FR 2570182 A1 19860314 FR 8414065 A 19840913 2570 182 Méthode de validation de La valeur d'un paramètre La présente invention a pour objet une mé- thode de validation de La valeur d'un paramètre. Cette méthode s'applique dans tous Les domaines o pour des raisons de sécurité ou de productivité notamment, la connaissance d'une valeur fiable d'un paramètre, gran- deur physique ou autre, est primordiale. Dans ce cas, on utilise une pluralité de capteurs et/ou de moyens de calcul redondants pour mesurer ou calculer des va- leurs de ce paramètre. En fonction desdites valeurs, on valide une valeur de ce paramètre. L'invention a pour objet une telle méthode de validation. Le besoin de s'assurer qu'une mesure physi- que est correcte s'est considérablement accru, notam- ment avec l'utilisation industrielle de l'énergie nu- cléaire. Certains incidents ont mis en Lumière les conséquences d'une instrumentation défaillante en- traînant soit des arrêts intempestifs préjudiciables à la productivité, soit des analyses erronées de la part des opérateurs pouvant induire des décisions dangereu- ses. Pour pallier ceci, on utilise de manière connue une pluralité de capteurs, créant ainsi une redondance permettant, par comparaison, une évalua- tion plus fiable de la valeur du paramètre, même en présence d'un capteur défaillant. Les capteurs peuvent éventuellement être remplacés par des modèles qui, en fonction de mesures indirectes, déduisent par le cal- cul une valeur du paramètre. Le remplacement de cap- teurs par des modèles est courant en industrie aéro- spatiale dans le but de réduire le poids. La méthode de validation doit notamment per- mettre de déterminer les défaillances d'un capteur ou d'un modèle tels qu'un biais, une dérive, une satura- tion de signal, un bruit additif à ta mesure ou des valeurs aberrantes. On connaît des méthodes permettant de détec- ter une ou plusieurs de ces défaiLlances. Toutefois, aucune des méthodes connues ne permet de détecter toutes ces défaillances. Par ailleurs, ces méthodes sont en général susceptibles de détecter une discor- dance entre les voies de mesure mais ne sont pas tou- jours capables d'identifier La ou les voies défailan- tes. On connaît une première méthode, dite de test des signes, qui permet de valider la valeur d'un paramètre mesuré par deux capteurs appariés. La métho- de consiste à étudier la différence di=xi-yi o xi et yi sont Les valeurs échantillonnées des signaux déli- vrés par les deux capteurs à l'instant i, o i 1. Le nombre k de différences di positives suit une loi bi- n6miale définie par la taille n de chaque échantillon et par la probabilité p=0,5. Le principe de la validation consiste à mé- moriser les signes des n dernières différences entre les deux séries de mesure. Une alarme est déclenchée dès que le nombre de différences de même signe est supérieur à n + no, o nO est un seuil qui dépend d'un 2 0 compromis entre la sensibilité désirée et la probabi- lité de fausse alarme. Cette méthode a pour inconvénient que, par principe, elle n'est pas sensible à l'amplitude de la différence. Dès L'instant o une mesure est supérieu- re, ou inférieure, à l'autre pendant un temps suffi- samment long, même avec un écart très faible, la dé- tection est inévitable sans aucune possibilité de ré- gler la sensibilité. Cette méthode exige donc des cap- teurs des performances qui ne sont pas réalistes en milieu industriel (étalonnage rigoureux, linéarité absolue sur toute l'échelle de mesures, temps de ré- ponse identique,...) Cette méthode ne peut détecter ni bruit, si celui-ci est plus ou moins centré par rapport au si- gnal valide, ni valeur aberrante mais détecte en re- vanche un biais même s'il est très faibleo Une dérive ou une saturation de signal sont correctement détec- tées. Cette méthode n'est pas très bien adaptée à la validation d'une mesure. Elle valide In effet tan- tôt des mesures incohérentes (bruit) et déclenche tan- tôt de fausses alarmes (biais faible). On connaît une deuxième méthode dite méthode des appariements consistant également à étudier à va- riable d. définie plus haut. Si les deux capteurs dé- livrent des signaux cohérents, la variable d est une loi normale de moyenne O et d'écart type aio La variable mi égale à: i ( dj)/N, j=1 suit alors une loi normale de moyenne f et décart type cr-/ N. Il en résulte que la variable t égale à (md. -N)/o-d suit une loi de Student-Fischer à n-1 de- grés de liberté. Un défaut est détecté si la valeur observée de la variable t devient supérieure à un seuil r dé- terminé en fonction de la table de la loi de Student- Fischer. Ce test réagit mal à certains défauts tels que le bruit, les dérives rapides et un biais en pré- sence de valeurs aberrantes. Cette méthode ne permet en fait que la détection d'une défaillance représen- tant un décalage des signaux. On connait une troisième méthode dans la- quelle on dispose de n capteurs redondants, o n est supérieur à 3, donnant, à chaque instant d'échantil- tonnage, n observations X1, X2,..., Xn. A