Florent Brissaud
email: florent.brissaud@ineris.fr

Dominique Charpentier

Anne Barros

Christophe Bérenguer

FIABILITÉ DES CAPTEURS-TRANSMETTEURS INTÉGRANT DES FONCTIONNALITÉS NUMÉRIQUES RELIABILITY OF TRANSMITTERS BASED ON DIGITAL FUNCTIONALITIES

Les travaux présentés s'inscrivent dans le cadre d'une thèse réalisée à l'INERIS et sous la direction scientifique de l'UTT. Ils portent sur l'évaluation de la fiabilité des capteurs-transmetteurs intégrant des fonctionnalités numériques. Ces systèmes sont communément qualifiés « d'intelligents » car capables d'effectuer des fonctionnalités innovantes de types autodiagnostics, autocorrections d'erreurs, et reconfigurations. De plus, ils peuvent exploiter une communication numérique bidirectionnelle afin de réaliser des opérations en « collaboration ». L'évaluation de ces capteurs a tout d'abord considéré ces derniers de façon « autonome » en développant une modélisation qui tienne compte des interactions internes (matérielles et fonctionnelles), à partir de laquelle des analyses de fiabilité ont été proposées. De plus, les incertitudes liées aux comportements dysfonctionnels et souvent mal connus de ces systèmes ont été traitées. Ensuite, une approche plus « systémique » a été développée, intégrant ces capteurs dans un système de contrôle relatif à la sécurité, et prenant en compte les interactions entre tous les éléments du système, ainsi qu'avec le processus contrôlé, traitant alors avec des problèmes de fiabilité dynamique.

Summary

These works are part of a PhD thesis performed at the INERIS, under the scientific supervision of the UTT, and about the reliability of digital-based transmitters. These systems are commonly described as "intelligent" since they are able to perform innovative functionalities such as self-diagnoses, error measurement corrections, self-adjustments, and on-line reconfigurations. Moreover, they may take advantage of a bidirectional digital communication to perform "cooperating" operations. First, an "intelligent transmitter" modelling has been developed, which includes material and functional interactions, and reliability analyses have been proposed based on this model, dealing with uncertainties linked to system behaviours under faulty conditions. Then, "intelligent transmitters" taking part of control systems have been considered, taking the system elements interactions into account, as well as the process influences, using a dynamic reliability framework.

Contexte Industriel 1.La Maîtrise des risques technologiques et le contexte réglementaire français

Depuis les Révolutions Industrielles des XVIIIème et XIXème siècles, le développement de nouvelles technologies n'a cessé de croître, et souvent à des allures exponentielles (cf. Lois de Moore). Aujourd'hui, le contexte est celui de la globalisation. Les systèmes doivent alors répondre à de constantes évolutions et à des performances accrues, tout en faisant face à de très fortes contraintes économiques, humaines, et à des ressources limitées. Cela a conduit au développement de technologies de plus en plus critiques pour la sécurité. Les exemples se trouvent dans de nombreux secteurs d'activités : l'énergie (les puissances des centrales, le nucléaire, les exploitations offshores), le transport (la capacité des avions, la vitesse des trains), l'industrie en général (l'utilisation de nouveaux produits, de nouvelles technologies). La maîtrise des risques liés aux activités technologiques est alors devenue une nécessité sociétale, environnementale, et économique. Pour répondre aux exigences de l'ensemble de ces domaines, l'évaluation des risques doit faire face à plusieurs défis, dont celui de prendre en compte de la manière la plus efficace et la plus réaliste toute la complexité grandissante des systèmes.

Un risque est caractérisé par un scenario (ou un évènement), une probabilité (ou parfois une fréquence), et une gravité (conséquences non désirées). L'approche naturelle et la plus complète d'une évaluation d'un risque est donc une approche probabiliste. En France, les évaluations probabilistes des risques ne sont pas nouvelles en ce qui concerne les centrales nucléaires. En revanche, pour l'industrie en général, la réglementation sur la maîtrise des risques technologiques n'a intégré des critères probabilistes qu'après la catastrophe d'AZF à Toulouse, en septembre 2001. Ce sont les plans de prévention des risques technologiques (PPRT), créés par la « loi Risques » du 30 juillet 2003, puis précisée par le décret du 7 septembre 2005, qui introduisent pour la première fois la notion « d'aléa technologique », modifiant ainsi un cadre réglementaire « déterministe » établi au milieu des années 1970 [START_REF]Le plan de prévention des risques technologiques (PPRT) -Guide méthodologique[END_REF]. Les PPRT reposent principalement sur la réglementation des installations classées pour la protection de l'environnement (ICPE), qui est régie par le Code de l'Environnement (cf. Livre V). Les ICPE comprennent les régimes de déclaration (D), d'enregistrement (E), et d'autorisation avec ou sans servitudes d'utilité publique (A ou AS). Les PPRT concernent les établissements AS, (plus de 600 en France), dits aussi « SEVESO seuil haut » selon les directives européennes, et visent à maîtriser l'urbanisation aux abords de ces installations. Avec la « loi Risques », la réglementation sur les études de danger (EDD) a également évolué afin d'intégrer des critères probabilistes, en particulier via l'arrêté du 29 septembre 2005. Ainsi, toutes les ICPE soumises à autorisation (A ou AS), (environ 50.000 en France), doivent fournir une EDD qui a pour but de caractériser, analyser, évaluer, prévenir et réduire les risques de l'installation, ainsi que de préciser l'ensemble des mesures de maîtrise des risques mises en oeuvre. L'EDD donne lieu à « une analyse de risques qui prend en compte la probabilité d'occurrence, la cinétique et la gravité des accidents potentiels selon une méthodologie qu'elle explicite » et « elle définit et justifie les mesures propres à réduire la probabilité et les effets de ces accidents » (cf. Code de l'Environnement, Article L512-1).

Le Rôle de l'INERIS dans la maîtrise des risques technologiques

L'Institut National de l'Environnement Industriel et des Risques (INERIS) est un établissement public à caractère industriel et commercial (EPIC), placé sous la tutelle du Ministère de l'Écologie, de l'Énergie, du Développement Durable et de la Mer (MEEDDM), (appellation en vigueur début 2010). La mission principale de l'INERIS est de réaliser des études et des recherches permettant de prévenir les risques que les activités économiques font peser sur la santé, la sécurité des personnes, les biens, et l'environnement, et de fournir toute prestation destinée à faciliter l'adaptation des entreprises à cet objectif. L'INERIS effectue ainsi à la fois une mission de service public, pour l'État et les collectivités (programmes de recherche, appuis techniques, formations), et des prestations commerciales, d'étude et de conseil, pour des clients privés.

En ce qui concerne la maîtrise des risques technologiques, l'INERIS intervient à deux niveaux : celui des installations industrielles, notamment par la mise en oeuvre de PPRT et la réalisation d'EDD ; et celui des équipements, en particulier par l'évaluation de dispositifs de sécurité. Sur ce dernier point, l'INERIS est doté d'une direction de la certification qui est notamment accréditée pour certifier des systèmes selon les normes en sécurité fonctionnelle CEI 61508 et CEI 61511. Afin de répondre à ses missions, l'INERIS exprime donc des besoins de recherche pour développer des outils méthodologiques et des référentiels pour l'évaluation probabiliste des risques industriels et de la sûreté de fonctionnement des systèmes.

