L'invention concerne un procédé pour la conception et la fabrication d'une chaîne de composants en réseau ainsi qu'un réseau obtenu par un tel procédé. L'invention est plus particulièrement, mais non exclusivement adaptée à la conception et à l'optimisation d'un réseau de contrôle - commande multiplexé. L'invention est également adaptée à la conception optimisée, selon une ou plusieurs contraintes, d'un dispositif dont le fonctionnement repose sur de multiples composants en interaction selon un réseau mécanique, hydraulique, électrique ou fluidique. L'invention vise plus particulièrement mais non exclusivement le domaine aéronautique. En prenant cet exemple du domaine aéronautique, les dispositifs de contrôle- commande évoluent dans le sens d'une complexité croissante avec l'intervention prépondérante de l'informatique. Parallèlement la demande de fiabilité s'accroît et tout ceci doit être réalisé dans le respect de contraintes de masse assez sévères. Les composants de la chaîne de contrôle-commande deviennent également plus complexes et ladite chaîne intègre des composants logiciels en plus des composants matériels lesquels composants logiciels ajoutent des modes de défaillance supplémentaires Afin de répondre à des contraintes de masse toujours plus sévères, les dispositifs de contrôle-commande basés sur des connexions point à point cèdent la place à des dispositifs mettant en oeuvre des bus multiplexés. Ainsi, la chaîne de contrôle commande d'un aéronef comprend des composants interconnectés, parmi lesquels des émetteurs et / ou récepteurs de données tels que des contrôleurs, capteurs ou actionneurs et des équipements de transmission de données tels que des concentrateurs ou des commutateurs. La conception d'une telle chaîne, et notamment le choix de ses composants, nécessite une analyse de fiabilité. Le calcul de la fiabilité d'une transmission entre deux terminaux d'un réseau est défini selon l'art antérieur comme la probabilité qu'il existe au moins un chemin entre ces deux terminaux ne comportant que des composants non défaillants. Selon un mode d'analyse simplifié couramment employé, chaque composant est considéré comme ne comprenant qu'un seul mode de défaillance : le composant fonctionne ou ne fonctionne pas. Un tel composant est, selon l'art antérieur, modélisé par une chaîne de Markov comprenant deux états, associant à chacun de ces états une probabilité d'occurrence. L'analyse de la fiabilité repose sur l'analyse des chaînes de Markov représentatives du comportement des chemins considérés. Cependant, lorsque le réseau comprend à la fois des composants logiciels et des composants matériels, des modèles de défaillance plus élaborés doivent être considérés. Ainsi, pour chaque composant et pour ne citer que quelques exemples, il est nécessaire de considérer : - des défaillances liées à la transmission d'informations : absence intempestive ou présence intempestive de transmission d'information, ce type de défaillance est couramment désigné par la présence d'un composant bavard ou au contraire d'un composant muet ; - des défaillances liées à la valeur de l'information transmise, c'est à dire des défaillances liées à l'intégrité des données ; - des défaillances liées à la date de transmission : transmission tardive ou prématurée de données. La prise en compte de cette pluralité de modes de défaillance dans l'analyse de la fiabilité du réseau, implique la prise en considération de chaînes de Markov beaucoup plus complexes. De plus, certains modes de défaillance peuvent être propageants, c'est-à-dire qu'une telle défaillance d'un composant affecte la capacité de transmission de données d'autres composants alors que ceux-ci ne sont pas, eux mêmes, défaillants. C'est par exemple le cas d'un composant dit bavard, qui en transmettant sans interruption des données sur le réseau obère toute transmission de données d'autres composants. L'analyse de la fiabilité d'un réseau de contrôle-commande de ce type par les méthodes connues de l'art antérieur, conduit à une explosion combinatoire et ne peut être réalisée, y compris par la mise en oeuvre de moyens de calcul puissants. Ainsi, lorsqu'un réseau comprend N composants ayant chacun m modes de défaillance la taille de la chaîne de Markov pour analyser un tel réseau est de mN, de sorte qu'il est très délicat, voir impossible d'optimiser de manière systématique le choix des composants et l'architecture d'un tel réseau pour en assurer la fiabilité de fonctionnement. Par suite, une telle optimisation repose, selon l'art antérieur, en grande partie sur l'expérience de l'analyste, lequel se trouve dépassé lorsque le combinatoire explose. Ainsi, le processus d'optimisation est long, et en pratique très limité, puisqu'il nécessite des échanges entre l'architecte réseau et l'analyste fiabiliste, ce qui ne favorise pas la création de boucles d'optimisation. L'invention vise à remédier à ces inconvénients de l'art antérieur et concerne à cette fin un procédé pour l'analyse de la fiabilité et l'optimisation d'un réseau de composants, chacun de ces composants pouvant présenter des modes de défaillance complexes, lequel procédé permet de contenir l'explosion combinatoire et peut être mené pour tout ou partie de manière automatisée. Ainsi l'invention concerne un procédé pour la conception et la fabrication d'une 5 chaîne de composants en réseau selon une contrainte S, lequel procédé comprend les étapes consistant à : a. obtenir un niveau de fiabilité f visé ; b. construire une architecture du réseau en sélectionnant des composants dans une base de données, chaque composant étant associé à un 10 enregistrement d'une chaîne de Markov comprenant plus de deux états, et à une valeur relative à s, laquelle architecture comprend : bi. plus de deux composants ; biii. deux terminaux i et j interconnectés c. déterminer la fiabilité f, de l'architecture construite entre les composants 15 i et j et la valeur S, de la chaîne de composants ; d. déterminer l'influence de chaque composant de la chaîne sur la fiabilité de ladite chaîne entre les composants i et j; e. classer les composants dans une liste L en fonction de leur influence sur la fiabilité de la chaîne construite à l'étape