chaque ins- tant d'échantitllonnage, on définit: 1 n la moyenne arithmétique x = n X. n =1 l'étendue de l'observation: c= X - X max min te mitieu de t'étendue: = (Xma Xmin En fonctionnement normal, les mesures sont correctement réparties autour de ta valeur vraie m. Lorsqu'une mesure s'écarte de ta répartition normale, x et 2 s'écartent de m, mais de façon plus sensible pour R que pour x. Cette propriété est exploitée pour la détec- tion de discordance. A chaque instant d'échantillonna- ge, te test porte sur te rapport Q = [_ j. Si Q dé- passe un certain seuil prédéterminé, la mesure la plus excentrée est éliminée et l'on procède à une nouvelle validation avec les n-1 mesures restantes. Cette méthode nécessite un ordre de redon- dance supérieur ou égal à 3 car, si n=2, Q est cons- tamment nut. Dans le cas o l'ordre de redondance est égal à 3, lorsque Q dépasse le seuil, la mesure la plus excentrée est éliminée et une nouvelle validation à partir des deux mesures restantes n'est plus possi- ble. Quelle que soit la valeur du seuil, cette méthode conduit à de fausses détections en situation normale ou à des non détections en situation anormale (biais ou dérives importantes). On connaît une quatrième méthode dite de test séquentiel du rapport de vraisemblance. Cette mé- thode utilise les propriétés statistiques des échan- tillons temporels du signal qui caractérisent l'écart x3(t) entre deux mesures x1(t) et x2(t) délivrées par deux capteurs redondants. Le test porte sur la même grandeur que celtte du test par la méthode des appariements. L'intérêt de cette méthode réside dans le fait qu'elle prend en compte les notions de probabilité de fausses alarmes et de nondétections. Les méthodes permettant d'éva- luer ces probabilités sont fondées sur une connaissan- ce des lois de distribution qui, bien souvent, n'est pas effective en milieu industriel, le choix des seuils nécessaires à la méthode de validation s'affi- nant généralement d'une façon empirique Lors de la mise en service industrielle. Cette méthode présente Les mêmes défauts que la méthode des appariements. Elle ne permet de mettre en évidence qu'un décalage entre les deux signaux. On connaît une cinquième méthode qui s'ap- plique lorsque deux mesures directes sont disponibles et quand une troisième mesure peut être obtenue par corrélation. La détection d'une discordance entre les deux voies directes s'obtient par une comparaison du signal d'écart à des seuils fixes. En cas de discor- dance, on fait appel à la troisième voie de mesure pour localiser la voie défaillante. Le mesure validée est celle qui est la plus proche de cette troisième mesure obtenue par corrélation. En cas de non discor- dance, la mesure validée est la valeur moyenne des deux signaux issus des deux capteurs. Cette méthode est beaucoup moins élaborée que les méthodes précédentes car elle n'utilise pas la théorie de la détection. Le test est ponctuel; il porte sur l'écart entre les signaux à un instant don- né. Cette méthode est très peu performante car eLLe ne tient pas compte de l'histoire des signaux. En revan- che, lors de l'apparition d'un défaut, la réponse est immédiate. On connaît enfin une sixième méthode déve- loppée par Electricité de France. Elle s'appuie sur 2570 1 82 une théorie compLexe et est applicabLe pour tout ordre de redondance supérieur ou égaL à 2. Cette méthode dite de L'espace de parité consiste à définir et à visualiser un vecteur qui est un reflet de la discordance entre les différentes voies. La norme de ce vecteur de parité permet de dé- tecter une discordance, sa direction permet de locali- ser la voie défaillante. Cette méthode consiste à comparer deux à deux les mesures issues des capteurs redondants. Deux mesures sont cohérentes lorsque leur domaine de tolé- rence, défini par les caractéristiques de précision, d'hystérésis et de linéarité du capteur, se recoupent laissant présager, a priori, que la valeur vraie (in- connue) de la grandeur mesurée se situe dans cette intersection. La méthode de détection est ponctuelle. Elle s'attache à l'instant présent sans prendre en compte le passé et perd donc beaucoup d'informations. Cette approche est peu adaptée à une détection optimale de tous les types de défauts. Par exemple, dans le cas d'une dérive d'un capteur parmi trois capteurs, cette méthode est incapable de déterminer rapidement le cap- teur défaillant. De plus, lors de l'apparition d'une défaillance multiple, cette méthode est incapable d'engendrer une information. De manière générale, la méthode de L'espace de parité ne permet pas d'attein- dre le type de défaut, mais seulement de détecter une discordance entre les voies redondantes. La description précédente a mis en évidence les défauts des méthodes de validation connues. Elle montre que s'il est facile d'élaborer une méthode de validation réagissant bien à un seul type de défail- lance, il est délicat d'en concevoir une ayant un bon comportement en présence des cinq types de pannes les 2 5 7-0 182 plus probables. Avec les