FR 2949161 A1 20110218 FR 0903981 A 20090814 Dispositif pour le diagnostic de système L'invention concerne la maintenance d'un système d'un aéronef composé d'un ou plusieurs équipements, tel que ce système remplisse diverses fonctions nécessaires à l'accomplissement d'un vol. Les composants de ce système communiquent entre eux et avec l'environnement extérieur par l'intermédiaire d'un réseau physique. L'ensemble des équipements, incluant le réseau, constitue un système appelé système sous diagnostic. Pour améliorer le degré de confiance accordé à ces équipements et pour en assurer la maintenance, on procède, le plus souvent possible, pour chacun d'eux, à une surveillance de leur bon fonctionnement consistant à les pourvoir de mécanismes internes, matériels et/ou logiciels, de détection d'anomalies connus sous la dénomination anglo-saxonne de "monitoring". Ces monitoring ont pour fonction principale de contribuer à la sécurité du vol en testant fréquemment, la disponibilité des équipements, c'est-à-dire la normalité de leurs comportements, et pour fonction auxiliaire, de contribuer à la maintenance du système sous diagnostic en facilitant la localisation des pannes sur les équipements. Dans sa fonction principale de sécurité du vol, fonction connue sous la dénomination anglo-saxonne de "safety", un monitoring a la charge de détecter une éventuelle indisponibilité soudaine de l'équipement surveillé afin que le pilote puisse être averti de cette situation. Dans sa fonction auxiliaire d'aide à la maintenance, fonction connue sous le sigle "BITE", tirée de l'expression anglo-saxonne "Built ln Test Equipement", un monitoring a la charge de fournir, à chaque fois qu'il a engendré une alarme de non-disponibilité en exécution de sa fonction principale de sécurité du vol, un rapport d'état de fonctionnement plus ou moins détaillé destiné à enrichir un rapport de post-vol dit PFR ou LLR de l'anglo-saxon "Post Flight Report" ou "Last Leg Report" fait à l'intention du personnel de maintenance au sol. Le Système sous diagnostic est évolutif ; différents évènements peuvent modifier sa constitution : l'insertion de nouveaux équipements dans le réseau, les pannes d'équipements, la reconfiguration du réseau ou la passivation sélective (c'est-à-dire le fait de ne plus utiliser une partie des équipements). La localisation des pannes du système sous diagnostic est confiée à un dispositif de maintenance. Les dispositifs de maintenance selon l'art connu ne sont pas adaptés à la prise en compte de ces évolutions. Le problème de la prise en compte des évolutions est résolu par des systèmes de maintenance sous la forme d'automates configurés à partir de modèle établi durant la phase de développement du système sous diagnostic. Ces systèmes de maintenance ont pour inconvénient de nécessiter une mise à jour régulière pour prendre en compte des modifications de configurations ou de l'état général de l'avion. On connaît, par exemple, par le document � Modeling techniques and algorithms for probabilistic model-based diagnosis and repair �, (Sampath Srinivas. Knowledge Systems Laboratory, Computer Science Department, Stanford University, Portland, 1995) un dispositif de diagnostic d'un système dont un organigramme est présenté en figure 1. Ce dispositif comporte des moyens pour l'observation 101 d'un système sous diagnostic 100, des moyens pour le diagnostic de panne 102 consistant à calculer des probabilités de défaillance pour les éléments du système et des moyens pour la détermination 103 d'opérations de maintenance à effectuer pour réparer la panne. Les dispositifs de maintenance selon l'art connu présentent un autre inconvénient majeur, qui est la mauvaise gestion de la quantité d'information issue des monitorings, du fait de l'utilisation de règles de corrélation empiriques. Face à un grand nombre d'informations plus ou moins pertinentes, les dispositifs actuels se révèlent non adéquats et non optimisés. L'invention vise notamment à pallier les deux problèmes cités précédemment en proposant un système de maintenance amélioré prenant en compte de façon dynamique les évolutions du système sous diagnostic et corrélant automatiquement les différentes informations connues. A cet effet, l'invention a pour objet un dispositif pour le diagnostic de système d'un aéronef comportant des équipements, ledit dispositif comportant : - des moyens pour la surveillance des équipements, lesdits moyens émettant des messages d'observations à partir d'effets produits par des équipements du système, ledit dispositif étant caractérisé en ce qu'il comprend en outre : des moyens pour la détermination d'un ensemble d'observations à partir des messages d'observations issus des moyens pour la surveillance, d'un historique des messages d'observations et d'un modèle représentant un état courant du système, lesdits moyens pour la détermination d'un ensemble d'observations mettant en oeuvre une logique temporelle, des moyens pour la détermination d'accusations à partir d'observations de l'ensemble d'observations et d'un modèle comportemental du système, les accusations étant des relations logiques entre des modes de fonctionnement d'équipements ayant produit des effets, des moyens pour la détermination d'opérations de maintenance à partir des accusations. Le dispositif selon l'invention met en oeuvre un modèle, dit modèle miroir, qui est mis à jour à chaque modification du système sous diagnostic et qui reflète ainsi fidèlement le système sous diagnostic. Un tel modèle peut également représenter les relations causales (i.e. relations de causes à effets) du système sous diagnostic. Ce modèle pourra alors être aisément élaboré lors de la conception du système sous diagnostic en utilisant des données issues d'analyse de sureté de fonctionnement (FMEA Failure Mode Effect Analysis) et du design plus généralement. L'utilisation d'un modèle miroir issue de la FMEA comporte un premier