FR 2976384 A1 20121214 FR 1162505 A 20111228 L'invention concerne un procédé pour la conception et la fabrication d'une chaîne de composants en réseau ainsi qu'un réseau obtenu par un tel procédé. L'invention est plus particulièrement, mais non exclusivement adaptée à la conception et à l'optimisation d'un réseau de contrôle - commande multiplexé. L'invention est également adaptée à la conception optimisée, selon une ou plusieurs contraintes, d'un dispositif dont le fonctionnement repose sur de multiples composants en interaction selon un réseau mécanique, hydraulique, électrique ou fluidique. L'invention vise plus particulièrement mais non exclusivement le domaine aéronautique. En prenant cet exemple du domaine aéronautique, les dispositifs de contrôle- commande évoluent dans le sens d'une complexité croissante avec l'intervention prépondérante de l'informatique. Parallèlement la demande de fiabilité s'accroît et tout ceci doit être réalisé dans le respect de contraintes de masse assez sévères. Les composants de la chaîne de contrôle-commande deviennent également plus complexes et ladite chaîne intègre des composants logiciels en plus des composants matériels lesquels composants logiciels ajoutent des modes de défaillance supplémentaires Afin de répondre à des contraintes de masse toujours plus sévères, les dispositifs de contrôle-commande basés sur des connexions point à point cèdent la place à des dispositifs mettant en oeuvre des bus multiplexés. Ainsi, la chaîne de contrôle commande d'un aéronef comprend des composants interconnectés, parmi lesquels des émetteurs et / ou récepteurs de données tels que des contrôleurs, capteurs ou actionneurs et des équipements de transmission de données tels que des concentrateurs ou des commutateurs. La conception d'une telle chaîne, et notamment le choix de ses composants, nécessite une analyse de fiabilité. Le calcul de la fiabilité d'une transmission entre deux terminaux d'un réseau est défini selon l'art antérieur comme la probabilité qu'il existe au moins un chemin entre ces deux terminaux ne comportant que des composants non défaillants. Selon un mode d'analyse simplifié couramment employé, chaque composant est considéré comme ne comprenant qu'un seul mode de défaillance : le composant fonctionne ou ne fonctionne pas. Un tel composant est, selon l'art antérieur, modélisé par une chaîne de Markov comprenant deux états, associant à chacun de ces états une probabilité d'occurrence. L'analyse de la fiabilité repose sur l'analyse des chaînes de Markov représentatives du comportement des chemins considérés. Cependant, lorsque le réseau comprend à la fois des composants logiciels et des composants matériels, des modèles de défaillance plus élaborés doivent être considérés. Ainsi, pour chaque composant et pour ne citer que quelques exemples, il est nécessaire de considérer : - des défaillances liées à la transmission d'informations : absence intempestive ou présence intempestive de transmission d'information, ce type de défaillance est couramment désigné par la présence d'un composant bavard ou au contraire d'un composant muet ; - des défaillances liées à la valeur de l'information transmise, c'est à dire des défaillances liées à l'intégrité des données ; - des défaillances liées à la date de transmission : transmission tardive ou prématurée de données. La prise en compte de cette pluralité de modes de défaillance dans l'analyse de la fiabilité du réseau, implique la prise en considération de chaînes de Markov beaucoup plus complexes. De plus, certains modes de défaillance peuvent être propageants, c'est-à-dire qu'une telle défaillance d'un composant affecte la capacité de transmission de données d'autres composants alors que ceux-ci ne sont pas, eux mêmes, défaillants. C'est par exemple le cas d'un composant dit bavard, qui en transmettant sans interruption des données sur le réseau obère toute transmission de données d'autres composants. L'analyse de la fiabilité d'un réseau de contrôle-commande de ce type par les méthodes connues de l'art antérieur, conduit à une explosion combinatoire et ne peut être réalisée, y compris par la mise en oeuvre de moyens de calcul puissants. Ainsi, lorsqu'un réseau comprend N composants ayant chacun m modes de défaillance la taille de la chaîne de Markov pour analyser un tel réseau est de mN, de sorte qu'il est très délicat, voir impossible d'optimiser de manière systématique le choix des composants et