méthodes connues, on observe souvent des cas de non-détection de défauts ou de dé- tection abusive entraînant une fausse alarme. Les méthodes de validation utilisant les ca- ractéristiques statistiques de la différence entre deux voies de mesures ne -semblent pas adaptées au pro- bLème de la validation des mesures. Ces méthodes sup- posent en effet une distribution gaussienne des diffé- rences. Or, en régime dynamique ou lorsqu'apparait un défaut, cette hypothèse devient caduque. Il faut alors traiter un échantillon important pour effectuer une détection dans des conditions suffisantes de fiabili- té, ceci au détriment du temps de réponse. D'autre part, une méthode de validation ponctuelle est incapable, dès que la différence entre deux voies dépasse un certain seuil, d'engendrer une information fiable. Une telle méthode s'attache aux informations de l'instant présent. Le passé n'est pas pris en compte alors que dans certains cas sa connais- sance peut aider à prendre une décision. L'invention a pour objet une méthode de va- lidation d'une mesure palliant les inconvénients des méthodes connues. Selon l'invention, la valeur validée du paramètre à un instant T est déterminée en fonc- tion, pour chaque voie de mesure, d'un échantillon de N valeurs mesurées aux N instants d'échantillonnages précédant l'instant T. La méthode de l'invention tient compte de l'histoire des signaux. Cependant, à la différence des méthodes connues et décrites ci-dessus, la méthode de l'invention n'effectue pas un traitement statistique sur ces échantillons mais définit, pour chaque voie, un modèLe du signal délivré par cette voie en fonction de l'échantillon de cette voie. Cette modélisation permet d'évaluer la tendance du signal de chaque voie. Cette modélisation permet en outre de détec- ter une éventuelle discordance entre les voies par une comparaison, à plusieurs niveaux, de ces tendances. Dans le cas d'une discordance entre les voies, la mé- thode permet, à l'aide des modèles de chaque voie, d'extrapoler une valeur fiable du paramètre. De manière plus précise, l'invention a pour objet une méthode de validation de la vaLeur d'un pa- ramètre à des instants successifs séparés par des in- tervaLLes de temps constants ou non dans laqueLLe, à chacun desdits instants, on échantillonne des signaux délivrés par des voies mesurant ou calculant ledit pa- ramètre, et dans Laquelle la valeur validée dudit pa- ramètre est déterminée en fonction d'un échantillon de N valeurs de chaque voie, o N est un entier supérieur ou égal à 2. De manière préférée, la méthode consiste à remplacer chaque échantillon de N valeurs d'une voie par un modèle de voie, tester la validité dudit modèle de voie par un critère de dispersion, définir un modè- le pour le paramètre et déterminer la valeur validée du paramètre en fonction des seuls modèles de voies valides. De manière préférée, le modèle de chaque voie est La droite- obtenue à partir de l'échantillon de ladite voie par la méthode des moindres carrés, Ledit modèLe de voie étant valide si le coefficient de dispersion entre ledit échantillon et ladite droite est inférieur à un seuil de dispersion prédéterminé. Ce coefficient de dispersion peut par exem- ple être égal à la somme des carrés des distances en- tre un point de l'échantillon et le point correspon- dant sur la droite modélisant cet échantillon. Le coefficient de dispersion est d'autant plus grand que l'échantillon est dispersé autour de la droite. Selon une caractéristique de la méthode de l'invention, lorsqu'un modèle de voie n'est pas vali- de, on élimine de l'échantillon la valeur dont la dis- tance au point correspondant sur ta droite est la plus grande. On obtient un échantillon de taille N-1 pour lequel on calcule la droite associée. On -peut itérer le procédé jusqu'à- obtenir une droite dont le coeffi- cient de dispersion associé est inférieur au seuil prédéterminé. Cependant, La taille de l'échantillon étant de plus en plus faible, la représentativité de la droite modélisée est de moins en moins importante. Au-delà d'une taille d'échantillon minimale, il est donc préférable de ne pas tenir compte de la voie cor- respondante. Selon une autre caractéristique de la métho- de de L'invention, lorsqu'un modèle de voie n'est pas valide, on modifie l'échantillon de ladite voie en remplaçant la valeur qui s'écarte le plus de-la moyen- ne des valeurs dudit échantillon par ladite moyenne, et on remplace le modèle de voie par le modèle de voie associé à l'échantillon modifié. Cette méthode permet de détecter et d'élimi- ner une valeur aberrante dans l'échantillon d'une voie. IL est possible de rechercher et d'éliminer une seconde valeur aberrante si le modèle de voie associé à l'échantillon modifié n'est pas valide. De cette ma- nière, on peut valider le modèLe de voie en éliminant successivement toutes les valeurs aberrantes. Cepen- dant, plus on remplace de valeurs dans l'échantillon et moins le modèLe de voie est fiable. On considèrera donc qu'un échantillon contenant