FR 3044787 A1 20170609 FR 1561819 A 20151203 1 ESTIMATION DE LA FIABILITE D'UN SYSTEME INDUSTRIEL Domaine technique et art antérieur L'objet de la présente invention concerne le domaine de la sûreté et de la sécurité des systèmes industriels complexes réparables. L'objet la présente invention concerne plus particulièrement l'estimation de la sûreté et de la sécurité d'un système industriel complexe tel que par exemple une centrale nucléaire. Un des objectifs de la présente invention est de fournir un outil permettant d'estimer avec une bonne précision et un minimum de temps de calcul la fiabilité d'un système industriel complexe réparable. La présente invention trouve une application particulièrement avantageuse dans le domaine du nucléaire en permettant l'évaluation de la sûreté et de la sécurité d'une centrale nucléaire, notamment pour : - l'optimisation de la conception de la centrale afin de décider du nombre de redondances à prévoir dans les systèmes de sûreté et de sécurité ; - l'évaluation des niveaux de risque de défaillance de la centrale en cours d'exploitation (« risk monitoring ») afin de déterminer les situations dans lesquelles il faut ou non arrêter la centrale ; - l'estimation de l'augmentation du risque liée à certaines situations exceptionnelles (comme par exemple l'indisponibilité longue durée d'un composant) afin de pouvoir obtenir de la part des autorités de sûreté compétentes les dérogations nécessaires pour continuer l'exploitation de la centrale. On pourra comprendre ici que d'autres applications avantageuses dans le monde industriel pourront également être envisageables dans le cadre de la présente invention, ceci sans pour autant sortir du champ de la protection recherchée. Ainsi, la présente invention pourra trouver une application avantageuse dans la modélisation des centres de contrôle aérien, des aéroports, des réseaux ferrés, ou encore dans la modélisation des raffineries. Bien évidemment, il s'agit ici d'exemples d'applications possibles parmi d'autres. Le Demandeur précise ici que la présente invention concerne principalement les systèmes qui sont réparables. On notera que la présente invention n'a pas d'intérêt pour 3044787 2 estimer la sûreté d'un système non-réparable comme par exemple la sûreté d'un avion en vol ou d'un satellite. On connaît dans le domaine de la sûreté et de la sécurité des centrales nucléaires 5 plusieurs méthodes probabilistes visant à déterminer la probabilité associée à un accident dans une centrale nucléaire (par exemple la fusion du coeur de réacteur). Les méthodes de calcul permettant d'aboutir à un résultat fiable pour évaluer le risque associé à un tel accident doivent nécessairement prendre en considération un très grand nombre de composants pour être aussi proche que possible de la réalité. 10 Idéalement, ces méthodes requièrent une détermination de tous les scénarii de défaillances possibles à partir des composants du système à étudier. On comprend aisément que ces méthodes impliquent très souvent un temps de calcul très long et très coûteux d'un point de vue des ressources informatiques. 15 Il existe différentes approches qui s'emploient toutes à réduire ces temps de calcul, ceci tant pour des raisons économiques que pour des raisons sécuritaires. Classiquement, les méthodes probabilistes utilisées pour estimer la fiabilité d'une centrale nucléaire utilisent des modèles du type arbres de défaillances et arbres d'évènements. 20 Ces méthodes, également connues sous l'acronyme EPS (pour Etudes Probabiliste de Sûreté), reposent sur des hypothèses simplificatrices et des approximations pour réduire les temps de calcul. Dans ces méthodes, la plupart des dépendances entre les composants d'un système n'est pas prise en considération dans l'estimation. 25 De la même façon, les temps de réparation associés à chacun des composants du système ne sont pas pris en considération. Pour pallier ces approximations, on introduit la notion de temps de scrutation. Ce temps de scrutation peut se définir comme suit : Si, après un évènement initiateur faisant sortir la centrale nucléaire d'un état stable, la 30 fusion du réacteur ne s'est pas produite avant ce temps de scrutation, il est alors communément convenu que la centrale reviendra rapidement à l'état initial. D'après un consensus international adopté par l'ensemble des acteurs de l'industrie du nucléaire, la valeur universellement retenue pour ce temps de scrutation est 24 heures. 