l'architecture d'un tel réseau pour en assurer la fiabilité de fonctionnement. Par suite, une telle optimisation repose, selon l'art antérieur, en grande partie sur l'expérience de l'analyste, lequel se trouve dépassé lorsque le combinatoire explose. Ainsi, le processus d'optimisation est long, et en pratique très limité, puisqu'il nécessite des échanges entre l'architecte réseau et l'analyste fiabiliste, ce qui ne favorise pas la création de boucles d'optimisation. L'invention vise à remédier à ces inconvénients de l'art antérieur et concerne à cette fin un procédé pour l'analyse de la fiabilité et l'optimisation d'un réseau de composants, chacun de ces composants pouvant présenter des modes de défaillance complexes, lequel procédé permet de contenir l'explosion combinatoire et peut être mené pour tout ou partie de manière automatisée. Ainsi l'invention concerne un procédé pour la conception et la fabrication d'une 5 chaîne de composants en réseau selon une contrainte S, lequel procédé comprend les étapes consistant à : a. obtenir un niveau de fiabilité f visé ; b. construire une architecture du réseau en sélectionnant des composants dans une base de données, chaque composant étant associé à un 10 enregistrement d'une chaîne de Markov comprenant plus de deux états, et à une valeur relative à s, laquelle architecture comprend : bi. plus de deux composants ; biii. deux terminaux i et j interconnectés c. déterminer la fiabilité f, de l'architecture construite entre les composants 15 i et j et la valeur S, de la chaîne de composants ; d. déterminer l'influence de chaque composant de la chaîne sur la fiabilité de ladite chaîne entre les composants i et j; e. classer les composants dans une liste L en fonction de leur influence sur la fiabilité de la chaîne construite à l'étape b) entre les composants i et j ; 20 f. modifier les composants de la chaîne en fonction de f, de L, de f, et de , g. reprendre les étapes c) à f) jusqu'à ce que les différence (f-f,) et (S-S) soient acceptables ; h. approvisionner les composants de la chaîne obtenue à l'étape g) et 25 construire le réseau au moyen desdits composants. Le procédé objet de l'invention permet une conception automatisée ou semi- automatisée d'un réseau de composants devant répondre à une fonction, à un niveau de fiabilité et à une contrainte S, S pouvant relever de différents critères tels que la masse, le coût, la tenue au feu, sans que cette liste ne soit exhaustive. Un tel processus 30 au moins semi-automatisé n'était pas envisagé selon l'art antérieur du fait de l'explosion combinatoire des modes de défaillance qui ne permettait pas la réalisation de l'étape c), de sorte la prédétermination d'un niveau de fiabilité à atteindre selon l'étape a), bien que de pratique courante, était problématique et source de difficultés donc avec un impact sur les délais de développement de tels réseaux de composants. Ainsi, le procédé objet de l'invention permet la réalisation de chaînes de composants plus fiables tout en répondant à des contraintes de réalisation plus sévères. L'invention peut être mise en oeuvre selon les modes de réalisation avantageux exposés ci-après, lesquels peuvent être considérés individuellement ou selon toute combinaison techniquement opérante. Avantageusement, chaque composant du réseau construit à l'étape b) du procédé objet de l'invention, comprend un état dit de fonctionnement et une pluralité d'états dits 10 de défaillance et l'étape c) comprend des étapes consistant à, séquentiellement : ci. déterminer les chemins entre les terminaux i et j ; cii. rechercher pour chaque chemin déterminé à l'étape ci) des combinaisons d'états des composants du réseau telles que la transmission par ledit chemin soit possible ; 15 ciii. déterminer à partir des combinaisons identifiées à l'étape cii) un ensemble correspondant aux états admissibles des composants du réseau tels que la transmission par n'importe quel des chemins déterminé à l'étape ci) soit possible ; civ. déterminer la probabilité de défaillance de la transmission en 20 fonction de la combinaison des probabilités des états de l'ensemble déterminé à l'étape ciii). Ainsi, ce procédé séquentiel qui consiste, par l'analyse de la topologie du réseau, à concentrer l'attention sur les groupes de composants pertinents à chaque étape, permet de réduire de manière considérable le nombre de combinaisons à étudier et 25 évite l'explosion combinatoire du problème. Ainsi, une expression analytique de la fiabilité du réseau, en fonction des caractéristiques des composants dudit réseau, est obtenue à l'issue de l'étape civ), laquelle expression analytique est avantageusement utilisée pour sélectionner les composants les plus critiques en fonction de leurs modes de défaillance les plus critiques également. 