# Fiabilité dynamique et disponibilité de production: un cas illustratif

Pierre-Etienne Labeau, Yves Dutuit

► To cite this version:

Pierre-Etienne Labeau, Yves Dutuit. Fiabilité dynamique et disponibilité de production: un cas illustratif. Proceedings of $\lambda\mu$ 14, 2004, Bourges, France. hal-01570847

HAL Id: hal-01570847

https://hal.science/hal-01570847v1

Submitted on 31 Jul 2017

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons CC BY 4.0 - Attribution - International License
FIABILITE DYNAMIQUE ET DISPONIBILITE DE PRODUCTION : UN CAS
ILLUSTRATIF
DYNAMIC RELIABILITY AND PRODUCTION AVAILABILITY: AN
ILLUSTRATIVE TEST-CASE

Pierre-Etienne LABEAU<fnref n="1" />

Université Libre de Bruxelles

50, avenue F. D. Roosevelt (CP 165/84)

1050 Bruxelles (Belgique)

Yves DUTUIT

Université de Bordeaux 1

351, cours de la Libération

33405 Talence Cedex (France)

Résumé

La disponibilité de production est une mesure probabiliste de la régularité de production d'un système. Son calcul se base généralement sur l'hypothèse selon laquelle le niveau de production associé à chaque état (normal ou dégradé) du système est atteint dès l'entrée dans cet état. En réalité, deux types de situations plus réalistes peuvent se rencontrer : soit ce niveau de production est l'une des variables continues décrivant le processus industriel étudié, soit les transitions entre états discrets (et par conséquent entre niveaux de production) sont conditionnées par l'évolution de ces variables continues. La fiabilité dynamique, branche de la sûreté de fonctionnement traitant les systèmes hybrides discrets-continus, intervient donc naturellement dans les problèmes de disponibilité de production.

Le présent travail illustre l'impact d'une modélisation réaliste du processus continu sur les caractéristiques de sûreté de fonctionnement d'un système simple de l'industrie gazière.

Summary

Production availability is a probabilistic measure of the production regularity of a system. Its estimation is usually based on the following assumption: the production level associated to each system state – either normal or degraded – is instantaneously reached when entering this state. Actually, two types of more realistic situations can be encountered: either this production level is one of the continuous variables describing the industrial process under study, or the transitions between discrete states (and consequently between production levels) are conditioned by the evolution of these continuous process variables. Dynamic reliability, a discipline in RAMS modelling dealing with hybrid discrete-continuous systems, is thus a natural way to look at production availability issues.

This work illustrates the impact of a realistic modelling of the continuous process on the RAMS characteristics of a simple problem coming
from the gas industry.

Introduction

L'évaluation a priori de la disponibilité de production d'une installation est une préoccupation majeure des industriels [1]. Cette notion complète celles, plus classiques, de disponibilité instantanée et de disponibilité asymptotique. La disponibilité de production est une mesure probabiliste de la régularité de production (production regularity) d'un système [2], c'est-à-dire sa capacité à maintenir un niveau de performance donné au cours du temps. En général cette disponibilité de production est associée à une variable aléatoire discrète pouvant prendre un nombre fini de valeurs, telles que 1, 0.5 ou 0, qui correspondraient respectivement à une production nominale, à une production réduite de moitié et à une absence de production. On s'intéresse en fait à la distribution de probabilité de cette valeur aléatoire et notamment à son espérance mathématique.

Cependant ce point de vue n'est valide qu'à la condition que l'entrée du système dans un état donné et l'atteinte du niveau de production associé à cet état soient concomitantes. Aussi, faut-il considérer, d'une manière plus générale, que le niveau de production résulte de l'évolution d'un processus continu supporté par un système soumis à des changements de configurations aléatoires, ces deux phénomènes interagissant l'un sur l'autre. Il convient alors d'associer à un niveau de production donné *i*, non plus la probabilité que le système soit dans l'état *i* à l'instant *t*, mais la densité de probabilité que ce système soit à cet instant dans cet état et à ce niveau de production.