plus de valeurs aber- rantes qu'un nombre prédéterminé ne peut être repré- senté par un modèle de voie valide. Cette voie ne sera alors pas prise en compte pour l'élaboration de la valeur du paramètre. Selon une autre caractéristique de la métho- de de l'invention, on teste la cohérence des modèles valides. Ce test permet de détecter les voies présen- tant une défaillance telle qu'une dérive, un biais, un bruit et une saturation. Selon une autre caractéristique de la métho- de de l'invention, si à un instant d'échantillonnage le nombre de modèle valides et cohérents est inférieur à un nombre prédéterminé, on conserve comme modèle pour le paramètre le dernier modèle élaboré. Selon une autre caractéristique de la métho- de de l'invention, la valeur validée du paramètre est déterminée en fonction des modèles valides et cohé- rents si leur nombre est supérieur ou égal audit nom- bre prédéterminé et en fonction du modèle pour le pa- ramètre dans le cas contraire. Les caractéristiques et avantages de l'in- vention ressortiront mieux de la description qui va suivre, donnée à titre illustratif mais non limitatif, en référence aux dessins annexés, sur lesquels: - les figures 1A et lB représentent un orga- nigramme expliquant le fonctionnement de la méthode de l'invention, - les figures 2 à 8 sont des graphiques sur chacun desquels on a représenté les trois signaux dé- livrés par trois capteurs redondants et la valeur va- lidée du paramètre déterminée, selon la méthode de l'invention, en fonction desdits signaux; ces graphi- ques représentent respectivement les cas suivants: À figure 2: les trois signaux mesurés sont cohérents, À figure 3: biais sur le signal délivré par le cap- teur 3, À figure 4: dérive du signal délivré par le cap- teur 1, 1 1 o figure 5: rupture du capteur 3, figure 6: valeurs aberrantes sur le signal délivré par le capteur 3, figure 7: bruit sur le signal délivré par le cap- teur 2, figure 8: biais sur les signaux délivrés par les capteurs 1 et 3, - la figure 9 illustre l'utilisation de la méthode de validation de l'invention à la détermina- tion de la pression primaire dans le coeur d'un réac- teur nucléaire. La méthode de l'invention s'applique pour un ordre de redondance supérieur ou égal à 2. L'organi- gramme des figures 1A et lB qui explique le fonction- nement de la méthode de l'invention a été représenté dans le cas particulier, fréquent en pratique, o * l'ordre de redondance est égal à trois. Les signaux délivrés par les trois capteurs (ou modèles) redondants sont échantillonnés avec une période T. A l'instant K.T, on valide une valeur du paramètre en considérant, pour chaque capteur, l'échantillon de taille N qui représente les N derniè- res valeurs prises par le paramètre mesuré par ledit capteur. La validation d'une valeur du paramètre s'effectue de la manière suivante. Dans un premier temps, on teste, dans l'étape 2 de l'organigramme, si la valeur mesurée à l'instant K.T du signal délivré par chaque capteur est comprise dans La gamme des va- leurs admissibles par ledit capteur. Une voie hors gamme n'est pas prise en compte dans les traitements ultérieurs. Après ce test, on se trouve dans l'un des quatre états référencés 4, 6, 8 et 10. Dans les états 4 et 6, il reste au plus un capteur dans la gamme; il n'est donc pas possible de déterminer une valeur vali- de du paramètre par comparaison entre plusieurs cap- teurs. La vaLeur du paramètre est donc déterminée par extrapolation à partir de modèles mémorisés. Dans Les états 8 et 10, iL est possible d'effectuer une compa- raison entre les signaux délivrés par les différents capteurs. Dans chacun de ces cas, on va, pour chaque capteur, modéliser L'échantillon des N dernières va- Leurs prises par le paramètre mesuré par Ledit cap- teur, par une droite calculée par la méthode des moin- dres carrés. Pour chaque capteur, la droite obtenue constitue une approximation linéaire du signal déli- vré. Cette approximation linéaire permet une comparai- son plus facile des signaux délivrés par chacun des capteurs et permet en outre une extrapolation, grâce à La connaissance de la tendance de chaque signal. Les traitements effectués selon que l'on se trouve dans les états 8 ou 10 sont assez proches. Les tests sont identiques mais la méthode de détermination de la valeur du paramètre peut différer selon Le ré- sultat de ces tests. On va tout d'abord décrire le fonctionnement de la méthode correspondant à l'état 10. Dans l'étape 14, on calcule pour chacun des trois capteurs pris en compte la pente Mi et l'ordon- née à l'origine de l'échantillon D. de la droite modé- *1 lisant, par la méthode des moindres carrés l'échantil- lon du capteur i, o i est compris entre 1 et 3. Pour chaque capteur, on calcule également le coefficient de dispersion Di reflétant la dispersion des points de l'échantillon autour de la droite. Ce coefficient de dispersion est positif. Il est d'autant plus faible que l'échantillon modélisé est proche de la droite. Pour chaque capteur, le coef- ficient de