3044787 3 Cette notion de temps de scrutation et la valeur retenue par la communauté scientifique peuvent paraître assez arbitraires et peu rigoureuses sur le plan mathématique. On notera néanmoins que cette approche est la seule permettant jusqu'à présent de traiter efficacement les modèles prenant en considération plusieurs milliers de défaillances de 5 composants. En effet, grâce aux différentes approximations décrites ci-dessus, il devient possible de quantifier, en un temps raisonnable et sur un ordinateur personnel, un modèle présentant de l'ordre d'une centaine de milliers de scénarii de défaillance (ou coupes minimales). 10 Alternativement, on connaît également des méthodes dites dynamiques qui utilisent des modèles basés sur des fonctions booléennes et des processus de Markov. Ces modèles sont connus sous l'acronyme BDMP (pour « Boolean logic Driven Markov Processes »). Contrairement aux méthodes EPS classiques, l'utilisation d'un BDMP permet de 15 modéliser les dépendances entre les composants et de tenir compte des réparations. Les BDMP constituent ainsi un outil de modélisation puissant pour l'analyse de la sûreté et de la sécurité des systèmes dynamiques. Ils sont utilisés depuis plusieurs années pour évaluer la fiabilité, la disponibilité et la sûreté de systèmes complexes reconfigurables. 20 A présent, on peut considérer que les BDMP peuvent servir de formalisme commun pour la modélisation conjointe de risques de sûreté et de sécurité. A titre d'exemple, ils ont déjà été appliqués pour l'étude de sûreté d'un pipeline industriel pour modéliser des scenarii de sûreté et de sécurité menant à un événement relatif à la sûreté. 25 Toutefois, ces méthodes sont pour l'instant inexploitables pour les systèmes présentant un trop grand nombre de composants, comme par exemple une centrale nucléaire. Un BDMP avec n feuilles spécifie un modèle markovien (un processus de Markov à temps continu) présentant une taille d'environ 0(2"). 30 Alors que la taille du BDMP croît linéairement avec la taille du système à modéliser, la taille des données servant de support aux calculs augmente exponentiellement. Une méthode efficace pour réaliser un calcul de fiabilité à partir d'un tel modèle BDMP peut consister en l'exploration et la quantification des séquences menant à la réalisation de l'évènement indésirable. 3044787 4 On peut imposer une insensibilité à l'ordre de grandeur des probabilités en ne retenant que les séquences prédominantes dont la probabilité est bien plus grande que celles de toutes les autres séquences. Dans ce cas, on peut traiter un BDMP contenant typiquement 150 à 200 feuilles. 5 Un BDMP peut aussi être quantifié par simulation de Monté Carlo, mais lorsque les probabilités à évaluer sont trop petites, les temps de calcul deviennent inacceptables. C'est typiquement ce qui se produit dans le contexte des EPS. Pour une application dans le domaine du nucléaire, les deux approches ci-dessus (par exploration de séquences et par simulation de Monté Carlo) ne peuvent être utilisées que pour 10 certaines études et, en aucun cas, pour un système de grande taille tel que par exemple une centrale nucléaire ; ceci n'est pas entièrement satisfaisant. Ainsi, le Demandeur soumet que l'état de la technique ne propose pas de solution entièrement satisfaisante permettant d'estimer rapidement et avec une bonne précision la sûreté d'un système dynamique réparable de grande taille. 15 Objet et résumé de la présente invention L'objet de la présente invention vise à améliorer la situation actuelle. A cet effet, l'objet de la présente invention propose une estimation de la fiabilité d'un système industriel comprenant une pluralité de composants réparables permettant de remédier 20 aux différents inconvénients mentionnés ci-dessus. Plus particulièrement, la présente invention concerne selon un premier aspect un procédé d'estimation de la fiabilité d'un système industriel comprenant une pluralité de composants réparables, dépendants les uns des autres et présentant chacun des paramètres de fiabilité déterminés dont notamment un taux de défaillance Xi et un taux de réparation 14 25 Selon l'invention, le procédé est mis en oeuvre par des moyens informatiques et comporte les étapes suivantes : - une étape de construction à partir des composants d'un modèle dynamique représentatif du système tenant compte des dépendances entre les composants ; - une étape de génération à partir du modèle construit d'un unique arbre de 30 défaillances représentatif des scénarii de défaillance des composants pouvant conduire ledit système d'un état normal à un état de défaillance ; - une étape de