorsque la survenue d’un évènement redouté au sein du deuxième sous-système est détectée, transmettre une information indiquant la survenue de l’évènement redouté au sein du deuxième sous-système à destination du premier modèle, la réception de cette information modifiant une valeur courante d’au moins un état interne du premier modèle, déterminer la survenue dudit évènement redouté au sein du système critique en fonction d’une information indiquant la survenue d’au moins un évènement redouté au sein du premier sous-système. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : FIG. 1 la FIG. 1 représente un exemple de système critique pour lequel il existe un besoin de déterminer l’ensemble des conditions conduisant à la survenue d’un ou plusieurs évènements redoutés, FIG. 2 la FIG. 2 de manière schématique la constitution et le fonctionnement d’une brique constituant un modèle dynamique, FIG. 3 la FIG. 3 représente un organigramme des étapes constitutives d’un procédé de modélisation de la survenue d’évènements redoutés au sein d’un sous-système constituant un système critique selon un mode de réalisation de la présente invention, FIG. 4 la FIG. 4 représente un organigramme des étapes constitutives d’un procédé de détermination de la survenue d’évènements redoutés au sein du système critique selon un mode de réalisation de la présente invention, FIG. 5 la FIG. 5 représente un dispositif apte à mettre en œuvre au moins l’un des différents procédés objets de la présente invention. La FIG. 1 est un exemple de système critique 1 pour lequel il existe un besoin de déterminer l’ensemble des conditions conduisant à la survenue d’un ou plusieurs évènements redoutés. Un tel système critique est par exemple un système de motorisation d’un aéroplane, ou un système de refroidissement d’une couve de combustible radioactif, etc. Un tel système critique 1 comprend, dans l’exemple non limitatif représenté à la FIG. 1 , trois sous-systèmes 10, 11 et 12. Afin de permettre à un ingénieur en sûreté de fonctionnement de procéder à une analyse de défaillance du système critique 1, il intègre au sein d’un modèle global représentant le système critique 1 une pluralité de modèles représentant les différents sous-systèmes 10, 11 et 12 et qui vont lui permettre de déterminer et d’analyser le comportement du système critique 1 et ainsi identifier les combinaisons d’évènements et les conditions associées qui conduisent à la survenue d’un ou plusieurs évènements redoutés comme par exemple une panne moteur ou une défaillance d’un système de refroidissement. Dans la suite du présent document, le modèle M1 représentatif du comportement du système critique 1 est conforme au langage Altarica. De manière plus générale, le modèle M1 est un modèle capable de décrire des comportements dynamiques ce qui permet une analyse plus fine du comportement des systèmes étudiés. Un tel modèle M1 est, tout comme le système 1 qu’il représente, constitué d’une pluralité de modèles M10, M11, M12 représentant respectivement les comportements des sous-systèmes 10, 11 et 12. Dans l’exemple de réalisation décrit dans la suite du présent document, les modèles M11 et M12 sont, tout comme le modèle M1, capables de décrire des comportements dynamiques des sous-systèmes M11 et M12. La FIG. 2 représente de manière schématique la constitution et le fonctionnement d’une brique constituant un modèle dynamique tels que les modèles M11 et M12. Les modèles M11, M12 s’appuient sur une représentation de l’architecture physique et/ou fonctionnelle du sous-système représenté enrichie de données dysfonctionnelles du sous-système afin de permettre la réalisation d’une analyse de défaillances du sous-système. Plus particulièrement, chaque brique représente le fonctionnement de l’un des composants constitutifs du sous-système modélisé. Plus particulièrement une brique B constitutive d’un modèle M11, M12 comprend une pluralité d’états internes EI i qui caractérisent les conditions de fonctionnement possibles d’un composant du sous-système considéré. Ces états internes EI i expriment des propriétés du composant considéré. Le plus souvent ces états internes EI i sont associés à une valeur courante d’une grandeur physique telle qu’une tension, une température ou à une valeur courante d’un état logique comme « en marche », « arrêté », « en mode d'attente », « en panne », « valeur critique », etc. La survenue d’un évènement EVT au sein du sous-système considéré, ou en provenance d’un autre sous-système, déclenche une transition T i->j entre un