FR2933512A1

FR2933512A1 - Procede de diagnostic pour localiser une defaillance dans un systeme complexe et dispositif pour mettre en oeuvre ledit procede

Info

Publication number: FR2933512A1
Application number: FR0803835A
Authority: FR
Inventors: Arnaud Lefebvre; Christian Feuillebois; Mathieu Glade
Original assignee: Eurocopter France SA; Eurocopter SA
Current assignee: Airbus Helicopters SAS
Priority date: 2008-07-07
Filing date: 2008-07-07
Publication date: 2010-01-08
Anticipated expiration: 2028-07-07
Also published as: US20100037099A1; FR2933512B1; US8073587B2

Abstract

La présente invention concerne un procédé de diagnostic pour localiser une défaillance dans un système complexe, consistant à vérifier les performances du système complexe en se basant sur des informations de fonctionnement issues de moyens de détection, à comparer les informations de fonctionnement à des données prédéterminées et à générer au moins une hypothèse quant à la localisation de la défaillance, caractérisé en ce qu'il consiste à détecter les occurrences de défaillance et générer des messages de défaillance correspondants, filtrer les messages de défaillance, déterminer une fenêtre temporelle dans laquelle des occurrences de défaillance successives, doivent se produire pour être retenues, effectuer une analyse de corrélation contextuelle des messages de défaillance, effectuer une analyse dynamique sur les occurrences de défaillance, et comparer les résultats de l'analyse dynamique et de l'analyse de corrélation contextuelle aux données prédéterminées pour localiser la défaillance dans le système complexe.

Description

Procédé de diagnostic pour localiser une défaillance dans un système complexe et dispositif pour mettre en oeuvre ledit procédé. La présente invention se rapporte au domaine technique général des procédés et méthodes de diagnostic de défaillances dans des systèmes complexes. On trouve de tels systèmes complexes notamment dans des aéronefs, du genre hélicoptères, pour gérer leur fonctionnement de manière optimale dans diverses configurations de vol. II est impératif, pour des raisons de sécurité, d'identifier tout dysfonctionnement afin d'en déterminer la cause et de remplacer les éléments défaillants. Par systèmes complexes, il convient d'entendre des systèmes comportant une pluralité d'éléments interconnectés, tels que des composants électriques, électroniques ou ordinateurs. On trouve ce genre de systèmes complexes dans divers secteurs économiques et en particulier dans l'aviation, l'industrie ou dans l'automatisme. Des problèmes se posent souvent lors d'opérations de maintenance, dans la mesure où il peut s'avérer très difficile de localiser un élément défectueux du système, qui est à l'origine d'une défaillance. La mise en oeuvre de procédés de détection de défaillances avec des équipements de détection additionnels n'est par ailleurs pas toujours efficace, conduisant alors, pour des raisons de sécurité au remplacement d'un ensemble d'éléments. Dans tous les cas, les opérations de maintenance qui ne permettent pas de localiser de façon précise une défaillance ou qui font intervenir des équipements de détection additionnels, génèrent une augmentation des coûts de maintenance.

