FR2914764A1

FR2914764A1 - Procede et dispositif de determination d'un diagnostic de panne d'une unite fonctionnelle dans un systeme avionique embarque

Info

Publication number: FR2914764A1
Application number: FR0754393A
Authority: FR
Inventors: Christophe Bordry
Original assignee: Airbus Operations SAS
Current assignee: Airbus Operations SAS
Priority date: 2007-04-06
Filing date: 2007-04-06
Publication date: 2008-10-10
Anticipated expiration: 2027-04-06
Also published as: FR2914764B1; US8140298B2; US20090076776A1

Abstract

L'invention concerne un procédé pour de détermination d'un diagnostic de panne d'un système avionique, le système avionique comprenant une pluralité d'unités fonctionnelles et des unités de surveillance aptes à surveiller, chacune, au moins une unité fonctionnelle, caractérisé en ce qu'il comprend les étapes suivantes : acquisition de diagnostics d'au moins une unité de surveillance, un diagnostic émis par une unité de surveillance étant relatif à ladite au moins une unité fonctionnelle surveillée par l'unité de surveillance, construction des diagnostics possibles à partir des diagnostics acquis, détermination d'un critère de vraisemblance pour chaque diagnostic possible construit, le critère de vraisemblance pour un diagnostic possible étant déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle associée au diagnostic possible, sélection du diagnostic possible parmi les diagnostics possibles en fonction du critère de vraisemblance.

Description

1 La présente invention concerne la détermination d'un diagnostic de panne

dans un système avionique, et plus particulièrement un procédé et un dispositif de détermination d'un diagnostic de panne d'une unité fonctionnelle dans un système avionique embarqué. Le diagnostic a pour objet de guider un opérateur de maintenance 10 dans la remise en état du système avionique, c'est-à-dire dans la remise en fonctionnement normal de l'avion. Le diagnostic peut être élaboré par un système de maintenance à bord de l'avion ou par un système de maintenance au sol. Les systèmes avioniques sont composés d'un ensemble d'unités 15 fonctionnelles telles que, par exemple, des calculateurs, du câblage, des capteurs, des applications. Ces unités fonctionnelles sont appelées entités remplaçables dans un avion, aussi appelées LRU ( Line Repleacable Unit en terminologie anglo-saxonne). Les unités fonctionnelles participant à une même fonction dans le système avionique sont regroupées au sein de systèmes, et 20 chaque unité fonctionnelle n'appartient qu'à un seul système. II est connu des architectures de maintenance embarquée dans lesquelles chaque système comporte une unité de surveillance, aussi appelée BITE ( Built in Test Equipment en terminologie anglo-saxonne) qui est en charge de surveiller une ou plusieurs unités fonctionnelles ainsi que les unités 25 fonctionnelles connectées à ce système. Selon ces architectures, les différentes unités de surveillance s'appuient sur des dispositifs de surveillance aussi appelés monitoring en terminologie anglo-saxonne qui élaborent, en fonction des symptômes détectés, un diagnostic local expliquant ces symptômes. 30 Ce diagnostic local est constitué d'un certain nombre de diagnostics unitaires qui sont associés à une unité fonctionnelle accusée si les symptômes détectés peuvent s'expliquer par la défaillance d'une unité de fonctionnelle ou de plusieurs unités fonctionnelles accusées de défaillance si les symptômes peuvent s'expliquer par la défaillance simultanée de plusieurs unités fonctionnelles. Un exemple est illustré en Figure 1.

Selon cet exemple, une unité fonctionnelle A (LRU A) reçoit la donnée x de l'unité fonctionnelle B (LRU B), et cette donnée x est produite par les unités fonctionnelles C (LRU C) et D (LRU D). Ainsi, selon cet exemple, si l'unité fonctionnelle A ne reçoit plus les données x, alors l'unité de surveillance du système auquel appartient l'unité fonctionnelle A émettra le diagnostic local suivant : LRU A ou LRU B ou (LRU C et LRU D) Ainsi ce diagnostic local se compose de trois diagnostics unitaires, à savoir LRU A, LRU B, et (LRU C et LRU D). Le nombre de diagnostics unitaires est directement lié à la capacité de l'unité de surveillance, à isoler ou non la panne. Dans l'exemple considéré, l'unité de surveillance n'a pas su déterminer si le symptôme l'unité fonctionnelle A ne reçoit plus la donnée x de l'unité fonctionnelle B est dû à une défaillance de l'unité fonctionnelle A, qui est l'unité d'acquisition des données, de l'unité fonctionnelle B ou à une double défaillance des unités fonctionnelles C et D. Ainsi, selon ces architectures de maintenance embarquée, lorsqu'une unité fonctionnelle tombe en panne, plusieurs unités de surveillance détectent cette défaillance et envoient chacune un diagnostic local à un système central de maintenance aussi appelé CMS ( Centralized Maintenance System en terminologie anglo-saxonne). Selon un système central de maintenance connu, celui-ci cherche à corréler les différents diagnostics locaux entre eux de sorte à élire l'un des diagnostics local aussi appelé message origine , reflétant au mieux la panne à l'origine des différents diagnostics locaux corrélés.

Ainsi, selon ces architectures de maintenance embarquée, la précision du diagnostic est liée, en premier lieu, à l'élection du diagnostic local 3

et, en second lieu, au nombre de diagnostics locaux unitaires émis du message d'origine. Toutefois, ces architectures présentent donc l'inconvénient d'émettre un diagnostic n'ayant pas la plus grande pertinence.