b) entre les composants i et j ; 20 f. modifier les composants de la chaîne en fonction de f, de L, de f, et de , g. reprendre les étapes c) à f) jusqu'à ce que les différence (f-f,) et (S-S) soient acceptables ; h. approvisionner les composants de la chaîne obtenue à l'étape g) et 25 construire le réseau au moyen desdits composants. Le procédé objet de l'invention permet une conception automatisée ou semi- automatisée d'un réseau de composants devant répondre à une fonction, à un niveau de fiabilité et à une contrainte S, S pouvant relever de différents critères tels que la masse, le coût, la tenue au feu, sans que cette liste ne soit exhaustive. Un tel processus 30 au moins semi-automatisé n'était pas envisagé selon l'art antérieur du fait de l'explosion combinatoire des modes de défaillance qui ne permettait pas la réalisation de l'étape c), de sorte la prédétermination d'un niveau de fiabilité à atteindre selon l'étape a), bien que de pratique courante, était problématique et source de difficultés donc avec un impact sur les délais de développement de tels réseaux de composants. Ainsi, le procédé objet de l'invention permet la réalisation de chaînes de composants plus fiables tout en répondant à des contraintes de réalisation plus sévères. The invention relates to a method for the design and manufacture of a chain of networked components and a network obtained by such a method. The invention is more particularly, but not exclusively adapted to the design and optimization of a multiplexed control-command network. The invention is also adapted to the optimized design, according to one or more constraints, of a device whose operation is based on multiple interacting components according to a mechanical, hydraulic, electrical or fluidic network. The invention aims more particularly but not exclusively the aeronautical field. Taking this example of the aeronautical field, control-command devices evolve in the direction of increasing complexity with the preponderant intervention of IT. At the same time, the demand for reliability is increasing and all this must be done in compliance with fairly severe mass constraints. The components of the control-command chain also become more complex and the chain integrates software components in addition to the hardware components, which software components add additional failure modes. In order to meet ever-increasing mass constraints, the control devices -command based on point-to-point connections give way to devices using multiplexed buses. Thus, the control chain of an aircraft comprises interconnected components, including transmitters and / or data receivers such as controllers, sensors or actuators and data transmission equipment such as hubs or switches. The design of such a chain, and in particular the choice of its components, requires a reliability analysis. The calculation of the reliability of a transmission between two terminals of a network is defined according to the prior art as the probability that there is at least one path between these two terminals comprising only non-faulty components. According to a simplified analysis mode commonly used, each component is considered to include only one failure mode: the component works or does not work. Such a component is, according to the prior art, modeled by a Markov chain comprising two states, associating with each of these states a probability of occurrence. The reliability analysis is based on the analysis of the Markov chains representative of the behavior of the considered paths. However, when the network includes both software components and hardware components, more sophisticated failure models need to be considered. Thus, for each component and to quote only a few examples, it is necessary to consider: - failures related to the transmission of information: inadvertent absence or inadvertent presence of information transmission, this type of failure is commonly designated by the presence of a talkative component or a mute component; - failures related to the value of the information transmitted, ie failures related to the integrity of the data; - failures related to the date of transmission: late or premature transmission of data. Taking into account this plurality of failure modes in the analysis of the reliability of the network implies the consideration of much more complex Markov chains. In addition, some failure modes may be propagating, i.e. such a component failure affects the data transmission capability of other components while these are not, themselves, failing. This is for example the case of a so-called talkative component, which continuously transmitting data on the network obviates any transmission of data from other components. The analysis of the reliability of a control-command network of this type by the methods known from the prior art, leads to a combinatorial explosion and can not be achieved, including by the implementation of powerful computing means . Thus, when a network comprises N components each having m failure modes, the size of the Markov chain for analyzing such a network is of mN, so that it is very difficult, or even impossible, to systematically optimize the choice. components and architecture of such a network to ensure the reliability of operation. As a result, such an optimization rests, according to the prior art, largely on the experience of the analyst, which is exceeded when the combinatorial explodes. Thus, the optimization process is long, and in practice very limited, since it requires exchanges between the network architect and the reliability analyst, which does not favor the creation of optimization loops. The aim of the invention is to overcome these disadvantages of the prior art and to this end concerns a method for the analysis of the reliability and the optimization of a network of components, each of these components being able to present complex failure modes. which method makes it possible to contain the combinatorial explosion and can be carried out for all or part in an automated manner. Thus the invention relates to a method for the design and manufacture of a string of S-constrained network components, which method comprises