dispersion obtenu est comparé à un seuil de dispersion prédéterminé. Cette comparaison fait L'ob- jet du test 16 de l'organigramme. Un modète est vaLi= de, et pris en compte dans La suite du traitement, si son coefficient de dispersion est inférieur au seuil de dispersion. A l'issue de ce test, quatre états sont possibles qui correspondent à 0, 1, 2 ou 3 modèles valides. Ces états sont référencés respectivement 18, , 22 et 24. Dans le cas o l'un des modèles au moins est reconnu non valide, ceci peut êtr? dû soit à une trop grande dispersion de l'échantiLlon modélisé, soit à une ou plusieurs valeurs aberrantes dans un échantil- lon par ailleurs à faible dispersion. Dans Le second cas, te modèle peut être rendu vaLide si on élimine cette valeur aberrante. Le test 26 appliqué aux échantillons dans le cas des états 18, 20 ou 22 a pour objet la recherche d'une valeur aberrante dans un échantillon. Ce test consiste, pour chaque échantillon d'un modèle non va- Lide, à éliminer la valeur la plus dispersée, c'est-à- dire celle dont la distance au point correspondant sur la droite modélisée est la pLus grande. L'échantillon ne conserve aLors plus que N- 1 valeurs. Du point de vue géométrique, chaque vaLeur de l'échantillon et la droite modélisée étant représentées dans un plan ayant en abscisses le temps et en ordonnées l'amplitude, la valeur éliminée est celle pour laquelle l-a différence entre cette valeur et sa projection sur la droite, parallèlement à l'axe des ordonnées, est la plus im- portante. Si le coefficient de dispersion associé à L'échantillon modifié est inférieur au seuil de dis- persion, on considère que La valeur éliminée est une valeur aberrante de l'échantillon et Le modèle corres- pondant à l'échantillon modifié est valide. Si au con- traire le coefficient de dispersion est à nouveau su- périeur au seuil de dispersion, L'échantillon contient 2 70182 encore une ou plusieurs valeurs aberrantes. On répète alors le test 26 de recherche des valeurs aberrantes. Si après L'élimination d'un nombre prédéterminé de va- leurs aberrantes, par exemple N/5, o N est la taille de l'échantillon, le modèle n'est toujours pas valide, la voie est considérée défaillante et n'est pas prise en compte pour le calcul de la valeur validée du para- mètre. Selon une variante, le test 26 peut consis- ter, pour chaque échantillon d'un modèle non valide, à: - calculer la moyenne des valeurs de l'échantillon, - calculer, par la méthode des moindres carrés, la droite et le coefficient de corrélation correspon- dant à l'échantillon dans lequel on a remplacé la valeur qui s'écarte le plus de ladite moyenne par ladite moyenne. De même que dans le test précédent, le test peut être répété jusqu'au remplacement d'un nombre prédéterminé, par exemple N/5, de valeurs aberrantes. A l'instant d'échantillonnage suivant, la validité de cette voie est à nouveau étudiée sur la base de l'échantillon constitué des N plus récentes valeurs mesurées du signal de cette voie, c'est-à-dire l'échantillon comprenant les éventuelles valeurs aberrantes éliminées à l'instant d'échantillonnage précédent pour l'élaboration du modèle de voie. A l'issue de ce test, on est passé de l'un des états 18, 20 ou 22 à l'un des états 28, 30, 32 ou 34 qui correspondent respectivement à 0, 1, 2 ou 3 modèles valides. Les tests 16 et 26 qui ont été effectués sur les modèles des échantillons des trois capteurs de l'état 10 ont permis de définir les modèles valides à partir de la comparaison desquels la valeur du paramè- tre va être déterminée. Ces mêmes tests sont effectués sur les deux capteurs de l'état 8. Pour Les échantillons de chacun de ces capteurs, on calcule, dans l'étape 12, La droi- te modélisant ledit échantillon par la méthode des moindres carrés. On calcule également les coefficients de corrélation entre ledit échantillon et ladite droi- te. On effectue sur ces modèles un test de validité 36 identique au test 16. On se trouve alors dans l'un des trois états 38, 40 ou 42 correspondant respectivement à 0, 1 ou 2 modèles valides. Si l'un des modèles au moins est non valide, on effectue le test 44 de re- cherche des vaLeurs aberrantes. Ce test est identique au test 26. Apres ce test, on se trouve dans l'état 46 si aucun modèle n'est valide, 48 si un modèle est va- lide et 50 si les deux modèles sont valides. Dans les cas o le nombre de modèles valides est égal ou inférieur à 1, que le nombre de capteurs délivrant un signal dans la gamme soit égal à 2 (état 8) ou à 3 (état 10), la valeur du paramètre ne peut plus être déterminée par comparaison des modèles. Cette valeur est donc extrapolée. Dans les cas o le nombre de modèLes valides est supérieur ou égal à 2, la comparaison entre ces modèles est possible. Celle-ci permet une détection de la dérive d'un signal, par comparaison des pentes des droites des modèles de voie, et une détection du biais d'un signal, par comparaison des ordonnées à l'origine des droites des modèles de voie. On va décrire le fonctionnement de la métho- de dans le cas