L'invention concerne un procédé d'amélioration de la fiabilité d'un réseau de contrôle-commande multiplexé. L'invention est applicable dans tout dispositif de contrôle-commande multiplexé, plus particulièrement mais non exclusivement, dans les domaines du transport et de l'énergie, l'invention visant plus spécifiquement le domaine aéronautique. Dans ce domaine aéronautique, les dispositifs de contrôle-commande évoluent dans le sens d'une complexité croissante avec l'intervention prépondérante de l'informatique. Parallèlement la demande de fiabilité s'accroît et tout ceci doit être réalisé dans le respect de contraintes de masse assez sévères. Les composants de la chaîne de contrôle-commande deviennent également plus complexes et ladite chaîne intègre des composants logiciels en plus des composants matériels lesquels composants logiciels ajoutent des modes de défaillance supplémentaires. Pour des contraintes de masse, les dispositifs de contrôle-commande basés sur des connexions point à point cèdent la place à des dispositifs mettant en oeuvre des bus multiplexés. Ainsi, la chaîne de contrôle commande d'un aéronef comprend des composants interconnectés, parmi lesquels des émetteurs et / ou récepteurs de données tels que des contrôleurs , capteurs ou actionneurs et des équipement de transmission de données tels que des concentrateurs ou des commutateurs. La conception d'une telle chaîne, et notamment le choix de ses composants nécessitent une analyse de fiabilité. Le calcul de la fiabilité d'une transmission entre deux terminaux d'un réseau est défini selon l'art antérieur comme la probabilité qu'il existe au moins un chemin entre ces deux terminaux ne comportant que des composants non défaillants. Lorsque le réseau ne comprend que des composants matériels, chaque composant ne comprend qu'un seul mode de défaillance: le composant fonctionne ou ne fonctionne pas. Un tel composant est, selon l'art antérieur modélisé par une chaîne de Markov comprenant deux états, associant à chacun de ces états une probabilité d'occurrence. L'analyse de la fiabilité repose sur l'analyse des chaînes de Markov représentatives du comportement des chemins considérés. Cependant, lorsque le réseau comprend à la fois des composants logiciels et des composants matériels, des modèles de défaillance plus élaborés doivent être considérés. Ainsi, pour chaque composant il est nécessaire de considérer : - des défaillances liées à la transmission d'informations : absence intempestive ou présence intempestive de transmission d'information, ce type de défaillance est couramment désigné par la présence d'un composant bavard ou au contraire d'un composant muet ; - des défaillances liées à la valeur de l'information transmise, c'est à dire des défaillances liées à l'intégrité des données ; - des défaillances liées à la date de transmission : transmission tardive ou prématurée de données. La prise en compte de cette pluralité de modes de défaillance dans l'analyse de la fiabilité du réseau, implique la prise en considération de chaînes de Markov beaucoup plus complexes. De plus, certains modes de défaillance peuvent être propageants, c'est à dire qu'une telle défaillance d'un composant affecte la capacité de transmission de données d'autres composants alors que ceux-ci ne sont pas, eux mêmes, défaillants. C'est par exemple le cas d'un composant dit bavard, qui en transmettant sans interruption des données sur le réseau obère toute transmission de données d'autres composants. L'analyse de la fiabilité d'un réseau de contrôle-commande de ce type par les méthodes connues de l'art antérieur, conduit à une explosion combinatoire et ne peut être réalisée y compris par la mise en oeuvre de moyens de calcul puissants. Ainsi, il est très délicat, voir impossible d'optimiser le choix des composants et l'architecture d'un tel réseau pour en assurer la fiabilité de fonctionnement. L'invention vise à résoudre les inconvénients de l'art antérieur en proposant un procédé pour l'évaluation de la fiabilité d'une transmission entre deux terminaux i et j interconnectés d'un réseau de contrôle commande multiplexé, lequel réseau comporte plus de deux composants, chaque composant dudit réseau comprenant un état dit de fonctionnement et une pluralité d'états dits de défaillance, lequel procédé comportant les étapes consistant à, séquentiellement : a. déterminer les chemins de longueur minimale entre les terminaux i et j ; b. rechercher pour chaque chemin déterminé à l'étape a) des combinaisons d'états des composants du réseau telles que la transmission par ledit chemin soit possible ; c. déterminer à partir des combinaisons identifiées à l'étape b) un ensemble correspondant aux états admissibles des composants du réseau tels que la transmission par n'importe quel des chemins déterminés à l'étape a) soit possible ; d. déterminer la probabilité de défaillance de la transmission en fonction de la combinaison des probabilité des états de l'ensemble construit à l'étape c). Ainsi, ce procédé séquentiel qui consiste, par l'analyse de la topologie du réseau, à concentrer l'attention sur les groupes de composants pertinents à chaque étape, permet de réduire de manière considérable le nombre de combinaisons à étudier et évite l'explosion combinatoire du problème. Ainsi, une expression analytique de la fiabilité du réseau en fonction des caractéristiques des composants dudit réseau est obtenue à l'issue de l'étape d), laquelle expression analytique est avantageusement