La présente invention a pour objet de remédier à au moins un des inconvénients des techniques et processus de l'art antérieur précité. Pour ce faire, l'invention propose notamment un procédé et un dispositif de détermination d'un diagnostic de panne d'un système avionique apte à déterminer un diagnostic présentant un niveau de pertinence plus élevé et permettant de la sorte de raccourcir le temps de réparation en indiquant directement à l'opérateur de maintenance l'unité fonctionnelle défectueuse sans que celui-ci ait au préalable à mener des actions visant à isoler la panne. L'invention a ainsi pour objet un procédé pour de détermination d'un diagnostic de panne d'un système avionique, le système avionique comprenant une pluralité d'unités fonctionnelles et des unités de surveillance aptes à surveiller, chacune, au moins une unité fonctionnelle, caractérisé en ce qu'il comprend les étapes suivantes : -acquisition de diagnostics d'au moins une unité de surveillance, un diagnostic émis par une unité de surveillance étant relatif à ladite au moins une unité fonctionnelle surveillée par l'unité de surveillance, -construction des diagnostics possibles à partir des diagnostics acquis, -détermination d'un critère de vraisemblance pour chaque diagnostic possible construit, le critère de vraisemblance pour un diagnostic possible étant déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle associée au diagnostic possible, - sélection du diagnostic possible parmi les diagnostics possibles en fonction du critère de vraisemblance. L'invention fournit un procédé de diagnostic de panne d'entités fonctionnelles d'un avion, notamment d'entités remplaçables de l'avion tel que celui-ci ne sélectionne non plus un ensemble de diagnostics locaux unitaires 4

mais le diagnostic le plus vraisemblable en fonction des diagnostics possibles et de leur critère de vraisemblance. Pour ce faire, à partir des diagnostics acquis par des unités de surveillance, il est construit des diagnostics possibles pour lesquels il est déterminé un critère de vraisemblance de manière à améliorer le diagnostic de panne. Les diagnostics possibles sont, par exemple, déterminés par combinaisons des diagnostics. Ensuite, il est sélectionné le diagnostic possible en fonction du critère de vraisemblance, celui-ci étant, par exemple, le diagnostic possible ayant le 10 critère de vraisemblance le plus élevé. De cette manière, il est également raccourci le temps de réparation en indiquant directement au technicien de maintenance l'entité fonctionnelle défectueuse sans que celui-ci ait au préalable à mener des actions visant à isoler la panne. 15 Selon une caractéristique particulière, le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de mode de panne de l'unité fonctionnelle par au moins une unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, 20 - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle, Selon cette caractéristique, le critère de vraisemblance est fonction d'un critère unitaire déterminé à partir de connaissances sur les différentes unités de surveillance, et notamment, la connaissance sur leur capacités à 25 reporter un dysfonctionnement des unités fonctionnelles. Selon une autre caractéristique particulière, le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de chaque mode de panne de l'unité fonctionnelle par chaque unité de surveillance apte à surveiller l'unité 30 fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle, Selon un mode de réalisation, l'étape de construction des diagnostics possibles comprend une étape de regroupement des diagnostics dont les 5 diagnostics accusent au moins une même unité fonctionnelle deux à deux. Selon une caractéristique particulière, le procédé comprend, à partir de l'ensemble des diagnostics possibles, une étape de détermination d'au moins une observation pour chaque unité fonctionnelle, de ladite au moins une unité de surveillance, une observation correspondant à la détection d'une panne d'une unité fonctionnelle par une unité de surveillance. Selon une autre caractéristique particulière, ladite au moins une observation représente les diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle. Selon encore une autre caractéristique particulière, la détermination d'un critère unitaire pour une unité fonctionnelle est en outre fonction d'un coefficient de pondération de chaque unité de surveillance apte à surveiller l'unité fonctionnelle. Selon cette caractéristique, il est rendu possible, au moyen du coefficient de pondération, de privilégier certains diagnostics.

La présente invention vise aussi un moyen de stockage, éventuellement amovible partiellement ou totalement, lisible par un ordinateur ou un microprocesseur conservant des instructions d'un programme d'ordinateur, permettant la mise en oeuvre du procédé tel qu'exposé ci-dessus. Corrélativement, l'invention vise également un dispositif de détermination d'un diagnostic de panne d'un système avionique, le système avionique comprenant une pluralité d'unités fonctionnelles et des unités de surveillance aptes à surveiller, chacune, au moins une unité fonctionnelle, caractérisé en ce qu'il comprend les moyens suivants : -des moyens d'acquisition de diagnostics d'au moins une unité de 30 surveillance, un diagnostic émis par une unité de surveillance étant relatif à ladite au moins une unité fonctionnelle surveillée par l'unité de surveillance, 6

- des moyens de construction des diagnostics possibles à partir des diagnostics acquis, - des moyens de détermination d'un critère de vraisemblance aptes à déterminer un critère de vraisemblance pour chaque diagnostic possible construit, le critère de vraisemblance pour un diagnostic possible étant déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle associée au diagnostic possible, - des moyens de sélection du diagnostic possible parmi les diagnostics possibles en fonction du critère de vraisemblance.

Ce dispositif présente les mêmes avantages que le procédé de modification brièvement décrit ci-dessus. D'autres avantages, buts et caractéristiques de la présente invention ressortent de la description détaillée qui suit, faite à titre d'exemple non limitatif, au regard des dessins annexes dans lesquels : - la figure 1 donne un exemple de détermination d'un diagnostic selon l'état de la technique ; - la figure 2 représente un algorithme de détermination d'un diagnostic conformément à l'invention ; - la figure 3 illustre un modèle de Markov représentant des états du 20 système ; et -la figure 4 illustre la répartition des taux de défaillance de chaque unité fonctionnelle.

Conformément à l'invention, à partir de l'ensemble des symptômes 25 révélateur d'un ou plusieurs dysfonctionnements qui ont été levés par des unités de surveillance, un système de maintenance cherche à isoler la panne pour indiquer à l'opérateur les unités fonctionnelles ne fonctionnant pas correctement et donc les équipements de l'avion à remplacer, notamment les entités remplaçable sur avion, à savoir par exemple, les calculateurs, les 30 capteurs, les logiciels. Pour ce faire, le système s'appuie sur des agents locaux, les unités de surveillance (BITE) et sur une partie centralisée appelé CMS ( Centralized 7

Maintenance System en terminologie anglo-saxonne) qui élaborent un diagnostic au niveau avion, ce diagnostic étant appelé PFR ( Post Flight Report en terminologie anglo-saxonne). Selon l'invention, le diagnostic élaboré par la partie centralisée consiste à déterminer le diagnostic le plus vraisemblable, à partir de l'ensemble des symptômes reçus, notamment en fonction de l'architecture de l'avion et des performances des différents systèmes de surveillance de l'avion. II est maintenant décrit un algorithme, illustré à la Figure 2, pour la détermination le diagnostic le plus vraisemblable.