30 Avantageusement, chaque composant est modélisé par un chaîne de Markov, enregistrée dans la base de données, laquelle chaîne comprend plus de deux états, lesdits états étant regroupés en 3 sous-ensembles : - un sous ensemble des états de bon fonctionnement ; - un sous ensemble des états de défaillance non propageante ; - un sous ensemble des états de défaillance propageante, tel que la défaillance propageante n'a d'effet sur les composants adjacents du composant considéré. Ainsi, l'analyse conduite à l'étape c) du procédé objet de l'invention, est simplifiée et plus rapide et permet de limiter le nombre d'états de défaillance à p avec p L'invention est exposée ci-après selon ses modes de réalisation préférés, nullement limitatifs, et en référence aux figures 1 à 7, dans les quelles : - la figure 1 illustre un exemple de réseau comportant cinq composants représentés par des noeuds dudit réseau ; - les figures 2A et 2B illustrent deux exemples de chemins de longueur minimale entre deux des noeuds du réseau de la figure 1 ; - la figure 3 est un tableau montrant l'ensemble des états admissibles des composants du réseau de la figure 1 pour que la transmission de données soit possible par les chemins de la figure 2 ; - la figure 4 est un exemple d'architectures alternatives, figures 4A et 4B, d'un circuit de carburant redondé ; - la figure 5 montre les graphes de fiabilité correspondant respectivement, figures 5A et 5B aux architectures alternatives du circuit carburant de la figure 4; - la figure 6 est un organigramme d'un exemple de réalisation du procédé objet de la l'invention ; - et la figure 7 représente symboliquement la liaison entre les états de fonctionnement et les états de défaillance d'un composant 1. Figure 1, selon un exemple illustratif, un réseau (100), par exemple un réseau de contrôle-commande, comprend 5 composants, dont 3 terminaux (110, 120, 130), représentés respectivement par les noeuds a,b et c, et deux concentrateurs (140, 150) représentés respectivement par les noeuds d et e. Selon un exemple de réalisation du procédé objet de l'invention, celui-ci porte sur l'analyse de la transmissions des données entre le terminal a (110) et terminal b (120). Selon une notation généralisée, le kème chemin entre les noeuds i et j est noté Pink Figure 2, entre les terminaux a et b, un premier chemin Pab' (210) passant par le noeud d peut être défini ainsi qu'un second chemin Pab2 (220) passant par le noeud e peuvent être définis. En désignant par : - X° l'ensemble des états de bon fonctionnement du composant i ; - XF l'ensemble des états de défaillances non propageantes du composant i ; - et par 7 l'ensemble des états de défaillances propageantes du noeud i. Les états de bon fonctionnement étant limités à un seul état, soit card(X°) = 1 . Figure 3, le tableau donne les combinaisons d'ensembles d'états admissibles pour les deux chemins (210, 220) déterminés ci-avant, le signe u désignant l'union des ensembles d'états. Ainsi, les composants a (110) et b (120) doivent être dans leur état de fonctionnement Xa° etXb° quelque soit le chemin. À contrario, le composant c (130) qui n'est jamais sur un chemin de transmission mais qui est systématiquement adjacent à un composant du chemin, quelque soit le chemin, ne doit pas se trouver dans un état de défaillance qui se propage. Ainsi, si l'ensemble des états tels que la transmission entre les noeuds i et j est possible par le chemin Pink pour un composant / est noté alors : c'est-à-dire : L'état du réseau à un instant donné est la combinaison des états actifs des 15 composants à cet instant. Une combinaison caractéristique comporte donc autant de termes que de composants du réseau. L'ensemble : des combinaisons admissibles pour une transmission selon un chemin Pz~k est donné par: 20 L'ensemble des états admissibles pour tous les chemins, noté Co s'obtient en réalisant l'union des ensembles de combinaisons admissibles pour chaque chemin, soit : Ainsi cet ensemble des états admissibles pour tous les chemins entre a (110) et b (120) est donné par : F C Ainsi, cet ensemble ne comprend que 6 combinaisons d'états