utilisée pour sélectionner les composants les plus critiques en fonction de leurs modes de défaillance les plus critiques également. L'invention peut être mise en oeuvre selon les modes de réalisation avantageux, exposés ci-après, lesquels peuvent être considérés individuellement ou selon toute combinaison techniquement opérante. Avantageusement, chaque composant est modélisé par un chaîne de Markov comprenant plus de deux états, lesdits états étant regroupés en 3 sous- ensembles : - un sous ensemble des états de bon fonctionnement ; - un sous ensemble des états de défaillance non propageante ; - un sous ensemble des états de défaillance propageante, tel que la défaillance propageante n'a d'effet sur les composants adjacents du composant considéré. Ainsi, l'analyse conduite à l'étape b) du procédé objet de l'invention, est simplifiée et rapide. En effet, selon un mode de réalisation particulier de ce procédé, la combinaison d'états obtenue à l'étape b) est déterminée par : b1 tous les composants du chemin entre i et j sont dans leur état de fonctionnement, et ; b2 tous les composants adjacents à un composant se trouvant sur le chemin entre i et j sont dans leur état de fonctionnement ou dans un état de défaillance non propageante ; b3 les combinaisons d'états ainsi déterminées étant stockées pour chaque chemin. The invention relates to a method for improving the reliability of a multiplexed control-command network. The invention is applicable in any multiplexed control-command device, more particularly but not exclusively, in the fields of transport and energy, the invention specifically targeting the aeronautical field. In this aeronautical field, the control-command devices evolve in the direction of increasing complexity with the preponderant intervention of computer science. At the same time, the demand for reliability is increasing and all this must be done in compliance with fairly severe mass constraints. The components of the control-command chain also become more complex and the chain includes software components in addition to the hardware components, which software components add additional failure modes. For mass constraints, control devices based on point-to-point connections are replaced by devices using multiplexed buses. Thus, the control chain of an aircraft comprises interconnected components, among which transmitters and / or data receivers such as controllers, sensors or actuators and data transmission equipment such as hubs or switches. The design of such a chain, and in particular the choice of its components require a reliability analysis. The calculation of the reliability of a transmission between two terminals of a network is defined according to the prior art as the probability that there is at least one path between these two terminals comprising only non-faulty components. When the network includes only hardware components, each component has only one failure mode: the component is working or not working. Such a component is, according to the prior art, modeled by a Markov chain comprising two states, associating with each of these states a probability of occurrence. The reliability analysis is based on the analysis of the Markov chains representative of the behavior of the considered paths. However, when the network includes both software components and hardware components, more sophisticated failure models need to be considered. Thus, for each component it is necessary to consider: - failures related to the transmission of information: inadvertent absence or inadvertent transmission of information, this type of failure is commonly designated by the presence of a talkative component or at the the opposite of a mute component; - failures related to the value of the information transmitted, ie failures related to the integrity of the data; - failures related to the date of transmission: late or premature transmission of data. Taking into account this plurality of failure modes in the analysis of the reliability of the network implies the consideration of much more complex Markov chains. In addition, some failure modes may be propagating, ie such a failure of a component affects the data transmission capacity of other components while they are not themselves failing. This is for example the case of a so-called talkative component, which continuously transmitting data on the network obviates any transmission of data from other components. The analysis of the reliability of a control-command network of this type by the methods known from the prior art, leads to a combinatorial explosion and can not be achieved including the implementation of powerful computing means. Thus, it is very difficult, or impossible to optimize the choice of components and the architecture of such a network to ensure the reliability of operation. The invention aims at solving the disadvantages of the prior art by proposing a method for evaluating the reliability of a transmission between two interconnected terminals i and j of a multiplexed control network, which network comprises more than two components, each component of said network comprising a so-called operating state and a plurality of so-called failure states, which method comprises the steps of, sequentially: a. determining the minimum length paths between terminals i and j; b. search for each path determined in step a) combinations of states of network components such that transmission by said path is possible; vs. determining from the