détermination d'un contenu minimal des séquences, dit CMS, à partir des coupes minimales de l'arbre de défaillances généré, ledit CMS comprenant une liste de produits minimaux c se présentant sous la forme d'une combinaison 3044787 5 de composants et comprenant, pour chaque produit minimal, un unique évènement initiateur, noté ici ei, et m de défaillances en fonctionnement ou à la sollicitation, m étant ici un nombre entier positif ; - une étape d'estimation de la défiabilité R(t) dudit système à un instant t en 5 fonction du taux de défaillance Xei de chaque évènement initiateur ei et de la somme Pei des probabilités de défaillance obtenues pour les k produits minimaux lui correspondant. Selon des caractéristiques optionnelles de l'invention prises seules ou en 10 combinaison : - lors de l'étape de construction, le modèle est un modèle du type BDMP basé sur des fonctions booléennes et processus de Markov associés aux composants du système ; - alternativement, lors de l'étape de construction, le modèle est un modèle du type 15 EPS composé d'arbres d'événements et d'arbres de défaillances. - l'estimation de la défiabilité R du système à un instant t est calculée selon la formule suivante : R(t) (Ei ET NON ev. finit. sauf 0 OU (Fi ET ev. finit. sauf 0 où ev. init. sauf i =E1 OU E2 OU ... OU OU El+1 OU ... OU Ek Les autres composants du système, non liés à des événements initiateurs, restent inchangés (feuilles de type F ou I). 15 E. Définitions : Contenu Minimal des Séquences ou CMS : Définition 1: Formellement, un automate fini déterministe ou DFA (pour « Deterministic Finite Automaton ») est un quintuple (S, E, T, s, A) dont les éléments sont: - un ensemble d'états (S), 20 - un alphabet (E), - une fonction de transition (T: S x E S), - un état de départ (s E S), - un ensemble d'états acceptants (A c S). 25 L'automate DFA permet de décider pour toute suite de symboles pris dans l'alphabet si cette suite est acceptable ou non (on dit aussi : si la suite de symboles appartient ou non au langage défini par l'automate). Dans l'invention, ce concept est appliqué à la recherche de séquences menant un système de son état initial à un état cible. 3044787 17 Avec les notations données ci-dessus, nous pouvons associer S à l'ensemble des états du système, les transitions T aux évènements (panne, réparation, etc.) qui constituent l'alphabet E, et A à l'état cible du système. Dans le cadre de la présente invention, nous nous intéressons aux séquences qui 5 mènent à la première entrée dans un état cible. Le DFA est donc ici défini pour accepter des séquences dont la dernière transition fait entrer le système dans son état cible pour la première fois. Définition 2 : Une séquence sans boucle est une séquence qui ne passe pas deux fois par le 10 même état du DFA. Dans un DFA, le nombre de séquences sans boucle est fini. Définition 3 : Une séquence minimale est une séquence acceptable telle que si l'on retire un sous-ensemble non vide quelconque des transitions de la séquence, on obtient une séquence refusée par le DFA. 15 Les séquences minimales possèdent deux propriétés évidentes : 1) toute séquence minimale est sans boucle, et 2) toute séquence acceptée par le DFA contient au moins une séquence minimale. 20 Définition 4 : Soit xi une variable Booléenne associée au symbole i de l'alphabet E du DFA G. La projection de la séquence w (acceptée par le G) sur E est la fonction Booléenne : 7,-(w) =nxi jEw Cette fonction est un moyen de représenter le sous-ensemble des symboles de E qui figurent dans la séquence w. Elle indique si une transition apparaît dans w ou non, mais pas combien de fois. 25 Il est à noter que les séquences ne différant que par l'ordre selon lequel les transitions se succèdent ont la même projection. Sur la base des notions introduites ci-dessus, on peut formuler la définition d'un contenu minimal des séquences. 3044787 18 Définition 5 : Le contenu minimal des séquences ou CMS du DFA G est la fonction Booléenne définie comme la somme des projections des séquences minimales ; par conséquent, il prend la forme : MCS(G) = n(w) = Xi WESG WESG iEW où SG est l'ensemble des séquences minimales du DFA. 5 Cette fonction est monotone et peut donc être représentée de manière canonique par une somme de produits minimaux (l'équivalent de ce que l'on appelle les coupes minimales pour un arbre de défaillances). Considérons l'exemple de la figure 1 dans laquelle on dispose d'un système avec deux composants en parallèle, 1 et 2, alimentés par une alimentation électrique commune c. 10 Dans cette figure 1, fi et ri sont la défaillance et la réparation du composant i, respectivement, et fc est la défaillance de la source de courant. Dans cet exemple, on a donc trois séquences minimales : (fa), (fi, f2), et (f2, fi), les deux dernières ayant la même projection. Ici, le contenu minimal des séquences ou CMS est : fc + f2) + (f2- fi) = fc + f2) 15 Le Demandeur soumet que les définitions données ci-dessus figurent dans l'article « Détermination efficace de scenarii minimaux de défaillance pour des systèmes séquentiels » par M. BOUISSOU, 15ème colloque de fiabilité et maintenabilité, Lille, 2006. 