On connaît déjà des procédés de diagnostic pour localiser une défaillance dans un système complexe, consistant à vérifier les performances du système complexe en se basant sur des informations de fonctionnement issues de moyens de détection, à déterminer à partir des informations de fonctionnement un statut de fonctionnement dit opérationnel , non opérationnel ou dégradé du système, à comparer, lorsque le statut de fonctionnement non opérationnel ou dégradé a été déterminé, les informations de fonctionnement à des données prédéterminées et à générer au moins une hypothèse quant à la localisation de la défaillance dans le système complexe. Ces procédés de diagnostics présentent cependant un certain nombre d'inconvénients. En effet, les procédés de diagnostic connus se basent entre autres sur une analyse probabiliste des défaillances. Cette analyse permet en général d'indiquer à l'opérateur de maintenance, un ou plusieurs éléments susceptibles d'être à l'origine d'une défaillance, avec un degré de certitude donné. Ce dernier est exprimé grâce à un calcul de probabilité correspondant. Les procédés de diagnostic connus utilisent un algorithme de calcul dans lequel interviennent le plus souvent des approximations et des pondérations quasi arbitraires pour des messages de défaillance issus de différents tests. En outre, les procédés de diagnostic définissent des fenêtres temporelles arbitraires par exemple d'une durée de dix secondes, durant lesquelles les messages de défaillance se rapportant à des défaillances distinctes sont pris en compte. Les résultats ainsi obtenus par de tels algorithmes destinés à localiser une défaillance dans le système complexe, ne sont donc pas exploitables en l'état. On connaît également des méthodes de diagnostic se basant sur un arbre de défaillance statique, lequel définit des relations logiques entre des messages de pannes, grâce à un certain nombre de portes logiques. On peut citer par exemple : - la porte logique AND , laquelle est valide lorsque toutes les entrées 2 à n sont valides, - la porte logique OR , laquelle est valide lorsque l'une des n entrées est valide, la porte logique NO , (généralement NAND ou NOR ), laquelle présente une sortie inverse à la porte logique AND ou OR , la porte logique K of M , laquelle est valide lorsque K entrées sur un total de M sont valides. On connaît également dans un domaine autre que le diagnostic, un arbre de défaillance dynamique, lequel définit des relations logiques et dynamiques entre des messages de pannes grâce à un certain nombre de portes logiques supplémentaires. On peut citer par exemple : la porte PAND , laquelle est valide lorsque toutes les entrées sont valides selon un ordre prédéfini, - et la porte FDEP , laquelle est valide si une entrée spécifique est valide ou si un ensemble de portes est valide. Ainsi, lorsqu'une entrée spécifique est valide, toutes les autres entrées sont forcées à prendre un état valide. Il s'est avéré cependant que ces portes logiques ne 25 permettent pas d'obtenir un diagnostic suffisamment précis pour localiser les défaillances dans un système complexe.

Les méthodes connues génèrent également de nombreuses fausses pannes dues à une prise en compte des messages de pannes hors de leur contexte. Ceci conduit souvent une pollution du diagnostic et par conséquent à des difficultés pour localiser les pannes et notamment à des ambiguïtés de localisation desdites pannes. A l'issue de chaque vol, on est ainsi confronté à de très nombreux équipements qui sont déclarés comme étant défaillants. L'objet de la présente invention vise par conséquent, à proposer un nouveau procédé de diagnostic permettant de s'affranchir des limitations mentionnées ci-dessus et prendre en compte la problématique du système dans son ensemble dans le cadre d'un filtrage des messages de pannes et de la localisation desdites pannes. Un autre objet de la présente invention vise à obtenir une meilleure précision dans la localisation d'une défaillance, tout en n'augmentant pas de façon substantielle les coûts liés à une telle localisation. Un autre objet de la présente invention vise à proposer un nouveau procédé de diagnostic qui peut être mis en oeuvre dans des systèmes complexes existants, ne nécessitant pas d'aménagements, notamment dans l'agencement de moyens de détection du genre capteurs et en optimisant l'utilisation de moyens de tests existants. Un autre objet de l'invention vise à proposer un nouveau dispositif d'aide à la localisation de défaillances mettant en oeuvre le procédé de diagnostic précité. Le dispositif conforme à l'invention comporte ainsi des outils pour traiter les messages de pannes dans une problématique d'ensemble du système et non pour traiter lesdits messages en tant que tel, en dehors d'un contexte ou d'un environnement.