combinations identified in step b) a set corresponding to the allowable states of the network components such that transmission by any of the paths determined in step a) is possible; d. determine the probability of failure of the transmission as a function of the combination of the states probability of the set constructed in step c). Thus, this sequential method which consists, by analyzing the topology of the network, to focus attention on the groups of components relevant to each step, considerably reduces the number of combinations to be studied and avoids the explosion. combinatorial of the problem. Thus, an analytical expression of the reliability of the network as a function of the characteristics of the components of said network is obtained at the end of step d), which analytical expression is advantageously used to select the most critical components according to their modes of operation. most critical failure also. The invention can be implemented according to the advantageous embodiments, described below, which can be considered individually or in any technically operative combination. Advantageously, each component is modeled by a Markov chain comprising more than two states, said states being grouped into 3 subsets: a subset of the states of good operation; a subset of non-propagating failure states; a subset of propagating failure states, such as propagation failure, has no effect on the adjacent components of the considered component. Thus, the analysis conducted in step b) of the method that is the subject of the invention is simplified and rapid. Indeed, according to a particular embodiment of this method, the combination of states obtained in step b) is determined by: b1 all components of the path between i and j are in their operating state, and; b2 all components adjacent to a component on the path between i and j are in their operating state or non-propagating failure state; b3 the state combinations thus determined being stored for each path.
Avantageusement, l'étape c) est réalisée en effectuant l'union des ensembles stockés à l'étape b3). L'invention est exposée ci-après selon ses modes de réalisation préférés, nullement limitatifs, et en référence aux figures 1 à 3, dans lesquelles : - la figure 1 représente un exemple schématique de réseau de contrôle- commande comportant cinq composants représentés par des noeuds dudit réseau ; - les figures 2A et 2B illustrent deux exemples de chemins de longueur minimale entre deux des noeuds du réseau de la figure 1 ; - la figure 3 est un tableau montrant l'ensemble des états admissibles des composants du réseau de la figure 1 pour que la transmission de données soit possible par les chemins de la figure 2. Figure 1, selon un exemple illustratif, un réseau (100) de contrôle-commande comprend 5 composants, dont 3 terminaux (110, 120, 130), représentés respectivement par les noeuds a,b et c, et deux concentrateurs (140, 150) représentés respectivement par les noeuds d et e. Selon un exemple de réalisation du procédé objet de l'invention, celui-ci porte sur l'analyse de la transmissions des données entre le terminal a (110) et terminal b (120). Selon une notation généralisée, le kième chemin de longueur minimale entre les noeuds i et j est noté pif' . Advantageously, step c) is performed by performing the union of the sets stored in step b3). The invention is explained below according to its preferred embodiments, in no way limiting, and with reference to FIGS. 1 to 3, in which: FIG. 1 represents a schematic example of a control-command network comprising five components represented by nodes of said network; FIGS. 2A and 2B illustrate two examples of paths of minimum length between two of the nodes of the network of FIG. 1; FIG. 3 is a table showing the set of acceptable states of the network components of FIG. 1 so that the data transmission is possible by the paths of FIG. 2. FIG. 1, according to an illustrative example, a network (100 ) control-command comprises 5 components, including 3 terminals (110, 120, 130), respectively represented by the nodes a, b and c, and two concentrators (140, 150) respectively represented by the nodes d and e. According to an exemplary embodiment of the method which is the subject of the invention, this relates to the analysis of the transmissions of data between the terminal a (110) and terminal b (120). According to a generalized notation, the kth path of minimum length between the nodes i and j is denoted pif '.
Figure 2, entre les terminaux a et b, un premier chemin P b (210) de longueur minimale passant par le noeud dpeut être défini ainsi qu'un second chemin Pb (220) passant par le noeud e peuvent être définis. En désignant par : - xi' l'ensemble des états de bon fonctionnement du composant i ;: - XiF l'ensemble des états de défaillances non propageantes du composant i ; Figure 2, between the terminals a and b, a first path P b (210) of minimum length passing through the node can be defined and a second path Pb (220) passing through the node e can be defined. By denoting: - xi 'all the states of good functioning of the component i;: - XiF the set of non-propagating failure states of the component i;
- et par X/P l'ensemble des états de défaillances propageantes du noeud i. Les états de bon fonctionnement étant limités à un seul état, soit card(Xi°) =1. and by X / P the set of propagating failure states of the node i. The states of good functioning being limited to a single state, ie card (Xi °) = 1.
