FR 2991072 A1 20131129 FR 1254901 A 20120528 1 Domaine technique et état de l'art L'invention s'inscrit dans le domaine des systèmes et méthodes de détection et d'analyse de signaux de pannes dans un système complexe, comme par exemple un moteur de fusée. Dans ce domaine, des indicateurs de défaut, aussi appelés « drapeaux » ou, en anglais, « flags » sont activés quand un capteur ou un ensemble de capteurs placés à un endroit donné du système complexe et mesurant une ou plusieurs grandeurs physiques détecte, après un éventuel traitement des données mesurées, une variation par rapport à une valeur de référence. Ces indicateurs de défaut peuvent indiquer une suspicion de défaut (ou panne) relative à un composant, un sous-système, un système complet ou parfois, un capteur. On sait associer les indicateurs de défaut ou des ensembles d'indicateurs de défaut à des pannes, qui sont des diagnostics pour la prise de décision pour une action (humaine ou automatisée). Ainsi, à titre d'exemple dans un moteur de fusée, un indicateur de défaut peut porter sur un niveau vibratoire d'une turbine élevé, et un deuxième indicateur de défaut sur un rendement de turbine faible. Dans ce cas, une panne associée à la combinaison des deux indicateurs peut être une perte d'une aube de la turbine. Le lien entre les indicateurs de défaut et les pannes est établi à l'aide de matrices agencées conformément à l'arborescence du système, qui peuvent être développées sous-système par sous-système. Le document WO 2011/104466 divulgue de plus d'associer à chaque indicateur de défaut un niveau de confiance, et de générer, à partir de messages de pannes bruts reçus, un ou plusieurs messages consolidés incluant un niveau de confiance, en fusionnant les informations des messages de pannes bruts, que ces messages soient associés à des pannes des composants, de sous-systèmes, du système complet ou de capteurs. Une telle fusion d'indicateurs de défaut est de haut niveau décisionnel. Les indicateurs à fusionner peuvent constituer des informations redondantes, complémentaires, concordantes ou discordantes, symboliques ou numériques, et ils disposent d'un niveau de confiance matérialisant leurs imperfections (imprécisions, incertitudes, caractère incomplet). La fusion peut être mise en oeuvre dans une architecture centralisée ou distribuée, ou encore une architecture hiérarchique. Des fonctions centralisées peuvent cohabiter avec des fonctions distribuées. Résumé de l'invention L'invention propose de mettre en oeuvre cette fusion par des méthodes symboliques issues de l'intelligence artificielle. Précisément, il est proposé un système de traitement de données pour la surveillance d'un système complexe, le système de traitement étant configuré pour recevoir des informations d'état et fusionner au moins lesdites informations d'état en une information de panne, au moins une desdites informations d'état étant associée à un indicateur de confiance, et l'information de panne étant également associée à un indicateur de confiance, caractérisé en ce qu'une fusion est effectuée en mettant en oeuvre une technique de logique floue pour produire l'information de panne en tenant compte des indicateurs de confiance respectifs des informations d'état et produire l'indicateur de confiance associé à l'information de panne. Dans différents modes de réalisation, on utilise des règles exactes de combinaison des informations d'état, ou des règles floues de combinaison des informations d'état, une fuzzyfication des informations d'état est effectuée avec une fonction d'appartenance exacte, une fonction d'appartenance floue, une fonction d'appartenance pour laquelle une classe est renforcée par rapport aux autres, ou une fonction d'appartenance pour laquelle une intensité est croisée avec un niveau de confiance. Egalement, une inférence peut être mise en oeuvre avec la méthode de Mamdani ou la méthode de Larsen, les règles sont agrégées avec l'opérateur maximum ou l'opérateur minimum, une défuzzyfication est effectuée avec la méthode de la moyenne des maxima ou la méthode du centre de gravité. Les informations d'état peuvent être reçues dans des messages d'état comprenant l'identification d'un sous-système ou d'un composant, et éventuellement une date. Conformément à l'invention il est aussi proposé une méthode de traitement de données pour la surveillance d'un