Notons encore que même dans le premier cas considéré, l'interaction entre l'évolution du processus continu et l'évolution discrète du système, d'un état à un autre, a souvent été prise en compte pour déterminer les probabilités d'occupation de ces états. C'est l'essence même de ce qu'on appelle la fiabilité dynamique [3].

L'objectif premier de cette communication est d'illustrer le concept de disponibilité de production en traitant un exemple simple, mais non trivial, issu de l'industrie gazière. Celui-ci sera décrit dans la section suivante, dans les diverses variantes considérées dans ce travail. Dans ce contexte, la relation entre disponibilité de production et fiabilité dynamique seront plus spécifiquement mis en évidence.

La modélisation de différentes configurations de difficulté croissante nécessite de disposer d'outils de traitement intégré élaborés même dans le cas d'applications simples. Les réseaux de Petri sont au nombre de ces outils. Nous montrons dans cette communication comment ils peuvent être utilisés pour modéliser les différentes configurations précédentes en prenant en compte des hypothèses de plus en plus réalistes et donc de plus en plus contraignantes. Les estimations ainsi obtenues de la disponibilité de production et d'autres caractéristiques de la sûreté de fonctionnement de l'installation pour les différents cas étudiés seront alors comparées entre elles d'une part, et avec les résultats obtenus par une programmation Fortran spécifique de ce problème.

Description de l'exemple

Nous allons dans cette section présenter le problème illustratif considéré et les différentes variantes de modélisation qui en ont été retenues. Il s'agit d'un exemple de petite taille, mais non trivial, issu de l'industrie gazière [4] et intégré depuis dans la collection des cas-tests retenus par le groupe « Recherche méthodologique » de l'IMdR-SdF. Le système étudié (cf. Fig.1) comprend deux unités de production d'oxygène fonctionnant en parallèle, et dont les taux maximaux de production sont respectivement égaux à $\phi_{A,max} = 3200 \text{ m}^3 \cdot \text{h}^{-1}$, et $\phi_{B,max} = 5500 \text{ m}^3 \cdot \text{h}^{-1}$. Aucune de ces unités n'est à même de satisfaire à elle seule la demande horaire, constamment égale à $\phi_{nom} = 7500 \text{ m}^3 \cdot \text{h}^{-1}$, d'une unité-cliente. En outre, une unité de stockage servant de source d'alimentation de secours est disponible et présente une capacité maximale de $V_{so} = 220 000 \text{ m}^3$.

Lorsque les unités A et B sont simultanément opérationnelles, la production totale requise est partagée entre elles, afin d'éviter de
les faire fonctionner au maximum de leur capacité. Quand l'une
des deux défaille, par contre, l'autre est amenée à sa production
maximale afin de pouvoir disposer de l'apport de l'unité de
stockage pendant le temps le plus long possible si nécessaire.
Si l'unité défaillante est réparée avant la défaillance de l'autre,
elles reprennent toutes deux leur niveau nominal de production.
Dans le cas contraire, l'unité de stockage seule garantit la
production demandée par le client jusqu'à réparation d'une des
unités de production ou jusqu'à ce qu'elle soit vide.

<footnote n="1">¹ Chercheur Qualifié, Fonds National de la Recherche Scientifique</footnote>
Les autres hypothèses prises en compte dans la modélisation sont les suivantes :

- Aucune défaillance de mode commun entre les deux unités de production n'est considérée.

- La modification du niveau de production d'une unité en cas de défaillance de l'autre s'effectue en un temps négligeable. Il en va de même lors du retour au régime nominal après réparation, ainsi que pour les variations de la production suppléée par l'unité de stockage au cours des différents événements de panne et réparation se succédant dans le système.

- Les durées de fonctionnement de ces unités sont exponentiellement distribuées tandis que leurs durées de réparation suivent une loi lognormale. Les paramètres de ces lois sont repris dans la Table 1.