avantage d'ordre économique dans la mesure où il permet de ne pas avoir à développer un modèle spécifique utilisé uniquement pour le diagnostic. Le dispositif selon l'invention met en oeuvre des diagrammes de décision binaire ayant pour avantage de représenter des ensembles de combinaisons de variables d'une fonction, de façon extrêmement complète et concise. La place mémoire occupée est moindre par rapport à des tables de vérités habituellement utilisées. En outre, les temps de traitement des fonctions représentées sous forme d'un diagramme de décision binaire sont généralement plus rapides. Le dispositif comporte en outre une architecture originale qui permet de traiter successivement l'aspect temporel, l'aspect causal et l'aspect probabiliste du problème de localisation de panne. L'aspect temporel consiste à gérer la chronologie des messages émis par les différents composants du système sous diagnostic. L'aspect causal consiste à établir un lien entre les messages et des équipements ou des composants susceptibles d'être à l'origine de ces messages. Enfin l'aspect probabiliste permet de déterminer les équipements à suspecter en priorité. L'invention sera mieux comprise et d'autres avantages apparaîtront à la lecture de la description détaillée faite à titre d'exemple non limitatif et à l'aide des figures parmi lesquelles : La figure 1, déjà présentée, représente un exemple d'un dispositif de diagnostic selon l'art connu. La figure 2 représente un exemple d'un dispositif de diagnostic selon l'invention. La figure 3 représente un exemple d'automate à contrainte. Les figures 4.1, 4.2 et 4.3 représentent différentes variantes de réalisation du dispositif pour le diagnostic selon l'invention. La figure 5 présente un exemple d'un premier mode de réalisation d'un système de diagnostic selon l'invention. La figure 6 présente un exemple d'un deuxième mode de réalisation d'un système de diagnostic selon l'invention. La figure 7 représente un exemple d'un modèle d'un équipement 20 sous diagnostic. La figure 8 représente un exemple d'un diagramme de décision binaire sous deux représentations différentes. La figure 9 représente un exemple d'un troisième mode de réalisation d'un système de diagnostic selon l'invention. 25 La figure 2 représente un exemple du dispositif de diagnostic selon l'invention. Le dispositif de diagnostic d'un système 200 comporte des moyens 201 pour la surveillance des équipements, lesdits moyens émettant des messages d'observations 01, 02, ..., Oä à partir d'effets provenant du système 200, des moyens 202 pour la détermination d'un ensemble 30 d'observations Eobs à partir des messages d'observations 01, 02, ..., Oä issus des moyens pour la surveillance 201, d'un historique 205 des messages d'observations 01, 02, ..., Oä et du modèle du système 206, des moyens 203 pour la détermination d'accusations 207 à partir d'observations O'1, 0'2, ..., O'k de l'ensemble d'observations Eobs et d'un modèle comportemental 209 et enfin des moyens 204 pour la détermination d'opérations de maintenance à partir des accusations 207. Le modèle du système 206 contient l'état courant du système 200. Le modèle 209 comportemental contient la description des effets que produisent les différents modes de dysfonctionnement (défaillances, indisponibilités, etc.) des composants du système 200, ainsi que des observations que produisent les moyens pour la surveillance 201. Les moyens pour la surveillance sont identiques aux moyens pour la surveillance selon l'art connu. Ces moyens sont par exemple mis en oeuvre par des capteurs physiques ou encore des fonctions logicielles type BITE des équipements. Les observations utilisées peuvent dénoter des informations de bon fonctionnement ou de mauvais fonctionnement. La présence ou l'absence de message est donc différemment interprétée en fonction du type de fonctionnement observé. En effet, lors d'un fonctionnement nominal, certains messages sont présents et d'autres absents. Par exemple, un équipement peut signaler son bon fonctionnement par un message périodique � healthy �, et il peut aussi signaler un dysfonctionnement lorsqu'il l'a détecté par un message � fault_XX �. L'absence de message � healthy � est donc interprétée différemment de l'absence de message � fault XX �. Les mécanismes de filtrage selon l'art connu se limitent à une simple confirmation. Par exemple, une observation peut être transmise par la fonction surveillance d'un équipement si elle est constatée sur plusieurs cycles d'observation. Par exemple, si un équipement émet un message � healthy � toutes les 15 secondes à un observateur, cet observateur pourra attendre de constater cette absence de message � healthy � plusieurs cycles de 15 secondes successifs avant de le confirmer par un message de type � equipement lost �. Les moyens 202 pour la détermination d'un ensemble d'observations Eobs selon l'invention utilisent un historique 205 des observations. L'historique 205 des observations est stocké dans une mémoire. Cet historique 205 comprend par exemple les différents messages de surveillance reçus qui sont datés. La présence ou absence d'un message est traduite en un état 35 d'observation dans le modèle 206 de l'état courant du système. Les moyens pour la mise à jour du modèle 206 de l'état courant du système comprennent une mise à jour de l'état des observations qui met en oeuvre un filtrage de ces observations. Par exemple, on pourra mettre à jour les états d'observations correspondant à des informations reçues dans un même intervalle de temps, tout en ignorant des messages reçus très en amont afin d'améliorer la qualité du diagnostic. Le filtre temporel est un exemple des filtres possibles pour isoler les informations pertinentes pour un diagnostic. Le filtrage temporel peut également consister à reconnaître un événement déjà observé et traité, n'apportant donc aucune nouvelle information. Par exemple, la présence