Les objets assignés à l'invention sont atteints à l'aide d'un procédé de diagnostic pour localiser une défaillance dans un système complexe, consistant à vérifier les performances du système complexe en se basant sur des informations de fonctionnement issues de moyens de détection, à déterminer à partir des informations de fonctionnement un statut de fonctionnement dit opérationnel , non opérationnel ou dégradé du système, à comparer, lorsque le statut de fonctionnement non opérationnel ou dégradé a été déterminé, les informations de fonctionnement à des données prédéterminées et à générer au moins une hypothèse quant à la localisation de la défaillance dans le système complexe, caractérisé en ce qu'il consiste à : - selon une première étape (100), déclencher un algorithme de diagnostic en détectant les occurrences de défaillance parmi les informations de fonctionnement et générer des messages de défaillance correspondants ou récupérer des messages de défaillance générés directement par le système complexe, selon seconde étape (200), filtrer les messages de défaillance pour éliminer les messages de défaillance erronés en définissant des relations logiques et dynamiques d'un arbre de défaillance dynamique, auxquelles doivent satisfaire lesdits messages de défaillance, selon une troisième étape (300), capturer les informations inhérentes aux messages de défaillance retenus à l'issue de l'étape précédente, selon une quatrième étape (600), à partir des messages de défaillance d'une fenêtre temporelle T, trier les résultats 25 obtenus grâce aux étapes précédentes et comparer lesdits résultats aux données prédéterminées, à l'aide de relations logiques et dynamiques d'un arbre de défaillance dynamique, pour identifier et localiser une défaillance, et selon une cinquième étape (700), générer un diagnostic d'identification et de localisation de la défaillance. L'arbre de défaillance dynamique permet de générer les règles utilisées au cours de la seconde étape (200) et de la quatrième étape (600) correspondant respectivement au filtrage d'une part et à l'analyse/comparaison de données d'autre part. L'arbre de défaillance dynamique détermine ainsi des relations logiques et dynamiques entre les messages de défaillance, les données de contexte du genre valeurs issues de capteurs, la durée et la dynamique des messages de défaillance.

Selon un exemple de mise en oeuvre du procédé de diagnostic, conforme à l'invention, la troisième étape (300) comprend : - un premier stade (310), consistant à déterminer les temps d'apparition et les temps de disparition des messages de 20 défaillance, - un second stade (320), consistant à vérifier si un même message de défaillance apparaît sur des équipements redondants et dans l'affirmative regrouper lesdits messages à des fins d'analyse, 25 - et un troisième stade (330), consistant à déterminer l'existence d'une dépendance entre les messages de défaillance apparaissant dans une fenêtre temporelle T et en l'absence d'une telle dépendance, les traiter de façon séparée.

A titre d'exemple, les messages apparus sont considérés comme relatifs à la même panne lorsque l'écart entre les temps d'apparition respectifs des messages et l'écart entre les temps de disparition respectifs des messages, sont inférieurs à un seuil prédéfini S. Si t1 a et t2a sont les temps d'apparition respectifs des messages (1) et (2), et si tld et t2d sont les temps de disparition respectifs desdits messages (1) et (2), on obtient une corrélation forte si tla-t2a et tld-t2d sont inférieurs au seuil S.

Selon un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, la troisième étape (300) comprend : - un stade de dénombrement (340), consistant à déterminer le nombre de messages de défaillance apparaissant dans la fenêtre temporelle T, et un stade de temps (350), consistant à déterminer la durée des messages de défaillance. Selon un exemple de mise en oeuvre, le procédé de diagnostic conforme à l'invention consiste, en cas d'ambiguïté dans la localisation de la défaillance à l'issue de la quatrième étape (600), à mettre en oeuvre une étape additionnelle (650) consistant à effectuer une analyse probabiliste. Selon un exemple de mise en oeuvre, l'analyse probabiliste consiste à partir des messages de pannes générées par des sous- ensembles d'équipements, à identifier les sous-ensembles qui sont en ambiguïté de localisation puis à réaliser un ratio des MTBF (Temps Moyen Entre Défaillances) desdits sous-ensembles, lequel constitue une information additionnelle pour orienter la localisation de la défaillance.

On utilise à cet effet, les résultats issus de l'Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité appelée AMDEC, soit au niveau des composants, soit au niveau des blocs fonctionnels, afin de définir la probabilité de panne de chacun des sous ensembles constitutifs d'un équipement. Lorsque l'on est dans une situation avec une ambiguïté de localisation de la défaillance entre deux équipements, on établissait selon l'art antérieur un ratio entre les taux de défaillances de l'ensemble de chacun de ces deux équipements.