the steps of: a. obtain a level of reliability f targeted; b. constructing a network architecture by selecting components in a database, each component being associated with a record of a Markov chain having more than two states, and a value relative to s, which architecture comprises: bi. more than two components; biii. two interconnected terminals i and j c. determining the reliability f of the architecture constructed between the components i and j and the value S of the component chain; d. determining the influence of each component of the chain on the reliability of said chain between the components i and j; e. classifying the components in a list L according to their influence on the reliability of the chain built in step b) between the components i and j; F. modify the components of the chain as a function of f, L, f, and g. repeat steps c) to f) until the differences (f-f,) and (S-S) are acceptable; h. supplying the components of the chain obtained in step g) and constructing the network by means of said components. The method which is the subject of the invention allows an automated or semi-automated design of a network of components having to respond to a function, to a level of reliability and to an S, S constraint that can be assigned to different criteria such as mass, cost, fire resistance, without this list being exhaustive. Such an at least semi-automated process was not envisaged according to the prior art because of the combinatorial explosion of the modes of failure which did not allow the realization of step c), so that the predetermination of a level of reliability to be achieved according to step a), although of current practice, was problematic and therefore a source of difficulties, with an impact on the development time of such component networks. Thus, the method that is the subject of the invention makes it possible to produce more reliable component chains while meeting more stringent production constraints.
L'invention peut être mise en oeuvre selon les modes de réalisation avantageux exposés ci-après, lesquels peuvent être considérés individuellement ou selon toute combinaison techniquement opérante. Avantageusement, chaque composant du réseau construit à l'étape b) du procédé objet de l'invention, comprend un état dit de fonctionnement et une pluralité d'états dits 10 de défaillance et l'étape c) comprend des étapes consistant à, séquentiellement : ci. déterminer les chemins entre les terminaux i et j ; cii. rechercher pour chaque chemin déterminé à l'étape ci) des combinaisons d'états des composants du réseau telles que la transmission par ledit chemin soit possible ; 15 ciii. déterminer à partir des combinaisons identifiées à l'étape cii) un ensemble correspondant aux états admissibles des composants du réseau tels que la transmission par n'importe quel des chemins déterminé à l'étape ci) soit possible ; civ. déterminer la probabilité de défaillance de la transmission en 20 fonction de la combinaison des probabilités des états de l'ensemble déterminé à l'étape ciii). Ainsi, ce procédé séquentiel qui consiste, par l'analyse de la topologie du réseau, à concentrer l'attention sur les groupes de composants pertinents à chaque étape, permet de réduire de manière considérable le nombre de combinaisons à étudier et 25 évite l'explosion combinatoire du problème. Ainsi, une expression analytique de la fiabilité du réseau, en fonction des caractéristiques des composants dudit réseau, est obtenue à l'issue de l'étape civ), laquelle expression analytique est avantageusement utilisée pour sélectionner les composants les plus critiques en fonction de leurs modes de défaillance les plus critiques également. 30 Avantageusement, chaque composant est modélisé par un chaîne de Markov, enregistrée dans la base de données, laquelle chaîne comprend plus de deux états, lesdits états étant regroupés en 3 sous-ensembles : - un sous ensemble des états de bon fonctionnement ; - un sous ensemble des états de défaillance non propageante ; - un sous ensemble des états de défaillance propageante, tel que la défaillance propageante n'a d'effet sur les composants adjacents du composant considéré. The invention can be implemented according to the advantageous embodiments described below, which can be considered individually or in any technically operative combination. Advantageously, each component of the network constructed in step b) of the method which is the subject of the invention comprises a so-called operating state and a plurality of so-called failure states and step c) comprises steps consisting of, sequentially : this. determine the paths between the terminals i and j; cii. search for each path determined in step ci) combinations of states of network components such that the transmission by said path is possible; 15 ciii. determining from the combinations identified in step cii) a set corresponding to the allowable states of the network components such that transmission by any of the paths determined in step ci) is possible; Civ. determine the probability of failure of the transmission as a function of the combination of the probabilities of the states of the set determined in step ciii). Thus, this sequential method which, by analyzing the network topology, focuses attention on the groups of components relevant to each step, considerably reduces the number of combinations to be studied and avoids the number of combinations to be studied. combinatorial explosion of the problem. Thus, an analytical expression of the reliability of the network, as a function of the characteristics of the components of said network, is obtained at the end of the step civ), which analytical expression is advantageously used to select the most critical components according to their most critical failure modes as well. Advantageously, each component is modeled by a Markov chain, recorded in the database, which chain comprises more than two states, said states being grouped into 3 subsets: a subset of the states of good operation; a subset of non-propagating failure states; a subset of propagating failure states, such as propagation failure, has no effect on the adjacent components of the considered component.