ou absence d'un message � fault XX � est représentée par un booléen dans le modèle. Par défaut, à l'initialisation du modèle 206, le booléen � fault_XX � est à false pour représenter son absence. C'est si le message � fault_XX � est émis par le système à un instant donné, il va être utilisé par les moyens 202 pour la détermination d'un ensemble d'observations Eobs afin que la variable booléenne du modèle � fault_XX � soit modifiée pour prendre la valeur true. Le dispositif selon l'invention comprend des moyens 203 pour la détermination d'accusations 207 à partir d'observations 0'1, O'2, ..., O'k de l'ensemble d'observations Eobs, les accusations 207 étant des relations logiques entre des modes de fonctionnement d'équipements (défectueux, non disponibles, etc.) ayant produit des effets en entrée du des moyens pour la surveillance 201 et étant représentées sous la forme de relations logiques LR1, LR2, .... LRk. Ces moyens mettent en oeuvre la recherche des causes ayant pu conduire à l'ensemble des observations que constitue la situation présente. Ces moyens utilisent un modèle 209 comportemental du système à diagnostiquer. Le modèle 209 comportemental du système sous diagnostic correspond à une description du comportement de la propagation des défaillances. L'usage d'un tel modèle 209 et de sa mise à jour dynamique est décrit dans le brevet publié sous la référence FR2917200. Une autre façon de réaliser les moyens 203 pour la détermination d'accusations 207 consiste à déduire une liste d'accusations au moyen d'opérations de fusion de plusieurs relations logiques s'appuyant sur les règles de l'algèbre de Boole et de la connaissance des états "sains" connus ou non des composantes des équations logiques. On rappelle qu'un tel modèle 209 comprend des composants correspondant à des équipements du système sous diagnostic. Selon une caractéristique de l'invention, chaque composant comporte au moins : un flux d'entrée, un flux de sortie, un état indiquant la disponibilité de l'équipement et comportant : un mode de panne, indiquant si le composant est défectueux ou sain et un mode de fonctionnement indiquant si le composant est allumé, éteint ou non disponible, et une relation logique entre le flux d'entrée, le flux de sortie et l'état d'une part, et le flux de sortie d'autre part. Selon une caractéristique de l'invention, la fonction définissant le comportement du composant est réalisée avec un automate à contrainte. La figure 3 représente un exemple d'automate à contraintes. Un tel automate comprend des états 301,302 et des transitions entre les états. Un automate à contraintes est un automate pour lequel le changement d'état (transition) peut être conditionné par des contraintes logiques. Par exemple, si un équipement peut être en mode de test uniquement lorsque l'avion est au sol, le passage de l'état � nominal � classique 301 de l'équipement à un état � en test � 302 ne pourra être possible que lorsque la variable représentant la phase de vol de l'avion sera � on_ground �. Un automate à contrainte peut être décrit par exemple dans le langage Altarica. On peut trouver des informations sur le langage sur le site internet http://altarica.labri.u-bordeaux.fr et par exemple dans l'article : Alain Griffault, Sylvain Lajeunesse, Gérald Point, Antoine Rauzy, Jean Pierre Signoret, and Philippe Thomas. The AltaRica language. In Balkema Publishers, editor, Proceedings of the International Conference on Safety and Reliability, ESREL'98, June 20-24 1998.) Le langage AltaRica est un langage de modélisation de systèmes pour la réalisation d'études de sûreté de fonctionnement de systèmes. Les composants sont reliés entre eux par des liens reliant des flux de sortie d'un composant aux flux d'entrée d'autres composants. La notion de flux permet ainsi de matérialiser dans le modèle les interactions et les dépendances entre les composants, modélisant ainsi la façon dont se propagent les défaillances et les observations dans le système sous diagnostic. Le modèle 209 comportemental reproduit la structure du système sous diagnostic de manière hiérarchique : un composant peut être décomposé en un ensemble de composants interconnectés. Cette caractéristique est importante en regard des exemples hiérarchisés et centralisés décrits plus loin. Les flux d'entrée sont utilisés pour représenter par exemple une alimentation électrique, des données numériques ou un flux de ventilation. Les flux de sortie sont utilisés pour représenter les données émises par un composant. Ils représentent les données fonctionnelles mais aussi les données servant au diagnostic (lorsque le composant crée des messages de maintenance en fonction de ce qu'il observe). L'état d'un composant représente la configuration générale de l'équipement correspondant. Il est caractérisé par une ou plusieurs valeurs. Une valeur représente l'état d'intégrité du composant (Intègre, dégradé type A, dégradé type B, Hors Service), tandis qu'une autre peut représenter le mode de fonctionnement (En Marche, En Arrêt, En Test, ...). Les flux d'entrée, les flux de sortie et l'état des composants sont représentés par des variables booléennes. Les fonctions définissant le comportement des composants sont des formules propositionnelles combinant ces variables booléennes à l'aide d'opérateurs logiques ET et OU. Ainsi, dans le diagnostic, les événements sont des explications (causes) du diagnostic. La figure 7 représente un exemple d'un modèle d'un système sous diagnostic. Le modèle comprend quatre composants. Un premier composant 701 correspond à une alimentation électrique. Le premier composant 701 comprend deux flux de sortie vers un deuxième 702 et un troisième 703 composant. Ces flux représentent le flux d'alimentation électrique "elec". Le composant 702 comporte un flux de sortie vers le composant 703 représentant une donnée envoyée "data". Enfin, les composants 702 et 703 comportent un flux de sortie