20 F. Technique de calcul dans le cas général Dans ce chapitre, nous allons établir une formule pour la défiabilité (t) d'un système dans le cas général, quand il contient des composants avec des défaillances aussi bien en fonctionnement qu' à la sollicitation. 25 Supposons ici qu'il y a n événements initiateurs ei qui peuvent faire sortir le système de son état parfait. Alors, selon la formule ci-dessus, la défiabilité R (t) du système à un instant t peut être estimée selon la formule suivante : 30 R (t) i -1- - m e-riX m e-riX m e-l-k X lrexp m rix + ej i=t j>i k>j i=1 1=1 1-1(1 - ix) = -1 m 1 1=1 Par conséquent, après l'intégration de 0 à l'infini, on obtient une série alternée dont chaque terme, à son tour, est une somme de fractions. Par exemple, la deuxième intégrale 5 conduit à m f co JO 0 e-I-Leixn(1 - e-rjx) dx = 1=1 m m m m 171 171 m )-1 1 1 1 1 [iej + + ri + rk + + (-1)m ([.tei L-J + ri + ri + rj i=1 i=1 j>i i=1 j>i k>j i=1 La première intégrale est calculée de la même façon, la seule différence est que l'on doit exclure l'élément courant i du produit. Supposons maintenant que le produit minimal c contient à la fois des défaillances en fonctionnement et des défaillances à la sollicitation (en nombre 1). 10 Rappelons que l'espérance mathématique du nombre de défaillances dans ce cas est décrite par la formule : / m m t ,/ ,(N(0)= FI Yc,i X f 11 exp(-,,,ix) exp (_x ,, o 2.' ,,;)wc,i(x)FIQ,,;(x) dx I-1 -1 i=i i=i i -1 i#i Afin d'obtenir l'expression analytique correspondante, on remplace uie dans l' équation (2) par : i=1 et de prendre en compte le produit des probabilités instantanées y ,. 15 Ces formules analytiques peuvent sembler complexes ; le demandeur soumet toutefois qu'elles permettent de réduire considérablement le temps de traitement par rapport à une intégration numérique, tout en améliorant la précision. 3044787 26 En tant qu'une illustration, retournons à l'exemple du système comprenant trois composants dans lequel il n'y a qu'un seul événement initiateur ei et un seul produit minimal qui lui correspond. Dans cet exemple, nous pouvons immédiatement écrire la formule analytique pour le 5 taux de défaillance équivalent Àeq: 3 3 3 oo dx - e 111x(1 - e-rex - e-r3x + e-(7.2"3)x)dx Xecir e-111-x(1 - e-rex -=2 ° - j=2 '=2 1 0 3 3 3 r-r 1 1 À.; ( 1 1 4 I I x Pl 111+ +r2 + r3 + r2 + r3 i=2 j=2 j=2 xix.3 À.2 ( 1 1 À.3 ( 1 1 ) r3 + r3 r2 + 1-21 À1À2 - (4 4 + À1À3) 4 4 ( 1 1 1 + 1 r2 r3 111 + r2 1.11 + r3 14 + r2 + r3) Un tel calcul est très facile à réaliser. I. Exemples de mise en oeuvre 10 Dans la suite, nous considérons plusieurs exemples de complexité croissante. Dans ces exemples, le taux de défaillance de tous les composants est égal à 10-4h1 ; les valeurs des probabilités de défaillance à la sollicitation et des taux de réparation sont variées. 15 1) Exemple 1 - Système de pompage avec une voie de secours Ce premier exemple permet de mettre en évidence l'importance de la prise en compte des gâchettes dans la génération du CMS. 20 Dans cet exemple, on suppose qu'un système de pompage comprend une pompe principale Cl et une voie de secours avec deux pompes en parallèle, C2 et C3, reliées en série à une pompe C4 qui fonctionne seulement à une température déterminée. I 3044787 27 Dans cet exemple, on suppose également que l'une des pompes en parallèle (par exemple C3) fournit l'eau de refroidissement à C4. De ce fait, une défaillance de C3 provoque immédiatement une défaillance de C4 (supposée non-réparable) en raison de l'absence de refroidissement. 5 Le BDMP correspondant à un tel système est illustré en figure 4. Selon la méthode I&AB présentée dans le cadre de la présente demande, les défaillances de tous les composants après un événement initiateur ei sont indépendantes, ce qui est équivalent à un modèle sans la gâchette inférieure. 