<figure><img src="image_2.png" /><figcaption>Fig. 1 : Schéma du système de production</figcaption></figure>

<table><caption>Table 1 : Paramètres des lois de probabilité</caption><thead><tr><th></th><th>Unité A</th><th>Unité B</th></tr></thead><tbody><tr><td>Densité de défaillance</td><td>λ<sub>A</sub> = 1/20 000 h<sup>-1</sup></td><td>λ<sub>B</sub> = 1/4000 h<sup>-1</sup></td></tr><tr><td>Densité de réparation</td><td>μ<sub>A</sub> = 0.23<br>σ<sub>A</sub> = 2.25</td><td>μ<sub>B</sub> = 0.50<br>σ<sub>B</sub> = 1.83</td></tr></tbody></table>

Différents cas de figure sont envisagés dans la modélisation. Ils sont décrits dans la suite de cette section.

### Cas 1

On considère dans un premier temps que l'unité de stockage est toujours disponible et pleine lorsqu'elle est sollicitée lors d'une défaillance de l'une ou l'autre unité de production. En d'autres termes, quel que soit le cycle de défaillances et de réparations subi par les unités de production, l'unité de stockage retrouve son niveau $V_{so}$ dès que les unités A et B sont à nouveau simultanément opérationnelles.

### Cas 2

La deuxième situation envisagée est identique à la précédente, mais les taux de défaillance des unités A et B sont multipliés par un facteur 10, toutes autres choses restant égales.

### Cas 3

Ensuite, on considère le cas où les deux unités de production possèdent des taux de défaillance qui dépendent de leur régime de production (maximal ou nominal), et par conséquent de l'état de l'autre unité. Dès lors, lorsque l'une d'entre elles doit délivrer son débit maximal, suite à la défaillance de l'autre, on suppose que son taux de défaillance est augmenté d'un facteur 10 par rapport à la valeur utilisée dans le cas 2, et ce jusqu'à la réparation de l'unité défaillante.

### Cas 4

La dernière situation envisagée reprend les caractéristiques du cas 3 et abandonne l'hypothèse forte sur la disponibilité de l'unité de stockage. On ne suppose donc plus que le niveau $V_{so}$ est à nouveau atteint dès qu'une réparation ramène le système dans l'état où les unités A et B sont simultanément opérationnelles. On considère au contraire que ce niveau de réserve doit être reconstitué, en sollicitant les unités A et B à leurs capacités maximales ($\phi_{A,max}$ et $\phi_{B,max}$, respectivement) et en prélevant le surplus de production par rapport à la demande du client, soit un débit de $\phi_{nom} - \phi_{A,max} - \phi_{B,max}$.

Cela signifie donc aussi que, puisque les unités A et B ont une plus grande propension à défaillir lorsqu'elles sont sollicitées au maximum, le système présente une vulnérabilité d'autant plus longue lors de la reconstitution de son système de défense que ce dernier a été davantage mis à contribution lors d'une défaillance précédente.

### Figures de mérite

Les résultats qui intéressent l'entreprise à l'origine de ce problème sont rappelés ci-après. Il s'agit de déterminer :

- la durée moyenne (sur une année) pendant laquelle le système fournit sa production nominale,

- le rapport quantité produite/quantité requise (soit en pour cent la disponibilité de production de l'installation),

- la fréquence annuelle de perte totale de production,

- la fréquence annuelle de production inférieure à la production nominale.

Tous ces résultats doivent être obtenus dans les 4 cas de figure mentionnés précédemment.

Il est important de souligner que chacune de ces caractéristiques de sûreté de fonctionnement du système peut être associée à un coût différent, qu'il s'agisse d'une perte de production horaire ou d'une pénalité ponctuelle lorsque la demande n'est pas satisfaite. Cela signifie donc par exemple que des variations limitées d'une des figures de mérite de type disponibilité, lorsque les différents cas de modélisation sont envisagés, ne doivent pas être considérées comme marginales, si les fréquences de perte de production sont quant à elles plus fortement affectées par les changements de modélisation.