vers un quatrième composant d'observation, représentant des messages utilisés pour le diagnostic. Le composant 702 envoie un message "healthy_702" dénotant son bon fonctionnement. Le composant 703 envoie un message "healthy_703" dénotant son bon fonctionnement, et envoie un message "/oss data 702", permettant de signaler la perte de données émises par le composant 702, détectée par le composant 703. Pour que l'exemple demeure simple, considérons que chacun des flux (elec, data, healthy_702, healthy703 et loss data 702) est représenté par une variable booléenne. Un flux est absent (absence d'alimentation électrique, absence de données, absence de message healthy ou loss) présent (l'alimentation est fournie, la donnée est fournie, les messages de maintenance sont présents). De la même façon, dans cet exemple, les automates représentant 5 le comportement des équipements 701, 702, 703 sont simples : ils comportent deux états : Intègre ou HorsService. Les relations logiques décrivant le comportement du système sous diagnostic sont les suivantes : elec.present = 701.integre. 10 Lorsque le composant 701 est intègre (représenté par la variable 701.intègre), les flux elec sont présents. healthy702.present = 702.integre AND elec.present Lorsque le composant 702 est intègre, la donnée data est présente, et le message healthy 702 est présent. 15 healthy_703.present = 703.integreAND elec.present loss data 703.present= data. absent AND healthy 703.present Lorsque le composant 703 est intègre, le message healthy 703 est présent, et le message loss data 703 n'est présent que si le flux data reçu du composant 702 est absent. 20 Lorsqu'un des composants 701, 702 ou 703 est HorsService, tous ses flux de sorties sont absents. Cela est formalisé par une assertion associée à chaque flux de sortie permettant de définir sa valeur en fonction des flux d'entrées et de l'état du composant. On aura par exemple : assert 25 702.healthy = if (702.elec = present and 702 =intègre) present, else absent 703.healthy = if (702.elec = present and 703 =intègre) present, else absent 703.loss_data_302 = if (elec = present and 702=intègre and data = absent) present, else absent Une autre représentation des relations logiques est celle dite 30 "Diagramme de décision Binaire" (Binary Decision Diagram, ou BDD) telle que décrite, entre autres publications, par Randal Bryant dans IEEE Transactions on Computers, C-35-8, pp.677-691, August, 1986 [Bryant86] On rappelle qu'un diagramme de décision binaire est constitué de noeuds et de feuilles terminales reliés entre eux par des branches, chaque 35 noeud représentant une variable booléenne indiquant la présence ou l'absence d'un événement, d'où partent deux branches, une branche étant dite" terminale" si elle aboutit sur une feuille terminale de valeur "0" ou "1", ou étant dite "intermédiaire" si elle aboutit sur un autre noeud, une première branche représentant le cas où l'événement représenté est absent (branche "0"), et une seconde branche représentant le cas où l'événement représenté est présent (branche "1"), le diagramme comportant un noeud racine unique d'où partent deux branches auxquelles sont reliées en cascade des noeuds ou des feuilles. En parcourant le diagramme depuis la racine jusqu'à une feuille terminale de valeur 1, on détermine une combinaison de variables, pour laquelle la fonction vaut 1, c'est-à-dire qu'on reconstitue une combinaison (un produit) de variables provoquant l'apparition de l'événement de référence représenté. En conséquence, en effectuant chacun des parcours depuis la racine jusqu'à chacune des feuilles terminales de valeur 1, on détermine chacune des combinaisons de variables provoquant l'apparition de l'événement de référence. La représentation d'une fonction sous la forme d'un diagramme de décision binaire permet donc de représenter l'ensemble des combinaisons de variables d'une fonction booléenne, de façon extrêmement complète et concise. La place mémoire occupée par une telle représentation est inférieure à une table de vérité couramment utilisé selon l'état dans la technique. De plus, les temps de traitement des fonctions représentées sous forme d'un diagramme de décision binaire sont moindres. Selon une première variante de réalisation, la détermination d'accusation 207 est le résultat d'une exploration du modèle comportemental 209 de type � génération de séquence � via un explorateur de modèle. Une configuration globale du modèle 209 est définie par l'ensemble des valeurs fixées pour chaque composant du modèle. Le principe de génération de séquences consiste tout d'abord à créer un automate pour lequel chaque état représente une configuration globale du modèle 209, puis à identifier depuis un état associé à l'ensemble des observations (Eobs) les séquences de transitions permettant d'y mener (un exemple de ce type d'algorithme est gen-seq d'Arboost technologies). Chaque transition correspond à l'occurrence d'un événement. On trouve des précisions sur la génération de diagrammes dans l'article � Assessment of Large Automatically Generated Fault Trees by means of Binary Decision Diagrams �, J. Gauthier, X. Leduc and A. Rauzy, Proceedings of the Institution of Mechanical Engineers, Journal of Risk and Reliability Éditeur Professional Engineering Publishing ISSN 1748-006X Volume 221, Number 2 / 2007 Pages 95-105 Selon une seconde variante de réalisation, la détermination d'accusations 207 est le résultat d'une conjonction des relations logiques réalisée au moyen d'un diagramme de décision binaire et comprenant : la détermination d'un premier diagramme de décision binaire BBD1, BBD2, ..., BBDk pour chaque observations O'1, O'2, ..., O'k de l'ensemble d'observations Eobs, le calcul d'un deuxième diagramme décision binaire BDD' par une opération de conjonction des premiers diagrammes de décision binaires BBD1, BBD2, ..., BBDk et le calcul d'un diagramme de décision binaire d'accusation