10 Les coupes minimales de ce BDMP, obtenues en tenant compte uniquement de la structure de l'arbre, sans les gâchettes sont donc : {Cl finit, C2 jailF, C3 jailn, {CI finit, C4 jailn, et {Cl finit, C4 lack of cooling Le suffixe « _finit » permet de distinguer clairement l'événement initiateur des autres 15 défaillances (« failF » or « failI »). Cependant, l'arbre de défaillances généré prend la gâchette inférieure en compte. Le CMS dudit modèle prend donc la forme suivante : {Cl finit, C2 jailF, C3 jailn + {Cl finit, C4 jailn + {Cl finit, C3 jailF, C4 lack of cooling, aill}. 20 La présence de l'élément « C3 jailF » dans le troisième produit minimal est simplement une conséquence du fait que, dans notre modèle, une défaillance de C4 par suite de l'absence de refroidissement n'est possible qu'après une défaillance de C3. Comparons maintenant le taux de défaillance équivalent obtenu en utilisant les coupes 25 minimales et le contenu minimal des séquences dans le cadre de la méthode I&AB à celui calculé par une méthode classique. Dans les calculs, la probabilité de défaillance à la sollicitation pour la feuille « C4 lack of cooling » est égale à 1 afin de modéliser une défaillance immédiate de C4 après la perte de refroidissement. Dans le cas de l'utilisation des coupes minimales, {CI init, 30 C4 lack of cooling j'alti} comprend comme seul événement de base (en dehors de l'initiateur) - la défaillance à la sollicitation de « C4 lack of cooling ». 3044787 28 On obtient donc : R,(00) = 1 et Àeq est principalement déterminé par le taux de défaillance de l'événement initiateur (4, = 10-40, ce qui crée une grande différence avec la réalité dans les résultats. Au contraire, l'application des produits minimaux des séquences dans la méthode 5 I&AB nous permet d'obtenir des résultats de calculs plus proches de la réalité. Les résultats de ces calculs figurent dans le tableau de la figure 5. 2) Exemple 2 - Système électrique avec une voie de secours : 10 Considérons maintenant un deuxième exemple avec un système d'alimentation pour un jeu de barres électrique. Au début, le système est alimenté par un réseau (la voie normale) connecté par l'intermédiaire d'un disjoncteur CB1. Une alimentation auxiliaire du jeu de barre est fournie par un générateur diesel (la voie de secours) connecté par l'intermédiaire d'un disjoncteur 15 CB2. Si le réseau tombe en panne, une ouverture automatique de CB1 et une fermeture automatique subséquente de CB2 sont lancées. Le générateur diesel fournit le jeu de barres jusqu'à ce qu'il tombe en panne ou que le réseau soit réparé. Des défaillances simultanées du réseau et du générateur diesel aboutissent à 20 l'événement indésirable. Le BDMP pour ce système électrique est représenté sur la figure 6. Une possible ouverture intempestive de CB1 est aussi incluse dans la voie normale. Les autres incidents éventuels liés à la commutation automatique (un refus d'ouverture de CB1 et un refus de fermeture de CB2) sont compris dans la voie de secours. 25 Le générateur diesel présente deux modes de défaillance : à la sollicitation et en fonctionnement. Physiquement, la tentative d'ouverture de CB1 est suivie par la tentative de fermeture de CB2, qui elle-même est suivie par la tentative de démarrage du générateur diesel. Par ailleurs, une ouverture intempestive de CB1 exclut la possibilité d'un refus de son 30 ouverture ; ce fait est modélisé par une gâchette inversée entre CB1 IO et CB1 RO. Dans la méthode I&AB, cette relation est prise en compte par l'élimination du produit minimal {CB1 10 finit, CB1 RO jail1}. 3044787 29 Le BDMP décrivant la logique d'un tel système est représenté en figure 6. Le taux de défaillance équivalent du système pour différentes valeurs de paramètres û et y est présenté dans le tableau de la figure 7. Les mêmes valeurs de û et y sont prises pour tous les composants et ceux avec des 5 défaillances à la sollicitation, respectivement. Les résultats obtenus avec les méthodes de quantification classiques pour le modèle dynamique sont en bon accord avec ceux obtenus avec I&AB-a pour le modèle intermédiaire, notamment dans le cas le plus plausible (p. = 0.1 fil et y = 104). La plus grande différence relative entre les résultats est 14%. 10 3) Exemple 3 - Alimentation 6.6 kV secourue : Ce troisième exemple concerne un système d'alimentation des jeux de barres 6.6 kV secourus dans une centrale nucléaire. 