L'algorithme débute à l'étape 210 par l'acquisition de diagnostics locaux unitaires associés à au moins une unité fonctionnelle, ces diagnostics locaux unitaires étant identifiés à partir des symptômes détectés. Les diagnostics sont émis par une ou plusieurs unités de surveillance aptes à surveiller la ou les unités fonctionnelles.

Conformément à l'invention, différents types de symptômes sont considérés, par exemple les dysfonctionnements opérationnels, les alarmes. De même, la source des diagnostics locaux n'est pas limitative, en effet, on peut considérer par exemple une unité de surveillance, une alarme de vol ( Flight Warning en terminologie anglo-saxonne), ou une partie acquisition du système central de maintenance. L'étape 220 suit l'étape 210 consistant à construire des diagnostics possibles à partir des diagnostics acquis. Ensuite, l'étape 230 suit l'étape 220 au cours de laquelle on détermine un critère de vraisemblance pour chaque diagnostic possible construit lors de l'étape 220. Pour ce faire, le critère de vraisemblance pour un diagnostic possible est déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle du diagnostic possible. Le critère unitaire pour une unité fonctionnelle est déterminé à partir, d'une part, de la détectabilité de chaque mode de panne de l'unité fonctionnelle par chaque unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, 8

d'autre part, des diagnostics émis ou non par les unités de surveillance aptes à détecter une panne de l'unité fonctionnelle. En effet, l'émission ou non d'un message de panne par une unité de surveillance suite à une panne d'une unité fonctionnelle dépend directement du mode de panne de l'unité fonctionnelle. Ainsi, la probabilité d'occurrence du message de panne d'une unité de surveillance particulière est directement liée à la probabilité des modes de défaillance des composants détectés par cette unité de surveillance. Selon un mode de réalisation particulier de l'invention, il est associé à la liaison entre les diagnostics acquis et les modes de pannes, des probabilités d'occurrence représentant la probabilité d'occurrence du mode de panne d'une unité fonctionnelle levée par une unité de surveillance. En outre, conformément à un mode particulier de l'invention, le critère de vraisemblance de la panne est, en outre, déterminé à partir de la probabilité d'occurrence du mode de panne d'une unité fonctionnelle. L'étape 230 est suivie de l'étape 240 consistant à sélectionner comme diagnostic final, le diagnostic possible parmi les diagnostics possibles dont le critère de vraisemblance est parmi les plus élevés. Selon un mode particulier, le diagnostic sélectionné est celui maximisant le critère de vraisemblance. La figure 3 illustre un modèle de Markov représentant des états du système. Il est désigné par S = {SI, ..., SN}, l'ensemble des états individuels d'un système et par Q = .., q-r une suite d'états non directement observables. On note également qt, l'état à l'instant t, cet état appartenant à l'ensemble des états individuels (gtES). Une source Markovienne peut être représentée par un ensemble de transitions F={T1,

., 'CM} où '4 est défini par la transition d'un état Si vers un état Si... DTD: La probabilité de la transition est notée : a(idl) = p(qt-i =si / qt= si ) Et on a EJ=1àN a(i,j) = 1, i étant compris entre 1 et N.

On note A la distribution des probabilités des transitions des états, A ={a;1}. En outre, on note O = 01, 02, ..., une suite d'observations générées par un système.

A chaque état du système, sont attachées différentes observations ayant chacune une probabilité notée : bsi(Om) = P(Om Si) où m = 1 à M(S;) Et on a Em=1àM(si) bsi(Om) = 1, i étant compris entre 1 et N.

En outre, on note B la distribution des probabilités des observations, B={bs}. De plus, on note II l'état initial du système. La connaissance de N, M, II et X=(A, B) spécifie complètement le modèle de Markov.

La théorie des modèles de Markov caché permet d'une part de déterminer une suite d'états S selon un critère convenable à partir d'une suite d'observations 0, et, d'autre part, de déterminer le modèle a, afin de l'ajuster pour maximiser la probabilité d'une panne d'une unité fonctionnelle connaissant une suite d'observations p(OI 2.).

II est à noter que lorsqu'une unité fonctionnelle passe de l'état valide à l'état de panne, l'ensemble des unités de surveillance ayant détecté cette défaillance émettent des messages de panne. En revanche, les unités de surveillance ne peuvent donner qu'une liste d'unités fonctionnelles ayant potentiellement changé d'état. Ainsi, il n'y a pas d'accès directement à l'état de l'ensemble des unités fonctionnelles. On peut alors considérer cet ensemble d'unités fonctionnelles comme un modèle de Markov caché, de sorte à être apte à retrouver le diagnostic le plus probable parmi l'ensemble des diagnostics possibles expliquant l'ensemble des messages de panne reçus.

La méthode proposée pour caractériser le modèle de Markov et pour évaluer la vraisemblance de chaque diagnostic possible, à l'aide de données provenant de la topologie du système de maintenance et de l'analyse d'erreur aussi appelé FMEA/S ( Failure Mode and Effect Analysis/Summary en 10

terminologie anglo-saxonne) de chaque unité fonctionnelle, est maintenant décrite selon un exemple de mode de réalisation. Ainsi, il est maintenant décrit une caractérisation des données d'architecture.

Pour ce faire, il est considéré un ensemble L d'unités fonctionnelles. Chaque unité fonctionnelle est soit dans un état valide, soit dans un état en panne. On a alors N = 2L tel que l'ensemble L d'unités fonctionnelles passe d'un état à un autre sur la transition d'une unité fonctionnelle de l'état valide à l'état en panne. Les probabilités des transitions des états, a, sont caractérisées par la fiabilité notée 1LRU de chaque unité fonctionnelle. Ainsi, pour chaque transition (a(i,j)), on a donc a(i,j) = BRU (que l'unité fonctionnelle passe de l'état valide à l'état de panne) / EX.LRu Aussi, l'émission ou non d'un message de panne par une unité de surveillance lors de cette transition dépend du mode de panne de l'unité fonctionnelle. Par exemple, une perte totale de l'alimentation ou du coeur numérique de l'unité fonctionnelle est détectée par l'ensemble des unités de surveillance observant cette unité fonctionnelle. En revanche, une défaillance du composant gérant une sortie de l'unité fonctionnelle, notamment une sortie du bus ARINC 429 (non rebouclée), n'est détectée que par l'unité de surveillance connectée à ce bus.