### Relecture du problème en fiabilité dynamique

Comme nous l'avons déjà mentionné, le traitement habituel des problèmes de disponibilité de production repose sur l'hypothèse selon laquelle le niveau de production associé à un état du système est atteint immédiatement après l'entrée dans cet état. Cela revient à omettre que le niveau de production est une variable continue du processus étudié, ou que ce niveau dépend de l'évolution d'autres variables continues.

Dans le problème décrit ci-dessus, les différents niveaux de production possibles sont atteints instantanément. Cependant, les temps de transition entre ces états dépendent dans certains cas de la valeur prise par $V_s$, volume courant contenu dans l'unité de stockage et seule variable continue prise en compte dans le modèle. L'évolution de $V_s$ diffère fortement en fonction de l'état des unités A et B : $V_s$ est constant lorsque les deux unités de production sont opérationnelles, décroît à un taux $\phi_{nom} - \phi_{B,max}$ lorsque l'unité A est défaillante, à un taux $\phi_{nom} - \phi_{A,max}$ lorsque B est en panne, et au taux $\phi_{nom}$ lorsque A et B sont simultanément défaillantes.

Cette description est valable pour les cas 1 à 3. Lorsque la reconstitution du stock de réserve est modélisée (cas 4), une deuxième dynamique est associée à la situation dans laquelle les deux unités fonctionnent, et l'unité de stockage n'est pas pleine. $V_s$ augmente alors à un taux $\phi_{A,max} + \phi_{B,max} - \phi_{nom}$.

Notre application présente donc les caractéristiques habituelles d'un problème de fiabilité dynamique : une variable continue présente des lois d'évolution différentes suivant l'état discret du système ; cette variable continue intervient dans la définition des états de « panne » (perte de production) du système (stockage vide) et influence la compétition entre un retour à la production nominale et la perte de production. De plus, dans le cas 4, les taux de défaillance des unités A et B ne dépendent plus uniquement de l'état dans lequel se trouve l'autre unité, mais
aussi de cette variable continue pendant toute la phase de remplissage.

En termes plus généraux, si $\bar{x}$ désigne le vecteur des variables continues, et $\pi(\bar{x}, i, t)$ la densité de probabilité de trouver le système au point $\bar{x}$ dans l'état $i$ et à l'instant $t$, la disponibilité de production DP s'exprime comme l'espérance mathématique du niveau de production (que nous désignerons par $x_i$, première composante de $\bar{x}$) :

$$ DP = E(x_1) = \lim_{t \to \infty} \sum_i \int x_1 \pi(\bar{x}, i, t) d\bar{x} \quad [1] $$

alors que la disponibilité asymptotique vaut :

$$ A_{\infty} = \lim_{t \to \infty} \sum_{i \in X} \int \pi(\bar{x}, i, t) d\bar{x} \quad [2] $$

où $X$ désigne l'ensemble des états de marché du système.

Par contre, lorsque nous nous intéressons à la fréquence de perte totale de production ou à celle de perte de production nominale, nous ne pouvons plus écrire ces quantités comme des fonctionnelles de $\pi(\bar{x}, i, t)$, puisque cette densité de probabilité caractérise la présence du système dans une situation donnée, mais pas l'apparition d'une telle situation.

Nous devons alors avoir recours à la densité d'entrée $\varphi(\bar{x}, i, t)$ du système dans l'état $i$ au point $\bar{x}$ et à l'instant $t$.

Ainsi, la fréquence $f_{PTP}$ de perte totale de production pourra alors être exprimée comme suit :

$$ f_{PTP} = \frac{1}{T} \int_{0}^{T} dt \int \varphi(\bar{x}, i^*, t) d\bar{x} \quad [3] $$

où $i^*$ représente l'état dans lequel la production est nulle, et $T$ la période sur laquelle cette fréquence est estimée.