parmi les 35 soit 243 états que contient la chaîne de Markov décrivant le comportement de ce réseau. Ainsi, la réalisation des étapes ci) à ciii) du procédé selon l'invention permet de réduire considérablement la dimension du modèle. L'étape civ) du procédé objet de l'invention est réalisée en effectuant la somme des probabilités de chacune des combinaisons d'états admissibles. En notant la probabilité de l'ensemble de l'état de fonctionnement X° du composant i et i;la fiabilité de la transmission entre les noeuds i et j, alors la fiabilité de la transmission entre les noeuds a (110) et b (120) du réseau (100) s'écrit : ùo, Connaissant, par l'intermédiaire des données constructeur, ou à partir d'essai les valeurs des probabilités de défaillance correspondantes de chacun des composant il est alors facile de simuler l'influence des divers composants sur la fiabilité de transmission et ainsi d'optimiser la construction du réseau de contrôle-commande. Figure 7, le comportement de chaque composant, 1, est ainsi décrit par une chaîne de Markov à trois états : et Des taux de défaillance X et X f sont associés à chacun de ces états, et caractérisent respectivement le risque que le composant l passe d'un état de bon fonctionnement xj K à un mode de défaillance x, ou à un mode de défaillance xP susceptible de se propager aux composants adjacents. Les taux de défaillance définissent une probabilité de défaillance fonction du temps de fonctionnement, t, la probabilité de défaillance étant généralement d'autant plus forte que le temps de fonctionnement visé est important. Ainsi, pour un composant l : Ainsi, connaissant les taux de défaillance de chacun des composants/du réseau, une expression analytique de la fiabilité du réseau est obtenue en fonction de son temps t de fonctionnement par exemple. Avantageusement les valeurs des taux de défaillance de chaque composants sont enregistrées dans une base de données de sorte qu'elles sont attachées aux composants dès la construction de l'architecture. D'autres valeurs relatives au composant sont enregistrées dans cette base de données, notamment sa masse ou son coût. Par ailleurs, plusieurs taux de défaillance peuvent être définis en fonction d'autres contraintes externes, de manière similaire au temps de fonctionnement, ces contraintes externes peuvent être la température, des taux de rayonnement reçu, des distances parcourues, des quantités transportées ou tout autre variable relative au fonctionnement du composant ayant un effet cumulatif sur sa probabilité de défaillance. Finalement, dans le but de simplifier les écritures, ces exemples sont donnés dans le cas de valeurs constantes et uniformes sur le domaine étudié. Le procédé objet de l'invention est cependant adapté à des représentation mathématiques du taux de défaillance par des fonctions. De telles fonctions peuvent être représentées par des paramètres de loi d'usure ou d'érosion telles que des lois de Weibull. Figure 4, selon un exemple d'application du procédé objet de l'invention, celui-ci est utilisé pour analyser deux architectures alternatives, figures 4A et 4B, d'un circuit carburant. Les figures 4A et 4B montrent ainsi une représentation simplifiée des éléments essentiels d'un circuit de carburant redondé. Ledit circuit comprend deux réservoirs (401, 402), lesquels sont mis en communication avec un moteur (430) par deux conduits (421, 422) distincts. Une vanne de sélection (420) ou « bipasse » permet d'alimenter en carburant ledit moteur (430) par l'un ou l'autre des conduits (421, 422). Selon un premier exemple de réalisation, figure 4A, chaque conduit (421, 422) est alimenté par une pompe (411, 412) puisant respectivement dans l'un et l'autre des réservoirs (401, 402). Cette pompe est redondée dans chacun desdits réservoirs par une deuxième pompe (413, 414) de sorte que si l'une des pompes est défectueuse, l'autre pompe puisse prendre le relai et que si l'un des réservoir est vide, le carburant puisse être puisé dans l'autre réservoir. Selon un deuxième exemple de réalisation, figure 4B, chaque conduit (421, 422) est alimenté par une pompe (411, 412) puisant dans l'un des réservoirs, et une pompe de transfert (415) est installée entre le deux réservoirs, de sorte que si l'une des pompe (411, 412) est défectueuse, le contenu du réservoir qui lui est affecté est transféré progressivement dans l'autre réservoir et envoyé vers le moteur par l'autre pompe. Figure 5, chaque architecture