Ainsi, la probabilité d'occurrence du message de panne d'une unité de surveillance particulière est liée à la probabilité des modes de défaillance des composants détectés par cette unité de surveillance. En outre, on note SURV, l'ensemble des unités de surveillance observant une unité de surveillance, cet ensemble est connu par recensement lors de la conception de l'architecture. 11

On note l'observation d'une unité fonctionnelle par une unité de surveillance OBSLRU(BITE), le fait que l'unité de surveillance envoie ou non un message de panne accusant l'unité de surveillance Pour ce faire, OBSLRU(BITE) sera égale à 1 (OBSLRU(BITE) = 1) 5 lorsque l'unité de surveillance envoie un message de panne accusant une unité fonctionnelle. Et OBSLRU(BITE) sera égale à 0 (OBSLRU(BITE) = 0) lorsque l'unité de surveillance n'envoie pas de message de panne. En outre, on note OLRU l'ensemble des observations disponibles : OLRU = {OBSLRU (BITE) / BITE E SURV} 10 En outre, on note bq(OLRU)= (somme des probabilités des modes de défaillances détectées par toutes les unités de surveillance telles que OBSLRU (BITE)=1) /XLRU De la sorte, on reconstitue un modèle de Markov Caché que l'on va 15 utiliser pour déterminer l'état de l'ensemble L d'unités fonctionnelles le plus probable en fonction des observations. II est maintenant décrit la détermination des observations. On note FM l'ensemble des messages envoyés par les unités de surveillance au système central de maintenance. 20 Ces messages sont des diagnostics locaux élaborés par les unités de surveillance. Ces messages comprennent une période de validité ainsi qu'un ensemble de diagnostics locaux unitaires. La période de validité est composée d'une date d'apparition d'une 25 faute aussi appelé date de détection (TO) et une date de disparition de la faute (T1). En outre, chaque diagnostic local unitaire est constitué d'une composition d'unités fonctionnelles dont la ou les pannes sont à l'origine des dysfonctionnements détectés par les unités de surveillance. 30 Cette composition d'unités fonctionnelles comprend une unité fonctionnelle ou plusieurs unités fonctionnelles reliées par l'opérateur ET logique.

Ainsi l'ensemble des messages envoyés FM par une unité de surveillance i est noté : FMi = (TO,T1,{Diagnostic unitaire}) Considérons en première hypothèse que les diagnostics locaux sont vrais, c'est-à-dire qu'à tout instant de la période de validité du message l'un des diagnostics local unitaire est vrai. Ainsi, la ou les unités fonctionnelles accusées dans ce diagnostic sont en panne. Considérons en seconde hypothèse qu'en dehors de la période de validité du message, le système central de maintenance considère ne pas avoir assez d'information pour considérer que la condition logique qu'il porte est fausse. Alors, dans un premier temps, la datation n'est pas utilisée dans l'algorithme du système central de maintenance. De même, la disparition d'une panne n'est pas prise en compte.

Considérons en troisième hypothèse que les diagnostics locaux sont envoyés au système central de maintenance dès l'apparition d'un symptôme, autrement dit, un événement unique est la cause de l'envoi du message. Selon cette définition, la granularité de l'événement est définie comme étant la transition d'une unité fonctionnelle de l'état valide à l'état en panne.

Par exemple, si l'on considère le message : FM1= (TO, T1, {LRUA ou LRUB ou (LRUC et LRUD)}) Ce message est envoyé suite à la panne d'une et une seule des unités fonctionnelles A, B, C ou D. Selon cette hypothèse, certains événements sont masqués. En effet, dans l'exemple précédent, si le message est dû à la panne de l'unité fonctionnelle C (respectivement de l'unité fonctionnelle D), la première panne de l'unité fonctionnelle D (respectivement de l'unité fonctionnelle C) n'a pas été reportée. Selon un mode de réalisation de l'invention, on regroupe ces messages dans des items appelés en terminologie anglo-saxonne leg item (LI), qui sont des paquets regroupant des messages dont les diagnostics locaux accusent au moins une même unité fonctionnelle deux à deux.

L'ensemble des unités fonctionnelles accusées dans un regroupement de messages forme le sous-ensemble de Markov L sur lequel on cherche à établir un diagnostic. Les sous-ensembles L sont disjoints par construction.

Si l'on considère l'exemple suivant, dans lequel un premier message FM1 comprend l'entité fonctionnelle A ou l'entité fonctionnelle B (FM1 = A ou B), un second message FM2 comprend l'entité fonctionnelle B ou l'entité fonctionnelle C (FM2 = B ou C), un troisième message FM3 comprend l'entité fonctionnelle C (FM3 = C), et un quatrième message FM4 comprend l'entité fonctionnelle D ou l'entité fonctionnelle E (FM4 = D ou E). Un premier regroupement de messages comprend, par exemple, FM1, FM2 et FM3 (L11 = FM1, FM2, FM3) alors le sous-ensemble L1 comprend les entités fonctionnelles A, B et C (LI ={A, B, Cl). Un second regroupement de messages comprend, par exemple, FM4 (LI2 = FM4) alors le sous-ensemble L2 comprend les entités fonctionnelles D et E (L2 = {D, E}). Pour chaque regroupement de messages (LI), on note DLI l'ensemble des diagnostics satisfaisant l'ensemble des diagnostics locaux des messages du regroupement de messages, et on note DLIi l'un des diagnostics satisfaisant l'ensemble des diagnostics locaux des messages du regroupement de messages. Par construction, un événement unique est la cause d'un message. Ainsi, les regroupements de messages des diagnostics unitaires sont donc déterminés par l'ensemble des combinaisons des diagnostics locaux unitaires telle que deux de ces diagnostics unitaires, s'ils appartiennent au même message, ne peuvent s'associer. Ainsi, si l'on considère l'exemple suivant selon lequel un premier message FM1 comprend l'entité fonctionnelle A (FM1 = {Al), un second message FM2 comprend l'entité fonctionnelle A ou l'entité fonctionnelle B ou l'entité fonctionnelle C (FM2 = {A, B, Cl). Alors, on en déduit que l'ensemble des diagnostics satisfaisant l'ensemble des diagnostics locaux des messages du regroupement de 14

messages comprend les diagnostics suivants. Le premier diagnostic est une défaillance de l'entité fonctionnelle A, le second diagnostic est une défaillance des entités fonctionnelles A et B, et le troisième diagnostic est une défaillance des entités fonctionnelles A et C.