par le développement du deuxième diagramme décision binaire (BDD'). Selon une caractéristique de la seconde variante de réalisation, le développement du deuxième diagramme de décision binaire BDD' est réalisé en effectuant des parcours du deuxième diagramme de décision binaire BDD' depuis la racine jusqu'à chacune des feuilles terminales de valeur 1, un parcours correspondant à une combinaison d'événements ayant entraînés l'ensemble des observations (Eobs). Par exemple, appelons � Situation 1 � le cas où le composant 704, l'observateur, ne reçoit aucun message (flux healthy_702, healthy_703 et Ioss_data_702 absents). En l'absence de réception de message depuis le deuxième composant 702 et le troisième composant 703, l'observateur 704 se trouve dans une situation non nominale, pour laquelle il est susceptible de déclencher un diagnostic. Par conséquent, dès que le temps de � construction de la situation � est suffisant (en tenant compte des différents temps de confirmation des messages et des différents temps de communication, et de manière générale, des règles de traitement de l'aspect temporel), la recherche de cause peut être effectuée par les moyens 203 pour la détermination d'accusations 207. L'analyse du modèle du système permet de créer le diagramme 35 de décision binaire représentant les configurations du modèle engendrant la situation 1. On trouve sur la figure 8 la représentation de ce diagramme de décision binaire relatif à la situation 1. Les deux représentations sont équivalentes : la première (figure 8a) est � naîve �, la seconde est la forme réduite (figure 8b), suivant les principes exposés dans [Bryant86]. Les chemins depuis la racine 701 vers la feuille 1 représentent les configurations engendrant la situation 1. Il s'agit des cas : 1. composant 701 hors service : absence d'alimentation, ou 2. composants 702 et 703 hors service Dans cet exemple, les accusations 207 déterminées à l'aide de 10 diagrammes de décision binaire prennent la forme suivante : (701.HS ou (702.HS et 703.HS)). Dans le cas du même exemple, les accusations 207 déterminées selon la première variante, par exploration du modèle et génération de séquence, prennent la forme suivante : (701.HS ou (702.HS puis 703.HS) ou 15 (703.HS puis 702.HS)). On note ici que la différence avec les accusations 207 déterminées à l'aide de diagrammes de décision binaire est que dans le cas d'accusation de plusieurs événements, un ordre existe entre les événements accusés. On dispose ici de davantage d'information : 702.HS puis 703.HS 20 signifie que 702 et 703 sont tombés en panne avec un ordre déterminé. Le dispositif selon l'invention comprend en outre des moyens 204 pour la détermination des actions de maintenance à partir des accusations. Ces moyens définissent dans quel ordre les équipements vont être examinés et/ou remplacer par un opérateur de maintenance. Ce tri des actions de 25 maintenance est réalisé en fonction de critères de maintenance prédéfinis 208. L'ordre des équipements peut être établi par exemple en fonction de leur probabilité de défaillance, de leur coût de réparation, de leur temps de réparation ou d'une combinaison de ces critères. Le dispositif selon l'invention comprend des moyens d'affichage permettant d'indiquer à un 30 opérateur de maintenance quels équipements doivent être réparés ou échangés et dans quel ordre ces équipements doivent être réparés ou échangés. A partir d'informations associées aux différents états de l'accusation (probabilités théoriques des pertes des composants 701, 702 et 35 703, statistiques par retour d'expérience en exploitation sur les pertes de 701, 702, 703, etc.) il est possible de choisir une des accusations comme étant la plus pertinente dans le contexte courant et la traiter. Par exemple, le dispositif selon l'invention est paramétré de façon à privilégier une réparation la moins coûteuse. Si on considère que le la réparation du troisième équipement 703 et du deuxième équipement 702 est plus coûteuse que la réparation du premier 701 équipement alors les moyens d'affichage présenteront une indication selon laquelle l'opérateur doit d'abord réparer le premier équipement 701 puis le deuxième 702 et le troisième 703. Selon une première variante de réalisation de l'invention, le dispositif pour le diagnostic de système comporte en outre un explorateur de modèle 402 calculant des relations logiques (LR1, LR2, ..., LRk) associées aux observations (O'1, O'2, ...O'k) à partir du modèle comportemental 209 du système, les moyens 203 pour la détermination des accusations (207) comportant des moyens pour la conjonction des relations logiques (LR1, LR2, ..., LRk). La figure 4.1 représente une première variante de réalisation du dispositif de diagnostic selon l'invention. Selon cette variante de réalisation de l'invention ayant recours aux relations logiques LRi, la détermination des relations logiques LR1, LR2, ..., LRk est réalisée à partir d'une unité de mémorisation 401 associant une relation logique à chaque observation. Le dispositif comporte un éditeur de modèle 404 permettant de générer ou d'éditer le modèle comportemental à partir d'une description du système sous diagnostic et des observations. Dans cette variante, les relations logiques contenues dans l'unité de mémorisation 401 sont produites au sol, durant la phase de conception grâce à l'exploitation du modèle comportemental 209 du système sous diagnostic utilisant des automates à contrainte. L'exploitation du modèle comportemental 209 est fait grâce à un explorateur de modèle (model explorer) 402. L'explorateur de modèle produit lesdites relations logiques au moyen de l'exploration du modèle 209 comportemental. Par exploration on entend : requête et extraction des informations contenues dans le modèle. Selon une deuxième variante de réalisation de l'invention, les moyens 203 pour la détermination des accusations 207 comportent un explorateur