Ainsi, l'analyse conduite à l'étape c) du procédé objet de l'invention, est simplifiée et plus rapide et permet de limiter le nombre d'états de défaillance à p avec p<m de sorte que lorsque N est grand les gain sur le nombre de combinaisons à étudier est considérable. En effet, selon un mode de réalisation particulier de ce procédé, la combinaison 10 d'états obtenue à l'étape cii) est déterminée par : cl tous les composants du chemin entre i et j sont dans leur état de fonctionnement, et ; c2 tous les composants adjacents à un composant se trouvant sur le chemin entre i et j sont dans leur état de fonctionnement ou dans un état de 15 défaillance non propageante ; c3 les combinaisons d'états ainsi déterminées étant stockées pour chaque chemin. Avantageusement, l'étape ciii) est réalisée en effectuant l'union des ensembles stockés à l'étape c3). 20 Selon un mode de réalisation particulier, le procédé objet de l'invention est adapté à la conception d'un réseau de contrôle-commande multiplexé. Ainsi, le procédé objet de l'invention permet d'analyser la fiabilité d'un tel réseau et d'optimiser ledit réseau en fonction de contraintes prédéfinies, notamment en présence de composants présentant des modes de défaillance propageants. 25 Selon un autre mode de réalisation particulier, le procédé objet de l'invention est adapté à la réalisation d'un réseau fluidique. Ainsi le procédé objet de l'invention permet la réalisation d'un tel réseau, optimisé selon une démarche systématique et tenant compte de modes de défaillance propageants dans de tels réseaux, les composants desdits réseaux étant, selon l'art antérieur, analysés selon des modes de défaillance 30 simples : le composant fonctionne ou ne fonctionne pas. L'invention concerne également un circuit carburant, notamment pour aéronef, obtenu par le procédé selon ce dernier mode de réalisation. Thus, the analysis carried out in step c) of the method which is the subject of the invention is simplified and faster and makes it possible to limit the number of failure states to p with p <m so that when N is large the gain on the number of combinations to study is considerable. Indeed, according to a particular embodiment of this method, the combination of states 10 obtained in step cii) is determined by: all components of the path between i and j are in their operating state, and; c2 all components adjacent to a component on the path between i and j are in their operating state or in a non-propagating failure state; c3 the state combinations thus determined being stored for each path. Advantageously, step ciii) is performed by performing the union of sets stored in step c3). According to a particular embodiment, the method which is the subject of the invention is adapted to the design of a multiplexed control-command network. Thus, the method which is the subject of the invention makes it possible to analyze the reliability of such a network and to optimize said network according to predefined constraints, in particular in the presence of components exhibiting propagation failure modes. According to another particular embodiment, the method which is the subject of the invention is suitable for producing a fluidic network. Thus, the method that is the subject of the invention makes it possible to produce such a network, optimized according to a systematic approach and taking into account propagating failure modes in such networks, the components of said networks being, according to the prior art, analyzed according to single failure modes: the component is working or not working. The invention also relates to a fuel system, in particular for an aircraft, obtained by the method according to this last embodiment.
L'invention est exposée ci-après selon ses modes de réalisation préférés, nullement limitatifs, et en référence aux figures 1 à 7, dans les quelles : - la figure 1 illustre un exemple de réseau comportant cinq composants représentés par des noeuds dudit réseau ; - les figures 2A et 2B illustrent deux exemples de chemins de longueur minimale entre deux des noeuds du réseau de la figure 1 ; - la figure 3 est un tableau montrant l'ensemble des états admissibles des composants du réseau de la figure 1 pour que la transmission de données soit possible par les chemins de la figure 2 ; - la figure 4 est un exemple d'architectures alternatives, figures 4A et 4B, d'un circuit de carburant redondé ; - la figure 5 montre les graphes de fiabilité correspondant respectivement, figures 5A et 5B aux architectures alternatives du circuit carburant de la figure 4; - la figure 6 est un organigramme d'un exemple de réalisation du procédé objet de la l'invention ; - et la figure 7 représente symboliquement la liaison entre les états de fonctionnement et les états de défaillance d'un composant 1. Figure 1, selon un exemple illustratif, un réseau (100), par exemple un réseau de contrôle-commande, comprend 5 composants, dont 3 terminaux (110, 120, 130), représentés respectivement par les noeuds a,b et c, et deux concentrateurs (140, 150) représentés respectivement par les noeuds d et e. Selon un exemple de réalisation du procédé objet de l'invention, celui-ci porte sur l'analyse de la transmissions des données entre le terminal a (110) et terminal b (120). Selon une notation généralisée, le kème chemin entre les noeuds i et j est noté Pink Figure 2, entre les terminaux a et b, un premier chemin Pab' (210) passant par le noeud d peut être défini ainsi qu'un second chemin Pab2 (220) passant par le noeud e