Ainsi, DLI = {A, A et B, A et C} En outre, le diagnostic selon lequel les entités fonctionnelles A et B et C sont défaillants, est écarté. En effet, en l'absence d'observations, le diagnostic minimisant le nombre d'événements doit être privilégié.

II faut noter que, dans certains cas, un même diagnostic peut être construit à partir de plusieurs combinaisons de diagnostics locaux unitaires. Toutefois, il est nécessaire de conserver l'ensemble des combinaisons. En effet, ces différentes combinaisons correspondent à une suite ordonnée différente d'événements simples.

On note Ev(DLIi) l'ensemble des événements supposés qui ont produit le diagnostic DLIi, et qui ont ou non été détectés par les unités de surveillances. De cet ensemble, on peut reconstruire pour chaque entité fonctionnelle, le diagnostic OBSLRU,t(BITE) et on peut déduire l'ensemble des observations disponibles : OLRU, t = {OBSLRU,t (BITE) / BITE ESURV}. Si l'on considère l'exemple suivant, dans lequel l'unité de surveillance BITE1 surveille les unités fonctionnelles A et B, l'unité de surveillance BITE2 surveille les unités fonctionnelles B et C, l'unité de surveillance BITE3 surveille l'unité fonctionnelle C, et l'unité de surveillance BITE4 surveille l'unité fonctionnelle B. Les messages suivants sont émis. L'unité de surveillance BITE1 émet le message FM1 indiquant le diagnostic selon lequel l'unité fonctionnelle A ou (OU exclusif) l'unité fonctionnelle B est défaillante (FMI = A ou B). 15

L'unité de surveillance BITE2 émet le message FM2 indiquant le diagnostic selon lequel l'unité fonctionnelle B ou (OU exclusif) l'unité fonctionnelle C est défaillante (FM2 = B ou C). L'unité de surveillance BITE3 émet le message FM3 indiquant le diagnostic selon lequel l'unité fonctionnelle C est défaillante (FM3 = C). L'unité de surveillance BITE4 n'émet aucun message. On en déduit l'ensemble des diagnostics satisfaisant l'ensemble des diagnostics locaux des messages du regroupement de messages(DLI) suivants. Un premier diagnostic possible DLI1 indique une défaillance des unités fonctionnelles A et B et C (DLI1 = AetBetC), un second diagnostic possible DLI2 indique une défaillance des unités fonctionnelles A et C (DLI2 = AetC), un troisième diagnostic possible DLI3 indique une défaillance des unités fonctionnelles B et C (DLI3 = BetC), et un quatrième diagnostic possible DLI4 indique une défaillance des unités fonctionnelles B et C (DLI4 = BetC).

Ainsi, au diagnostic DLI1 correspondant à une défaillance des unités fonctionnelles A, B et C, sont associées les observations suivantes. OLRU A = {OBS(BITE1) = 1} OLRU B = {OBS(BITE1) = 0 ; OBS(BITE2) = 1 ; OBS(BITE4) = 0} OLRU C = {OBS(BITE2) = 0 ; OBS(BITE3) = 1} En effet, lors de l'élaboration de ce diagnostic possible DLI1, il est considéré que la défaillance de l'unité fonctionnelle A a été par levée par l'entité de surveillance BITE1 d'où l'observation suivante : OLRU A = {OBS(BITEI) = 1} Ensuite, il est considéré que défaillance de l'unité fonctionnelle B a été par levée par l'entité de surveillance BITE2 et non par BITE1, ni BITE4 d'où l'observation suivante : OLRU B = {OBS(BITE1) = 0 ; OBS(BITE2) = 1 ; OBS(BITE4) = 0} Enfin, il est considéré que défaillance de l'unité fonctionnelle C a été par levée par l'entité de surveillance BITE3 et non par BITE2 d'où l'observation suivante : OLRU C = {OBS(BITE2) = 0 ; OBS(BITE3) = 1} 16

Concernant le diagnostic DLI2 correspondant à une défaillance des unités fonctionnelles A et C, sont associées les observations suivantes. OLRU A = {OBS(BITE1) = 1} OLRU B = {OBS(BITE1) = 0 ; OBS(BITE2) = 0 ; OBS(BITE4) = 0} OLRU c = {OBS(BITE2) = 1 ; OBS(BITE3) = 1} En effet, lors de l'élaboration de ce diagnostic possible DLI2, il est considéré que la défaillance de l'unité fonctionnelle A a été par levée par l'entité de surveillance BITE1 d'où l'observation suivante : OLRU A = {OBS(BITE1) = 1} Et, il est considéré que défaillance de l'unité fonctionnelle C a été par levée par l'entité de surveillance BITE2 et non par BITE3, d'où l'observation suivante : OLRU c = {OBS(BITE2) = 1 ; OBS(BITE3) = 1} Et aucune unité de surveillance n'a détecté une défaillance de l'unité fonctionnelle C, d'où l'observation suivante : OLRU B = {OBS(BITE1) = 0 ; OBS(BITE2) = 0 ; OBS(BITE4) = 0} Concernant les ensembles de diagnostics DLI3 et DLI4, correspondant à une défaillance des unités fonctionnelles B et C, deux suites d'événements sont les suivantes.

L'ensemble des événements concernant le diagnostic DLI3, Ev(DLI3), est le suivant. La défaillance de l'unité fonctionnelle B a généré les messages FMI et FM2 et la défaillance de l'unité fonctionnelle C a généré le message FM3. L'ensemble des événements concernant le diagnostic DLI4, Ev(DLI4), est le suivant. La défaillance de l'unité fonctionnelle B a généré le message FM1, et la défaillance de l'unité fonctionnelle C a généré les messages FM2 et FM3. Ainsi, les deux suites d'événements Ev(DLI3) et Ev(DLI4) génèrent des observations différentes : Concernant le diagnostic DLI3, OLRU A = {OBS(BITE1) = 0} OLRU B = {OBS(BITE1) = 1 ; OBS(BITE2) = 1 ; OBS(BITE4) = 0} OLRU c = {OBS(BITE2) = 0 ; OBS(BITE3) = 1 } Concernant le diagnostic DLI4, OLRU A = {OBS(BITE1) = 0} OLRU B = {OBS(BITE1) = 1 ; OBS(BITE2) = 0 ; OBS(BITE4) = 0} OLRU c = {OBS(BITE2) = 1 ; OBS(BITE3) = 1} Il est maintenant illustré le calcul de la vraisemblance des diagnostics. Pour ce faire, considérons un regroupement de messages (LI) particulier.