Des Défis liés à l'innovation pour la maîtrise des risques : l'exemple des « capteurs-transmetteurs intelligents »

Le développement de nouvelles technologies nécessite une évolution conjointe des outils méthodologiques d'évaluation des risques et de sûreté de fonctionnement. L'exemple que nous développons dans la suite de ce papier concerne les « capteurstransmetteurs intelligents ». À l'origine, un capteur est destiné à collecter des données issues de grandeurs physiques ou chimiques, exploitables par des systèmes tiers. Depuis les années 1980, l'émergence des microsystèmes électromécaniques a ensuite permis à ces capteurs d'intégrer de façon autonome le traitement de ces données, et ainsi de transmettre des signaux élaborés. Ces capteurs devenus « capteurs-transmetteurs » tirent également profit des technologies numériques pour effectuer des fonctionnalités innovantes, ce qui leur confère communément le qualificatif « d'intelligent » : la correction des erreurs de mesure, l'auto-ajustage, l'autodiagnostic et la validation des informations transmises, la reconfiguration en ligne (métrologique ou fonctionnelle), et la communication numérique et bidirectionnelle [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF]. Les utilisateurs de ces systèmes bénéficient alors de meilleurs résultats de mesures, de réductions de coûts, et de facilité d'utilisation, ce qui conduit à une utilisation de plus en plus répandue des « capteurs-transmetteurs intelligents » dans tous les secteurs industriels, y compris pour des applications liées à la sécurité. De nouvelles problématiques apparaissent alors pour la maîtrise des risques, que nous pouvons par exemple présenter selon des critères de performance relatifs à la sûreté de fonctionnement : la fiabilité, la maintenabilité, et la sécurité.

Du point de vue de la fiabilité, certains défauts ou défaillances peuvent être en partie compensés par des procédures de tolérance aux anomalies (reconfiguration). De plus, les auto-ajustages peuvent prévenir l'apparition de dérives ou d'autres défauts et défaillances qui apparaissent avec le temps, et la communication numérique est souvent jugée plus fiable que l'analogique. En revanche, la plus grande quantité d'électronique, d'unités programmées, et de logiciels, implique de nouvelles causes et modes de défaillance qui sont souvent mal connus et difficiles à appréhender. De plus, chaque défaut ou défaillance peut influencer plusieurs fonctions du système et données transmises (résultats de mesure, informations de diagnostics). Enfin, la communication numérique fait encore l'objet de plusieurs interrogations, notamment face aux causes communes de défaillance. Du point de vue de la maintenabilité, des informations sur les dérives, les facteurs d'influence, les charges de sollicitation, les précédents défauts et défaillances observés avec les circonstances correspondantes, peuvent être surveillés au cours du temps et utilisés pour de la maintenance préventive. De plus, la communication numérique et les reconfigurations en ligne peuvent rendre des maintenances correctives simplifiées et plus efficaces. En revanche, une expertise particulière est nécessaire pour maintenir pleinement de tels systèmes devenus plus complexes. Enfin, du point de vue de la sécurité, les autodiagnostics permettent une meilleure détection des défauts et défaillances, et des états « sûrs » peuvent être définis avec plus de détails. La centralisation des données et la communication numérique peuvent également contribuer à une meilleure efficacité du management des risques. En revanche, les capteurs-transmetteurs deviennent de plus en plus des « boîtes noires » qu'ils convient donc de modéliser et d'analyser avec des outils appropriés.

Une Thèse de doctorat sur la fiabilité des capteurs-transmetteurs intégrant des fonctionnalités numériques

Afin de contribuer à l'effort de recherche et répondre aux défis présentés dans la Section 1.3, une thèse de doctorat a été initiée en 2007 à l'INERIS sur la « modélisation et l'évaluation de la fiabilité des systèmes relatifs à la sécurité intégrant de nouvelles technologies », avec des applications particulières aux « capteurs-transmetteurs à fonctionnalités numériques ». L'encadrement scientifique de cette thèse est assuré par l'Université de Technologie de Troyes (UTT), qui accueille l'Institut Charles Delaunay (ICD) dont le cadre thématique se définit autour des « Sciences et Technologies pour la Maîtrise des Risques ».

La thèse de doctorat s'est alors organisée autour de trois axes : 1) l'évaluation des performances des systèmes relatifs à la sécurité en général, notamment en se référant aux critères définis par la norme CEI 61508 ; 2) l'introduction aux problématiques liées à l'utilisation de nouvelles technologies pour des systèmes relatifs à la sécurité, et l'évaluation de la fiabilité des « capteurs-transmetteurs intelligents » ; 3) la considération des « capteurs-transmetteurs intelligents » en tant qu'éléments de systèmes de contrôle-commande avec des applications liées à la sécurité, et l'évaluation de la fiabilité de ces systèmes. Le premier axe a donné lieu au développement d'expressions analytiques pour l'évaluation des probabilités de défaillance de systèmes relatifs à la sécurité, généralisées aux architectures redondantes et avec la prise en compte de tests de révisions complets et partiels [START_REF] Brissaud | Probability of Failure of Safety-Critical Systems Subject to Partial Tests[END_REF] ; ainsi qu'une méthodologie pour évaluer les taux de défaillance (données d'entrée des expressions précédentes) en fonction des facteurs d'influence propres à chaque système [START_REF] Brissaud | Failure rate evaluation with influencing factors[END_REF]. Le second axe a permis une investigation des notions et des problématiques liées aux « capteurs-transmetteurs intelligents » ; de développer une modélisation de ces systèmes qui permette de répondre aux problématiques identifiées ; et de formaliser l'évaluation de la fiabilité de ces systèmes, sur les bases du modèle proposé. Une partie de ces travaux a été présentée lors du 16ème congrès de maîtrise des risques et de sûreté de fonctionnement (Lambda-Mu 16, à Avignon, en 2008) [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF]. La Section 2 de ce papier s'inscrit dans la continuité de ces travaux en proposant une extension du modèle initial, ainsi que les analyses associées. Enfin, le troisième axe de la thèse est consacré à une approche plus globale (ou « systémique »), prenant en compte les interactions entre plusieurs « capteurstransmetteurs intelligents » d'un même système de contrôle-commande, entre des « capteurs transmetteurs intelligents » et d'autres éléments de ce système, ainsi qu'avec le processus contrôlé, traitant alors avec des problèmes de fiabilité dynamique. Une partie de ces résultats est présentée dans la Section 3 de ce papier.

Fiabilité des « Capteurs-Transmetteurs intelligents » en tant que Systèmes

Problématiques pour l'évaluation de la fiabilité des « capteurs-transmetteurs intelligents »

De précédents travaux de recherche ont été consacrés à la sûreté de fonctionnement de « systèmes distribués » (cf. Section 3.1) dont font généralement partis les « capteurs-transmetteurs intelligents », en étudiant notamment la communication numérique [START_REF] Barger | Dynamic reliability and availability evaluation and validation of distributed systems[END_REF][START_REF] Ghostine | Dependability evaluation of networked control systems under transmission faults[END_REF]. D'une manière générale, les « capteurs-transmetteurs intelligents » sont cependant considérés comme des « boites noires » et leurs fonctionnalités internes ne sont souvent pas prises en compte dans les évaluations. L'évaluation de la fiabilité des « capteurs-transmetteurs intelligents » doit ainsi faire face à plusieurs difficultés : i. la complexité des systèmes, c'est-à-dire que de nombreuses interactions peuvent exister entre les éléments matériels, mais également entre les différentes fonctions du système ; ii.

le comportement du système en présence de défauts ou de défaillances qui est souvent mal connu et difficile à appréhender, notamment en raison de la présence d'unités programmées et de logiciels ; iii.

plusieurs données sont transmises par le système et peuvent être erronées de façon dépendante (résultats de mesure, informations de diagnostic) ; iv. peu de retour d'expérience est disponible (sur les paramètres de fiabilité et les modes de défaillance) de par la nature « nouvelle » des technologies utilisées.

De ce fait, les études qualitatives telles les analyses des modes de défaillance et de leurs criticité (AMDEC) sont difficilement exhaustives à cause des points ii et iv, et limitées dans la prise en compte des défaillances multiples face aux points i et iii. De plus, les outils d'analyses binaires (diagrammes de fiabilité, arbres de défaillance) sont souvent inappropriés en l'état, en particulier à cause des points ii et iii. Enfin, les approches par transitions entre états (chaînes de Markov, réseaux de Petri) doivent faire face à certaines difficultés dans la définition des états et des transitions requis par la modélisation, en particulier à cause des points i et ii.