Notons que cette expression est valable pour notre problème uniquement parce que la production est nulle dans un seul état du système. Il n'est donc pas nécessaire de vérifier s'il s'agit d'une première entrée dans un état de production nulle, ou d'une transition entre deux états auxquels aucune production n'est associée.

Cette circonstance favorable ne se rencontre plus lorsque nous désirons exprimer la fréquence $f_{PPN}$ de perte de production nominale. Dans ce cas, nous ne devons comptabiliser que les entrées du système dans un état $j$ de production non nominale suite à une transition hors d'un état $i$ de production nominale.

Dès lors, si $q_{ij}(t; \bar{x})$ désigne la probabilité par unité de temps d'une transition entre les états $i$ et $j$, un laps de temps $t$ après être entré dans l'état $i$ au point $\bar{x}$, nous pouvons écrire :

$$ f_{PPN} = \frac{1}{T} \int_{0}^{T} dt \sum_{i \in P_n} \sum_{j \in P_n} \int d\bar{x} \int_{0}^{t} d\tau q_{ij}(\tau; \bar{x}) \quad [4] \\ \times [\pi(\bar{x}, i, t - \tau)\delta(t - \tau) + \varphi(\bar{x}, i, t - \tau)] $$

où $P_n$ désigne l'ensemble des états du système dans lesquels la production nominale est assurée. Le facteur entre crochets dans l'équation précédente reprend la possibilité que le système se soit trouvé initialement dans un état associé à la production nominale et qu'il y soit entré ultérieurement.

Les équations d'évolution de $\pi(\bar{x}, i, t)$ et $\varphi(\bar{x}, i, t)$, ainsi que les relations qui lient ces deux quantités, peuvent être trouvées dans [5], dans les hypothèses markovienne, semi-markovienne et non markovienne.

## Réseaux de Petri associés aux différentes modélisations

Le comportement fonctionnel et dysfonctionnel des unités de production A et B est celui de systèmes dits à événements discrets. Il est donc aisément modélisable à l'aide de réseaux de Petri. Par contre, la prise en compte rigoureuse de l'évolution continue de la variable $V_s$, volume courant contenu dans l'unité de stockage, est plus délicate. Elle nécessiterait en effet d'associer, dans une même simulation, deux modélisations distinctes en interaction :

- des réseaux de Petri stochastiques temporisés pour ce qui concerne les phénomènes discrets (défaillances et réparations des unités A et B),

- une équation (ou plusieurs) algébrique ou intégro-différentielle avec une résolution numérique, pour ce qui concerne le phénomène continu ($V_s$).

Rappelons que c'est dans un tel cadre qu'ont été développées les modélisations « hybrides » [6,7] qui consistent à piloter le modèle continu en fonction des événements qui se produisent dans le modèle discret et inversement. Afin de contourner la difficulté inhérente à la réalisation d'un tel couplage, nous avons choisi l'option minimaliste de la discrétisation de l'évolution continue de la variable $V_s$. Les réseaux présentés à la Fig.2 correspondent au cas 3, tandis que ceux de la Fig.3 modélisent la configuration 4.

On distingue sur cette dernière figure quatre sous-réseaux :

- les deux réseaux supérieurs modélisent le comportement binaire des unités de production A et B (états de marché : places $P_1$ et $P_3$ ; états de panne : places $P_2$ et $P_4$). On remarquera que les deux modes de défaillance sont pris en compte (défaillance en mode nominal : transitions TR1 et TR3 ; défaillance en pleine charge : transition TR 20 et TR 21).

- Le réseau inférieur gauche illustre les différents taux de production susceptibles d'être fournis conjointement par les deux unités A et B ; les places P5 à P8 correspondant respectivement aux taux 7500 m³, h⁻¹, 5500 m³, h⁻¹, 3200 m³, h⁻¹ et 0 m³, h⁻¹.