Cela revenait à faire un premier traitement avec les messages relatifs à la nature de pannes puis à ignorer ces messages relatifs à la nature de la panne dans le rapport réalisé ensuite. Cela conduisait à un ratio d'un ensemble de messages de défaillances pouvant apparaître pour chacun des deux équipements dans leur ensemble. On aboutissait à une perte d'information se rapportant à la partie défaillante d'un équipement, laquelle était pourtant disponible au départ. Le procédé de diagnostic conforme à l'invention permet de pallier cet inconvénient. Généralement, quand on a une ambiguïté de panne, elle provient des entrées/sorties des différents équipements. Dans le cadre de l'invention, il s'agit de faire le rapport non pas des taux de défaillances des équipements, mais des taux de défaillances des différents modules suspectés défaillants. Il s'agit par exemple du rapport entre la fiabilité (ou taux de défaillances) du bloc de sortie de l'équipement n°1 et la fiabilité du bloc d'entrée de l'équipement n°2. Selon un exemple de mise en oeuvre du procédé de diagnostic, conforme à l'invention, la quatrième étape (600) comporte une phase de hiérarchisation (610) consistant à déterminer une hiérarchisation chronologique entre les messages de défaillance.

Selon un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, la quatrième étape (600) comporte une phase contextuelle (620) consistant à effectuer une analyse de corrélation contextuelle des messages de défaillance.

Selon un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, la seconde étape (200) consiste grâce à une phase de filtration (210), à filtrer les messages de défaillance en fonction de la durée d'apparition desdits messages. II s'avère qu'environ 40% des messages de défaillance ou de panne ont une durée d'apparition inférieure à trois secondes. De telles pannes transitoires sont par exemple dues à une mauvaise définition des seuils de détection ou à des problèmes de connectique. Les seuils de détection de pannes peuvent être sous dimensionnés par rapport au phénomène physique mesuré. Par exemple, les équipements électroniques sont capables de détecter des micro-coupures d'alimentation se produisant en fonctionnement normal d'un hélicoptère. La durée de ces micro-coupures peut être supérieure aux seuils déterminés, générant ainsi des messages de pannes. Dans un environnement donné, un hélicoptère peut être soumis à des contraintes de vibrations qui sont à l'origine de beaucoup de micro-coupures de communications, liées à la connectique mais ne correspondant pas à des pannes.

Selon un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, la seconde étape (200) consiste grâce à une phase de filtration û corrélation (220), à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un contexte du genre phase de vol ou phase au sol. Les informations de contextes comprennent par exemple : - les phases de vol, les phases au sol et en particulier les phases d'allumage et d'arrêt des équipements, - les actions du pilote, - la configuration de l'hélicoptère et la configuration dynamique de l'hélicoptère correspondant à l'état on ou off des équipements. II convient également de filtrer des messages de pannes erronés résultant de l'environnement extérieur. L'allumage d'un hélicoptère peut se faire à l'aide d'une batterie, induisant un allumage d'un seul côté de l'hélicoptère puis d'un autre côté dudit hélicoptère. La perception d'une partie seulement des équipements lors de cette phase d'allumage, génère de nombreuses remontées de messages de pannes. Selon un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, la seconde étape (200) consiste grâce à une autre phase de filtration ùcorrélation (230), à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un ensemble de données comprenant la durée d'apparition, le contexte, les messages de défaillance générés et le cas échéant des données additionnelles.

Il s'agit plus précisément d'un filtrage par rapport à une analyse experte. Cela provient du fait que la complexité de mise en oeuvre de ce genre filtration est telle, qu'il est souvent impossible de déterminer a priori des règles correspondantes. Dans ces cas, il est impératif de définir des règles de filtrage conformes à l'autre phase de filtration ù corrélation (230) a posteriori, à l'aide du retour d'expérience et des informations recueillies sur la machine, et à l'aide d'experts.

L'élaboration de règles de filtrage peut se faire par exemple grâce à une construction générique. Cette construction consiste à filtrer les informations de pannes à partir de certains caractères de pannes. A titre d'exemple, si une panne apparaît au sol et disparaît en vol et si cette panne n'est pas considérée comme critique, ladite panne est filtrée. Ce type de construction peut être réalisé de manière simple avant le développement d'un hélicoptère. L'élaboration de règles de filtrage peut se faire également grâce à une construction spécifique. Cette construction consiste à filtrer des informations de pannes spécifiques en fonction des messages de pannes. Cette construction est basée sur le retour d'expérience et sur l'analyse experte. A titre d'exemple, si le message de panne n°1 apparaît et que la phase de vol correspond au vol stationnaire, alors le message de panne est filtré. Selon un exemple de mise en oeuvre, le procédé de diagnostic, consiste à définir des règles dans le cadre de l'arbre de défaillance dynamique à l'aide de portes logiques et dynamiques comprenant notamment : - une porte appelée NOMBRE D'OCCURRENCES qui est valide lorsque le nombre de messages de pannes enregistrés pendant le vol est supérieur ou inférieur à un seuil défini, - une porte appelée DUREE qui est valide lorsque la durée d'apparition de messages de pannes est supérieure ou inférieure à un seuil défini, - une porte appelée PAND citée ci-dessus, et une porte appelée PAND temporisée qui est valide lorsque les entrées sont valides et apparaissent dans un ordre déterminé avec une dynamique d'apparition supérieure ou inférieure à un seuil déterminé.