15 Un tel système est illustré en figure 8. Dans un tel système, les jeux de barres jouent un rôle crucial dans la sûreté de la centrale, car ils alimentent des systèmes de contrôle-commande et des composants nécessaires pour refroidir le coeur. Donc, ils sont alimentés avec beaucoup de redondance. Dans une situation normale, ils prélèvent une certaine puissance de la sortie de la 20 centrale par le transformateur de soutirage TS. Lorsque la centrale ne produit pas, c'est le réseau qui alimente le système par la ligne principale. En cas de perte de la ligne principale, une autre prend le relais. Lorsque que, à partir de l'état normal, une perte du réseau se produit, une auto- 25 alimentation de la centrale peut être essayée, grâce à un fonctionnement dit « en îlotage ». Enfin, en tant que dernier recours, deux générateurs diesel sont disponibles. Ce système est à la fois reconfigurable et réparable, avec un risque de défaillance des reconfigurations (le refus d'ouverture ou de fermeture des disjoncteurs). 30 Le BDMP pour un modèle simplifié de ce système est donné dans la figure 9. L'événement indésirable de l'arbre de défaillance est une perte simultanée des jeux de barres LHA et LHB. 3044787 30 Chacun des quatre jeux de barres LGD, LGF, LHA et LHB, pris en compte dans ce modèle, peut tomber en panne à cause d'un court-circuit ou cesser d'être alimenté. Il y a deux façons différentes pour les alimenter, numérotées 1 et 2. C'est seulement lorsque l'alimentation 1 n'est pas disponible que les disjoncteurs 5 basculent vers l'alimentation 2. Le chemin normal qui alimente un jeu de barres X peut être perdu à la suite d'une ouverture intempestive du disjoncteur de ce chemin (l'événement de base noté « IO CB X1 ») ; son secours peut être perdu soit pendant une reconfiguration parce que le disjoncteur correspondant refuse de se fermer (l'événement de base noté « RC CB X2 »), 10 soit plus tard par son ouverture intempestive (l'événement de base noté « IO CB X2 »). Chaque diesel peut tomber en panne soit au démarrage soit pendant son fonctionnement. Des défaillances de cause commune sont également modélisées, à la fois au démarrage et pendant le fonctionnement. 15 Dans le cas d'un démarrage simultané des deux générateurs diesel, plusieurs événements de base changent de mode simultanément. Dans la figure 9, les liens en pointillés sont utilisés pour imposer l'ordre de prise en compte des événements. La feuille « demand CCF DG » est considérée au début. 20 Si l'événement correspondant ne passe pas à vrai, des défaillances indépendantes à la sollicitation des générateurs diesel sont possibles. Enfin, dans une voie où tout s'est bien passé, la fermeture du disjoncteur est tentée. Dans ce modèle, chaque composant a ses propres valeurs de paramètres. Deux modes de défaillance du réseau, correspondant à des temps de réparation court 25 et long, sont pris en considération. Avec les défaillances de longue durée du réseau, les défaillances à la sollicitation jouent un rôle négligeable par rapport aux défaillances en fonctionnement. Le taux de défaillance équivalent du système est donné dans le tableau de la figure 10 selon que les défaillances à long terme sont conservées dans le modèle ou non. 30 Les résultats obtenus avec les méthodes de quantification classiques et avec la méthode I&AB sont en bon accord. 3044787 31 En résumé : Comme expliqué dans le chapitre A ci-dessus, l'objet de l'invention se présente comme un perfectionnement de la méthode proposée par l'article "de l'étude de systèmes dynamiques par des méthodes booléennes" rédigé par J.Collet. 5 Les perfectionnements apportés par la présente invention visent notamment les aspects suivants : 1) la prise en compte des défaillances à la sollicitation; 2) l'utilisation du CMS au lieu des coupes minimales; 3) la modélisation des défaillances de cause commune; 10 4) l'établissement des formules analytiques pour l'espérance mathématique du nombre de défaillances d'un produit minimal. La méthode I&AB proposée ici dans le cadre de la présente invention permet ainsi d'élargir le nombre des systèmes qui peuvent être traités : des systèmes complexes avec plusieurs milliers de composants peuvent ainsi être étudiés. 15 Les exemples traités dans le chapitre I mettent en évidence que les résultats obtenus par la méthode proposée ici dans le cadre de l'invention sont très proches de ceux obtenus pour un modèle dynamique. Par ailleurs, l'utilisation des expressions analytiques définies dans le chapitre H permet de réduire de façon significative les temps de traitement et de calcul et d'en améliorer 20 la précision. Du point de vue qualitatif, il est intéressant pour les analystes d'obtenir un ensemble de produits minimaux avec des événements initiateurs identifiés plutôt qu'un plus grand nombre de séquences, comme cela est le cas quand un BDMP est quantifié avec les méthodes classiques. 