de circuit carburant, peut être assimilée à un graphe fonctionnel qui permet de ramener l'étude de la fiabilité d'un tel circuit à celle d'un réseau, de communication entre les réservoir (401, 402), émetteurs et un récepteur, en l'occurrence le moteur (430) ou la vanne bipasse (420). Selon les deux exemples de réalisation, figures 5A et 5B, l'analyse de fiabilité repose sur la construction des chaînes de Markov correspondant aux 4 chemins (501, 502, 503, 504 , 511, 512, 513, 514) entre les terminaux (401, 402, 420) et des composants présents sur ces chemins. Ainsi, les deux architectures peuvent être comparées quantitativement en matière de fiabilité, par exemple pour des temps de fonctionnement donnés. Figure 6, selon un synopsis résumé du procédé objet de l'invention, une première étape (510) de construction consiste ainsi à construire un réseau de composant correspondant à une architecture ou à plusieurs architectures alternatives (450, 460). Cette étape est réalisée par un spécialiste architecte de réseau. Le procédé objet de l'invention est, selon un mode de réalisation préféré, mis en oeuvre au moyen d'un ordinateur. Ainsi, l'architecte choisi ses composants dans une base de données (611), accessible depuis ledit ordinateur. Chaque composant de la base de données (611) est associé à des enregistrements de sa fiabilité sous diverses contraintes cumulatives telles que son temps de fonctionnement, ainsi qu'à des données techniques, tels que sa masse, son coût, son encombrement etc... Selon cet exemple de réalisation particulier, chaque architecture fait l'objet d'une analyse séparée. Selon une étape d'interprétation (615) le graphe (616) correspondant à l'architecture étudiée est généré. Au cours d'une étape (620) de cadrage de l'analyse, les chemins à étudier sont construits en fonction des renseignements (621) introduits, c'est-à-dire, notamment, les composants i et j entre lesquels la fiabilité du réseau doit être analysée. Ces renseignements (621) comprennent également, le cas échéant, le contexte d'optimisation et les contraintes par rapport auxquelles les choix des composants et de l'architecture doivent êtres optimisés. Cette étape (620) peut être réalisée par l'architecte ou par un analyste fiabiliste. Ainsi, la mise en oeuvre du procédé objet de l'invention par ordinateur permet un dialogue aisé entre les deux fonctions professionnelles. Ainsi, au cours de cette étape, un objectif de fiabilité f peut être introduit de même qu'un ou plusieurs objectifs S relatifs à des contraintes données. Selon une étape de calcul (630) la fiabilité, f, et la réalisation S, du réseau relative à la contrainte S sont déterminées à partir des informations associées aux composants dudit réseau dans la base de données (611) et selon la méthode de calcul expilicitée supra. Une série de résultats (631) est produite comprenant notamment des informations sur la fiabilité f, du réseau dans son ensemble et son positionnement S, par rapport à la contrainte S visée, mais aussi une classification individuelle, il, des composants du réseau en regard de leur influence tant sur la fiabilité dudit réseau que par rapport au respect de la contrainte. Cette capacité de classement des composants, provient de la possibilité d'exprimer la fiabilité du réseau par une équation analytique. Au cours d'une étape de décision (640) si le niveau de fiabilité f, du réseau diffère de manière acceptable de l'objectif de fiabilité f et que le niveau S, de respect de la contrainte S est acceptable, alors l'architecture et le choix des composants sont validés et le réseau est construit au cours d'une étape (660) de réalisation. Le respect des objectifs peut être jugé par les quantités (f-f,) et (S-S1) ou par tout autre critère, notamment les ratios f,/f ou S/S. Si, en revanche, le niveau de fiabilité ou la réalisation de la contrainte visée ne sont pas atteints, alors le choix des composants est modifié (650) en fonction notamment du classement de leur influence sur le résultat final et le processus est recommencé à partir de l'étape (615) de construction du graphe. Alternativement, l'architecture peut être modifiée, ou l'analyse précédente peut être conduite de manière comparative sur les deux architectures. La mise en oeuvre du procédé objet de l'invention par ordinateur et l'obtention de résultats quantitatifs et analytiques se prêtant à une analyse variationnelle permet d'automatiser tout ou partie du procédé