La porte NOMBRE D'OCCURRENCES est par exemple utilisée pour le filtrage des messages de défaillance et la porte DUREE est par exemple utilisée pour prendre en compte la durée des messages de défaillance ainsi que pour le filtrage. La prise en compte de la dynamique d'apparition des messages de défaillance s'appuiera notamment sur les portes PAND et PAND temporisée . Ces dernières peuvent également être utilisées en association avec les portes connues du genre AND, OR, NAND, NOR et K of M. L'invention permet ainsi de rajouter des dépendances entre 15 les messages de pannes et d'imposer que ces dépendances sont appliquées avec une dynamique déterminée. II devient alors possible de prendre en compte d'une part la dépendance entre différents messages de défaillance et d'autre part la hiérarchisation chronologique desdits messages. 20 En outre, le phénomène de propagation des effets d'une panne provoque souvent l'apparition d'un grand nombre de messages de défaillance qui sont dépendants de l'architecture du système dans lequel se produit la panne. L'apparition d'une panne à un endroit spécifique produit en cascade des effets sur des 25 équipements en aval dudit endroit spécifique, générant eux-mêmes des messages de défaillance relatifs à la panne. La prise en compte de la dynamique d'apparition de ces messages de défaillance permet d'isoler la source d'une panne.

La porte PAND temporisée , utilisée par exemple dans la seconde étape (200) et dans la quatrième étape (600), présente donc, en plus d'un ordre déterminé d'apparition, un seuil temporel. Les entrées de cette porte PAND temporisée doivent donc être valides dans un ordre défini et valides en plus de temps ou en moins de temps que le seuil temporel prédéfini. Les objets assignés à l'invention sont également atteints à l'aide d'un dispositif d'aide à la localisation d'une défaillance dans un système complexe, pour mettre en oeuvre le procédé de diagnostic tel que présenté et comportant : - des moyens de détection agencés dans le système complexe et délivrant des informations de fonctionnement dudit système complexe, - une unité centrale comportant des moyens de stockage de données prédéterminées, des moyens de filtrage des informations de fonctionnement et/ou des messages de défaillance associés, des moyens d'analyse et de comparaison avec des données prédéterminées et des informations de fonctionnement pour élaborer et générer un message de localisation d'un défaillance, des moyens de présentation du message de localisation élaboré par l'unité centrale, - et des moyens d'enregistrement intégrés dans l'unité centrale pour mémoriser d'une part les informations de fonctionnement à l'origine de messages de défaillance et d'autre part les messages apparus dans les moyens de présentation. Selon un exemple de réalisation conforme à l'invention, l'unité centrale comporte des moyens pour définir des fenêtres temporelles durant lesquelles des occurrences de défaillance successives doivent apparaître pour être prises en compte. Les objets assignés à l'invention sont également atteints à l'aide d'un aéronef comportant au moins un dispositif tel que présenté ci-dessus. L'invention et ses avantages apparaîtront avec plus de détails dans le cadre de la description qui suit avec un exemple de réalisation donné à titre illustratif en référence aux figures annexées parmi lesquelles: - la figure 1, est un organigramme illustrant les étapes d'un exemple de mise en application du procédé de diagnostic conforme à l'invention, - la figure 2, illustre de façon schématique et plus détaillée l'étape de capture d'informations d'un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention illustré en figure 1, - la figure 3, illustre de façon schématique et plus détaillée l'étape de comparaison/analyse avec des données, pour un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention, - la figure 4, illustre de façon schématique un exemple de réalisation d'un dispositif conforme à l'invention, permettant de mettre en oeuvre le procédé de diagnostic conforme à l'invention, - et la figure 5, illustre de façon schématique et plus détaillée l'étape de filtrage d'un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention illustré en figure 1.