peuvent être définis. En désignant par : - X° l'ensemble des états de bon fonctionnement du composant i ; - XF l'ensemble des états de défaillances non propageantes du composant i ; - et par 7 l'ensemble des états de défaillances propageantes du noeud i. Les états de bon fonctionnement étant limités à un seul état, soit card(X°) = 1 . The invention is explained below according to its preferred embodiments, in no way limiting, and with reference to FIGS. 1 to 7, in which: FIG. 1 illustrates an exemplary network comprising five components represented by nodes of said network; FIGS. 2A and 2B illustrate two examples of paths of minimum length between two of the nodes of the network of FIG. 1; FIG. 3 is a table showing the set of acceptable states of the network components of FIG. 1 so that data transmission is possible by the paths of FIG. 2; FIG. 4 is an example of alternative architectures, FIGS. 4A and 4B, of a redundant fuel circuit; FIG. 5 shows the corresponding reliability graphs respectively, FIGS. 5A and 5B, to the alternative architectures of the fuel circuit of FIG. 4; FIG. 6 is a flow chart of an exemplary embodiment of the method that is the subject of the invention; and FIG. 7 symbolically represents the link between the operating states and the failure states of a component 1. FIG. 1, according to an illustrative example, a network (100), for example a control-command network, comprises components, including 3 terminals (110, 120, 130), respectively represented by the nodes a, b and c, and two concentrators (140, 150) respectively represented by the nodes d and e. According to an exemplary embodiment of the method which is the subject of the invention, this relates to the analysis of the transmissions of data between the terminal a (110) and terminal b (120). According to a generalized notation, the k th path between the nodes i and j is denoted Pink Figure 2, between the terminals a and b, a first path Pab '(210) passing through the node d can be defined as well as a second path Pab2 (220) passing through the node e can be defined. By designating by: - X ° all the states of good functioning of the component i; XF the set of non-propagating failure states of the component i; and by 7 all the states of propagating failures of the node i. The states of good functioning being limited to a single state, ie card (X °) = 1.
Figure 3, le tableau donne les combinaisons d'ensembles d'états admissibles pour les deux chemins (210, 220) déterminés ci-avant, le signe u désignant l'union des ensembles d'états. Ainsi, les composants a (110) et b (120) doivent être dans leur état de fonctionnement Xa° etXb° quelque soit le chemin. À contrario, le composant c (130) qui n'est jamais sur un chemin de transmission mais qui est systématiquement adjacent à un composant du chemin, quelque soit le chemin, ne doit pas se trouver dans un état de défaillance qui se propage. Ainsi, si l'ensemble des états tels que la transmission entre les noeuds i et j est possible par le chemin Pink pour un composant / est noté alors : c'est-à-dire : L'état du réseau à un instant donné est la combinaison des états actifs des 15 composants à cet instant. Une combinaison caractéristique comporte donc autant de termes que de composants du réseau. L'ensemble : In FIG. 3, the table gives the combinations of admissible state sets for the two paths (210, 220) determined above, the sign u denoting the union of the sets of states. Thus, the components a (110) and b (120) must be in their operating state Xa ° and Xb ° whatever the path. Conversely, the component c (130) which is never on a transmission path but which is always adjacent to a component of the path, whatever the path, must not be in a state of failure that propagates. Thus, if the set of states such as the transmission between the nodes i and j is possible by the Pink path for a component / is then noted: that is to say: The state of the network at a given instant is the combination of active states of the components at this time. A characteristic combination therefore comprises as many terms as network components. All :
des combinaisons admissibles pour une transmission selon un chemin Pz~k est donné par: 20 L'ensemble des états admissibles pour tous les chemins, noté Co s'obtient en réalisant l'union des ensembles de combinaisons admissibles pour chaque chemin, soit : Ainsi cet ensemble des états admissibles pour tous les chemins entre a (110) et b (120) est donné par : F C Ainsi, cet ensemble ne comprend que 6 combinaisons d'états parmi les 35 soit 243 états que contient la chaîne de Markov décrivant le comportement de ce réseau. Ainsi, la réalisation des étapes ci) à ciii) du procédé selon l'invention permet de réduire considérablement la dimension du modèle. L'étape civ) du procédé objet de l'invention est réalisée en effectuant la somme des probabilités de chacune des combinaisons d'états admissibles. En notant la probabilité de l'ensemble de l'état de fonctionnement X° du composant i et i;la fiabilité de la transmission entre les noeuds i et j, alors la fiabilité de la transmission entre les noeuds a (110) et b (120) du réseau (100) s'écrit : ùo, Connaissant, par l'intermédiaire des données constructeur, ou à partir d'essai les valeurs des probabilités de défaillance correspondantes de chacun des composant il est alors facile de simuler l'influence des divers composants sur la fiabilité de transmission et ainsi d'optimiser la construction du réseau de contrôle-commande. Figure 7, le comportement