Modélisation à trois niveaux « 3-Step » : défauts et défaillances -éléments matériels -fonctions

Un modèle à trois niveaux (« 3-step ») a été développé [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF], tout d'abord pour faire face au point i de la Section 2.1. Celui-ci est basé sur les « goal tree-success tree » (GTST) [START_REF] Modarres | Function-centered modeling of engineering systems using the goal tree-success tree technique and functional primitives[END_REF] afin de représenter les aspects fonctionnels et matériels du système, et inclut les défauts et défaillances en tant que troisième composante pour permettre des analyses de fiabilité. L'aspect comportemental est ensuite décrit par des matrices de relations, aussi nommées « master logic diagrams » (MLD), qui permettent de représenter les différentes relations (inter et intra) qui existent entre les défauts ou défaillances, les éléments matériels, et les fonctions du système. Un modèle « générique » pour la modélisation de « capteurs-transmetteurs intelligents », basé sur cette approche, a ainsi pu être proposé [START_REF] Brissaud | Dependability Issues for Intelligent Transmitters and Reliability Pattern Proposal[END_REF].

La formalisation mathématique de ce modèle a ensuite permis de réaliser des analyses de fiabilité de « capteurs-transmetteurs intelligents » [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF]. Les analyses de relations ont été proposées afin d'évaluer les effets de n'importe quel défaut ou défaillance sur n'importe quel élément matériel ou fonction du système, répondant ainsi au point ii de la Section 2.1. Prenant en compte ces effets, les probabilités de dysfonctionnement de chacune des fonctions du système, ainsi que les probabilités de modes de défaillance correspondants, ont pu être évaluées en fonction du temps, répondant alors au point iii de la Section 2.1. Des analyses d'incertitudes ont également été effectuées pour répondre aux problèmes posés par le point iv de la Section 2.1. La sous-section suivante de ce papier propose une extension de ce modèle par l'utilisation de différentes portes logiques, par similitude avec les arbres de défaillance. Pour répondre aux particularités définies dans la Section 2.1, une porte dite « continue », ou « C », est introduite afin de permettre une paramétrisation de nature continue des relations entre les éléments du système (défauts ou défaillances, éléments matériels, fonctions), par opposition aux relations binaires des portes ET et OU.

Extension de la modélisation « 3-Step » avec des portes ET, OU, et C

La Figure 1 propose un extrait d'une modélisation « 3-step » étendue, illustrée par un capteur-transmetteur de gaz par absorption infrarouge. La première partie (mais « 3 ème niveau ») du modèle est une décomposition fonctionnelle du système. Au sommet se trouve la fonction globale, qui est accomplie par l'intermédiaire de fonctions de bases. Les fonctions supports peuvent quant à elles avoir des effets « transversaux » sur les fonctions précédentes (par exemple, sur la Figure 1, l'autoajustage permet de définir des paramètres requis pour traiter les informations de mesure). La seconde partie (et « 2 ème niveau ») du modèle est une décomposition matérielle du système. On y trouve les principaux sous-systèmes utilisés qui fournissent les ressources physiques pour l'accomplissement des fonctions identifiées dans la première partie. Un soussystème peut être constitué de composants regroupés sur des critères « physiques » ou « fonctionnels », et peut ensuite être décomposé en unités de base. Des éléments matériels support peuvent également être identifiés, relatifs par exemple à l'alimentation (ces derniers ne sont pas pris en compte dans l'exemple simplifié de la Figure 1). Enfin, la troisième partie (mais « 1 er niveau ») du modèle dresse un inventaire de tous les défauts et défaillances (la différence entre ces deux notions est ici définie via leurs effets sur la réalisation des fonctions du système) qui peuvent affecter le fonctionnement du système.

Le dysfonctionnement de chaque élément du système (occurrence d'un défaut ou d'une défaillance, défaillance d'un élément matériel, dysfonctionnement d'une fonction) correspond à un évènement, défini par une lettre (et éventuellement un indice) accolée à l'élément en question (sur la Figure 1 : Di, Ui, Mi, Si, Fi, et G). Les relations entre les éléments du système sont alors représentées par des matrices de relations qui utilisent différents types de portes. Les portes ET et OU sont communes aux arbres de défaillances. Sur la Figure 1, le sous-système capteurs de température est par exemple constitué de deux capteurs redondants, et la défaillance de celui-ci (évènement M4) se produit si et seulement si les 1 er et 2 nd capteurs de température sont défaillants (évènements U2 et U3). Pour faire face au caractère indéterminé de certaines relations (modes de défaillance mal définis, comportements mal connus du système en présence de défauts ou de défaillances), des portes à paramètres continus, dites « portes continues » ou « porte C » ont également été introduites. Comme représenté sur la Figure 2 4 représente des résultats de cette fonction de défiabilité avec N = 3, Fi(t) = 1-e -0,001•t pour i = 1,… ,N, et les poids pi donnés dans le Tableau 1. Lorsque tous les poids sont égaux à 0,00, une porte C est alors équivalente à une porte ET (seule la relation dite « logique » peut se produire), et lorsque tous les poids sont égaux à 1,00, une porte C est équivalente à une porte OU (selon les relations dites « directes »). De plus, la structure de tout système cohérent est comprise entre une structure parallèle (c'est-à-dire une porte ET) et série (c'est-à-dire une porte OU) [START_REF] Rausand | System reliability theory; models, statistical methods, and applications[END_REF]. En agissant sur les poids (qui sont des réels), une porte C permet alors de paramétrer de façon continue la structure d'un système entre ces deux extrêmes (cf. Figure 4).

               N i i i N i i i top t F p t F p t F 1 1 ) ( ) 1 ( ) ( 1 1 ) ( {1} La Figure

Premières analyses à partir du modèle « 3-step » étendu

Afin d'effectuer les analyses à partir d'outils disponibles en sûreté de fonctionnement, le modèle de la Figure 1 a été traduit avec des arbres de défaillances, en utilisant des arbres de défaillances équivalents aux portes C (cf. Figure 3) et des évènements fictifs correspondant aux poids de ces portes. La probabilité d'occurrence de chaque défaut ou défaillance (évènement Di avec i = 1, …, 9, cf. Figure 1) avant l'instant t est définie par FDi(t) = 1-e -λi•t , avec les taux de défaillances λi donnés dans le Tableau 2 (colonne « valeur de base »). Pour les portes C, à chaque type de relation telle que représenté sur la Figure 1 (faible, moyenne, forte) est associé un poids qui est défini dans le Tableau 3 (colonne « valeur de base »). Aucune action de maintenance n'a été considérée sur toute la période d'analyse. Les résultats ont alors été obtenus grâce à SimTree, le module d'Aralia WorkShop [START_REF] Workshop | [END_REF] qui permet les analyses d'arbres de défaillances. La probabilité de dysfonctionnement de la fonction globale mesurer la concentration de gaz (évènement G) à l'instant t = 8760 h (i.e. t = 1 an) est alors évaluée à FG(8760 h) = 1,75 •10 -2 .

Des indicateurs cherchant à répondre aux comportements dysfonctionnels mal connus du système (cf. point ii de la Section 2.1) sont obtenus par des analyses de relations [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF]. Ceux-ci permettent d'évaluer les effets de n'importe quel défaut ou défaillance sur n'importe quel élément matériel ou fonction du système. Ils sont calculés comme la probabilité d'un dysfonctionnement, conditionnelle à l'occurrence d'un défaut ou d'une défaillance spécifique et à la non-occurrence des autres défauts et défaillances. Ces indicateurs sont alors fonction des relations entre les éléments du système, mais indépendants du temps t. Pour l'application présentée ici, les analyses de relations portent sur les effets des défauts et défaillances sur le dysfonctionnement de la fonction globale. C'est-à-dire que l'effet du défaut ou de la défaillance i (avec i = 1, …, 9) est calculé comme la probabilité de dysfonctionnement de la fonction globale mesurer la concentration de gaz (évènement G), sachant l'occurrence du défaut ou de la défaillance i (évènement Di) et la non-occurrence des autres défauts et défaillances (évènements non-Dj avec j ≠ i). Les résultats obtenus ont été traduits graphiquement sur la Figure 1 (« analyses des relations »), d'après le Tableau 4. À partir de ces résultats et des taux de défaillance du Tableau 2, un encadrement précis de la probabilité de dysfonctionnement de la fonction globale peut également être directement évalué [START_REF] Brissaud | Capteurs intelligents : Nouvelles technologies et nouvelles problématiques pour la sûreté de fonctionnement[END_REF].