Les éléments structurellement et fonctionnellement identiques et présents dans plusieurs figures distinctes sont affectés d'une seule et même référence. La figure 1 illustre un exemple de mise en oeuvre du procédé de diagnostic conforme à l'invention. La première étape (100) consiste à déclencher un algorithme de diagnostic en détectant les occurrences de défaillance parmi les informations de fonctionnement et à générer des messages de défaillance correspondants. La première étape (100) peut aussi consister à récupérer des messages de défaillance générés directement par le système complexe, du genre aéronef ou équipements dudit aéronef. La seconde étape (200) consiste à filtrer les messages de défaillance pour éliminer les messages erronés. Cette élimination est obtenue par l'intermédiaire d'un arbre de défaillance dynamique ADD, définissant des relations logiques et dynamiques auxquelles doivent satisfaire les messages de défaillance. Le procédé de diagnostic, dans le cadre de la seconde étape (200), consiste selon une phase de filtration (210), à filtrer les messages de défaillance en fonction de la durée d'apparition desdits messages. Selon une phase de filtration ù corrélation (220) de la seconde étape (200), le procédé de diagnostic consiste à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un contexte du genre phase de vol ou phase au sol. Selon une autre phase de filtration ù corrélation (230) de la seconde étape (200), le procédé de diagnostic consiste à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un ensemble de données comprenant la durée d'apparition, le contexte, les messages de défaillance générés et le cas échéant des données additionnelles. La troisième étape (300) consiste à capturer les informations inhérentes aux messages de défaillance retenus à l'issue du filtrage. La figure 2 illustre un exemple de mise en oeuvre de la troisième étape (300). Cette dernière, illustrée à la figure 2, comporte par exemple une succession de quelques uns ou de tous les stades parmi lesquels on trouve : - un premier stade (310), consistant à déterminer les temps d'apparition et les temps de disparition des messages de défaillance, - un second stade (320), consistant à vérifier si un même message de défaillance apparaît sur des équipements redondants et dans l'affirmative regrouper lesdits messages à des fins d'analyse, - un troisième stade (330), consistant à déterminer l'existence d'une dépendance entre les messages de défaillance apparaissant dans une fenêtre temporelle T et en l'absence d'une telle dépendance, les traiter de façon séparée. - un stade de dénombrement (340), consistant à déterminer le nombre de messages de défaillance apparaissant dans la fenêtre temporelle T, et un stade de temps (350), consistant à déterminer la 25 durée des messages de défaillance. Selon un exemple de mise en oeuvre, le procédé de diagnostic conforme à l'invention consiste, en cas d'ambiguïté dans la localisation de la défaillance à l'issue de la quatrième étape (600), à mettre en oeuvre une étape additionnelle (650) consistant à effectuer une analyse probabiliste. La quatrième étape (600) consiste à trier et/ou analyser les messages de défaillance retenus et apparaissant dans une même fenêtre temporelle T prédéfinie, et/ou à les comparer à des données préenregistrées par l'intermédiaire d'un arbre de défaillance dynamique ADD, pour identifier et localiser une panne. A titre d'exemple, la quatrième étape (600), illustrée à la figure 3, comporte des phases parmi lesquelles on trouve : - une phase de hiérarchisation (610) consistant à déterminer une hiérarchisation chronologique entre les messages de défaillance, - et une phase contextuelle (620) consistant à effectuer une analyse de corrélation contextuelle des messages de défaillance.

La cinquième étape (700) consiste ensuite à générer un diagnostic correspondant. Selon le cas, le procédé de diagnostic met en oeuvre l'étape additionnelle (650) consistant à effectuer une analyse probabiliste à l'issue de la quatrième étape (600), dans l'hypothèse où la panne n'a pu être localisée avec suffisamment de précision. La figure 4, illustre schématiquement un exemple de réalisation d'un dispositif 1 d'aide à la localisation d'une panne conforme à l'invention. Ce dispositif 1 permet de mettre en oeuvre le procédé de diagnostic conforme à l'invention.