de chaque composant, 1, est ainsi décrit par une chaîne de Markov à trois états : et Des taux de défaillance X et X f sont associés à chacun de ces états, et caractérisent respectivement le risque que le composant l passe d'un état de bon fonctionnement xj K à un mode de défaillance x, ou à un mode de défaillance xP susceptible de se propager aux composants adjacents. Les taux de défaillance définissent une probabilité de défaillance fonction du temps de fonctionnement, t, la probabilité de défaillance étant généralement d'autant plus forte que le temps de fonctionnement visé est important. Ainsi, pour un composant l : Ainsi, connaissant les taux de défaillance de chacun des composants/du réseau, une expression analytique de la fiabilité du réseau est obtenue en fonction de son temps t de fonctionnement par exemple. Avantageusement les valeurs des taux de défaillance de chaque composants sont enregistrées dans une base de données de sorte qu'elles sont attachées aux composants dès la construction de l'architecture. D'autres valeurs relatives au composant sont enregistrées dans cette base de données, notamment sa masse ou son coût. Par ailleurs, plusieurs taux de défaillance peuvent être définis en fonction d'autres contraintes externes, de manière similaire au temps de fonctionnement, ces contraintes externes peuvent être la température, des taux de rayonnement reçu, des distances parcourues, des quantités transportées ou tout autre variable relative au fonctionnement du composant ayant un effet cumulatif sur sa probabilité de défaillance. Finalement, dans le but de simplifier les écritures, ces exemples sont donnés dans le cas de valeurs constantes et uniformes sur le domaine étudié. Le procédé objet de l'invention est cependant adapté à des représentation mathématiques du taux de défaillance par des fonctions. De telles fonctions peuvent être représentées par des paramètres de loi d'usure ou d'érosion telles que des lois de Weibull. Figure 4, selon un exemple d'application du procédé objet de l'invention, celui-ci est utilisé pour analyser deux architectures alternatives, figures 4A et 4B, d'un circuit carburant. Les figures 4A et 4B montrent ainsi une représentation simplifiée des éléments essentiels d'un circuit de carburant redondé. Ledit circuit comprend deux réservoirs (401, 402), lesquels sont mis en communication avec un moteur (430) par deux conduits (421, 422) distincts. Une vanne de sélection (420) ou « bipasse » permet d'alimenter en carburant ledit moteur (430) par l'un ou l'autre des conduits (421, 422). Selon un premier exemple de réalisation, figure 4A, chaque conduit (421, 422) est alimenté par une pompe (411, 412) puisant respectivement dans l'un et l'autre des réservoirs (401, 402). Cette pompe est redondée dans chacun desdits réservoirs par une deuxième pompe (413, 414) de sorte que si l'une des pompes est défectueuse, l'autre pompe puisse prendre le relai et que si l'un des réservoir est vide, le carburant puisse être puisé dans l'autre réservoir. Selon un deuxième exemple de réalisation, figure 4B, chaque conduit (421, 422) est alimenté par une pompe (411, 412) puisant dans l'un des réservoirs, et une pompe de transfert (415) est installée entre le deux réservoirs, de sorte que si l'une des pompe (411, 412) est défectueuse, le contenu du réservoir qui lui est affecté est transféré progressivement dans l'autre réservoir et envoyé vers le moteur par l'autre pompe. Figure 5, chaque architecture de circuit carburant, peut être assimilée à un graphe fonctionnel qui permet de ramener l'étude de la fiabilité d'un tel circuit à celle d'un réseau, de communication entre les réservoir (401, 402), émetteurs et un récepteur, en l'occurrence le moteur (430) ou la vanne bipasse (420). Selon les deux exemples de réalisation, figures 5A et 5B, l'analyse de fiabilité repose sur la construction des chaînes de Markov correspondant aux 4 chemins (501, 502, 503, 504 , 511, 512, 513, 514) entre les terminaux (401, 402, 420) et des composants présents sur ces chemins. Ainsi, les deux architectures peuvent être comparées quantitativement en matière de fiabilité, par exemple pour des temps de fonctionnement donnés. Figure 6, selon un synopsis résumé du procédé objet de l'invention, une première étape (510) de construction consiste ainsi à construire un réseau de composant correspondant à une architecture ou à plusieurs architectures alternatives (450, 460). Cette étape est réalisée par un spécialiste architecte de réseau. Le procédé objet de l'invention est, selon un mode de réalisation préféré, mis en oeuvre au moyen d'un ordinateur. Ainsi, l'architecte choisi ses composants dans une base de données (611), accessible depuis ledit ordinateur. Chaque composant de la base de données (611) est associé à des enregistrements de sa fiabilité sous diverses contraintes cumulatives telles que son temps de fonctionnement, ainsi qu'à des données techniques, tels que sa masse, son coût, son encombrement etc... Selon cet exemple de réalisation particulier, chaque architecture fait l'objet d'une analyse séparée. allowable combinations for transmission along a path Pz ~ k is given by: The set of acceptable states for all paths, denoted by Co, is obtained by realizing the union of the sets of allowable combinations for each path, ie: this set of allowable states for all paths between a (110) and b (120) is given by: FC Thus, this set includes only 6 state combinations out of the 35 or 243 states contained in the Markov chain describing