Analyses d'incertitudes à partir du modèle « 3-step » étendu

Nous pouvons distinguer deux types d'incertitudes : celles liées aux modèles, c'est-à-dire relatives aux relations définies entre les éléments ; et celles liées aux paramètres, c'est-à-dire relatives aux données d'entrée des modèles [START_REF]An approach for using probabilities risk assessement in risk-informed decisions on plant-specific changes to the licensing basis[END_REF]. Si les analyses d'incertitudes liées aux paramètres (par exemple les taux de défaillance) sont communes dans les analyses de fiabilité [START_REF] Winkler | Uncertainty in probabilistic risk assessment[END_REF] De plus, en prenant en compte les incertitudes paramétriques, l'ajout des incertitudes de modèle n'entraîne pas d'effets très importants (par comparaison des résultats des configurations 1 et 3). On peut ainsi conclure que le modèle proposé est « robuste », c'est-à-dire que même en présence de relations incertaines entre les éléments, des évaluations de la fiabilité peuvent être menées avec des niveaux de confiance relativement bons (des démonstrations ont été apportées à cela [START_REF] Brissaud | Handling Parameter and Model Uncertainties by Continuous Gates in Fault Tree Analyses[END_REF]).

Fiabilité des « Capteurs-Transmetteurs Intelligents » en tant qu'Élément d'un Système

Les « Capteurs-transmetteurs intelligents » en tant qu'éléments d'un système de contrôle-commande

Après avoir étudié les « capteurs-transmetteurs intelligents » de façon « autonome » dans la Section 2, nous considérons ici des systèmes de contrôle-commande intégrant plusieurs de ces capteurs-transmetteurs. L'utilisation de « capteurstransmetteurs intelligents » au sein d'un système de contrôle permet la délocalisation de certaines opérations traditionnellement effectuées par une unité centrale (cf. Section 1.3), formant ainsi un « système de contrôle distribué ». De plus, lorsque plusieurs de ces capteurs font partie d'un même « système de contrôle en réseau », ils peuvent également tirer avantage d'une communication numérique et bidirectionnelle pour s'échanger plusieurs types d'informations (résultats de mesure, informations de diagnostic) afin d'optimiser leurs opérations par l'intermédiaire de certaines fonctionnalités (comme par exemple, la correction d'erreurs de mesure, l'auto-ajustage, l'autodiagnostic, et la reconfiguration en ligne). Des critères de sûreté de fonctionnement ont été évalués pour de tels systèmes, sous l'angle de la communication numérique [START_REF] Barger | Dynamic reliability and availability evaluation and validation of distributed systems[END_REF][START_REF] Ghostine | Dependability evaluation of networked control systems under transmission faults[END_REF] ou des capteurs [START_REF] Brissaud | Improving availability and safety of control systems by cooperation between intelligent transmitters[END_REF], en utilisant des réseaux de Petri stochastiques et colorés. L'approche développée dans la suite de ce papier propose de considérer un tel système dans sa globalité, c'est-à-dire de prendre en compte les interactions entre les différents composants du système (et notamment entre les « capteurs-transmetteurs intelligents »), et du processus contrôlé. La fiabilité dynamique est alors l'outil de modélisation mathématique adapté à cette problématique [START_REF] Labeau | Dynamic reliability: towards an integrated platform for probabilistic risk assessmen[END_REF].

Formulation du problème de fiabilité dynamique adapté aux « capteurs-transmetteurs intelligents »

Les premières méthodes de fiabilité dynamique ont émergé à la fin des années 1980 afin de prendre en compte explicitement l'influence du temps, du processus contrôlé, et des opérations humaines, sur les comportements fonctionnels et dysfonctionnels des systèmes [START_REF] Labeau | Dynamic reliability: towards an integrated platform for probabilistic risk assessmen[END_REF]. Plus récemment, l'utilisation de systèmes à fonctionnalités numériques a également introduit de nouvelles problématiques, notamment liées à certaines interactions entre les composants du système [START_REF] Aldemir | Current State of Reliability Modeling Methodologies for Digital Systems and Their Acceptance Criteria for Nuclear Power Plant Assessments[END_REF]. La formulation mathématique de la fiabilité dynamique a été établie sous le nom de la théorie des « arbres d'évènements continus » (CET) [START_REF] Devooght | Probabilistic Reactor Dynamics-I: The Theory of Continuous Event Trees[END_REF]. Cette dernière a introduit deux types de variables utilisées pour décrire l'état d'un système : les variables (discrètes) d'état des composants, et les variables (continues) du processus contrôlé. Ces variables sont interdépendantes et évoluent à la fois de façon stochastique (par exemple la défaillance d'un composant en fonction de la température) et déterministe (par exemple un flux en fonction de l'état d'une vanne), décrivant alors un processus (markovien) déterministe par morceaux (PDP) [START_REF] Davis | Markov models and optimization[END_REF].

En plus du temps t, quatre types de variables sont utilisées dans la suite de ce papier. L'outil proposé pour effectuer ces analyses repose sur les réseaux de Petri. Ces derniers, notamment de par leurs extensions stochastiques et colorées, possèdent des caractéristiques qui en font des outils relativement naturels pour modéliser des systèmes dynamiques. En particulier, des réseaux de Petri stochastiques ont été utilisés pour des évaluations de sûreté de fonctionnement de systèmes présentant certaines de ces caractéristiques [START_REF] Dutuit | Dependability modelling and evaluation by using stochastic Petri nets: Application to two test cases[END_REF]. Ici, un formalisme en réseaux de Petri est présenté, exploitant des caractéristiques stochastiques et colorées, afin de : ▪ modéliser de façon flexible la fiabilité dynamique d'un système avec l'aide d'une interface facilement manipulable ; ▪ simuler les évolutions des variables du système d'après les équations {2} à {5}, selon une approche numérique ; ▪ effectuer des analyses de fiabilité par des simulations de Monte Carlo.

Dans l'approche développée, chaque place du réseau de Petri est associée à un jeu de variables, et vice-versa. Ainsi, le nombre de places est linéairement dépendant du nombre de variables, ce qui évite les problèmes d'explosion combinatoire lors de la modélisation. Les valeurs des variables sont directement données par les jetons (« colorés »), qui sont ici des nombres réels ou entiers, à l'intérieur des places, et sont modifiés par les transitions. En permanence, chaque place contient donc un et un seul jeton, et toutes les transitions sont exécutables. Des gardes sont alors utilisées pour chaque transition et notées sj[Δt], ce qui signifie que la transition est exécutée aux instants sj + k • Δt, avec k = 0, 1, 2, … Chaque transition du réseau de Petri est associée à une place particulière qui est la « place manipulée ». Cette dernière est reliée à la transition par un arc d'entrée, ce qui signifie que les variables représentées par cette place sont modifiées par la transition (« le jeton est retiré de la place ») ; et reliée à la même transition par un arc de sortie qui attribue aux variables leurs nouvelles valeurs (« un nouveau jeton est déposé dans la place »), selon l'expression spécifiée sur cet arc. Ces nouvelles valeurs peuvent être fonction des valeurs précédentes de cette même variable (manipulées par l'arc d'entrée), de variables aléatoires, ainsi que de variables représentées par d'autres places. Ces dernières places sont alors des « places de dépendance » et sont reliées à la transition par des arcs bidirectionnels, ce qui signifie que les variables peuvent être utilisées par la transition, mais sans les modifier.