système complexe impliquant une réception d'informations d'état et une fusion d'au moins lesdites informations d'état en une information de panne, au moins une desdites informations d'état étant associée à un indicateur de confiance, et l'information de panne étant également associée à un indicateur de confiance, caractérisée en ce qu'une fusion est effectuée en mettant en oeuvre une technique de logique floue pour produire l'information de panne en tenant compte des indicateurs de confiance respectifs des informations d'état et produire l'indicateur de confiance associé à l'information de panne. Brève description des figures L'invention va maintenant être décrite en relations avec les figures suivantes. La figure 1 représente un schéma général de mise en oeuvre de l'invention. Les figures 2 à 4 présentent des détails de la représentation de la figure 1. La figure 5 représente un exemple particulier d'application de l'invention. La figure 6 présente un deuxième moyen mis en oeuvre dans certains modes de réalisation de l'invention. La figure 7 présente un troisième moyen mis en oeuvre dans certains modes de réalisation de l'invention. La figure 8 présente un premier aspect particulier, à savoir l'étape de fuzzyfication, d'un mode de réalisation de l'invention. Les figures 9 à 11 représentent chacune un aspect correspondant d'un autre mode de réalisation. La figure 12 représente un deuxième aspect particulier, à savoir l'application des règles de fusion, d'un mode de réalisation de l'invention. Les figures 13 à 15 représentent chacune un aspect correspondant d'un autre mode de réalisation. La figure 16 représente un troisième aspect particulier, à savoir la défuzzyfication, dans deux modes de réalisation de l'invention. Description détaillée de l'invention On va maintenant décrire en détails certains aspects de l'invention. En figure 1, on a représenté un module de fusion de données MODFD. Il reçoit en entrée un ou plusieurs messages d'état (correspondant aux messages de pannes bruts décrits dans W02011/104466), ici au nombre de deux et référencés MSGpBi et MSGPB2. Chacun de ces messages comprend une information d'état INFPB et un niveau de confiance NC2 (le chiffre 2 indique ici qu'il s'agit d'un niveau de confiance déjà partiellement consolidé, dérivé d'une manière ou d'une autre d'un niveau de confiance primitif). Les références INFPB et NC2 sont, sur la figure 1, suivies d'un indice renvoyant au numéro du message d'état auquel ils sont rattachés. Le module de fusion de données MODFD reçoit également des messages relatifs à l'état de capteurs MSGcAp, ici au nombre de deux et référencés MSGcApi et MSGcAp2 a chacun desquels est associé un niveau de confiance NC1. Dans certaines situations simples, les nombres de messages de panne de capteur et de messages d'état sont identiques et chaque message de panne de capteur est associé à un message d'état déclenché par un processus impliquant le capteur dont l'état de panne est signalé par le message de panne de capteur. Le module MODFD produit en sortie un message de panne consolidé comprenant une information de panne consolidée INFpc et un niveau de s confiance consolidé NC3, l'indice 3 indiquant une étape de consolidation supplémentaire par rapport au niveau de confiance NC2. Dans certaines situations simples, le module MODFD produit un unique message MSGpc, mais il pourrait en produire plusieurs, de préférence en nombre plus faible qu'il ne reçoit de messages d'état MSGPB en entrée. 10 La structure d'un message MSGPB est présentée en figure 2. Un tel message contient, par exemple de manière séquentielle, une date, un identifiant de sous-système IDss, un identifiant de composant IDcomp, la panne étant indiquée par le message comme relative au sous-système référencé ou au composant référencé, un niveau de confiance NC2 tel qu'évoqué plus haut et 15 un identifiant d'indicateur de défaut IDFLAG. Les identifiants IDss, IDCOMP et IDFLAG sont choisis en fonction d'une convention prédéterminée. Les informations DATE, IDss, IDcomp et IDFLAG constituent l'information INFPB. La structure d'un message MSGcAp est présentée en figure 3. Un tel message contient, par exemple de manière séquentielle, une date, un identifiant de 20 sous-système IDss, un identifiant de capteur IDcAp, un niveau de confiance NC1 (le chiffre 1 indiquant ici qu'il s'agit d'une valeur primitive, mais il pourrait s'agit d'une valeur partiellement consolidée d'une manière ou d'une autre), et un identifiant d'indicateur de défaut IDFLAG. L'identifiant IDcAp est choisi en fonction d'une convention prédéterminée. 