- Le réseau inférieur droit modélise le vidage ou le remplissage de l'unité de stockage servant d'alimentation de secours. Cette modélisation est basée, rappelons-le, sur la discrétisation du flux continu de vidage/remplissage du réservoir. Ainsi, la transition TR16 modélise le débit de 2000 m³, h⁻¹ fourni par le réservoir pour pallier l'arrêt de production de l'unité A, l'unité B montant alors en charge maximale à hauteur de 5500 m³, h⁻¹ pour satisfaire la demande horaire du client (7500 m³, h⁻¹). De même, la panne de l'unité B aura pour conséquence de solliciter l'unité A à son maximum (3200 m³ h⁻¹), tandis que le complément (4300 m³ h⁻¹) sera fourni par le réservoir (transitions TR 19 : 2000 m³ par 0,4651 heure, c'est-à-dire 4300 m³ par heure).

La Fig.2,quant à elle, rend compte d'une manière classique de la modélisation des configurations 1 à 3,à quelques variantes près. On remarquera que la sollicitation de l'unité de secours, suite à la défection d'au moins une des deux unités A et B (transitions TR11,TR12 et TR 17) y est modélisée à rebours de l'option plus intuitive choisie pour la configuration 4.

## Résultats numériques

Nous présentons dans cette section les estimations numériques des 4 indicateurs de la sûreté de fonctionnement du système que nous avons définis préalablement (disponibilité asymptotique (cf. Table 2), disponibilité de production en pour cent (cf. Table 3), fréquence de perte totale de production (cf. Table 4), fréquence de perte de production nominale (cf. Table 5)), pour les différentes configurations prises en considération.

Ces estimations sont obtenues d'une part par une simulation Monte Carlo basée sur les différents réseaux de Petri que nous venons de décrire, et d'autre part par une autre simulation Monte Carlo, spécifiquement programmée pour cette application. Ceci implique donc que, pour cette deuxième estimation, le volume présent dans l'unité de stockage a été traité comme variable continue, sans discrétisation.

Une première constatation que nous pouvons effectuer en comparant les résultats obtenus pour les 4 configurations proposées est la suivante : si les différents raffinements de la modélisation ont un impact assez limité (de l'ordre de 1%) sur la disponibilité et la production moyenne, il n'en va pas de même pour les fréquences de perte de production nominale et de perte totale de production. Ces deux quantités évoluent en effet sur plusieurs ordres de grandeur en fonction des cas considérés. Une modélisation approchée de notre système de production pourrait donc conduire à sous-estimer fortement le nombre de fois où le système est en mode de production. Cette prévision erronée pourrait avoir des conséquences économiques fâcheuses si ces pertes de production entraînent le paiement au client d'une indemnité forfaitaire à chacune de leurs occurrences. Notons encore que, malgré l'augmentation très sensible de ces fréquences, le temps d'indisponibilité du système reste faible, puisque les lois de réparation des unités A et B sont
<figure><img src="image_3.png" /><figcaption>Fig. 2 : Réseaux de Petri correspondant à la configuration 3</figcaption></figure>

<figure><img src="image_4.png" /><figcaption>Fig. 3 : Réseaux de Petri correspondant à la configuration 4</figcaption></figure>
inchangées dans les 4 cas. Ceci explique donc pourquoi les deux premiers indicateurs évoluent peu lorsque les deux derniers présentent des valeurs très différentes.

Nous constatons directement à l'examen des Tables 2 à 5 le bon accord entre les estimations obtenues par les deux types de simulation, pour les trois premières configurations étudiées. Par contre, des disparités plus importantes sont observées pour le cas 4, principalement pour les deux dernières figures de mérite considérées. Ces différences semblent s'expliquer en bonne partie par l'influence plus forte de l'évolution de la variable continue $V_s$ dans le cas 4, et par le traitement discrétisé de la variable $V_s$ utilisée dans le modèle du système réalisé par réseaux de Petri.