ou plusieurs états internes de la brique B. Ces transitions T i->j entre états internes EI i déclenchent une mise à jour les valeurs des variables associées à ces états internes EI i . Cette mise à jour Prop des valeurs des variables associées à ces états internes EI i , se propagent ensuite à travers le reste du modèle relatif au sous-système impactant également le fonctionnement courant de ce dernier. Cette modification du fonctionnement courant du composant se traduit par une modification du flux de sortie Fext de la brique B. En d’autres termes, une transition T i->j du composant se traduit par la transmission d’informations représentatives de ce nouveau comportement à destination d’autres briques constitutives du modèle M11, M12, ces informations sont transmises dans le flux de sortie Fext de la brique B. Contrairement aux sous-systèmes 11 et 12 représentés nativement par les modèles M11 et M12 dynamiques, le sous-système 10 est quant à lui représenté par une liste de combinaisons de pannes élémentaires LCPE, chaque combinaison de pannes élémentaires conduisant à la survenue d’un évènement redouté au sein du sous-système 10. En d’autres termes, aucune représentation de l’architecture physique et/ou fonctionnelle du sous-système 10 n’est disponible, seules les données dysfonctionnelles du sous-système 10 sont accessibles. La présente solution propose, sur la base de ces seules données dysfonctionnelles, de générer un modèle dynamique représentant le sous-système 10. Une telle solution est mise en œuvre, par exemple au sein d’un dispositif de type ordinateur comprenant au moins un processeur configuré pour mettre en œuvre les différentes étapes de cette solution. La structure interne d’un tel ordinateur sera décrite plus en détail dans la suite du présent document. La FIG. 3 représente un organigramme des étapes constitutives d’un procédé de modélisation de la survenue d’évènements redoutés au sein d’un sous-système constituant un système critique selon un mode de réalisation de la présente invention. Ainsi, dans une étape E1, le dispositif mettant en œuvre le procédé obtient une première liste de pannes élémentaires LPE pouvant survenir au sein du sous-système 10. Dans l’exemple choisi, la liste LPE comprend cinq pannes élémentaires P1 à P5. Une telle liste LPE peut être obtenue, par exemple, à partir d’un arbre de défaillances associé au sous-système 10. Dans une étape E2, qui peut être concomitante avec l’étape E1, le dispositif obtient une deuxième liste LCPE de combinaisons de pannes élémentaires pouvant survenir au sein du sous-système 10, une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté ER au sein du sous-système 10. Une fois en possession de ces deux listes LPE et LCPE, le dispositif peut générer le modèle M10 représentant le sous-système 10. Dans une première implémentation, le modèle 10 ne comprend qu’une seule brique B’. Pour ce faire, dans un premier temps, le dispositif crée donc une brique B’ correspondant au sous-système 10. Un état interne EI i de la brique B’ est associé à une panne élémentaire de la liste de pannes élémentaires LPE. Ainsi, dans l’exemple qui nous intéresse, la brique B’ comprend cinq états internes EI 1 à EI 5 correspondant respectivement aux pannes élémentaires P1 à P5. Dans cette brique B’, chaque état interne EI i peut prendre deux valeurs : « en marche » ou « en panne ». Dans un deuxième temps, le dispositif détermine l’ensemble des mises à jours possibles des valeurs des variables associées à ces états internes EI i de la brique B’ en fonction de la liste LCPE des combinaisons de pannes élémentaires. Ainsi, lorsque la survenue d’un évènement EVT au sein du sous-système 10, ou en provenance d’un autre sous-système, déclenche une transition T i->j entre un ou plusieurs états internes de la brique B’, ces transitions T i->j entre états internes EI i déclenchent une mise à jour les valeurs des variables associées à ces états internes qui se propagent ensuite à travers le reste du modèle relatif au sous-système 10 impactant également le fonctionnement courant de ce dernier. Le dispositif compare alors, dans une étape E3, la combinaison de pannes élémentaires courante aux combinaisons de pannes élémentaires comprises dans la liste LCPE de combinaisons de pannes élémentaires conduisant à la survenue d’un évènement redouté ER. La modification du fonctionnement courant de la brique B’ se traduit par une modification du flux de sortie Fext de la brique B’. En d’autres termes, une transition T i->j entre deux états internes