25 La structure d'un message MSGpc est présentée en figure 4. Un tel message contient, par exemple de manière séquentielle, une date, un identifiant de sous-système IDss, un identifiant de composant IDcomp, le niveau de confiance déjà évoqué, et un identifiant de panne IDPANNE. Les identifiants IDss, IDCOMP et IDPANNE sont choisis en fonction d'une convention prédéterminée. Les 30 informations DATE, IDss, IDcomP et IDPANNE constituent l'information INFpc. En figure 5 on a représenté un cas concret de système complexe surveillé par différents capteurs pour détecter et diagnostiquer des pannes. Il s'agit d'un moteur de fusée fonctionnant à l'oxygène et à l'hydrogène liquides et produisant des gaz chauds. Des capteurs surveillent la turbine à hydrogène TH, la pompe à hydrogène PH, la turbine à oxygène TO et la pompe à oxygène P0. Des fonctions de calcul et de traitement de l'information génèrent des messages d'état et des messages de panne de capteur. Les messages d'état en provenance de la turbine à hydrogène et de la pompe à hydrogène font l'objet d'une fusion dans un module MODFD pour former un message consolidé relatif à l'ensemble Turbine et Pompe à Hydrogène TPH. Parallèlement, les messages d'état en provenance de la turbine à oxygène et de la pompe à oxygène font l'objet d'une fusion dans un module MODFD pour former un message consolidé relatif à l'ensemble turbine et pompe à oxygène TPO. Ensuite, les messages consolidés en provenance de l'ensemble TPH et de l'ensemble TPO font l'objet d'une autre fusion dans un module MODFD pour former un message consolidé relatif à l'ensemble du moteur. L'activation des indicateurs de défaut peut se faire sur plusieurs niveaux d'intensité, de manière exacte ou de manière floue, comme cela est présenté dans les deux tableaux suivants, présentant successivement un indicateur activé de manière exacte et un indicateur activé de manière floue. Intensité 2 "Défaillance grave" avec niveau de confiance = 0.7 "2" « Défaillance grave » 0 0 0 0.7 0 Intensité 2 avec niveau de confiance= 0.7 & Intensité 3 avec niveau de confiance = 0.3 "2" « Défaillance grave » 0 0 0 0.7 0 "3" « Panne » 0 0 0 0 0.3 La figure 6 présente une grille de correspondance GcRp utilisée aussi dans le module MODFD. La grille GcRp associe des couples constitués d'une ou s plusieurs pannes et d'un ou plusieurs indicateurs d'état (Flags). Pour obtenir une information de panne, on fusionne les indicateurs d'état indiqués dans la grille en regard de la panne, pondérés par le coefficient indiqué par le tableau. Dans un mode de réalisation particulier, on fusionne les indicateurs deux à deux, en commençant par les indicateurs numérotés 1 et 2, puis en 10 fusionnant le produit de cette fusion avec l'indicateur 3, puis en fusionnant le produit de cette nouvelle fusion avec l'indicateur 4, et ainsi de suite, jusqu'à épuisement de tous les indicateurs dont le coefficient de pondération pour la panne concernée n'est pas nul. D'autres mises en oeuvre sont possibles. Le résultat est un indicateur de panne, qui peut indiquer une absence de panne 15 ou une présence de cette panne, avec une certaine intensité et un certain niveau de confiance. La figure 7 présente un système de logique floue utilisé dans le module MODFD. Il comprend un module de fuzzyfication 810 générant un entrée floue à partir d'une entrée nette, un moteur d'inférence 820 générant une sortie 20 floue à partir de l'entrée floue générée par le module de fuzzyfication 810 et enfin un module de défuzzyfication 830 générant une sortie nette à partir de la sortie floue générée par le moteur d'inférence 820. Le moteur d'inférence 820 utilise une base de règles, des combinaisons de prémisses, des implications, et des agrégations de règles floues. Le système de logique floue constitué des modules 810, 820 et 830 traite, pour un périmètre donné du système complexe surveillé, un certain nombre d'indicateurs de défaut d'entrée (E) (ou flags d'entrée E), qui sont obtenus sous une forme nette. Cette forme nette peut être une forme réelle instantanée indépendante des états antérieurs ou une forme virtuelle ou dynamique incluant d'une