Figure 3, le tableau donne les combinaisons d'ensemble d'états admissibles pour les deux chemins (210, 220) de longueur minimale déterminés ci-avant, le signe u désignant l'union des ensembles d'états. Ainsi, les composants a (110) et b (120) doivent être dans leur état de 3, the table gives the combinations of statesets admissible for the two paths (210, 220) of minimum length determined above, the sign u designating the union of sets of states. Thus, the components a (110) and b (120) must be in their state of
fonctionnement Xa° et X° quelques soit le chemin. A contrario, le composant c (130) qui n'est jamais sur un chemin de transmission mais qui est systématiquement adjacent à un composant du chemin, quelque soit le chemin, ne doit pas se trouver dans un état de défaillance qui se propage. Ainsi, si l'ensemble des états tels que la transmission entre les noeuds i et j est possible par le chemin Pk pour un composant I est noté XI ' alors : XP XP c'est à dire X Pb E X ° u XP L'état du réseau à un instant donné est la combinaison des états actifs des composants à cet instant. Une combinaison caractéristiques comporte donc autant de termes que de composants du réseau. L'ensemble GPk des combinaisons admissibles pour une transmission selon un chemin Pk est donné par : k k c,7 X ' operation Xa ° and X ° some is the way. On the other hand, the component c (130) which is never on a transmission path but which is systematically adjacent to a component of the path, whatever the path, must not be in a state of failure that propagates. Thus, if the set of states such as the transmission between the nodes i and j is possible by the path Pk for a component I is denoted XI 'then: XP XP that is X Pb EX ° u XP The state of the network at a given moment is the combination of the active states of the components at this moment. A characteristic combination therefore comprises as many terms as network components. The set GPk of the allowable combinations for a transmission according to a path Pk is given by: k k, 7 X '
L'ensemble des états admissibles pour tous les chemins, noté s'obtient en réalisant l'union des ensembles de combinaisons admissibles pour chaque chemin, soit : Pk Ci..=UC Ainsi cet ensemble des états admissibles pour tous les chemins entre a (110) et b (120) est donné par : C~=XaXXbx()CUXF)x [(xd uX°)X(Xd uX°)x(Xd uXe )] Ainsi, cet ensemble ne comprend que 6 combinaisons d'états parmi les 35 soit 243 états que contient la chaîne de Markov décrivant le comportement de ce réseau. Ainsi, la réalisation des étapes a) à c) du procédé selon l'invention permet de réduire considérablement la dimension du modèle. L'étape d) du procédé objet de l'invention est réalisée en effectuant la somme des probabilités de chacune des combinaisons d'états admissibles. En notant JtiXo la probabilité de l'ensemble de l'état de fonctionnement Xi°du composant i et zi; la fiabilité de la transmission entre les noeuds i et j, alors la fiabilité de la transmission entre les noeuds a (110) et b (120) du réseau (100) s'écrit : Xâ Xb Xo XF %tab = + [(zdxa )+(~da )+(zd ;e e )] Connaissant, par l'intermédiaire des données constructeur, ou à partir d'essai les valeurs des probabilités de défaillances correspondantes de chacun des composant il est alors facile de simuler l'influence des divers composants sur la fiabilité de transmission et ainsi d'optimiser la construction du réseau de contrôle-commande. The set of admissible states for all the paths, noted is obtained by realizing the union of the sets of admissible combinations for each path, ie: Pk Ci .. = UC Thus this set of admissible states for all the paths between a ( 110) and b (120) is given by: C ~ = XaXXbx () CUXF) x [(xd uX °) X (Xd uX °) x (Xd uXe)] Thus, this set includes only 6 combinations of states among the 35 or 243 states contained in the Markov chain describing the behavior of this network. Thus, carrying out steps a) to c) of the method according to the invention makes it possible to considerably reduce the size of the model. Step d) of the method which is the subject of the invention is carried out by performing the sum of the probabilities of each of the admissible state combinations. Noting JtiXo the probability of the whole of the operating state Xi ° of component i and zi; the reliability of the transmission between the nodes i and j, then the reliability of the transmission between the nodes a (110) and b (120) of the network (100) is written: Xâ Xb Xo XF% tab = + [(zdxa ) + (~ da) + (zd; ee)] Knowing, through the manufacturer data, or starting from test the values of the corresponding failure probabilities of each component, it is then easy to simulate the influence of the various components on the transmission reliability and thus optimize the construction of the control-command network.