Le dispositif 1 comporte des moyens de détection 2 agencés dans le système complexe et délivrant des informations de fonctionnement dudit système complexe.

Le dispositif 1 comprend en outre une unité centrale 3 comportant des moyens de stockage 4 de données prédéterminées, des moyens de filtrage 5 des informations de fonctionnement et/ou des messages de défaillance associés, des moyens de triage, d'analyse et de comparaison 6 des données prédéterminées et des informations de fonctionnement, pour élaborer et générer un message de localisation d'un défaillance. Le dispositif 1 conforme à l'invention comprend également des moyens de présentation 7 du diagnostic et plus particulièrement du message de localisation élaboré par l'unité centrale 6. Selon un mode de réalisation conforme à l'invention, le dispositif 1 comporte des moyens d'enregistrement 8, par exemple intégrés dans l'unité centrale 3, pour mémoriser d'une part les informations de fonctionnement à l'origine de messages de défaillance et d'autre part les messages apparus sur les moyens de présentation 7. L'unité centrale 3 comporte également des moyens pour définir des fenêtres temporelles T, de durée par exemple inférieure à 3 secondes, durant lesquelles des occurrences de défaillance successives doivent apparaître pour être prises en compte. Le filtrage par rapport à une fenêtre temporelle T de trois secondes est par exemple mis en oeuvre dans le cadre de l'étape 200. L'architecture de l'unité centrale 3 est élaborée par exemple autour d'un microprocesseur. Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que plusieurs modes de réalisations et de mise en oeuvre aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier de manière exhaustive tous les modes possibles. Il est bien sûr envisageable de remplacer un moyen décrit par un moyen équivalent, ou une étape décrite par une étape équivalente, sans sortir du cadre de la présente invention.