o les trois modèles sont valides. On part donc de l'état 34 et on applique le test 52 qui consiste à comparer les différences des pentes des droites des modèles deux à deux à un seuil prédétermi- ne. Lorsqu'une des différences entre deux voies dépas- se ce seuil, on considère qu'il y a une dérive entre ces deux voies. A L'issue du test 52, on se trouve soit dans L'état 54 si Les pentes des trois droites des modèles sont cohérentes, soit dans L'état 56 si il y a dérive sur une voie, soit dans l'état 58 si Les pentes des trois droites des modèles sont incohérentes. Si Les -trois pentes sont cohérentes (état 54), on compare la différence des ordonnées à L'origi- ne des droites des modèles deux à deux à un seuil prédéterminé. Lorsqu'une différence dépasse ce seuil, on considère qu'il y a un biais entre ces voies. Si Les ordonnées à l'origine des droites des trois modè - Les sont cohérentes (état 62), la valeur du paramètre est estimée en fonction de ces trois modèles. Si une voie est biaisée (état 64), la valeur du paramètre est déterminée en fonction des deux voies cohérentes. En- fin, si it y a un biais entre les trois voies (état 66) la valeur du paramètre doit être extrapolée. Le traitement effectué dans les états 32 ou 50 dans lesquels deux modèles sont valides est paral- LèLe au traitement effectué dans les cas o les trois modèles sont valides. Un test 68 de comparaison des pentes des droites des deux modèles est effectué. Si La différence entre ces pentes est supérieure à un seuil prédéterminé, les modèles sont incohérents (état ) et la valeur du paramètre doit être extrapolée. Si ces pentes sont cohérentes (état 72) , on effectue le test 74 de comparaison des ordonnées à l'origine des droites des deux modèles. Si un biais est relevé entre ces ordonnées, c'est-à-dire si la différence entre ces ordonnées est supérieure à un seuil prédéterminé, la valeur du paramètre est déterminée par extrapolation; dans le cas contraire (état 78) la valeur du paramètre est déterminée en fonction des deux modèles. En résumé, lorsque sur les trois capteurs, deux capteurs au moins délivrent des signaux cohé- rents, La valeur du paramètre est déterminée en fonc- tion des modèles de voies de ces signaux. Dans le cas contraire, la valeur du paramètre est déterminée par extrapolation en fonction du modèLe mémorisé. Lorsqu'à un instant d'échantillonnage deux voies au moins sont cohérentes, on détermine d'une part La valeur validée du paramètre en fonction des modèles des voies valides et on élabore d'autre part, à partir desdites voies, un modèle pour le calcul de la valeur du paramètre. Plus précisément, la valeur validée du paramètre est fonction de la valeur du si- gnal de chaque capteur défini à l'instant d'échantil- lonnage par le modèle de voie de ce capteur. A titre d'exemple, on peut choisir comme valeur validée du pa- ramètre la moyenne desdites valeurs des signaux, la valeur maximale desdites valeurs des signaux, la va- leur minimale desdites valeurs des signaux. Quant au modèle mémorisé, ce peut être sim- ptlement une droite dont la pente est égale à la moyen- ne des pentes des modèles des voies cohérentes et dont l'ordonnée à l'origine est égale à la moyenne des or- données à l'origine des modèles des voies cohérentes. Mais la pente (respectivement l'ordonnée à l'origine) du modèle mémorisé peut également être dé- finie par la valeur maximale des pentes (respective- ment des ordonnées à l'origine) des droites valides et cohérentes, ou la valeur minimale ou autre. Ce modèle est utilisé pour extrapoler la va- leur du paramètre lorsqu'à un instant d'échantil- lonnage les voies ne sont pas cohérentes et qu'il n'est donc pas possible de déterminer une valeur du paramètre en fonction des modèles valides. Ce modèle est utilisé pour élaborer une valeur du paramètre dans les états 4, 6, 28, 30, 46, 48, 58, 70, 66 et 76. Ce modèLe n'est remis à jour que lorsque deux voies au moins sont cohérentes. Si pendant pLu- sieurs périodes d'échantillonnage les voies ne sont pas cohérentes, it faut donc recourir à un modèle de plus en plus ancien. La valeur extrapolée devient donc de moins en moins fiable. Il peut donc être préféra- ble, si le nombre d'instants d'échantillonnage depuis la mémorisation du modèle est trop important, par exemple supérieur à une valeur prédéterminée, de ne pas utiliser ce modète pour l'élaboration de ta valeur du paramètre. Ceci est possible lorsqu'un capteur fonc- tionne correctement tel que dans les états 6, 30 et 48. Dans ce cas, si un modèle de voie valide peut être associé à l'échantillon des valeurs délivrées par le- dit capteur, la valeur validée du paramètre peut être avantageusement déterminée au moyen dudit modèle de voie par extrapolation. Lorsque le modèle pour le calcul du paramè- tre est ancien et qu'aucun capteur ne fonctionne cor- rectement, tel que dans les états 4, 28 et 46, la vaLeur du paramètre ne peut pas être déterminée avec une fiabilité suffisante. La méthode de validation de l'invention est performante. ELle