manière ou d'une autre les états antérieurs de l'indicateur. Ainsi, pour un instant donné, l'indicateur peut dans le premier cas comprendre essentiellement un message ponctuel unique ou dans le deuxième cas être constitué d'un signal temporel variable possédant une 10 forme de continuité. Bien sûr, une combinaison des deux solutions est possible. La forme nette est obtenue, dans une variante, dans la grille de correspondance GcRp de la figure 6, sur la base des différents messages MSGPB et MSGcAp. La valeur nette de l'indicateur de défaut est un couple intensité, niveau de 15 confiance, l'intensité (niveau de défaillance) étant choisie par exemple parmi les valeurs « -1 », « 0 », « 1 », « 2 » et « 3 » (signifiant par exemple respectivement, « indisponibilité d'information », « tout va bien », « défaillance minime », « défaillance grave » et « panne »), et le niveau de confiance dans l'intervalle continu [0 ; 1], 0 étant la confiance minimale et 1 20 la confiance maximale. La figure 8 présente une fonction d'appartenance p exacte pour les valeurs floues des indicateurs de défauts. La valeur floue de l'indicateur de défaut, produite par le module de fuzzyfication 810 est représentée graphiquement sur la figure. Les classes des variables C-1, CO, Cl à C3 sont également 25 indiquées. Elles ne se recoupent pas. Les valeurs des classes sont constituées de segments ouverts à gauche et fermés à droite (sauf pour la classe -1) conformément au tableau suivant (CL désigne le niveau de confiance). Classe floue Valeur (intensité + CL pour CL > 0 et -1 pour CL = -1) C-1 Valeur = -1 avec Y = -1 CO Valeur = j0; 1] avec Y = ]0; 1] C 1 Valeur = ] 1; 2] avec Y = 10; 1 I C2 Valeur = 12; 3] avec Y = 10;1] C3 Valeur = 13; 4] avec Y = 10; I 1 La figure 9 présente une fonction d'appartenance p floue pour les valeurs floues des indicateurs de défauts. Les classes des variables C-1, CO, Cl à C3 sont également indiquées. Les valeurs des classes sont constituées de segments ouverts à gauche et fermés à droite. Les classes CO à C3 se recouvrent deux à deux conformément au tableau suivant. Classe floue Valeur ( intensité + CL pour CL > 0 et -1 pour CL = -1) C- I Valeur = -1 avec Y = [1] CO Valeur = 10; 1; 2] avec Y = IO; I; 0] C I Valeur --= 11; 2; 3] avec. Y .-=.- 10; 1; 0] C2 Valeur = ]2; 3; 4] avec Y = 10; 1; 0] C3 Valeur = 13; 4] avec Y = ]0;1 1 La figure 10 présente une fonction d'appartenance p floue basée sur la précédente mais avec renforcement de la classe CO, en conformité avec le tableau suivant Classe floue Valeur (intensité + CL pour CL > 0 et -1 pour CL = -1) C-1 Valeur = -1 avec Y = [1] CO Valeur = 0; 1 ; 21 avec Y = 11; 1; 0] C 1 Valeur = 11; 2; 3] avec Y -= 10; 1; 01 C2 Valeur = 12; 3; 4] avec Y = 10; 1; 0] C3 Valeur = 13; 4] avec Y = 10; I 1 La figure 11 présente une fonction d'appartenance p floue basée sur celle de la figure 9 et obtenue en croisant l'intensité (niveau de défaillance) avec le niveau de confiance (fuzzyfication croisée entre ND et NC), suivant les tableaux suivants. Intensité (ND) Classe floueValeur « information indisponible »« -1 » ND = -1 ND = [0; 0.15; 0.35] « Tout va bien » « o » avec Y = [1;1;0] ND = [0.15; 0.35; 0.4; 0.6] « Défaillance minime » « 1 » avec Y = [0;1;1;0] ND = [0.4; 0.6 0.65; 0.85] « Défaillance grave » « 2 » avec Y = [0;1;1;0] ND = [0.65; 0.85; 1] « Panne » « 3 » avec Y = [0; 1; 1] Niveau de Confiance (NC) Classe floueValeur « Information indisponible »« -1 » NC = -1 « Peu fiable » « PF » NC = [0; 0.15; 0.35] avec Y = [1;1;0] « Moyennement fiable » « MF» NC = [0.15; 0.35; 0.4; 0.6] avec Y = [0;1;1;0] « Fiable » « F » NC = [0.4; 0.6 0.65; 0.85] avec Y = [0;1;1;0] « Très fiable » « TF » NC = [0.65; 0.85; 1] avec Y = [0; 1; 1] Pour l'inférence mise en oeuvre par le moteur 820, la méthode de Mamdani et la méthode de Larsen peuvent être utilisées. Une base de règles, issue des analyses des modes de défaillance, de leurs effets et de leur criticité (AMDEC) et complétée d'informations de retour d'expérience (REX) est utilisée. Des exemples de règles ainsi mises en oeuvre sont les suivantes : si un seul indicateur de défaut est activé, alors l'indicateur fusionné est identique à l'indicateur d'entrée ; plusieurs indicateurs de défaut activés peuvent être fusionnés ; les règles des combinaisons peuvent contenir des « ET », des « OU », ou les deux à la fois. Un exemple de règles