Un réseau de Petri générique pour les analyses de fiabilité dynamique est représenté sur la Figure 6. Les cinq types de variables définies dans la Section 3. L'état de chaque composant du système est représenté par un entier tel que décrit dans le Tableau 7. L'état des composants mécaniques (la pompe et le SCRAM) affecte directement les variables du processus, l'état des capteurs-transmetteurs et des contrôleurs affecte les variables d'information, tandis que les effets des modes dégradés (pour la pompe) et des dérives (pour les capteurs-transmetteurs de température) sont modélisés par des variables de déviation. Les expressions des taux transition entre les états des composants, ainsi que les équations différentielles qui définissent les évolutions des variables du processus, ne sont pas précisées ici mais peuvent être trouvées dans la littérature [START_REF] Brissaud | Dynamic Reliability Modeling of Cooperating Digital-Based Systems[END_REF]. Notons cependant que certains taux de transition dépendent du temps t (par exemple selon une loi de Weibull), des variables d'états d'autres composants (selon des modes communs de défaillance), du processus (par exemple, les températures influencent des taux de défaillance), et de déviation (la déviation du couple de la pompe influence le taux de défaillance de cette dernière). Concernant les variables du processus, les évolutions des températures T1(t) et T2(t), en fonction des variables d'état des composants mécaniques (SPM(t) et SSCM(t), cf. Tableau 7) sont représentées sur la Figures 9,d Lorsque les capteurs-transmetteurs de température sont dans des états dégradés, leurs résultats de mesure sont sujets à des dérives. Ces dernières sont modélisées par des variables de déviation qui sont ajoutées ou soustraites (suivant le sens des dérives) aux résultats de mesure. Les évolutions de ces dérives suivent des processus stochastiques continus, en accord avec l'équation {5}, qui dépendent des températures (variables du processus), et dont des expressions peuvent être trouvées dans la littérature [START_REF] Brissaud | Dynamic Reliability Modeling of Cooperating Digital-Based Systems[END_REF]. Afin de compenser ces dérives, les capteurs-transmetteurs de températures sont capables d'évaluer, par un traitement interne des données, des paramètres qui sont fonction des résultats de mesure de l'ensemble des capteurs-transmetteurs, obtenus grâce à la communication numérique bidirectionnelle. Ces paramètres dépendent des valeurs courantes (G

m (t), T1 m (t), et T2 m (t)) et précédentes (G m (t-ε), T1 m (t-ε), et T2 m (t-ε))
des résultats de mesure, et exploitent les relations théoriques qui existent entre l'évolution du flux et celles des températures (G(t), T1(t), T2(t), G(t-ε), T1(t-ε), et T2(t-ε)). À partir de ces paramètres, les capteurs-transmetteurs peuvent ainsi déduire des caractéristiques supposées des résultats de mesure (sur ou sous-estimations des valeurs mesurées). Afin de corriger les dérives ainsi détectées, des paramètres de correction sont alors évalués et ajoutés aux résultats de mesure des capteurs-transmetteurs de températures. Les définitions précises de ces paramètres sont présentes dans la littérature [START_REF] Brissaud | Dynamic Reliability Modeling of Cooperating Digital-Based Systems[END_REF].

Analyses de fiabilité dynamiques

Le cas d'étude présenté dans la Section 3.4 a été modélisé en suivant le formalisme en réseaux de Petri présenté dans la Section 3.3. Un total de 53 places et 53 transitions a été nécessaire pour représenter entièrement le cas d'étude, ce qui est relativement peu compte tenu du nombre très important d'interactions qui existent au sein de ce système et donc du nombre considérable d'états possibles pour le système dans son ensemble.

Les simulations et les analyses ont été effectuées à l'aide du logiciel CPN Tools [START_REF]CPN Tools[END_REF]. Différents scénarios ont été définis à partir d'un évènement initiateur qui est une défaillance (mode dégradé ou défaillance totale) de la pompe de sodium, ce qui implique une augmentation des températures et doit conduire à l'activation du SCRAM une fois certains seuils atteints (cf. Tableau 8 et Figure 9 pour un seuil de température proche de 930 K). Ces scénarios ont été classés selon que l'activation du SCRAM avait lieu hors des conditions souhaitées (déclenchement intempestif), à temps (situation contrôlée), trop tard ou jamais (évènement accidentel). Les résultats obtenus par simulations de Monte Carlo ont alors permis d'étudier l'effet des fonctionnalités numériques des capteurs-transmetteurs sur la disponibilité et la sécurité du système. Ainsi, il a été montré que les corrections des dérives permettaient une forte réduction des déclenchements intempestifs, sans toutefois annuler complètement les effets des dérives (les procédures de correction des dérives peuvent être sujettes à des erreurs de diagnostics). En contrepartie, la réduction des déclenchements intempestifs implique une (légère) augmentation des évènements accidentels car augmente automatiquement le temps de « vie utile » du système, et donc les possibilités qu'une défaillance « dangereuse » puisse se produire (ces défaillances n'ayant plus lieu d'être après un déclenchement intempestif).

Conclusion

Pour la sûreté de fonctionnement, et plus généralement pour la maîtrise des risques technologiques, une des principales caractéristiques des « capteurs-transmetteurs intelligents » est de pouvoir mettre en balance, de par leurs fonctionnalités numériques, la disponibilité et la sécurité des systèmes. En effet, grâce aux fonctions avancées d'autodiagnostic des défauts et des défaillances, les « capteurs-transmetteurs » peuvent soit procéder à des positions de repli (activation des fonctions de sécurité), soit effectuer des procédures de compensation (corrections des erreurs de mesures, reconfigurations), la communication numérique bidirectionnelle pouvant contribuer à plusieurs de ces fonctions grâce à des « coopérations » entre capteurs. La première option privilégie la sécurité (sous condition cependant que les déclenchements intempestifs soient effectivement « sûrs »), tandis que la seconde privilégie la disponibilité des systèmes en prenant le risque que les procédures de compensation soient sujettes à des erreurs entraînant des « états dangereux non-diagnostiqués ». Afin d'effectuer les choix adéquats de management des risques sous les fortes contraintes sociétales, environnementales, et économiques, il est ainsi nécessaire de disposer d'outils adaptés à l'évaluation exhaustive de la sûreté de fonctionnement de tels systèmes.

Les travaux réalisés au cours de la thèse présentée dans la Section 1.4, et dont ce présent papier fait brièvement état, ont ainsi permis de fournir des outils efficaces et techniquement exploitables en milieu industriel pour : évaluer les performances de « capteurs-transmetteurs intelligents » et ce, même en présence de comportements dysfonctionnels incertains, et en intégrant les nombreuses interactions matérielles et fonctionnelles ; et évaluer un système de contrôle relatif à la sécurité, intégrant plusieurs « capteurs-transmetteurs intelligents », en prenant en compte les interactions entre les composants du système ainsi qu'avec le processus contrôlé, sur des bases scientifiques de la fiabilité dynamique.

  , une porte C attribue à chacun de ses évènements de base Ei un poids pi, avec 0 ≤ pi ≤ 1 et i = 1, …, N. L'occurrence de l'évènement sommet (top) d'une porte C se produit alors si : ▪ n'importe quel évènement de base Ei se produit et provoque, avec une probabilité pi, l'occurrence de l'évènement sommet (relations dites « directes ») ; ou ▪ tous les évènements de base Ei se produisent (relation dite « logique »).

Figure 1 .Figure 4 .Figure 3 .

 143 Figure 1. Extrait du modèle « 3-Step » étendu, illustré par un capteur-transmetteur de gaz par absorption infrarouge

2 -

 2 *obtenus par 1.000.000 de simulations de Monte Carlo Figure5. Densités de probabilité de FG(8760 h), (cf. Table6) D'après les variances, on constate alors que les incertitudes dans les résultats (à la fois pour les analyses de relations et pour FG(8760 h)) sont relativement faibles, notamment par rapport aux incertitudes de modèles (les ordres de grandeurs des variances des résultats sont égaux ou inférieurs à ceux des variances des poids des portes C utilisées en données d'entrée).

3. 4 .