Pour chaque ensemble des diagnostics satisfaisant l'ensemble des diagnostics locaux des messages du regroupement de messages (DLli), on évalue le critère de vraisemblance E de la manière suivante E(DLli) = P(DLIi 1 FM) Ainsi le critère de vraisemblance correspondant à la probabilité de 15 l'ensemble des diagnostics locaux DLIi connaissant l'ensemble des messages envoyés FM. En utilisant le théorème de bayes, on a : E(DLli) = P(DLli 1 FM) = P(DLIi et FM) / P(FM) 20 P(FM) étant identique pour l'ensemble des diagnostics, on peut se limiter à comparer 6(DLli) = P(DLIi et FM). D'autre part, les pannes étant indépendantes, on a 6(DLli) = fI LRU e DLli P(LRU en panne et FM) Et d'après les équivalences démontrées sur les observations, on a 25 6(DLli) = fi LRU E DLIi P(LRU en panne et Ev(DLli)) = FI LRU e DLIA P(LRU en panne et OLRU) Le diagnostic maximisant a(DLli) = fI LRU e DLli P(LRU en panne et OLRU) est celui présenté à l'opérateur de maintenance car c'est celui qui est le plus probable étant donné l'ensemble d'observations. 30 II est maintenant décrit le calcul de la probabilité des deux événements : P(LRU en panne et OLRU).

Selon un premier mode de réalisation dans lequel le modèle de Markov est d'ordre 1, et selon la seconde hypothèse précédemment présentée dans laquelle, en dehors de la période de validité de message, le système central de maintenance considère ne pas avoir assez d'information pour considérer que la condition logique qu'il porte est fausse. On considère que le modèle de Markov ne dépend pas du temps. Cela revient à ne pas prendre en compte les événements masqués, les disparitions de panne, ni les phénomènes de dégradation temporelle. Le calcul du diagnostic est donc réalisé une fois à la fin du vol de l'avion en considérant l'ensemble des observations disponibles. Pour calculer P(LRU en panne et OLRU), on considérera les modes de défaillances des composants de l'unité fonctionnelle LRU en fonction de leur observabilité par les différentes unités de surveillance. Ainsi, le taux de défaillance XLRU de chaque unité fonctionnelle est 15 décomposé de la manière suivante : ? cc : taux des modes de défaillances de l'unité fonctionnelle détectées par l'entité de surveillance propriétaire (BITE owner) et par l'ensemble des entités de surveillance observatrices (BITE observers), 2int : taux des modes de défaillances de l'unité fonctionnelle 20 détectées uniquement par l'entité de surveillance propriétaire (BITE owner), ? cext : taux des modes de défaillances de l'unité fonctionnelle détectées par l'entité de surveillance propriétaire (BITE owner) et par plusieurs entités de surveillance observatrices (mais pas tous) (BITE observer (i)), 25 2 cext(i) : taux des modes de défaillances de l'unité fonctionnelle détectées par l'entité de surveillance propriétaire (BITE owner) et une et une seule entité de surveillance observatrice (BITE observer (i)), a,ext : taux des modes de défaillances de l'unité fonctionnelle détectées par plusieurs entités de surveillance observatrices (BITE observer 30 (i)), Xext(i) : taux des modes de défaillances de l'unité fonctionnelle détectées par une et une seul entité de surveillance observatrice (BITE observer (i)), end : taux des modes de défaillances de l'unité fonctionnelle 5 non détectées. Selon un mode de réalisation selon lequel les modes de défaillances associées au taux des modes de défaillances de l'unité fonctionnelle non détectées (2 nd) sont sans effets fonctionnels, ces défaillances n'entraînent pas d'action de maintenance, et ne sont donc pas considérées. 10 On introduit alors XIrud qui représente le taux de panne fonctionnelle de l'unité fonctionnelle. Il est illustré en Figure 4 la répartition des taux de défaillance de chaque unité fonctionnelle. Ainsi, la probabilité de chaque observation se calcule à l'aide des 15 formules suivantes : - si l'entité de surveillance propriétaire a détecté la panne, le mode de défaillance de l'unité fonctionnelle se trouve dans le taux (2 cc+2Jnt+Xcext +Ucext(i)), de plus : - si aucune des entités de surveillance observatrices n'a 20 détecté de panne, le mode de défaillance de l'unité fonctionnelle se trouve dans le taux 2dnt, alors on a P(LRU en panne et OLRU)= Xint/Xlrud - si toutes les entités de surveillance observatrices ont détecté la panne, le mode de défaillance de l'unité fonctionnelle se trouve dans 25 le taux X,cc, alors on a P(LRU en panne et OLRU) = 2 cc/2drud - si une et une seule entité de surveillance observatrice a détecté la panne, le mode de défaillance de l'unité fonctionnelle se trouve dans le taux ? cext(i), alors on a 30 P(LRU en panne et OLRU) = X.cext(i)/Xlrud - si plusieurs entités de surveillance observatrices mais pas toutes ont détecté la panne, alors on a 20