intervenant au sein de la brique B’ se traduit par la transmission d’informations représentatives de ce nouveau comportement à destination des autres modèle M11, M12, ces informations sont transmises, dans une étape E4, dans le flux de sortie Fext de la brique B’ et rapportent, le cas échéant, la survenue d’un évènement redouté ER au sein du sous-système 10. Dans un mode de réalisation particulier, la liste LPE des pannes élémentaires associe à chaque panne élémentaire P1-P5 comprise dans cette liste LPE un type de loi de probabilité associé. Ainsi à titre d’exemple la panne élémentaire P1 est associée à une loi de type exponentielle, les pannes élémentaires P2 et P3 sont associées à une loi de type dormante et enfin les pannes élémentaires sont associées à une loi de type constante. Dans un autre mode de réalisation complémentaire au précédent, la liste LPE des pannes élémentaires associe à chaque panne élémentaire P1-P5 comprise dans cette liste LPE, en plus d’une loi de probabilité, un taux d’occurrence de la panne élémentaire concernée. A titre d’exemple non limitatif, la panne élémentaire P1 présente un taux d’occurrence par heure de 10 -6 tout comme la panne élémentaire P2, les pannes élémentaires P2 et P3 présentent un taux d’occurrence par heure de 10 -9 ainsi qu’un temps de dormance d’environs 100 heures, et enfin, la panne élémentaire P5 présente un taux d’occurrence par heure de 0,9. Ces informations relatives à la loi de probabilité et au taux d’occurrence par heure des différentes pannes élémentaires permettent d’affiner les règles de mises à jours des valeurs des variables associées à ces états internes EI i de la brique B’ afin de proposer une modélisation du sous-système 10 la plus proche du comportement réel du sous-système 10. Dans une deuxième implémentation, le dispositif obtient une troisième liste associant au moins une panne élémentaire P1-P5 de la liste LPE à un composant du sous-système. Dans une telle implémentation, le modèle 10 est alors constitué de N+1 briques B’, N étant le nombre de composants constituant le sous-système 10. Chaque brique B’ est générée conformément à l’étape E2 et sur la base des différentes informations obtenues par le dispositif telles que la liste des pannes élémentaire LPE, la liste LCPE des combinaisons de pannes élémentaires conduisant à la survenue d’un évènement redouté ER au sein du sous-système 10.. La FIG. 4 représente un organigramme des étapes constitutives d’un procédé de détermination de la survenue d’évènements redoutés au sein du système critique 1 selon un mode de réalisation de la présente invention. Un tel procédé est mis en œuvre, par exemple au sein d’un dispositif de type ordinateur comprenant au moins un processeur configuré pour mettre en œuvre les différentes étapes de ce procédé. La structure interne d’un tel ordinateur sera décrite plus en détail dans la suite du présent document. Dans une étape G1, le dispositif détecte la survenue d’un évènement EVT déclenchant, au sein du modèle M10 une transition T i->j entre un ou plusieurs états internes d’une brique B’. Ces transitions T i->j entre états internes EI i déclenchent à leur tour, dans une étape G2, une mise à jour les valeurs des variables associées à ces états internes EI i . Lorsque la survenue d’un évènement redouté est détectée dans l’une des briques B’ du modèle 10, comme décrit en référence à l’étape E3 précédemment décrite, le modèle 10 transmet, dans une étape G3, une information indiquant la survenue de cet évènement redouté à destination d’au moins l’un des modèles M11, M12, la réception de cette information modifiant une valeur courante d’au moins un état interne de l’un de ces modèles M11, M12. L’identité du modèle recevant l’information indiquant la survenue d’un évènement redouté au sein du modèle M10 dépend des interactions existant entre les différents sous-systèmes 10, 11 et 12. Enfin, en fonction des différentes informations relative à la survenue d’évènements redoutés au sein des différents modèles M10, M11 et M12, le dispositif détermine dans une étape G4 la survenue d’un évènement redouté au sein du système critique 1. La FIG. 5 représente un dispositif apte à mettre en œuvre au moins l’un des différents procédés objets de la présente invention. Un tel dispositif peut comprendre au moins un processeur matériel 501, une unité de stockage 502, et au moins une interface 503 de communication, qui sont connectés entre eux au travers d’un bus 504. Bien entendu, les éléments constitutifs du dispositif peuvent être connectés