the behavior of this network. Thus, the performance of steps ci) to ciii) of the method according to the invention makes it possible to considerably reduce the size of the model. The civ step) of the method which is the subject of the invention is carried out by performing the sum of the probabilities of each of the admissible state combinations. By noting the probability of the whole of the operating state X ° of the component i and i, the reliability of the transmission between the nodes i and j, then the reliability of the transmission between the nodes a (110) and b ( 120) of the network (100) is written: ùo, Knowing, through the manufacturer data, or from test the values of the corresponding probabilities of failure of each of the components, it is then easy to simulate the influence of the various components on the transmission reliability and thus optimize the construction of the control-command network. Figure 7, the behavior of each component, 1, is thus described by a three-state Markov chain: and X and X f failure rates are associated with each of these states, and respectively characterize the risk that the component l passes from a state of good condition xj K to a failure mode x, or to a failure mode xP that can propagate to adjacent components. The failure rates define a probability of failure depending on the operating time, t, the probability of failure being generally higher when the target operating time is important. Thus, for a component 1: Thus, knowing the failure rates of each of the components / network, an analytical expression of the reliability of the network is obtained as a function of its time t of operation for example. Advantageously, the values of the failure rates of each component are recorded in a database so that they are attached to the components as soon as the architecture is constructed. Other values related to the component are stored in this database, including its mass or cost. Moreover, several failure rates can be defined according to other external constraints, similar to the operating time, these external constraints can be temperature, received radiation rates, distances traveled, quantities transported or any other variable relating to the operation of the component having a cumulative effect on its probability of failure. Finally, in order to simplify the writing, these examples are given in the case of constant and uniform values on the field studied. The method which is the subject of the invention is however adapted to mathematical representations of the failure rate by functions. Such functions may be represented by wear or erosion law parameters such as Weibull laws. Figure 4, according to an exemplary application of the method of the invention, it is used to analyze two alternative architectures, Figures 4A and 4B, a fuel system. FIGS. 4A and 4B thus show a simplified representation of the essential elements of a redundant fuel circuit. Said circuit comprises two reservoirs (401, 402), which are communicated with a motor (430) by two separate conduits (421, 422). A selector valve (420) or "bypass" makes it possible to supply said motor (430) with fuel via one or other of the conduits (421, 422). According to a first exemplary embodiment, FIG. 4A, each duct (421, 422) is fed by a pump (411, 412) drawing respectively into one and the other of the reservoirs (401, 402). This pump is redundant in each of said tanks by a second pump (413, 414) so that if one of the pumps is defective, the other pump can take the relay and if one of the tanks is empty, the fuel can be drawn from the other tank. According to a second exemplary embodiment, FIG. 4B, each duct (421, 422) is fed by a pump (411, 412) drawing from one of the reservoirs, and a transfer pump (415) is installed between the two reservoirs, so that if one of the pumps (411, 412) is defective, the contents of the tank assigned to it is gradually transferred to the other tank and sent to the engine by the other pump. FIG. 5, each fuel circuit architecture, can be likened to a functional graph which makes it possible to reduce the study of the reliability of such a circuit to that of a network, of communication between the tanks (401, 402), transmitters and a receiver, in this case the motor (430) or the bypass valve (420). According to the two exemplary embodiments, FIGS. 5A and 5B, the reliability analysis is based on the construction of the Markov chains corresponding to the 4 paths (501, 502, 503, 504, 511, 512, 513, 514) between the terminals ( 401, 402, 420) and components present on these paths. Thus, the two architectures can be compared quantitatively in terms of reliability, for example for given operating times. FIG. 6, according to a summary synopsis of the method which is the subject of the invention, a first construction step (510) thus consists in constructing a component network corresponding to one or more alternative architectures (450, 460). This step is performed by a specialist network architect. The method of the invention is, according to a preferred embodiment, implemented by means of a computer. Thus, the architect chooses his components in a database (611), accessible from said computer. Each component of the database (611) is associated with records of its reliability under various cumulative constraints such as its running time, as well as technical data, such as its mass, its cost, its size etc. According to this particular embodiment, each architecture is the subject of a separate analysis.