P(LRU en panne et OLRU) = Xcext/?Jrud - si l'entité de surveillance propriétaire n'a pas détecté la panne, le mode de défaillance de l'unité fonctionnelle se trouve dans le taux (? ext +E2 ext(i)), de plus : - si une et une seule entité de surveillance observatrice a détecté la panne, alors on a P(LRU en panne et OLRU) = a,ext(i) /2drud - si plusieurs entités de surveillance observatrices ont détecté la panne, alors on a P(LRU en panne et OLRU) = Xext /2drud Selon un second mode de réalisation dans lequel le modèle de Markov est d'ordre n, on considère que les entités de surveillance envoient toujours un message suite à une défaillance d'une unité fonctionnelle. Toutefois, ceci n'est pas toujours le cas. En effet, ce modèle ne tient compte ni du temps, c'est-à-dire des événements masqués, de la disparition de panne, ni des messages partiellement erronées aussi appelés spurious en terminologie anglo-saxonne. Selon ce mode de réalisation, le calcul du diagnostic est réalisé au cours du vol de l'avion en fonction des observations et devrait s'affiner au cours 20 du temps. II est donné un exemple d'événements masqués à titre d'illustration. Selon cet exemple, l'unité fonctionnelle A tombe en panne, alors l'entité de surveillance BITE1 envoie le message suivant selon lequel l'unité fonctionnelle A ou l'unité fonctionnelle B est défaillante : FMI = A ou B. 25 L'unité fonctionnelle B tombe en panne, alors l'entité de surveillance BITE1 ne modifie pas son message et l'entité de surveillance BITE2 envoie le message suivant selon lequel l'unité fonctionnelle B est défaillante : FM2 = B. Une analyse de ces messages fait remarquer que le diagnostic avion privilégié est unité fonctionnelle B en panne , alors que le diagnostic correct 30 est unité fonctionnelle A en panne et unité fonctionnelle B en panne . Il est donné un message partiellement erroné à titre d'illustration.

Selon cet exemple, l'unité fonctionnelle A tombe en panne, alors l'unité de surveillance BITE1 envoie le message suivant selon lequel l'unité fonctionnelle A est défaillante : FM1 = A, et l'entité de surveillance BITE2 n'envoie pas de message.

L'unité fonctionnelle B tombe en panne, alors l'unité de surveillance BITE2 envoie le message suivant selon lequel l'unité fonctionnelle A ou l'unité fonctionnellement B est défaillante : FM2 = A ou B. Le message FM2 est dit erroné car s'il était vrai, il aurait du être émis dès la panne de l'unité fonctionnelle A.

En effet, du fait de la première hypothèse selon laquelle les diagnostics locaux sont vrais, les messages totalement erronés, c'est-à-dire émis alors qu'aucune des unités fonctionnelles accusées n'est défaillante sont supposés filtrés avant cet algorithme. Pour prendre en compte ces deux cas d'espèce, il est introduit un coefficient de pondération des différentes unités de surveillance permettant, en fonction de certaines règles, de privilégier certains événements plutôt que d'autres. Ce coefficient peut refléter une notion temporelle. Ainsi, selon un mode de réalisation particulier, le coefficient prend la valeur 1 si le message de l'unité de surveillance observatrice est émis après l'unité de surveillance propriétaire et le coefficient prend la valeur 0 dans le cas inverse. Ce coefficient peut refléter une notion d'observabilité. Ainsi, selon un mode de réalisation particulier, le coefficient prend la valeur 1 si le message de l'unité de surveillance observatrice n'est jamais erroné et le coefficient prend la valeur 0 dans le cas inverse. Ce coefficient peut également refléter toute autre condition influant sur la probabilité d'une transition, comme par exemple prendre en compte le pronostic pour favoriser une transition lorsque le pronostic nous indique une probabilité assez forte qu'une unité fonctionnelle défaille. Ainsi chaque unité de surveillance est affectée d'un coefficient de pondération TBITEii pondérant la probabilité de l'événement. On peut écrire : tiBITEi_>)=f(n transitions précédentes, phase de vol, ...) On peut également introduire un coefficient a(t) reflétant les résultats de la fonction de pronostic pour augmenter la probabilité de panne en cas de phénomène d'usure.

En prenant en compte des coefficients tiBITEij et a(t), la probabilité de chaque observation devient : si l'unité de surveillance propriétaire a détecté la panne : si aucune des unités de surveillance observatrices n'a détecté de panne, alors on a P(LRU en panne et OLRU,t) _ (tint + %,CC * [IOBS(BITE)=O[(1-tiBITE)] + Xcext * FIOBS(BITE)=0I(1-TBITE)] + EBITE [? cext(i) * (1-tiBITE)] ) * 'BITE owner * a(t) /Ilrud si une et une seule unité de surveillance observatrice a détecté la panne, alors on a P(LRU en panne et OLRU,t) = ( %CC * TBITE(i) * HOBS(BITE)=0[(1-tiBITE)] + Xcext * tiBITE(i) * UOBS(BITE)=O[(1-'BITE) + Xcext(i) * tiBITE(i) * tiBITE owner * a(t) /Xlrud si plusieurs unités de surveillance observatrices (mais pas tous) ont détecté la panne, alors on a 25 P(LRU en panne et OLRU,t) = ((Â,cc+? cext) * [IOBS(BITE)=O[(1-tiBITE)] * [IOBS(BITE)=1 [tBITE] * tiBITE owner * a(t) /X,Irud 30 si toutes les unités de surveillance observatrices ont détecté la panne, alors on a 20 P(LRU en panne et OLRU,t) = 21.CC * LTOBS(BITE)=1 tiBITE]*tiBITE owner*a(t)/XIrUd si l'unité de surveillance propriétaire n'a pas détecté la panne : si une et une seule unité de surveillance observatrice a 5 détecté la panne, alors on a P(LRU en panne et OLRU) = ((? cc+xcext )*(1-tiBITE owner ) * [TOBS(BITE)=o[(1-TBITE)] *tiBITE + c2?,ext(i)*(1-tiBITE owner) + 2,ext * ITOBS(BITE)=O[(1-tBITE)] * tiBITE 10 + Xext(i) * 'CBITE(i)) * a(t) /2drud si plusieurs unités de surveillance observatrices ont détecté la panne, alors on a P(LRU en panne et OLRU) = 15 ((Xcc+ 1cext )*(1-tiBITE owner ) * [T OBS(BITE)=O[(1-tiBITE) * 11OBS(BITE)=1 tiBITE] + X,eXt * rTOBS(BITE)=OL(1-tiBITE)] * IIOBS(BITE)=1 [tBITED * a(t) /XIrud si aucune unité de surveillance n'a détecté la panne, on prendra 20 P(LRU en panne et OLRu) = 0, le produit des termes (1-tiBITE) étant très proche de 0. II est maintenant illustré un exemple d'application dans lequel on considère deux unités fonctionnelles A et B. Une unité de surveillance BITE1 est une unité de surveillance 25 propriétaire pour l'unité fonctionnelle A. En outre, cette unité fonctionnelle est observée par deux unités de surveillance observatrice à savoir BITE2 et BITE3. Une unité de surveillance BITE2 est une unité de surveillance propriétaire pour l'unité fonctionnelle B. En outre, cette unité fonctionnelle est observée par une unité de surveillance observatrice à savoir BITE3. 30 Dans notre cas d'espèce, l'unité de surveillance BITE1 émet un message FM1 afin d'informer de la défaillance de l'unité fonctionnelle A. 24