25 Un domaine d'application privilégié de la méthode I&AB concerne l'estimation de la sûreté et de la sécurité des centrales nucléaires. Comme déjà expliqué précédemment, d'autres domaines d'application pourront également être envisagés dans le cadre de la présente invention. Le demandeur soumet que la méthode I&AB proposée dans le cadre de la présente 30 invention apporte une précision des résultats améliorés notamment grâce au fait que le temps de scrutation n'est plus nécessaire par suite de la possibilité de prendre en compte des temps de réparation réels. Il devra être observé que cette description détaillée porte sur un exemple de réalisation particulier de la présente invention, mais qu'en aucun cas cette description ne revêt un 3044787 32 quelconque caractère limitatif à l'objet de l'invention ; bien au contraire, elle a pour objectif d'ôter toute éventuelle imprécision ou toute mauvaise interprétation des revendications qui suivent. Il devra également être observé que les signes de références mis entre parenthèses 5 dans les revendications qui suivent ne présentent en aucun cas un caractère limitatif ; ces signes ont pour seul but d'améliorer l'intelligibilité et la compréhension des revendications qui suivent ainsi que la portée de la protection recherchée. REVENDICATIONS1. Procédé d'estimation de la fiabilité d'un système industriel (INS) comprenant une pluralité de composants (S,) réparables, dépendants les uns des autres et présentant chacun des paramètres de fiabilité déterminés dont notamment un taux de défaillance Xi et un taux de réparation 14 ledit procédé mis en oeuvre par des moyens informatiques comportant les étapes suivantes : - une étape de construction (S 1) à partir desdits composants (S,) d'un modèle dynamique du système (INS) en tenant compte des dépendances entre lesdits composants (S,) ; - une étape de génération (S 2) à partir dudit modèle d'un unique arbre de défaillances représentatif des scénarii de défaillance des composants (S,) pouvant conduire ledit système d'un état normal à un état de défaillance ; - une étape de détermination (S 3) d'un contenu minimal des séquences, dit CMS, à partir des coupes minimales dudit arbre de défaillances, ledit CMS comprenant une liste de produits minimaux c se présentant sous la forme d'une combinaison de composants (S,) et comprenant, pour chaque produit minimal, un unique évènement initiateur, noté ici ei, et m défaillances en fonctionnement ou à la sollicitation, m étant un nombre entier positif ; - une étape d'estimation (S 4) de la défiabilité R (t) dudit système à un instant t en fonction du taux de défaillance ke1 de chaque évènement initiateur ei et de la somme Pei des probabilités de défaillance obtenues pour les k produits minimaux lui correspondant. 2. Procédé selon la revendication 1, dans lequel, lors de l'étape de construction (S 1), le modèle est un modèle du type BDMP basé sur des fonctions booléennes et processus de Markov associés aux composants (S,) du système. 3. Procédé selon la revendication 1, dans lequel, lors de l'étape de construction (S 1), le modèle est un modèle du type EPS composé d'arbres d'événements et d'arbres de défaillances. 3044787 34 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel l'estimation de la défiabilité (t) dudit système à un instant t est calculée selon la formule suivante : R(t) 5. Procédé selon l'une quelconque des revendications 1 à 4, comprenant une estimation de la probabilité de défaillance Pei dudit système suite à un évènement initiateur ei en fonction de la somme de la défiabilité Rc(00) à l'infini de chacun des k produits minimaux c appartenant au CMS et contenant ledit évènement initiateur ei, ladite estimation étant calculée selon la formule suivante : k Pei 6. Procédé selon la revendication 5, dans lequel la somme de la défiabilité Rc(00) à l'infini de chacun des k produits minimaux est estimée par l'espérance mathématique Ec du nombre de défaillances N pour chaque produit minimal c. 15 7. Procédé selon la revendication 6, dans lequel l'espérance mathématique Ec du nombre de défaillances N pour chaque produit minimal c est déterminée en fonction des intensités de défaillance inconditionnelles W, (t) et des indisponibilités (2,(t) des composants (S,), l'intensité de défaillance inconditionnelle W, (t) étant telle que W,(t)At est le nombre 20 moyen de défaillances d'un composant (S,) entre les instants t et t+At, et l'indisponibilité Q. étant la probabilité qu'un composant (S,) soit dans un état de défaillance à un instant t. 8. Procédé selon la revendication 7, dans lequel l'intensité de défaillance 25 inconditionnelle W, (t) et l'indisponibilité (2,(t) de chacun des composants (S,) sont fonction desdits taux de défaillance j et de réparation p. 3044787 9. Procédé selon la revendication 7 ou 8, dans lequel, selon le type d'un événement de base, l'intensité de défaillance inconditionnelle Wi (t) et l'indisponibilité Qi (t) sont données par les expressions suivantes : événement initiateur : 5 Qi(t) = e-P-it W, (t) = 0 défaillance en fonctionnement : Qi(t) = [i - W, (t) = À-(1 - Mt)) 2t-i+ 10. Procédé selon l'une quelconque des revendications 7 à 9, dans lequel l'espérance 10 mathématique Ec(N(t)) du nombre de défaillances N dans l'intervalle de temps [0, t] pour chaque produit minimal c est calculée selon la formule suivante : E (1\1 (t)) = Yc f e ii=11-`c,/ (x) [1(2c,, (x) dx i=1 i=1 1=1 iii dans laquelle / est le nombre de défaillances à la sollicitation, et yc,, est le taux de défaillance à la sollicitation du composant (Si). 15 11. Procédé selon l'une quelconque des revendications 7 à 9, dans lequel, lorsque le produit minimal c ne contient qu'un évènement initiateur ei et / défaillances à la sollicitation, l'espérance mathématique Ec(N(t)) du nombre de défaillances N dans l'intervalle de temps [0, t] pour ledit produit minimal c est calculée selon la formule suivante : E',(1\1(t)) = Yc.,1 i=1 20 dans laquelle yc,, est le taux de défaillance à la sollicitation du composant (Si). 3044787 36 12. Procédé selon l'une quelconque des revendications 7 à 11, dans lequel l'espérance mathématique E, (N(oe)) du nombre de défaillances N dans l'intervalle de temps [0,00) pour un produit minimal c est calculée selon la formule suivante : m / m x . m m À m Ec(N(00)) = 1 x, H-1. f e-iieL.no._ e-rix) dx - Fi -ri' fo e-"eix11(1 - Crix) dx r i=i i=i i=i I 1=1 \i=i -I 0 et i#i dans laquelle ri est égal à la somme des taux de défaillance et de réparation du composant (Sj) avec les formules analytiques suivantes : m fooe e-lieix 1-1(1 - e-rix) dx = j=1 m m m m 7r1 1 v - 1 ± v v 1 1 1-(-1)rn +I ri) Rei ± i:41.1 + + ri Ill + + ri + rk i=i i>i k>j i=1 et m e-Reix na - e-rix) dx = i=i 1 v 1 + v Rei Rei + L-J Rei ± + i=1 i=1 j>i i=1 j>i k>j 13. Procédé selon l'une quelconque des revendications précédentes, dans lequel le système industriel est une centrale nucléaire. 14. Programme d'ordinateur comportant des instructions adaptées pour l'exécution des étapes du procédé selon l'une quelconque des revendications 1 à 13 lorsque ledit programme d'ordinateur est exécuté par au moins un processeur. 15. Support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes du procédé selon l'une quelconque des revendications 1 à 13. 16. Système informatique (100) d'estimation de la fiabilité d'un système industriel (INS) comprenant une pluralité de composants (Si) réparables dépendants les uns des autres CO m m m m m m 771 -1 1 gei + ri + ri + rk ±... +(-1)m (lei + ri) i=1 3044787 37 et présentant chacun des paramètres de fiabilité déterminés dont notamment un taux de défaillance constant k, et réparation 14 ledit système (100) comportant : - un module informatique de modélisation (10) configuré pour construire un modèle dynamique du système tenant compte des dépendances entre les composants (Si) ; - une module informatique de génération (20) configuré pour générer à partir dudit modèle construit un unique arbre de défaillances représentatif des scénarii de défaillance des composants pouvant conduire ledit système d'un état normal à un état de défaillance ; - un module informatique de traitement (30) configuré pour déterminer à partir des coupes minimales dudit arbre de défaillances un contenu minimal des séquences, dit CMS, comprenant une liste de produits minimaux c se présentant sous la forme d'une combinaison de composants (Si) et comprenant, pour chaque produit minimal, un unique évènement initiateur, noté ici ei, et m défaillances en fonctionnement ou à la sollicitation, m étant un nombre entier positif ; - un module informatique d'estimation (40) configuré pour estimer la défiabilité R(t) dudit système (INS) à un instant t en fonction du taux de défaillance Xe, de chaque évènement initiateur ei et de la somme Pei des probabilités de défaillance obtenues pour les k produits minimaux lui correspondant. 17. Système selon la revendication 16 comprenant des moyens informatiques configurés pour la mise en oeuvre des étapes du procédé selon l'une quelconque des revendications 2 à 13.