permet de détecter des défauts iso- lés tels qu'un biais, une dérive, une rupture de si- gnaL, des valeurs aberrantes ou un bruit additif. Elle permet de plus d'identifier la voie présentant ces dé- fauts. Elle permet enfin de reconnaître les quelques cas o une valeur fiable du paramètre ne peut être fournie. Les figures 2 à 8 représentent des graph-i- ques illustrant La valeur validée du paramètre, selon la méthode de l'invention, en fonction de valeurs me- surées par trois capteurs redondants. Sur chacune de 2570 1 82 ces figures, chaque voie a été échantillonnée pendant soixante secondes à une période de 0,1 s. A chaque instant d'échantillonnage, la valeur du paramètre est déterminée en fonction de l'échantillon comprenant, pour chaque voie, 30 valeurs mesurées. Sur chacun de ces échantillons, on accepte la présence de six va- leurs aberrantes, soit une densité de 20%. Pour les différents seuils utilisés dans les tests, on a retenu les valeurs suivantes: - seuil de corrélation: 0,86, - seuil de dérive: 0,3 unité par seconde, - seuil de biais: 5 unités. La valeur retenue pour le seuil de biais a pour but une visualisation plus aisée, afin que les trois signaux dél.ivrés par les capteurs et le signal validé ne se superposent pas. Dans la pratique, ce seuil est beaucoup plus faible. Chaque graphique comporte trois courbes S1 S2 et S3 qui sont les signaux délivrés par trois cap- teurs redondants. La valeur validée du paramètre en fonction du temps est représentée par le signal S. Sur chacun des graphiques, l'axe des abscisses note les instants d'échantillonnage et l'axe des ordonnées l'amplitude des signaux en unités arbitraires. La figure 2 correspond au cas o les signaux délivrés par les trois capteurs sont cohérents (état 62, figure lB). La valeur du signal S à chaque instant d'échantillonnage est alors déterminée par exemple par la moyenne des tendances des trois signaux délivrés par les capteurs. Sur la figure 3, on a représenté le cas o le signal S3 présente un biais à l'instant d'échantil- lonnage 300. Cette défaillance est détectée à l'ins- tant TE, une seconde après l'apparition du défaut. Le signal S3 n'est alors plus pris en compte pour l'éla- boration du signal S. Le décrochement important du si- gnaL validé S à L'instant 310 est dû à La valeur im- portante du seuil de biais. En pratique, cette discon- tinuité est beaucoup plus faible car la valeur du seuil de biais est plus faible que celle qui a été choisie. Sur la figure 4, le signal S1 présente une dérive à partir de l'instant d'échantillonnage 300 (état 56 puis 76, figure 1A). Cette défaillance du capteur est détectée 1,6 s après l'apparition du dé- faut, c'est-à-dire à l'instant TE égal à 316. Le si- gnal validé S subit alors un décalage correspondant à l'abandon de la prise en compte du signal S1. Sur la figure 5, il y a une rupture du si- gnal S3 à l'instant d'échantillonnage 304 (état 8, fi- gure lA). Le signal S3 devient hors gamme. L'alarme est déclenchée 0,4 s après l'apparition de la rupture de ce signal. Sur la figure 6, le signal S3 présente des valeurs aberrantes. La densité de ces valeurs aberran- tes ne dépassant pas 20%, c'est-à-dire 6 valeurs aber- rantes sur les trente valeurs mesurées constituant un échantillon, aucun défaut n'est détecté. La méthode de l'invention permet de reconnaître ces valeurs aberran- tes et de les éliminer du signal S3 de manière à pro- duire un modèle valide de ce signal. Le signal validé S est donc obtenu à partir de trois modèles valides des signaux délivrés par les capteurs. Sur la figure 7, on détecte un bruit à par- tir de l'instant 317 sur le signal S3, c'est-à-dire une densité de valeurs aberrantes supérieure au seuil fixé. Ce bruit est détecté 1,7 s après son apparition. A partir de cet instant, seuls les signaux S1 et S2 sont pris en compte pour l'élaboration du signal vali- dé S. Les figures 3 à 7 montrent l'exceltlent com- portement de la méthode de validation de L'invention lorsqu'un seul des trois capteurs présente une défail- tance. Dans tous les cas, en effet, le signal validé peut être élaboré, la défaillance est détectée et sa nature identifiée très rapidement. On a représenté sur la figure 8 le cas o deux signaux présentent un biais à partir de l'instant d'échantillonnage 300 (état 66, figure 1B) Cette dou- ble défaillance est détectée au bout d'une seconde. Le signal S est alors extrapolé à l'aide de la tendance du phénomène mis en mémoire avant l'apparition du dé- faut. Cette extrapolation est poursuivie pendant instants d'échantillonnage après l'apparition du défaut. Le modèle mis en mémoire est alors considéré comme trop ancien pour délivrer un signal S fiable. La méthode de l'invention permet donc de dé- livrer pendant un certain temps après l'apparition d'une défaillance multiple un signal S qui a une forte probabilité d'être proche de la valeur vraie du para- mètre. Ceci est important car on sait, par expérience, qu'il est préférable, lors de l'apparition d'une dé- faillance multiple, de