exactes est donné dans le tableau suivant. Flag fusionné "1" "0" "1" 11211 "3" "-1" "1" "1" "-1" "1" "1" "0" "1" 110" "0" "1" "1" 111" 111" 110" "1" "1" "2" 112" "-1" "1" "1" "2" "3" "3" "1" "1" "2" "3" "3" Si les règles simultanément activées sont liées par un opérateur OU, l'agrégation des règles peut être réalisée par l'opérateur maximum µ13(y) = MAX [p', (y)] i e {indices des règles activées} et si les règles simultanément activées sont liées par un opérateur ET, l'agrégation peut être réalisée par l'opérateur minimum n(y) = MIN .11 13, (y)] i e {indices des règles activées} En figures 12 et 13, on a représenté un mode de réalisation de la fusion d'indicateurs de défauts mise en oeuvre par le moteur d'inférence 820, dans le cas d'une fonction d'appartenance exacte (figure 8), et de règles exactes de combinaison telles que présentées dans le tableau ci-dessus. On présente en figure 12 un exemple dans lequel, à l'instant encadré, un premier indicateur à l'intensité 3 avec un niveau de confiance de 0.8, un deuxième indicateur à la intensité 3 avec un niveau de confiance de 1. Les règles exactes présentées au tableau ci-dessus donnent un résultat de fusion qui constitue un indicateur de panne d'intensité 3, avec un niveau de confiance de 1. Un autre exemple est donné en figure 13 avec un indicateur d'intensité 1 et de niveau de confiance 0.9, soit une valeur floue de 1.9 et un deuxième indicateur d'intensité 3 avec un niveau de confiance égal à 0.7 et une valeur floue de 3.7. La valeur floue produite est de 2.85, obtenue en faisant la moyenne de 1.9 et 3.7. La méthode utilisée est celle de Mamdani avec l'opérateur Min pour la combinaison des prémisses et pour l'implication des règles. En figure 14, on a représenté un exemple de mis en oeuvre d'un mode de réalisation de la fusion d'indicateurs de défauts mise en oeuvre par le moteur d'inférence 820, dans le cas d'une fonction d'appartenance floue (telle que présentée en figure 9) et des règles exactes du tableau ci-dessus. On déploie le processus de fusion pour toutes les règles, sauf pour les règles comprenant l'intensité -1. On présente ici un exemple avec un indicateur d'intensité 3 et de niveau de confiance 0.4, et un deuxième indicateur d'intensité 2 avec un niveau de confiance égal à 0.6. Les valeurs floues des deux indicateurs ont 16 composantes, et on obtient par la fusion, un indicateur flou à 16 composantes. Il est ici agrégé par l'opérateur maximum. En figure 15, on a représenté un exemple de mis en oeuvre d'un mode de réalisation de la fusion d'indicateurs de défauts mise en oeuvre par le moteur d'inférence 820, dans le cas d'une fonction d'appartenance floue (telle que présentée en figure 9) et des règles floues présentées dans le tableau suivant. Flag fusionné ''-1" "0" '°1" " " "3" 110" "-1" 110" 110" "0"/"1" "-I" "1" "-1" 110" 111" 111" "2" "2" "-1" "0"/"1" "1"/"2" 11211/11311 "2"/"3" "3" "-1" "1" "2" "2"/"3" "3" On présente ici un exemple à l'instant encadré (figure 15), un premier indicateur à l'intensité 2 avec un niveau de confiance de 1 et simultanément à l'intensité 3 avec un niveau de confiance de 0.8. Un deuxième indicateur est à l'intensité 3 avec un niveau de confiance de 1, les autres intensités étant inactives. Les règles floues présentées au tableau ci-dessus donnent un résultat de fusion qui constitue un indicateur d'intensité 3, avec un niveau de confiance de 0.9 et un indicateur d'intensité 2, avec un niveau de confiance de 0.1. Le module de défuzzyfication 830 produit une valeur nette sur la base de la valeur floue produite précédemment. Dans le cas du scénario présenté en figure 13, la moyenne des maxima (MM) est utilisée pour obtenir un indicateur fusionné net. Il a dans l'exemple présenté la valeur d'intensité 2 et un niveau de confiance de 0.85. Dans le cas du scénario représenté en figure 14, deux possibilités alternatives sont utilisées, et elles sont présentées en figure 16. La première est la méthode du centre de gravité (CG) qui conduit à une intensité de 2 avec un niveau de confiance de 0.8, et la deuxième est la méthode de la moyenne des maxima qui conduit à une intensité de 2 avec un niveau de confiance de 1. L'invention a été décrite en relation avec des modes de réalisation qui ne sont pas limitatifs, et elle s'étend à toutes les variantes dans la limite de la portée des revendications. 2 9910 72 15