Claims

REVENDICATIONS1. Procédé de diagnostic pour localiser une défaillance dans un système complexe, consistant à vérifier les performances du système complexe en se basant sur des informations de fonctionnement issues de moyens de détection, à déterminer à partir des informations de fonctionnement un statut de fonctionnement dit opérationnel , non opérationnel ou dégradé du système, à comparer, lorsque le statut de fonctionnement non opérationnel ou dégradé a été déterminé, les informations de fonctionnement à des données prédéterminées et à générer au moins une hypothèse quant à la localisation de la défaillance dans le système complexe, caractérisé en ce qu'il consiste à : selon une première étape (100), déclencher un algorithme de diagnostic en détectant les occurrences de défaillance parmi les informations de fonctionnement et générer des messages de défaillance correspondants ou récupérer des messages de défaillance générés directement par le système complexe, selon seconde étape (200), filtrer les messages de défaillance pour éliminer les messages de défaillance erronés en définissant des relations logiques et dynamiques d'un arbre de défaillance dynamique (ADD), auxquelles doivent satisfaire lesdits messages de défaillance, selon une troisième étape (300), capturer les informations inhérentes aux messages de défaillance retenus à l'issue de l'étape précédente,selon une quatrième étape (600), à partir des messages de défaillance d'une fenêtre temporelle T, trier les résultats obtenus grâce aux étapes précédentes et comparer lesdits résultats aux données prédéterminées, à l'aide de relations logiques et dynamiques d'un arbre de défaillance dynamique (ADD) pour identifier et localiser une défaillance, et selon une cinquième étape (700), générer un diagnostic d'identification et de localisation de la défaillance.
2. Procédé de diagnostic selon la revendication 1, caractérisé en ce que la troisième étape (300) comprend : - une premier stade (310), consistant à déterminer les temps d'apparition et les temps de disparition des messages de 15 défaillance, - une second stade (320), consistant à vérifier si un même message de défaillance apparaît sur des équipements redondants et dans l'affirmative regrouper lesdits messages à des fins d'analyse, 20 - et un troisième stade (330), consistant à déterminer l'existence d'une dépendance entre les messages de défaillance apparaissant dans une fenêtre temporelle T et en l'absence d'une telle dépendance, à les traiter de façon séparée. 25
3. Procédé de diagnostic selon la revendication 1 ou 2, caractérisé en ce que la troisième étape (300) comprend : 10un stade de dénombrement (340), consistant à déterminer le nombre de messages de défaillance apparaissant dans la fenêtre temporelle T, - et un stade de temps (350), consistant à déterminer la durée des messages de défaillance.
4. Procédé de diagnostic selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'il consiste, en cas d'ambiguïté dans la localisation de la défaillance à l'issue de la quatrième étape (600), à mettre en oeuvre une étape additionnelle (650) consistant à effectuer une analyse probabiliste.
5. Procédé de diagnostic selon la revendication 4, caractérisé en ce que l'analyse probabiliste consiste à partir des messages de pannes générées par des sous-ensembles d'équipements, à identifier les sous-ensembles qui sont en ambiguïté de localisation puis à réaliser un ratio des MTBF desdits sous-ensembles, lequel constitue une information additionnelle pour orienter la localisation de la défaillance.
6. Procédé de diagnostic selon l'une quelconque des revendications 1 à 5, caractérisé en ce la quatrième étape (600) comporte une phase de hiérarchisation (610) consistant à déterminer une hiérarchisation chronologique entre les messages de défaillance.
7. Procédé de diagnostic selon l'une quelconque des revendications 1 à 6,caractérisé en ce que la quatrième étape (600) comporte une phase contextuelle (620) consistant à effectuer une analyse de corrélation contextuelle des messages de défaillance.
8. Procédé de diagnostic selon l'une quelconque des revendications 1 à 7, caractérisé en ce que la seconde étape (200) comporte une phase de filtration (210) consistant à filtrer les messages de défaillance en fonction de la durée d'apparition desdits messages.
9. Procédé de diagnostic selon l'une quelconque des revendications 1 à 8, caractérisé en ce que la seconde étape (200) comporte une phase de filtration - corrélation (220) consistant à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un contexte du genre phase de vol ou phase au sol.
10. Procédé de diagnostic selon l'une quelconque des revendications 1 à 9, caractérisé en ce que la seconde étape (200) comporte une autre phase de filtration û corrélation (230) consistant à filtrer les messages de défaillance en fonction d'une corrélation desdits messages avec un ensemble de données comprenant la durée d'apparition, le contexte, les messages de défaillance générés et le cas échéant des données additionnelles.
11. Procédé de diagnostic selon l'une quelconque des revendications 1 à 10, caractérisé en ce qu'il consiste à définir des règles dans le cadre de l'arbre de défaillance dynamique (ADD) à l'aide de portes logiques et dynamiques comprenant notamment :une porte appelée NOMBRE D'OCCURRENCES qui est valide lorsque le nombre de messages de pannes enregistrés pendant le vol est supérieur ou inférieur à un seuil défini, une porte appelée DUREE qui est valide lorsque la durée d'apparition de messages de pannes est supérieure ou inférieure à un seuil défini, une porte appelée PAND citée ci-dessus, et une porte appelée PAND temporisée qui est valide lorsque les entrées sont valides et apparaissent dans un ordre déterminé avec une dynamique d'apparition supérieure ou inférieure à un seuil déterminé.
12. Dispositif (1) d'aide à la localisation d'une défaillance 15 dans un système complexe, pour mettre en oeuvre le procédé de diagnostic conforme à l'une quelconque des revendications 1 à 11, comportant : des moyens de détection (2) agencés dans le système complexe et délivrant des informations de 20 fonctionnement dudit système complexe, une unité centrale (3) comportant des moyens de stockage (4) de données prédéterminées, des moyens de filtrage (5) des informations de fonctionnement et/ou des messages de défaillance associés, des moyens de 25 triage, d'analyse et de comparaison (6) des données prédéterminées et des informations de fonctionnement pour élaborer et générer un message de localisation d'un défaillance,- des moyens de présentation (7) du message de localisation, élaboré par l'unité centrale (3), et des moyens d'enregistrement (8) intégrés dans l'unité centrale (3) pour mémoriser d'une part les informations de fonctionnement à l'origine d'un message de défaillance et d'autre part les messages apparus dans les moyens de présentation (7).
13. Dispositif selon la revendication 12, caractérisé en ce que l'unité centrale (3) comporte des moyens pour définir des fenêtres temporelles T inférieures à trois secondes, durant lesquelles des occurrences de défaillance successives doivent apparaître pour être prises en compte.
14. Aéronef comportant un dispositif selon l'une quelconque des revendications 12 ou 13.15