<table><caption>Table 2 : Comparaison des estimations de la disponibilité (pourcentage du temps passé au niveau nominal de production)</caption><thead><tr><td>Disponibilité moyenne</td><td>Réseaux de Petri</td><td>Monte Carlo continu</td></tr></thead><tbody><tr><td>Cas 1</td><td>0,9991</td><td>0,9991</td></tr><tr><td>Cas 2</td><td>0,9907</td><td>0,9909</td></tr><tr><td>Cas 3</td><td>0,9894</td><td>0,9892</td></tr><tr><td>Cas 4</td><td>0,9772</td><td>0,9744</td></tr></tbody></table>

<table><caption>Table 3 : Comparaison des estimations de la disponibilité de production (ratio de la production réelle sur la production souhaitée)</caption><thead><tr><td>Disponibilité de production</td><td>Réseaux de Petri</td><td>Monte Carlo continu</td></tr></thead><tbody><tr><td>Cas 1</td><td>0,9996</td><td>0,9996</td></tr><tr><td>Cas 2</td><td>0,9955</td><td>0,9956</td></tr><tr><td>Cas 3</td><td>0,9945</td><td>0,9942</td></tr><tr><td>Cas 4</td><td>0,9881</td><td>0,9867</td></tr></tbody></table>

<table><caption>Table 4 : Comparaison des estimations de la fréquence de perte totale de production (nombre annuel d'occurrences de cette situation)</caption><thead><tr><td>Fréquence de perte totale de production ($f_{PTP}$)</td><td>Réseaux de Petri</td><td>Monte Carlo continu</td></tr></thead><tbody><tr><td>Cas 1</td><td>1,039E-3</td><td>1,024E-3</td></tr><tr><td>Cas 2</td><td>0,1009</td><td>0,1013</td></tr><tr><td>Cas 3</td><td>1,0714</td><td>1,1150</td></tr><tr><td>Cas 4</td><td>2,2614</td><td>2,5837</td></tr></tbody></table>

<table><caption>Table 5 : Comparaison des estimations de la fréquence de perte de la production nominale (nombre annuel d'occurrences de cette situation)</caption><thead><tr><td>Fréquence de perte de production nominale ($f_{PPN}$)</td><td>Réseaux de Petri</td><td>Monte Carlo continu</td></tr></thead><tbody><tr><td>Cas 1</td><td>0,0759</td><td>0,0760</td></tr><tr><td>Cas 2</td><td>0,7473</td><td>0,7482</td></tr><tr><td>Cas 3</td><td>0,8193</td><td>0,8266</td></tr><tr><td>Cas 4</td><td>2,6787</td><td>3,2997</td></tr></tbody></table>

Un examen approfondi de certaines histoires jouées dans les simulations nous montre en effet les compétitions particulièrement serrées qui prennent place entre la reconstitution du volume nominal de l'unité de stockage et une nouvelle défaillance d'une des unités A et B, et également entre le vidage complet de cette unité et les réparations en cours. La valeur précise prise par $V_s$ lors de l'entrée dans un nouvel état du système affecte alors fortement l'instant d'occurrence des événements futurs liés au volume de stockage, et par conséquent les scénarios prenant place dans le système de production complet. L'approximation effectuée sur cette variable

continue dans le modèle réseaux de Petri du système est dès lors susceptible d'affecter le timing de certains événements et donc d'être à l'origine des résultats moins concordants qui ont été observés.