au moyen d’une connexion autre qu’un bus. Le processeur 501 commande les opérations du dispositif. L'unité de stockage 502 stocke au moins un programme pour la mise en œuvre des différents procédés objets de l’invention à exécuter par le processeur 501, et diverses données, telles que des paramètres utilisés pour des calculs effectués par le processeur 501, des données intermédiaires de calculs effectués par le processeur 501, etc. Le processeur 501 peut être formé par tout matériel ou logiciel connu et approprié, ou par une combinaison de matériel et de logiciel. Par exemple, le processeur 501 peut être formé par un matériel dédié tel qu'un circuit de traitement, ou par une unité de traitement programmable telle qu'une unité centrale de traitement ( Central Processing Unit ) qui exécute un programme stocké dans une mémoire de celui-ci. L'unité de stockage 502 peut être formée par n'importe quel moyen approprié capable de stocker le programme ou les programmes et des données d'une manière lisible par un ordinateur. Des exemples d'unité de stockage 502 comprennent des supports de stockage non transitoires lisibles par ordinateur tels que des dispositifs de mémoire à semi-conducteurs, et des supports d'enregistrement magnétiques, optiques ou magnéto-optiques chargés dans une unité de lecture et d'écriture. L'interface 503 fournit une interface entre le dispositif et tout autre dispositif avec lequel il est amené à recevoir ou transmettre des données au cours de l’exécution d’au moins l’un des procédés objets de la présente invention. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique (1) comprenant au moins deux sous-systèmes (10, 11, 12), au moins un premier sous-système (10, 11, 12) étant représenté au moyen d’un premier modèle (M11, M12) comprenant une pluralité d’états internes (EI i ) caractérisant une condition possible du sous-système, une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour (Prop) de valeurs de variables associées à un ou plusieurs états internes, le procédé comprenant les étapes suivantes mises en œuvre par au moins un processeur configuré pour : obtenir (E1) une première liste de pannes élémentaires (LPE) pouvant survenir au sein d’un deuxième sous-système (10), obtenir (E2) une deuxième liste de combinaisons de pannes élémentaires (LCPE) pouvant survenir au sein du deuxième sous-système (10), une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté, générer un deuxième modèle (M10) représentant le deuxième sous-système (10), le deuxième modèle comprenant une pluralité d’états internes (EI i ) chacun correspondant à une panne élémentaire (P1-P5), une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, transmettre (E4), à destination du premier modèle (11, 12), une information relative à la survenue d’un évènement redouté au sein du deuxième sous-système dans le cas où la combinaison de pannes élémentaires courante correspond à l’une des combinaisons de pannes élémentaires comprises dans la deuxième liste. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique selon la revendication 1 dans lequel la première liste comprend, pour au moins une panne élémentaire, un type de loi de probabilité associé. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique selon la revendication 1 ou la revendication 2, dans lequel la première liste comprend, pour au moins une panne élémentaire, un taux d’occurrence. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique selon l’une quelconques des revendications 1 à 3, comprenant en outre une étape d’obtention d’une troisième liste associant au moins une panne élémentaire de la première liste à un composant du deuxième sous-système. Procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique selon la revendication 4, dans lequel un modèle représentant chaque composant du deuxième sous-système (10) est généré. Procédé de détermination de la survenue d’un évènement redouté au sein d’un système critique (1) composé d’au moins deux sous-systèmes (10, 11, 12), ledit système critique étant représenté par : un premier modèle (M11, M12) représentant un premier sous-système (11, 12) et comprenant une pluralité d’états internes (EI i ) caractérisant une condition possible du sous-système, une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, et au moins un deuxième modèle (M10) représentant un deuxième sous-système (10), le deuxième modèle comprenant une pluralité d’états internes (EI i ) chacun correspondant à une panne élémentaire (P1-P5) pouvant survenir au sein du deuxième