L'unité de surveillance BITE2 émet un message FM2 afin d'informer de la défaillance de l'unité fonctionnelle B ou de l'unité fonctionnelle A. L'unité de surveillance BITE3 n'émet aucun message. Les deux messages FMI et FM2 sont regroupés dans un même 5 regroupement de message dont le diagnostic (DLI I) satisfaisant l'ensemble des diagnostics sont les suivants : {A, A et B}. On en déduit les différentes probabilités de panne décrite dans la Table 1. LRU A LRU B ~cc / ?Jrud 0,45 0,5 ~.int / XIrud 0,35 0,475 ~.cext / XIrud N/A N/A Xcext(i) / ~,Irud 0,05 (i=1 à 2) N/A 2 ext / XIrud 0,05 N/A 2 ext(i) / ?Jrud 0,025 (i=1 à 2) 0,025 Table 1 La table 2 illustre l'évaluation des diagnostics, en considérant que l'ensemble des unités de surveillance ont un coefficient de couverture tiBITE égal à1. Diagnostic Observations P(AIO) Observations P(BIO) 6 DLI A OBS(BITE1) = 1 0,05 OBS(BITE2) = 0 N/A 0,05 OBS(BITE2) = 1 OBS(BITE3) = 0 OBS(BITE3) = 0 A et B OBS(BITE1) = 1 0,35 OBS(BITE2) = 1 0,475 0,17 OBS(BITE2) = 0 OBS(BITE3) = 0 OBS(BITE3) = 0 Table 2 Ainsi le diagnostic {AetB} est le plus probable, alors que la logique aurait voulu que le diagnostic {A} soit privilégié si on n'avait pas pris en compte 20 le fait que l'unité de surveillance BITE3 n'ait pas émis de message. 10 15

Claims

REVENDICATIONS

1. Procédé de détermination d'un diagnostic de panne d'un système avionique, le système avionique comprenant une pluralité d'unités fonctionnelles et des unités de surveillance aptes à surveiller, chacune, au moins une unité fonctionnelle, caractérisé en ce qu'il comprend les étapes suivantes : - acquisition de diagnostics d'au moins une unité de surveillance, un diagnostic émis par une unité de surveillance étant relatif à ladite au moins une unité fonctionnelle surveillée par l'unité de surveillance, - construction des diagnostics possibles à partir des diagnostics acquis, - détermination d'un critère de vraisemblance pour chaque diagnostic possible construit, le critère de vraisemblance pour un diagnostic possible étant déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle associée au diagnostic possible, - sélection du diagnostic possible parmi les diagnostics possibles en fonction du critère de vraisemblance.

2. Procédé de détermination selon la revendication 1, caractérisé en ce que le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de mode de panne de l'unité fonctionnelle par au moins une unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle,

3. Procédé de détermination selon la revendication 2, caractérisé en ce que le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de chaque mode de panne de l'unité fonctionnelle par chaque unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle,

4. Procédé de détermination selon l'une quelconque des revendications précédentes, caractérisé en ce que l'étape de construction des diagnostics possibles comprend une étape de regroupement des diagnostics dont les diagnostics accusent au moins une même unité fonctionnelle deux à deux.

5. Procédé de détermination selon la revendication 4, caractérisé en ce que l'ensemble des diagnostics possibles étant déterminé par combinaisons des diagnostics, le procédé comprend, à partir de l'ensemble des diagnostics possibles, une étape de détermination d'au moins une observation pour chaque unité fonctionnelle, de ladite au moins une unité de surveillance, une observation correspondant à la détection d'une panne d'une unité fonctionnelle par une unité de surveillance.

6. Procédé de détermination selon la revendication 5, caractérisé en ce que ladite au moins une observation représente les diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle.

7. Procédé de détermination selon l'une quelconque des revendications précédentes, caractérisé en ce que la détermination d'un critère unitaire pour une unité fonctionnelle est en outre fonction d'un coefficient de pondération de chaque unité de surveillance apte à surveiller l'unité fonctionnelle.

8. Dispositif de détermination d'un diagnostic de panne d'un système avionique, le système avionique comprenant une pluralité d'unitésfonctionnelles et des unités de surveillance aptes à surveiller, chacune, au moins une unité fonctionnelle, caractérisé en ce qu'il comprend les moyens suivants : - des moyens d'acquisition de diagnostics d'au moins une unité de surveillance, un diagnostic émis par une unité de surveillance étant relatif à ladite au moins une unité fonctionnelle surveillée par l'unité de surveillance, - des moyens de construction des diagnostics possibles à partir des diagnostics acquis, - des moyens de détermination d'un critère de vraisemblance aptes à déterminer un critère de vraisemblance pour chaque diagnostic possible construit, le critère de vraisemblance pour un diagnostic possible étant déterminé à partir d'un critère unitaire déterminé pour chaque unité fonctionnelle associée au diagnostic possible, - des moyens de sélection du diagnostic possible parmi les diagnostics possibles en fonction du critère de vraisemblance.

9. Dispositif de détermination selon la revendication 8, caractérisé en ce que le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de mode de panne de l'unité fonctionnelle par au moins une unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle,

10. Dispositif de détermination selon la revendication 9, caractérisé en ce que le critère unitaire pour une unité fonctionnelle étant déterminé à partir : - de la détectabilité de chaque mode de panne de l'unité 30 fonctionnelle par chaque unité de surveillance apte à surveiller l'unité fonctionnelle, et de la connaissance des différentes unités de surveillance du système avionique et, 25 - des diagnostics émis ou non par ladite au moins une unité de surveillance apte à détecter une panne de l'unité fonctionnelle,5