de modèle 402 permettant l'exploration directe du modèle comportemental 209 du système et l'extraction d'événements sous la forme de séquences. Les moyens 203 pour la détermination d'accusations 207sont embarqués à bord de l'aéronef. La détermination des accusations est effectuée durant le vol. La figure 4.2 représente une deuxième variante de réalisation du dispositif de diagnostic selon l'invention. Selon cette variante, la recherche de cause effectuée par le dispositif 203 est faite par exploration du modèle 209 de façon dynamique durant le vol, sans passer par l'intermédiaire d'une unité de mémorisation 401 contenant les relations logiques des observations. On peut noter que dans ces conditions, le modèle 209 étant disponible à 1 o bord, celui-ci peut réaliser la fonction de recueil de l'état courant offerte par le modèle 206, et ce dernier peut ainsi être supprimé. Selon une troisième variante de réalisation de l'invention, les moyens 203 pour la détermination des accusations 207 comportent un explorateur de modèle 402 permettant l'exploration directe du modèle 15 comportemental 209 du système et l'extraction d'événements sous la forme de séquence. Les moyens 203 pour la détermination d'accusations 207 sont situés au sol. La détermination des accusations 207 est effectuée durant le vol. La figure 4.3 représente une troisième variante de réalisation du 20 dispositif de diagnostic selon l'invention. Selon cette variante, l'ensemble des observations construit par les moyens 202 dédiés est envoyé au sol, et le diagnostic se fait par exploitation dynamique du modèle comportemental 209 au sol au moyen d'un Cause Finder 203 réalisant la fonction "Model Explorer". 25 Le dispositif de maintenance selon l'invention comprend différents moyens de calcul pouvant être mis en oeuvre sur un ou plusieurs calculateurs. Ces calculateurs sont des équipements du système sous diagnostic ou des équipements de maintenance dédiés. Le système ou diagnostic est un ensemble d'unités de traitement 30 collaborant entre elles pour fournir un service. Une unité de traitement peut elle-même être vue comme un système et donc comme un ensemble d'unité de traitement. Un système peut donc être décomposer de façon hiérarchique en considérant successivement les ensembles d'unités de traitement constituant un système. Ainsi, un système sous diagnostic peut être considérer selon différents niveaux hiérarchiques correspondant aux différents ensembles d'unités de traitement. Le système sous diagnostic comprend une pluralité d'unités de traitement. Il est décomposé en différents niveaux hiérarchiques regroupant ces différentes unités de traitement, un premier niveau hiérarchique étant dit inférieur à un second niveau lorsque le premier niveau comprend des unités de traitements composant des unités de traitement du second niveau. Par exemple, un avion comprend des unités de traitement appelées équipements LRU de l'expression anglo-saxonne "Line Replaceable Unit". II peut s'agir d'équipements électroniques comme des calculateurs de pilote automatique ou de navigation. Ces équipements sont constituées d'unités de traitement dites SRU (pour Shop Replaceable Unit) situées à un niveau inférieur dans la décomposition hiérarchique de l'avion. Ces unités de traitement sont par exemple des alimentations, des processeurs ou des interfaces d'entrée/sortie. Un premier niveau hiérarchique (par exemple SRU) est dit inférieur à deuxième niveau (par exemple LRU) lorsque le premier niveau comprend des unités de traitements composant des unités de traitement du deuxième niveau. Le dispositif selon l'invention peut être mis en oeuvre à n'importe 20 quel niveau hiérarchique d'un système sous diagnostic. La figure 5 présente un exemple d'un premier mode de réalisation d'un système de diagnostic selon l'invention. Ce mode de réalisation est dit hiérarchisé. Dans un tel système de maintenance, les moyens de calcul du dispositif selon l'invention sont mis en oeuvre sur trois niveaux hiérarchiques 25 différents du système 200. Un premier niveau hiérarchique 510 met en oeuvre des moyens 201 pour la surveillance. Dans l'exemple le premier niveau hiérarchique 510 est un niveau dit équipement. L'exemple comporte quatre équipements 511,512,513,514 mettant en oeuvre chacun des moyens pour la surveillance 511.1, 512.1, 513.1, 514.1. 30 Un deuxième niveau 520, supérieur au premier niveau, met en oeuvre d'une part des moyens pour la détermination d'un ensemble d'observations 202 à partir des messages issus des moyens 201 pour la surveillance du premier niveau et, d'autre part, des moyens pour la détermination d'accusations 203. Une unité de traitement du deuxième 35 niveau 520 met en oeuvre des moyens pour la détermination d'un ensemble d'observations 202 avec des observations issues des unités de traitement de niveau inférieur la composant. Dans l'exemple, le deuxième niveau 520 est appelé niveau sous-système. Une première unité de traitement 521 de niveau sous-système met en oeuvre des moyens pour la détermination d'un ensemble d'observations 521.1 à partir des observations fournies par une fonction de surveillance 511.1 d'un premier équipement 511 et par une fonction de surveillance 512.1 d'un deuxième équipement 512. Cette première unité de traitement 521 met aussi en oeuvre des moyens pour la détermination d'accusations 521.2. Une deuxième unité de traitement 522 de niveau sous-système met en oeuvre des moyens pour la détermination d'un ensemble d'observations 522.1 à partir des observations fournies par une fonction de surveillance 513.1 d'un troisième équipement 513 et par une fonction de surveillance 514.1 d'un quatrième équipement 514. Cette deuxième unité de traitement 522 met aussi en oeuvre des moyens pour la détermination d'accusations 522.2. Enfin, un troisième niveau 530, supérieur au deuxième niveau 520, met en oeuvre des moyens pour la détermination d'un ensemble d'observations 