sous-système, une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour (Prop) d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, ledit procédé comprenant les étapes suivantes mises en œuvre par au moins un processeur configuré pour : détecter (G1) un évènement (EVT) déclenchant, au sein du deuxième modèle (M10), une transition d’un état interne vers autre état interne, lorsque la survenue d’un évènement redouté au sein du deuxième sous-système est détectée, transmettre (G3) une information indiquant la survenue de l’évènement redouté au sein du deuxième sous-système (M10) à destination du premier modèle (M1), la réception de cette information modifiant une valeur courante d’au moins un état interne du premier modèle, déterminer (G4) la survenue dudit évènement redouté au sein du système critique (1) en fonction d’une information indiquant la survenue d’au moins un évènement redouté au sein du premier sous-système (11, 12). Dispositif apte à modéliser la survenue d’évènements redoutés au sein d’un système critique (1) comprenant au moins deux sous-systèmes (10, 11, 12), au moins un premier sous-système (11, 12) étant représenté au moyen d’un premier modèle (M11, M12) comprenant une pluralité d’états internes (EI i ) caractérisant une condition possible du sous-système, une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour (Prop) de valeurs de variables associées à un ou plusieurs états internes, le dispositif comprenant au moins un processeur configuré pour : obtenir une première liste (LPE) de pannes élémentaires pouvant survenir au sein d’un deuxième sous-système, obtenir une deuxième liste (LCPE) de combinaisons de pannes élémentaires pouvant survenir au sein du deuxième sous-système (10), une combinaison de pannes élémentaires correspondant à la survenue d’un évènement redouté, générer un deuxième modèle (M10) représentant le deuxième sous-système (10), le deuxième modèle comprenant une pluralité d’états internes (EI i ) chacun correspondant à une panne élémentaire(P1-P5), une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, transmettre, à destination du premier modèle (M1), une information relative à la survenue d’un évènement redouté au sein du deuxième sous-système (10) dans le cas où la combinaison de pannes élémentaires courante correspond à l’une des combinaisons de pannes élémentaires comprises dans la deuxième liste. Dispositif apte à déterminer la survenue d’un évènement redouté au sein d’un système critique (1) composé d’au moins deux sous-systèmes (10, 11,12), ledit système critique étant représenté par : un premier modèle (M11, M12) représentant un premier sous-système (11, 12) et comprenant une pluralité d’états internes (EI i ) caractérisant une condition possible du sous-système, une transition (T i->j ) d’un état interne vers un autre déclenchant une mise à jour de valeurs de variables associées à un ou plusieurs états internes, et au moins un deuxième modèle (M10) représentant un deuxième sous-système (10), le deuxième modèle comprenant une pluralité d’états internes (EI i ) chacun correspondant à une panne élémentaire (P1-P5) pouvant survenir au sein du deuxième sous-système, une transition d’un état interne vers un autre déclenchant une mise à jour d’une combinaison courante de pannes élémentaires survenant au sein du deuxième sous-système, ledit dispositif comprenant au moins un processeur configuré pour : détecter un évènement (EVT) déclenchant, au sein du deuxième modèle (M10), une transition d’un état interne vers autre état interne, lorsque la survenue d’un évènement redouté au sein du deuxième sous-système est détectée, transmettre une information indiquant la survenue de l’évènement redouté au sein du deuxième sous-système (10) à destination du premier modèle (M11, M12), la réception de cette information modifiant une valeur courante d’au moins un état interne du premier modèle, déterminer la survenue dudit évènement redouté au sein du système critique (1) en fonction d’une information indiquant la survenue d’au moins un évènement redouté au sein du premier sous-système (11, 12). Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé de modélisation de la survenue d’évènements redoutés au sein d’un système critique selon l’une quelconque des revendications 1 à 5, lorsque ledit programme est exécuté par un ordinateur. Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé de détermination de la survenue d’un évènement redouté au sein d’un système critique selon la revendication 6, lorsque ledit programme est exécuté par un ordinateur.