 4 Cas d'étude d'un système de sécurité intégrant des « capteurs-transmetteurs intelligents »Le cas d'étude présenté ici est un modèle simplifié de circuit primaire du réacteur rapide Europa. Par rapport au modèle original issu de la littérature[START_REF] Smidts | Probabilistic Reactor Dynamics-II: A Monte Carlo Study of a Fast Reactor Transient[END_REF], les variables du processus ont été simplifiés, de nouvelles fonctionnalités ont été intégrées aux capteurs-transmetteurs (communication numérique bidirectionnelle, traitement interne des données, correction des dérives), et des variables de déviation ont été ajoutées.

Figure 8 .= 2 :

 82 Figure 8. Réacteur Europa

c 3 Figure 9 .

 39 Figure 9. Exemples d'évolutions des températures de sodium selon les scénarios du Tableau 8 Le modèle simplifié du réacteur Europa est représenté sur la Figure 8. Ce système comprend deux canaux (C1 et C2), dont le circuit de refroidissement utilise du sodium introduit par une pompe (PM). Le manque de sodium, par exemple en cas de défaillance de la pompe, entraîne une augmentation de la température dans les canaux et peut provoquer des évènements accidentels. La température du sodium dans chaque canal (T1 et T2) est donc mesurée par des capteurs-transmetteurs de température (ST1 et ST2) qui transmettent leurs résultats de mesure (T1 m et T2 m ) à un contrôleur commun (CT). De même, le flux de sodium (G) est mesuré par un capteur-transmetteur de flux (SG) qui transmet ses résultats de mesure (G m ) à un autre contrôleur (CG). CT et CG transmettent des signaux binaires (yCT et yCG) à un contrôleur central (SDL). Si un seuil haut de température (Tmax), ou un seuil bas de flux (Gmin) est détecté, SDL doit alors transmettre un signal binaire (ySDL) qui active un système d'arrêt d'urgence (SCM). Ce dernier, communément appelé SCRAM, a pour objet d'introduire dans le coeur du réacteur des barres de sécurité qui stoppent la réaction en absorbant une forte quantité de neutrons.

  'après les scénarios décrits dans le Tableau 8. Les résultats de mesure des capteurs-transmetteurs (G m (t), T1 m (t), et T2 m (t)) et les signaux des contrôleurs (yCG(t), yCT(t), et ySDL(t)) sont des variables d'information qui dépendent des variables d'état des composants, du processus, et sont également interdépendantes, tel que décrit dans le Tableau 7.

Table 1 .

 1 Exemples de fonctions de défiabilité pour une porte C

		poids		fonction de défiabilité
	p1	p2	p3	Ftop(t)
	0,00	0,00	0,00	F[0,0](t)
	0,50	0,00	0,00	F[0,5](t)
	0,50	0,50	0,00	F[1,0](t)
	0,50	0,50	0,50	F[1,5](t)
	1,00	0,50	0,50	F[2,0](t)
	1,00	1,00	0,50	F[2,5](t)
	1,00	1,00	1,00

F[3,0](t)

Par l'introduction d'évènements fictifs Pi dont la probabilité d'occurrence est constante et égale à pi, une porte C est alors équivalente à l'arbre de défaillance représenté sur la Figure

3

. En notant Fi(t) la probabilité que l'évènement de base Ei se produise avant l'instant t puis reste dans cet état, et Ftop(t) la probabilité d'occurrence de l'évènement sommet d'une porte C avant l'instant t (fonction de défiabilité), nous pouvons alors déduire l'expression suivante

[START_REF] Brissaud | Design of complex safety-related systems in accordance with IEC 61508[END_REF]

:

Table 2 .

 2

					Taux de défaillance
	nom	valeur de base		analyses d'incertitudes loi* moyenne variance
	λ1 λ2 λ3 λ4 λ5 λ6 λ7 λ8 λ9	4,00•10 -7 1,00•10 -7 4,00•10 -7 1,00•10 -6 3,00•10 -6 5,00•10 -7 1,50•10 -7 5,00•10 -7 5,00•10 -7	Log-Normale Log-Normale Log-Normale Log-Normale Log-Normale Log-Normale Log-Normale Log-Normale Log-Normale	4,00•10 -7 1,00•10 -7 4,00•10 -7 1,00•10 -6 3,00•10 -6 5,00•10 -7 1,50•10 -7 5,00•10 -7 5,00•10 -7	3,17•10 -14 -15 1,98•10 3,17•10 -14 -13 1,98•10 1,78•10 -12 -14 4,95•10 4,45•10 -15 -14 4,95•10 4,95•10 -14
	*définies pour obtenir des facteurs d'erreur égaux à 5.00
			Table 3. Poids des portes C
	type de	valeur de	analyses d'incertitudes
	relation		base		loi*	moyenne	variance
	faible moyenne forte	0,10 0,50 0,90		U[0,0 ; 0,2] U[0,2 ; 0,8] U[0,8 ; 1,0]	0,10 0,50 0,90	-3 3,33•10 3,00•10 -2 3,33•10 -3

*U[a ; b] est une loi uniforme continue entre a et b

Table 4 .

 4 Représentation graphique des effets*

	effet	type de relation associée
	inférieur à 0.20		faible
	entre 0.20 et 0.80		moyenne
	supérieure à 0.80		forte
	*effets des défauts et défaillances sur la fonction globale,
	définis par des probabilités conditionnelles (cf. Section 2.4)
	Table 5. Représentation graphique des incertitudes
	type d'incertitude	représentation graphique	ordre de grandeur des variances
	aucune / très faible faible moyenne forte très forte	* ** *** ****	10 -5 et inférieur 10 -4 -3 10 -2 10 10 -1 et supérieur

Table 6 .

 6 , les analyses d'incertitudes liées aux modèles sont beaucoup plus rares. En effet, la plupart des modèles utilisés en fiabilité nécessitent de définir strictement et de façon discrète les relations entre les éléments considérés, comme par exemple dans le choix d'une porte d'un arbre de défaillance ou d'une transition d'une chaîne de Markov. Il est alors difficile d'effectuer de façon cohérente des analyses d'incertitudes de modèles, comme il est courant de le faire pour les incertitudes paramétriques, car modifier de façon aléatoire les propriétés du modèle amènerait souvent à des configurations irréalistes. En exploitant des portes C, le modèle proposé possède cependant, par nature, la capacité d'effectuer des analyses d'incertitudes liées aux relations entre les éléments, qui sont définies par des paramètres continus. Ce modèle permet donc à la fois de prendre en compte des incertitudes liées aux paramètres (les taux de défaillance) et au modèle (par l'intermédiaire des poids des portes C). Afin d'évaluer les impacts respectifs des incertitudes liées aux paramètres et au modèle, différentes configurations sont proposées telles que décrites dans le Tableau 6. Sont considérées dans une première configuration, uniquement les incertitudes paramétriques (taux de défaillance), dans une seconde configuration, uniquement les incertitudes de modèle (poids des portes C), et dans une troisième configuration, ces deux types d'incertitudes. Dans les configurations 1 et 3, les taux de défaillance sont alors modélisés par des lois Log-Normales telles que décrites dans le Tableau 2, et dans les configurations 2 et 3, les poids des portes C sont modélisés par des lois Uniformes telles que décrites dans le Tableau 3 (colonnes « analyses Configurations considérées pour les analyses d'incertitudes, et résultats

	configu-ration	incertitude sur	FG(8760 h = 1 an) moyenne* variance*
	1	taux de défaillance (paramètres)	1,74•10 -2	6,20•10 -5
	2	poids des portes C (modèle)	1,75•10 -2	1,17•10

d'incertitude »). Pour chaque configuration, les analyses ont été effectuées sur la probabilité de dysfonctionnement de la fonction globale mesurer la concentration de gaz (évènement G) à l'instant t = 8760 h = 1 an, c'est-à-dire FG(8760 h), en utilisant 1.000.000 simulations de Monte Carlo. Les variances alors obtenues sont reportées dans le Tableau 6, et les allures correspondantes des densités de probabilité sont représentées sur la Figure

5

. Dans le cas où des incertitudes liées aux poids des portes C (incertitudes de modèle) sont considérées, les résultats d'analyses des relations sont également sujets à des incertitudes, et les variances alors obtenues ont été traduites graphiquement sur la Figure

1

, d'après le Tableau 5.