202 à partir des accusations issues du deuxième niveau, des moyens pour la détermination d'accusations 203 et des moyens pour la détermination des actions de maintenance 204. Dans, l'exemple, ce niveau est appelé niveau système. L'unité de traitement mettant en oeuvre les moyens pour la détermination des actions de maintenance 204 est par exemple un calculateur de maintenance au niveau avion. La figure 6 présente un exemple d'un deuxième mode de réalisation d'un dispositif pour le diagnostic selon l'invention. Ce mode de réalisation est dit centralisé. Dans un tel système de maintenance, les moyens de calcul du dispositif selon l'invention sont mis en oeuvre sur deux niveaux hiérarchiques différents du système 200. Un premier niveau met en oeuvre des moyens pour la surveillance et des moyens pour la détermination d'un ensemble d'observations. Dans l'exemple le premier niveau hiérarchique 610 est un niveau dit équipement. L'exemple comporte quatre équipements 611, 612, 613, 614 mettant en oeuvre chacun des moyens pour la surveillance 611.1, 612.1, 613.1, 614.1 et des moyens pour la détermination d'un ensemble d'observations 611.2, 612.2, 613.2, 614.2. Un second niveau, supérieur au premier niveau, met en oeuvre des moyens pour la détermination d'un ensemble d'observations 621.1 à partir des ensembles d'observations issus du premier niveau, des moyens pour la détermination d'accusations 621.2 et des moyens pour la détermination des actions de maintenance 621.3. Ces moyens sont mis en oeuvre sur un deuxième niveau hiérarchique 620 supérieur au premier niveau 610 et par une unique unité de traitement 621. La figure 9 présente un exemple d'un troisième mode de réalisation d'un dispositif de diagnostic selon l'invention. Ce mode de réalisation est une variante du mode dit Hiérarchisé. Dans un tel système de maintenance, les moyens de calcul du dispositif selon l'invention sont mis en oeuvre sur trois niveaux hiérarchiques dont les deux premiers restent à l'intérieur de l'équipement 91. Le premier niveau regroupe des unités de traitement de type Unité Remplaçable en Atelier correspondant à des modules électroniques internes à un équipement et en ce que le deuxième niveau corresponde à une application de maintenance interne à l'équipement. Un premier niveau hiérarchique 91 met en oeuvre des moyens 201 pour la surveillance. Dans l'exemple le premier niveau hiérarchique 91 est un niveau dit SRU (shop Replaceable Unit) et correspond aux modules électroniques internes à un équipement. L'exemple comporte trois SRU 912, 913, 914 mettant en oeuvre chacun des moyens pour la surveillance 912.1, 913.1, 914.1. Un deuxième niveau toujours interne à l'équipement 91, met en oeuvre d'une part des moyens pour la détermination d'un ensemble d'observations 202 à partir des messages issus des moyens 201 pour la surveillance du premier niveau et, d'autre part, des moyens pour la détermination d'accusations 203. Une unité de traitement du deuxième niveau 911 met en oeuvre des moyens pour la détermination d'un ensemble d'observations 202 avec des observations issues des unités de traitement de niveau inférieur la composant. Dans l'exemple, le deuxième niveau 911 est une application dite de maintenance interne à l'équipement. Une unité de traitement 911 met en oeuvre des moyens pour la détermination d'un ensemble d'observations 911.1 à partir des observations fournies par une fonction de surveillance 912.1, 913.1, 914.1. Cette unité de traitement 911 met aussi en oeuvre des moyens pour la détermination d'accusations 911.2. Enfin, un troisième niveau 92, supérieur au deuxième niveau 91, met en oeuvre des moyens pour la détermination d'accusations 203 et des moyens pour la détermination des actions de maintenance 204. Dans, l'exemple, ce niveau est appelé niveau système. L'unité de traitement mettant en oeuvre les moyens pour la détermination des actions de maintenance 921.3 est par exemple un calculateur de maintenance au niveau avion.10 REVENDICATIONS1. Dispositif pour le diagnostic de système (200) d'un aéronef comportant des équipements, ledit dispositif comportant : des moyens (201) pour la surveillance des équipements, lesdits moyens émettant des messages d'observations (O1, 02, ..., On) à partir d'effets produits par des équipements du système (200), ledit dispositif étant caractérisé en ce qu'il comprend en outre : des moyens (202) pour la détermination d'un ensemble d'observations (Eobs) à partir des messages d'observations (O1, 02, ..., On) issus des moyens (201) pour la surveillance, d'un historique (205) des messages d'observations (O1, 02, ..., On) et d'un modèle (206) représentant un état courant du système, lesdits moyens (202) pour la détermination d'un ensemble d'observations (Eobs) mettant en oeuvre une logique temporelle, des moyens (203) pour la détermination d'accusations (207) à partir d'observations (O'1, 0'2, ..., O'k) de l'ensemble d'observations (Eobs) et d'un modèle comportemental (209) du système, les accusations (207) étant des relations logiques entre des modes de fonctionnement d'équipements ayant produit des effets, des moyens (204) pour la détermination d'opérations de maintenance à partir des accusations. 2. Dispositif pour le diagnostic de système selon la revendication 1, caractérisé en ce que les moyens (203) pour la détermination des accusations (207) comportent un explorateur de modèle (402) permettant l'exploration directe du modèle comportemental (209) du système et l'extraction d'événements sous la forme de séquences. 