Selon une étape d'interprétation (615) le graphe (616) correspondant à l'architecture étudiée est généré. Au cours d'une étape (620) de cadrage de l'analyse, les chemins à étudier sont construits en fonction des renseignements (621) introduits, c'est-à-dire, notamment, les composants i et j entre lesquels la fiabilité du réseau doit être analysée. Ces renseignements (621) comprennent également, le cas échéant, le contexte d'optimisation et les contraintes par rapport auxquelles les choix des composants et de l'architecture doivent êtres optimisés. Cette étape (620) peut être réalisée par l'architecte ou par un analyste fiabiliste. Ainsi, la mise en oeuvre du procédé objet de l'invention par ordinateur permet un dialogue aisé entre les deux fonctions professionnelles. Ainsi, au cours de cette étape, un objectif de fiabilité f peut être introduit de même qu'un ou plusieurs objectifs S relatifs à des contraintes données. Selon une étape de calcul (630) la fiabilité, f, et la réalisation S, du réseau relative à la contrainte S sont déterminées à partir des informations associées aux composants dudit réseau dans la base de données (611) et selon la méthode de calcul expilicitée supra. Une série de résultats (631) est produite comprenant notamment des informations sur la fiabilité f, du réseau dans son ensemble et son positionnement S, par rapport à la contrainte S visée, mais aussi une classification individuelle, il, des composants du réseau en regard de leur influence tant sur la fiabilité dudit réseau que par rapport au respect de la contrainte. Cette capacité de classement des composants, provient de la possibilité d'exprimer la fiabilité du réseau par une équation analytique. Au cours d'une étape de décision (640) si le niveau de fiabilité f, du réseau diffère de manière acceptable de l'objectif de fiabilité f et que le niveau S, de respect de la contrainte S est acceptable, alors l'architecture et le choix des composants sont validés et le réseau est construit au cours d'une étape (660) de réalisation. Le respect des objectifs peut être jugé par les quantités (f-f,) et (S-S1) ou par tout autre critère, notamment les ratios f,/f ou S/S. Si, en revanche, le niveau de fiabilité ou la réalisation de la contrainte visée ne sont pas atteints, alors le choix des composants est modifié (650) en fonction notamment du classement de leur influence sur le résultat final et le processus est recommencé à partir de l'étape (615) de construction du graphe. Alternativement, l'architecture peut être modifiée, ou l'analyse précédente peut être conduite de manière comparative sur les deux architectures. According to an interpretation step (615), the graph (616) corresponding to the studied architecture is generated. During a step (620) of scoping the analysis, the paths to be studied are built according to the information (621) introduced, that is to say, in particular, the components i and j between which the reliability network must be analyzed. This information (621) also includes, where appropriate, the optimization context and the constraints against which the choice of components and architecture must be optimized. This step (620) can be performed by the architect or by a reliability analyst. Thus, the implementation of the method of the invention by computer allows easy dialogue between the two professional functions. Thus, during this step, a reliability objective f can be introduced as well as one or more objectives S relating to given constraints. According to a calculation step (630) the reliability, f, and the realization S, of the network relating to the constraint S are determined from the information associated with the components of said network in the database (611) and according to the calculation method expilicitée supra. A series of results (631) is produced including in particular information on the reliability f, the network as a whole and its positioning S, with respect to the constraint S referred to, but also an individual classification, it, of the components of the network opposite. their influence on both the reliability of the network and the respect of the constraint. This capacity of classification of the components, comes from the possibility of expressing the reliability of the network by an analytical equation. During a decision step (640) if the reliability level f, of the network is acceptablely different from the reliability objective f and the S-level, of the constraint S is acceptable, then the architecture and the choice of components are validated and the network is constructed during a step (660) of realization. The respect of the objectives can be judged by the quantities (f-f,) and (S-S1) or by any other criterion, in particular the ratios f, / f or S / S. If, on the other hand, the level of reliability or the achievement of the target constraint is not achieved, then the choice of components is modified (650) according to the classification of their influence on the final result and the process is restarted from of step (615) of construction of the graph. Alternatively, the architecture can be modified, or the previous analysis can be conducted in a comparative way on both architectures.
La mise en oeuvre du procédé objet de l'invention par ordinateur et l'obtention de résultats quantitatifs et analytiques se prêtant à une analyse variationnelle permet d'automatiser tout ou partie du procédé et de baser les choix, tant de composants que d'architecture sur des éléments factuels et quantifiés, toute en permettant un enrichissement progressif de la base de donnée (611). De plus, ces conditions de mise en oeuvre du procédé objet de l'invention favorisent et accélèrent le dialogue entre architecte et analyste fiabiliste, permettant l'obtention rapide de réseaux optimisés et la réduction des délais de développement de tels réseaux. The implementation of the method that is the subject of the invention by computer and the obtaining of quantitative and analytical results amenable to a variational analysis makes it possible to automate all or part of the process and to base the choices, both of components and of architecture on factual and quantified elements, while allowing a progressive enrichment of the database (611). In addition, these conditions for implementing the method that is the subject of the invention favor and accelerate the dialogue between architect and reliability analyst, making it possible to quickly obtain optimized networks and to reduce the development delays of such networks.