  Ces variables sont décrites et explicitées dans les paragraphes suivants. représentent les variables physiques qui décrivent le processus contrôlé (e.g. pressions, températures, volumes). Elles évoluent de façon déterministe, en fonction des variables d'état des composants et de déviation (par exemple, le niveau d'un réservoir est déterminé par la configuration des vannes i.e. des variables d'état des composants, et par des niveaux de fuite i.e. des variables de déviation). Les évolutions des variables du processus peuvent alors généralement être définies par un ensemble d'équations différentielles (non-stochastiques) du premier degré : représentent les données et les informations qui sont traitées, stockées, et/ou échangées entre les composants du système (e.g. commandes, signaux, résultats de mesures, informations de diagnostics). Par nature, elles n'influencent pas directement les variables du processus et de déviation, mais peuvent être utilisées pour définir des changements d'états des composants. Les variables d'information peuvent généralement être exprimées directement en fonction des variables d'état des composants, du processus, et de déviation (par exemple, lorsqu'un capteur est dans un état opérationnel dégradé i.e. une variable d'état des composants, ses résultats de mesures dépendent de la quantité mesurée i.e. une variable du processus, et de dérives i.e. des variables de déviation). Ces variables peuvent également dépendre de leurs précédentes valeurs (par exemple, lorsque des données stockées sont exploitées, ou qu'un signal est bloqué sur sa valeur présente), qui sont notées représentent les erreurs et les déviations de nature continue qui affectent certaines propriétés du système (e.g. dégradations de composants, dérives de paramètres). Elles évoluent de façon stochastique, en fonction des variables d'état des composants et du processus (par exemple, lorsqu'une vanne est en position fermée et dans un état dégradé i.e. une variable d'état des composants, un niveau de fuite suit une variable aléatoire influencée par la pression i.e. une variable du processus). Parce que ces évolutions sont continues, elles peuvent généralement être définies par un ensemble d'équations différentielles du premier degré, dont les dérivées sont (ou incluent) des variables aléatoires :

	-y(t) avec	-y(t) = y(t -ε) et ε un réel qui tend positivement vers la valeur nulle :
		y(t) = y(i(t), x(t),	-y(t), e(t), t)	{4}
	Les variables de déviation e(t)
	Les variables d'état des composants du système, notées i(t), représentent la configuration du système selon les états
	opérationnels et dysfonctionnels de ses composants (incluant les modes dégradés). L'état de chacun des composants est alors
	décrit par un entier qui constitue une composante du vecteur i(t). Les variables d'états peuvent évoluer de façon déterministe ou
	stochastique, en fonction des variables du processus et d'information (par exemple, l'ouverture d'une vanne est contrôlée par
	un signal i.e. une variable d'information ; et le taux de défaillance d'un capteur dépend de la température i.e. une variable du
	processus), ainsi que des variables de déviation (par exemple, après un certain niveau de dégradation i.e. une variable de
	déviation, un composant atteint un état dysfonctionnel complet), et parfois explicitement du temps (par exemple, des taux de
				p(i
			i	 k l i

Les variables d'état des composants sont représentées par le vecteur d'entiers noté i(t) et les variables du processus sont représentées par le vecteur de réels noté x(t), telles que définies par la théorie des CET. Afin de prendre en compte les particularités des « capteurs-transmetteurs intelligents », des variables dites « d'information » sont également introduites, représentées par un vecteur de réels noté y(t). Enfin, des variables dites « de déviation » permettent d'étendre les possibilités de modélisation des défauts et défaillances, et sont représentées par un vecteur de réels noté e(t). défaillance sont croissants en fonction du temps). Le taux de transition des composants depuis l'état i k vers l'état i l , étant données les variables du processus, d'information, et

de

déviation à l'instant t, est noté p(i k → i l | x(t), y(t), e(t), t). Le taux de transition total des composants depuis l'état i k est alors : λik(x(t), y(t), e(t), t) =  k → i l | x(t), y(t), e(t), t) {2} Les variables du processus x(t) dt d x(t) = x'(i(t), x(t), e(t), t) {3} Les variables d'information y(t) dt d e(t) = E'(i(t), x(t), e(t), t) {5} Avec E'(i(t), x(t), e(t), t) qui est un vecteur de variables aléatoires exprimant la dérivée de e(t). 3.3. Formalisme en réseau de Petri pour les analyses de fiabilité dynamique Afin de simuler et d'analyser les évolutions du système au cours du temps, une approche numérique est choisie. Pour cela, un intervalle de temps Δt est utilisé, qui doit être assez petit pour que l'hypothèse selon laquelle les variables i(t), x(t), y(t), e(t) et t sont constantes dans tout intervalle [t, t + Δt[, soit raisonnable. Les valeurs des variables aux instants t + Δt peuvent alors être déterminées d'après les valeurs aux instants t, en fonction des équations {2} à {5} et en utilisant des développements de Taylor et des différences finies. En particulier, les transitions des composants entre deux états qui se produisent entre les instants t et t + Δt sont considérées comme se produisant exactement aux instants t + Δt. De même, les évolutions des variables du processus, d'information, et de déviation entre les instants t et t + Δt sont considérées comme des « sauts » se produisant exactement aux instants t + Δt.

  2 y sont représentés. Selon la nature des variables (continue ou discrète, stochastique ou déterministe), différentes représentations graphiques sont utilisées. Les variables sont ici données sous forme de vecteurs (excepté pour le temps t qui est un scalaire). Pour une modélisation plus détaillée, il est cependant souhaitable de diviser chaque vecteur en sous-ensembles de composants, et de traiter ces derniers séparément par des places distinctives. Chaque transition est alors exécutée à chaque intervalle de temps Δt, modifiant les variables représentées par la « place manipulée », selon les équations {2} à {5} et en utilisant des développements de Taylor et des différences finies, telles que spécifiées sur les arcs de sortie des transitions. Pour le cas le plus simple, la transition qui modifie la variable du temps t ne possède pas de « place de dépendance » et est simplement utilisée pour incrémenter la valeur du temps t par Δt à chaque exécution. Figure 6. Réseau de Petri générique pour les analyses de fiabilité dynamique Figure 7. Méta-transition pour les réseaux de Petri sj[Δt] signifie que la transition correspondante est exécutée aux instants sj + k • Δt, avec k = 0, 1, 2, … Dans chaque intervalle [t, t + Δt], toutes les valeurs des variables à l'instant t + Δt sont donc calculées suivant l'ordre qui est défini par les sj (spécifié en haut de la Figure 6). À noter que les variables à

l'instant t + Δt dépendent des variables à l'instant t. En particulier, x(t + Δt) et e(t + Δt) dépendent tous deux à la fois de x(t) et e(t). Ainsi, pour éviter de « perdre » la valeur x(t) (resp. e(t)) après le calcul de x(t + Δt) (resp. x(t)), des « métatransitions » sont introduites telles que décrites sur la Figure

7

. Celles-ci sont utilisées pour calculer dans un premier temps toutes les dérivées à l'instant t (x'(i(t

), x(t), e(t), t) et E'(i(t), x(t), e(t), t)),

stocker ces dernières en tant que variables additionnelles, puis enfin modifier les variables du système. Les « méta-transitions » ont donc des doubles gardes, notées (sj, sk)[Δt], qui signifient que les dérivées sont calculées à chaque instant sj + k • Δt, et les variables des « place manipulées » à chaque instant sk + k • Δt (cf. Figure 6 et 7).

Table 8 .

 8 Exemples de scénarios

	scenario*	SPM(t) =	SSCM(t) =

a 1 pour t < 30 s 0 pour t ≥ 30 s 1 pour t < 35 s 5 pour t ≥ 35 s b 3 pour tout t 1 pour t < 58 s 5 pour t ≥ 58 s

Remerciements

La Section 3 de ce papier a été réalisée à l'Université d'État de l'Ohio (OSU), dans le cadre d'une collaboration scientifique entre l'INERIS, l'UTT, et OSU. Nous souhaitons ainsi remercier Pr. Carol Smidts qui a co-encadré une partie de ces travaux.