3. Dispositif pour le diagnostic de système selon la revendication 2, caractérisé en ce que les moyens (203) pour la détermination d'accusations (207) sont embarqués à bord de l'aéronef, la détermination des accusations étant effectuée durant le vol. 4. Dispositif pour le diagnostic de système selon la revendication 35 2, caractérisé en ce que les moyens (203) pour la déterminationd'accusations (207) sont situés au sol, la détermination des accusations (207) étant effectuée durant le vol. 5. Dispositif pour le diagnostic de système selon la revendication 1, caractérisé en ce qu'il comporte en outre un explorateur de modèle (402) calculant des relations logiques (LR1, LR2, ..., LRk) associées aux observations (O'1, O'2, ...O'k) à partir du modèle comportemental (209) du système, les moyens (203) pour la détermination des accusations (207) comportant des moyens pour la conjonction des relations logiques (LR1, LR2, , LRk). 6. Dispositif de diagnostic de système selon la revendication 5, caractérisé en ce que la conjonction des relations logiques (LR1, LR2, ..., LRk) est réalisée au moyen d'un diagramme de décision binaire et comprend : la détermination d'un premier diagramme de décision binaire (BBD1, BBD2, ..., BBDk) pour chaque observations (O'1, O'2, ..., O'k) de l'ensemble d'observations (Eobs), le calcul d'un deuxième diagramme décision binaire (BDD') par une opération de conjonction des premiers diagrammes de décision binaires (BBD1, BBD2, ..., BBDk) et le calcul d'un diagramme de décision binaire d'accusation par le développement du deuxième diagramme décision binaire (BDD'). 7. Dispositif de diagnostic de système selon la revendication 6, caractérisé en ce qu'un diagramme de décision binaire est constitué de noeuds, d'où partent deux branches, et de feuilles terminales reliés entre eux par des branches, chaque noeud représentant une variable booléenne indiquant la présence ou l'absence d'un événement, une branche étant dite" terminale" si elle aboutit sur une feuille terminale de valeur "0" ou "1", ou étant dite "intermédiaire" si elle aboutit sur un autre noeud, une première branche représentant le cas où l'événement représenté est absent, et une seconde branche représentant le cas où l'événement représenté est présent, le diagramme comportant un noeud racine unique d'où partent deux branches auxquelles sont reliées en cascade des noeuds ou des feuilles. 8. Dispositif de diagnostic de système selon la revendication 7, caractérisé en ce que le développement du deuxième diagramme de décision binaire (BDD') est réalisé en effectuant des parcours du deuxième diagramme de décision binaire (BDD') depuis la racine jusqu'à chacune des feuilles terminales de valeur 1, un parcours correspondant à une combinaison d'événements ayant entraînés l'ensemble des observations (Eobs)• 9. Dispositif de diagnostic de système selon l'une des revendications 6 à 8, caractérisé en ce que la détermination des relations logiques (LR1, LR2, ..., LRk) est réalisée à partir d'une unité de mémorisation (401) associant une relation logique à chaque observation. 10. Dispositif pour le diagnostic de système selon l'une des revendications précédentes, caractérisé en ce que le modèle comportemental (209) comprend un composant pour chaque équipement du système, un composant du modèle comportemental (209) comprenant au moins : un flux d'entrée, un flux de sortie, un état indiquant la disponibilité de l'équipement et comportant : un mode de panne, indiquant si le composant est défectueux ou sain et un mode de fonctionnement indiquant si le composant est allumé, éteint ou non disponible, et une relation logique entre le flux d'entrée, le flux de sortie et l'état d'une part, et le flux de sortie d'autre part. 11. Dispositif pour le diagnostic de système selon l'une des revendications précédentes, caractérisé en ce que le système sous diagnostic comprenant une pluralité d'unités de traitement, est décomposé en différents niveaux hiérarchiques regroupant ces différentes unités de traitement, un premier niveau hiérarchique étant dit inférieur à un second niveau lorsque le premier niveau comprend des unités de traitements composant des unités de traitement du second niveau. 12. Dispositif pour diagnostic de système selon la revendication 11, caractérisé en ce que les moyens de calcul du dispositif selon l'inventionsont mis en oeuvre sur deux niveaux hiérarchiques différents du système (200) : un premier niveau mettant en oeuvre des moyens pour la surveillance (611.1, 612.1, 613.1, 614.1) et des moyens pour la détermination d'un ensemble d'observations (611.2, 612.2, 613.2, 614.2), un second niveau, supérieur au premier niveau, mettant en oeuvre des moyens pour la détermination d'un ensemble d'observations (621.1) à partir des ensembles d'observations issus du premier niveau, des moyens pour la détermination d'accusations (621.2) et des moyens pour la détermination des actions de maintenance (621.3). 13. Dispositif pour diagnostic de système selon la revendication 11, caractérisé en ce que les moyens de calcul du dispositif selon l'invention sont mis en oeuvre sur trois niveaux hiérarchiques différents du système 15 (200) : un premier niveau hiérarchique (510) mettant en oeuvre des moyens pour la surveillance (511.1, 512.1, 513.1, 514.1), un deuxième niveau (520), supérieur au premier niveau (510), mettant en oeuvre d'une part des moyens pour la détermination d'un ensemble 20 d'observations (521.1,522.1) à partir des messages issus des moyens (201) pour la surveillance du premier niveau et, d'autre part, des moyens pour la détermination d'accusations (521.2,522.2), et un troisième niveau (530), supérieur au deuxième niveau (520), mettant en oeuvre des moyens pour la détermination d'un ensemble 25 d'observations (531.1) à partir des accusations issues du deuxième niveau, des moyens pour la détermination d'accusations (531.2) et des moyens pour la détermination des actions de maintenance (531.3). 14. Dispositif pour le diagnostic de système selon la revendication 30 13, caractérisé en ce que le premier niveau regroupe des unités de traitement de type Unité Remplaçable en Atelier correspondant à des modules électroniques internes à un équipement et en ce que le deuxième niveau corresponde à une application de maintenance interne à l'équipement.