continuer à fournir à l'opéra- teur une information même si sa fiabilité est suspec- te. Ceci laisse à l'opérateur le temps de prendre les dispositions nécessaires. L'information peut être délivrée à l'opéra- teur par un tableau tel que celui représenté schémati- quement sur la figure 9. Ce tableau 80 comprend une zone 82 identifiant le paramètre mesuré, ici la pres- sion primaire dans un réacteur nucléaire, un afficheur 84 indiquant la valeur validée du paramètre et un af- ficheur 86 indiquant la tendance. Il peut également comprendre avantageuse- ment un afficheur 88 délivrant des messages sur l'état des capteurs mesurant la pression primaire. Les messa- ges peuvent être affichés dans des couleurs différen- tes selon la gravité de la défaillance. Le tableau peut enfin être complété par un commutateur 90 permettant de sélectionner soit le fonctionnement automatique soit, en cas de défaillan- ces multiples, une voie à partir de laquelle la valeur du paramètre est déterminée. 257018.2 REVENDICATIONS 1. Méthode de validation de la valeur d'un paramètre à des instants successifs séparés par des intervalles de temps constants dans laquelle, à chacun desdits instants, on échantillonne des signaux déli- vrés par des voies mesurant ou calculant ledit paramè- tre, ladite méthode étant caractérisée en ce que la vaLeur validée dudit paramètre est déterminée en fonc- tion d'un échantillon de N valeurs de chaque voie, o N est un entier supérieur ou égal à 2. 2. Méthode selon la revendication 1, carac- térisée en ce que, à chaque instant d'échantillonnage, on remplace chaque échantillon de N valeurs d'une voie par un modèle de voie, en ce qu'on teste la validité dudit modèle de voie par un critère de corrélation, et en ce qu'on définit un modèle pour le paramètre et la valeur validée du paramètre en fonction des modèles de voies valides. 3. Méthode selon la revendication 2, carac- térisée en ce que le modèle de chaque voie est la droite obtenue à partir de l'échantillon de ladite voie par la méthode des moindres carrés, ledit modèle étant valide si le coefficient de dispersion entre le- dit échantillon et ladite droite est inférieur à un seuil de dispersion prédéterminé. 4. Méthode selon la revendication 3, carac- tériséeen ce que, lorsqu'un modèle de voie n'est pas valide, on élimine de l'échantillon la valeur dont la distance au point correspondant sur la droite est la plus grande. 5. Méthode selon la revendication 3, carac- térisée en ce que, lorsqu'un modèle de voie n'est pas valide, -on modifie l'échantillon de ladite voie en remplaçant la valeur qui s'écarte le plus de la moyen- ne des valeurs dudit échantillon par ladite moyenne, et on remplace le modèle de voie par le modèLe de voie associé à L'échantillon modifié. 6. Méthode selon la revendication 2, carac- térisée en ce que l'on fait un test de cohérence entre les modèLes valides, les modèles non cohérents n'étant pas pris en compte pour l'élaboration du modèle pour le paramètre ni pour la détermination de la valeur validée du paramètre. 7. Méthode selon la revendication 6, carac- térisée en ce que pour tester la cohérence des modèles valides, on teste au moins l'une des caractéristiques parmi la dérive, le biais, Le bruit, La saturation. 8. Méthode selon les revendications 3 et 7, caractérisée en ce que pour détecter la dérive d'une voie dont Le modèle est valide, on compare la diffé- rence des pentes des droites des modèles desdites voies deux à deux à un seuil de dérive prédéterminé, les modèLes de voies présentant une dérive n'étant pas pris en compte pour l'élaboration du modèle pour le paramètre ni pour la détermination de la valeur vali- dée du paramètre. 9. Méthode selon les revendications 3 et 7, caractérisée en ce que pour détecter le biais d'une voie dont le modèle est valide, on compare l'ordonnée à l'origine des droites des modèles desdites voies deux à deux à un seuil de biais prédéterminé, les mo- dèles des voies présentant un biais n'étant pas pris en compte pour l'élaboration du modèle pour le paramè- tre ni pour la détermination de la valeur validée du paramètre. 10. Méthode selon l'une quelconque des re- vendications 3 à 9, caractérisée en ce que le modèle pour le paramètre est une droite dont la pente est la moyenne des pentes des droites des modèLes valides et cohérents et dont l'ordonnée à l'origine est la moyen- 2 5 7 0 1 8 2 ne des ordonnées à L'origine des droites des modèles valides et cohérents. 11. Méthode seLon La revendication 10, ca- ractérisée en ce que, lorsqu'à un instant d'échantil- Lonnage le nombre de modèLes valides et cohérents est inférieur à un nombre prédéterminé, on conserve comme modèle pour le paramètre le dernier modèle élaborée 12. Méthode seLon la revendication 10, ca- ractérisée en ce que la valeur validée du paramètre est déterminée en fonction des modèles valides et cohérents si leur nombre est supérieur ou égal audit nombre prédéterminé et en fonction du modèle pour le paramètre si Leur nombre est inférieur audit nombre prédéterminé.