Soulignons encore une tendance intéressante dans ces résultats. Dans les deux premières configurations étudiées, nous observons que $f_{PPN} > f_{PTP}$. Le passage d'une production non nominale à une perte de production totale implique la défaillance de la deuxième unité de production avant la fin de la réparation de la première, étant donné que la durée de cette réparation a déjà excédé le « temps de grâce » associé à l'unité de stockage. Dans ces deux premiers cas, cette situation est très improbable, ce qui explique le résultat observé. Dans le troisième cas par contre, cette inégalité s'inverse. Ce renversement de tendance peut s'expliquer aisément. En effet, plusieurs occurrences de l'événement « perte totale de production» peuvent être comptabilisées alors qu'une seule entrée dans une situation de « perte de production nominale » est enregistrée, si plusieurs cycles de défaillances et réparations des unités A ou B se succèdent avant d'avoir pu retrouver le niveau de production attendu par le client. Cette situation devient plus probable lorsque des taux de défaillance plus élevés sont considérés lorsque les unités A et B sont sollicitées à leur capacité maximale. C'est bien le cas dans les configurations 3. Dans la configuration 4, nous constatons à nouveau que $f_{PPN} > f_{PTP}$, mais les valeurs absolues de ces quantités ont fortement évolué. C'est cependant la perte de production nominale qui est la plus influencée par l'augmentation du temps pendant lequel les unités sont sollicitées au maximum de leurs capacités, avec une propension plus forte à défaillir. Les pertes totales de production répétées au cours d'un transitoire unique de production se rencontrent alors moins souvent que dans le cas 3. Remarquons encore que les temps de calcul associés aux différentes configurations sont très différents, pour un même nombre d'histoires. Ainsi, le passage du cas 1 au cas 2 entraîne une augmentation de ce temps de calcul d'un facteur proche de 10, suite à l'accroissement important du nombre de défaillances échantillonnées. De même, le passage du cas 3 au cas 4 influence fortement le temps de calcul. On constate cependant dans ce cas que le recours aux réseaux de Petri et à la discrétisation de la variable continue conduit au triplement de ce temps, alors que la simulation continue ne nécessite qu'un doublement des ressources pour ce changement de modélisation.

## Conclusion

La présente communication a illustré, sur diverses variantes de modélisation d'un système de production simple, la nécessité de compléter l'estimation de la disponibilité d'un système par d'autres indicateurs de sûreté de fonctionnement tels que la disponibilité de production, et les fréquences de perte de production nominale et de perte totale de production. Les variations relatives de ces différentes figures de mérite du système avec les hypothèses de modélisation choisies ont été mises en évidence. L'impact de ces variations en fonction du type de pénalités économiques engendrées par le fonctionnement dégradé de l'installation a également été discuté. L'évolution de la modélisation adoptée dans ce travail a transformé un système à événements discrets en un système hybride, dont le traitement est nettement plus complexe. Le recours à la discrétisation de la variable continue dans un modèle par réseaux de Petri semble montrer ses limites assez rapidement pour ce type de problématique.

La démarche de modélisation suivie a ainsi mis en lumière la nature dynamique du cadre dans lequel de nombreux problèmes de disponibilité de production doivent être appréhendés et résolus.

## Références

[1] Y.Dutuit, A. Rauzy, JP. Signoret, Ph. Thomas, Modélisation et évaluation de la disponibilité de production d'une installation pétrolière, Comptes-rendus du Congrès QUALITA 2003, Institut de Sûreté Industrielle, Vandoeuvre-lès-Nancy, 2003, pp. 629-636.
[2] Y. Kawauchi, M Rausand, A new approach to production regularity assessment in the oil and chemical industries, Reliability Engineering and System Safety 75: 3, pp. 379-388, 2002.

[3] P.E. Labeau, C. Smidts, S. Swaminathan, Dynamic reliability: Towards an integrated platform for probabilistic risk assessment, Reliability Engineering & System Safety 68:3, pp. 219-254, 2000.

[4] Air Liquide, Exercise submitted to ESRA Technical committee on dependability modelling (2003).

[5] P.E. Labeau, J.M. Izquierdo, Modeling PSA problems. I. The stimulus-driven theory of probabilistic dynamics, accepté pour publication dans Nuclear Science and Engineering, 2004.

[6] J. Zaytoon (sous la direction de), Systèmes dynamiques hybrides, Hermès Sciences, 2001, 378 pages.

[7] J.L.Chabot et al., Hybrid Simulation: Fire Probabilistic Safety Assessment by Merging Continuous and Discrete Events within a Monte Carlo Simulation, Proceedings of ESREL'98, 1998, vol.1, pp. 717-722.