et de baser les choix, tant de composants que d'architecture sur des éléments factuels et quantifiés, toute en permettant un enrichissement progressif de la base de donnée (611). De plus, ces conditions de mise en oeuvre du procédé objet de l'invention favorisent et accélèrent le dialogue entre architecte et analyste fiabiliste, permettant l'obtention rapide de réseaux optimisés et la réduction des délais de développement de tels réseaux. REVENDICATIONS1. Procédé pour la conception et la fabrication d'une chaîne de composants en réseau selon une contrainte S, caractérisé en ce qu'il comprend les étapes consistant à : a. obtenir (620) un niveau de fiabilité (621) f visé ; b. construire (610) une architecture du réseau en sélectionnant des composants dans une base de données (611), chaque composant étant associé à un enregistrement d'une chaîne de Markov comprenant plus de deux états, et à une valeur relative à s, laquelle architecture comprend : bi. plus de deux composants ; biii. deux terminaux i et j interconnectés c. déterminer (630) la fiabilité f, de l'architecture construite entre les composants i et j et la valeur S, de la chaîne de composants ; d. déterminer l'influence de chaque composant de la chaîne sur la fiabilité de ladite chaîne entre les composants i et j; e. classer les composants dans une liste il en fonction de leur influence sur la fiabilité de la chaîne construite à l'étape b) entre les composants i et j ; f modifier (650) les composants de la chaîne en fonction de f, de il, de f, et de S,; g. reprendre les étapes c) à f) jusqu'à ce que les différence (f-f,) et (S-S) soient acceptables ; h. approvisionner les composants de la chaîne obtenue à l'étape g) et construire (660) le réseau au moyen desdits composants. 2. Procédé selon la revendication 1, caractérisé en ce que chaque composant dudit réseau comprenant un état dit de fonctionnement et une pluralité d'états dits de défaillance, l'étape c) comprend des étapes consistant à, séquentiellement : 30 ci. déterminer les chemins (210, 220, 501, 502, 503, 504, 511, 512, 10 15 20 25 5 15 20 25 30513, 514) entre les terminaux i et j ; cii. rechercher pour chaque chemin déterminé à l'étape ci) des combinaisons d'états des composants du réseau telles que la transmission par ledit chemin soit possible ; ciii. déterminer à partir des combinaisons identifiées à l'étape cii) un ensemble correspondant aux états admissibles des composants du réseau tels que la transmission par n'importe quel des chemins déterminé à l'étape ci) soit possible ; civ. déterminer la probabilité de défaillance de la transmission en fonction de la combinaison des probabilités des états de l'ensemble déterminé à l'étape ciii). 3. Procédé selon la revendication 2 caractérisé en ce que chaque composant, 1, est modélisé par un chaîne de Markov, X, enregistrée dans la base de donné, laquelle chaîne comprend plus de deux états, lesdits états étant regroupés en 3 sous-ensembles : - un sous ensemble, X°, des états de bon fonctionnement ; - un sous ensemble, XF , des états de défaillance non propageante ; - un sous ensemble, XP, des états de défaillance propageante, tel que la défaillance propageante n'a d'effet que sur les composants adjacents du composant considéré. 4. Procédé selon la revendication 3, caractérisé en ce que la combinaison d'états obtenue à l'étape cii) est déterminée par : et . tous les composants du chemin entre i et j sont dans leur état de fonctionnement, et ; c2 tous les composants adjacents à un composant se trouvant sur le chemin entre i et j sont dans leur état de fonctionnement ou dans un état de défaillance non propageante ; c3 les combinaisons d'états ainsi déterminées étant stockées pour chaque chemin. 5. Procédé selon la revendication 4, caractérisé en ce que l'étape ciii) est6. 7. 8. 9. 10.réalisée en effectuant l'union des ensembles stockés à l'étape c3) Procédé selon la revendication 1, caractérisé en ce que le réseau de composant est un réseau de contrôle-commande multiplexé. Procédé selon la revendication 1, caractérisé en ce que le réseau est un réseau fluidique. Procédé selon la revendication 1, caractérisé en ce que la contrainte S est relative à la masse du réseau. Procédé selon la revendication 1, caractérisé en ce que la contrainte S est relative au coût du réseau. Circuit carburant (450, 460), notamment pour aéronef, caractérisé en ce que ledit circuit est conçu et fabriqué par un procédé selon la revendication 9.