Jorge Villagra
email: jorge.villagra@car.upm-csic.es

Brigitte D'andr Éa-Novel
email: brigitte.dandrea-novel@mines-paristech.fr

Michel Fliess
email: michel.fliess@polytechnique.edu

Hugues Mounier
email: hugues.mounier@lss.supelec.fr

A diagnosis-based approach for tire-road forces and maximum friction estimation

Keywords: Active safety, Friction estimation, Automotive vehicles, Nonlinear

A new approach to estimate vehicle tire forces and road maximum adherence is presented. Contrarily to most of previous works on this subject, it is not an asymptotic observer based estimation, but a combination of elementary diagnosis tools and new algebraic techniques for filtering and estimating derivatives of noisy signals. In a first step, instantaneous friction and lateral forces will be computed within this framework. Then, extended braking stiffness concept is exploited to detect which braking efforts allow to distinguish a road type from another. A weighted Dugoff model is used during these "distinguishable" intervals to estimate the maximum friction coefficient. Very promising results have been obtained in noisy simulations and real experimentations for most of driving situations.

estimation, Derivatives of noisy signals.

Introduction

Automobile manufacturers have dedicated enormous efforts on developing intelligent systems for road vehicles in the last two decades. Thus, many systems have been deeply studied in order to increase safety and improve handling characteristics. Considerable work has been carried out on collision avoidance, collision warning, adaptive cruise control and automated lane-keeping systems. In addition, more and more cars are nowadays equipped with anti-lock brake system (ABS), traction control system (TCS) (also called ASR for anti-slip regulation) or many variants of the Electronic Stability Program (ESP).

As such systems become more advanced, they increasingly depend on accurate information about the state of the vehicle and its surroundings. Much of this information can be obtained by direct measurement, but the appropriate sensors may be unreliable, inaccurate, or prohibitively expensive. Indeed, these enhancements must be a priori related to an optimal usability of the existing hardware. 1Since all the above-mentioned control systems have to be 'road-adaptive' (i.e. the control algorithms can be modified to take into account the external driving condition of the vehicles), the knowledge of the vehicle state and tire forces turns out to be essential. Furthermore, most of these systems are based on an efficient transmission of the forces from vehicle wheels to the road surface. Tire efforts that act during severe maneuvers are nonlinear and may easily cause instability. Besides, they depend on uncontrollable external factors, such as tire pressure and wear, vehicle loads, and, particularly, on tire-road interface properties.

Friction is the major mechanism for generating those forces on the vehicle.

Hence, knowing the longitudinal and vertical tire-road efforts (F x , F z ), and therefore the maximum friction coefficient

µ x max = F x F z max (1)
is crucial, since the maximum braking performance is related to the maximum tire-road friction coefficient.

The goal of this work is to find real-time estimators of the vehicle tire forces and of the maximum tire-road friction coefficient with actual on-board hardware and sensors.

State of the art

The lack of commercially available transducers to measure road friction directly led to several kinds of tire-road friction estimation approaches have been proposed in the literature. Some cause-based techniques try to detect physical factors that affect the friction coefficient. Although experimental results sometimes show a high accuracy, these methods usually present one of these two fundamental drawbacks:

• They require specific sensors, such as lubricant, optical or shaft torque sensors, that are not usually included in a production car.

• They rely on complex tire models, which are always highly road-dependent.

Static and dynamic tire force models have been developed for accurate simulation of advanced control systems (see, e.g., [START_REF] Canudas-De-Wit | Dynamic friction models for road/tire longitudinal interaction[END_REF], [START_REF] Kiencke | Estimation of tyre friction for enhanced ABSsystem[END_REF], [START_REF] Pasterkamp | On line estimation of tyre characteristics for vehicle control[END_REF], [START_REF] Svendenius | Tire modeling and friction estimation[END_REF] or [START_REF] Yi | Emergency braking control with an observer-based dynamic tire/road friction model and wheel angular velocity measurement[END_REF]). Extensive testing is required however to determine the parameters of those analytic models.

It is therefore extremely difficult to determine all those parameters in real-time for every potential tire, tire pressure, and wear state.

Nevertheless, many authors have tried to use robust analytic techniques to determine tire-road friction coefficient from tire force models. Thus, simplified models have been coupled with vehicle dynamics to produce different observation and filtering techniques: [START_REF] Matusko | Neural network based tire/road friction force estimation[END_REF] employed a neural-network based identification; [START_REF] Fischer | Fault detection for lateral and vertical vehicle dynamics[END_REF] used fuzzy logic techniques; [START_REF] Liu | Road friction coefficient estimation for vehicle path prediction[END_REF], [START_REF] Ono | Estimation of automotive tire force characteristics using wheel velocity[END_REF], [START_REF] Tanelli | Real-time identification of tireroad friction conditions[END_REF] and [START_REF] Yi | Estimation of tire-road friction using observer based identifiers[END_REF] developed different leastsquared methods; [START_REF] Dakhlallah | Tire-road forces estimation using extended Kalman filter and sideslip angle evaluation[END_REF], [START_REF] Grip | Nonlinear vehicle side-slip estimation with friction adaptation[END_REF], [START_REF] Lee | Real-time slip-based estimation of maximum tire-road friction coefficient[END_REF], [START_REF] Sirdi | Vehicle-road interaction modelling for estimation of contact forces[END_REF], [START_REF] Ray | Nonlinear tire force estimation and road friction identification: simulation and experiments[END_REF] or [START_REF] Shim | Model-based road friction estimation[END_REF] use several kinds of nonlinear asymptotic observers. Most of them try to obtain reliable tire effort estimates and, thereafter, the maximum tire friction value by fitting different types of polynomial functions.

Unfortunately, these approaches are either based on too restrictive hypotheses, for instance only longitudinal dynamics situations, or on non-standard measurements, like wheel torque. Moreover, most of them concentrate their efforts on precise tire forces estimation, but they do not go into maximum friction estimation in depth.

A different research line is focused on the effects generated by friction. The effects are shown in the tire as, for instance, an acoustic characteristic (cf. [START_REF] Breuer | Measurement of tyre/road friction ahead of the car and inside the tyre[END_REF]), tire/tread deformation (cf. [START_REF] Eichhorn | Prediction and monitoring of tyre/road friction[END_REF]) and wheel slip. Concerning the latter, [START_REF] Gustafsson | Slip-based estimation of tire-road friction[END_REF] used the idea that a larger slip at a given tire force would indicate a more slippery road. Observing the correlation between slip and friction coefficient can provide µ max information. However, under low slip situations, it becomes really hard to distinguish between different road types from noisy measurements.

Two possible solutions can be applied to that problem: using a GPS as proposed by [START_REF] Hahn | GPS-Based real-time identification of tire-road friction coefficient[END_REF], which is not always available on a production car, or exploit what [START_REF] Ono | Estimation of automotive tire force characteristics using wheel velocity[END_REF] and [START_REF] Umeno | Estimation of tire-road friction by tire-rotational vibration model[END_REF] call the extended braking stiffness (XBS). It can be defined as the slope of friction coefficient against slip velocity at the operational point. Its value is related to the friction coefficient because the maximum braking force can be obtained when XBS is equal to zero (see2 Fig. 1).

Note that snow, and specially ice, exhibit a very short transition between linear and nonlinear zones. Therefore, the XBS based algorithm presented here will correctly behaves for wet and dry roads, but it will probably not be so efficient for ice conditions.

Since in the τµ x linear zone µ x max is hardly identifiable, the present work relies on the accurate estimation of XBS when non-linear behavior takes shape (soon enough to avoid wheel saturation). Diagnosis tools will be used, combined with new algebraic filtering techniques and a weighted Dugoff model, to consecutively estimate slip ratios, longitudinal and lateral tire forces, and longitudinal and lateral maximum friction coefficients.

In addition to accuracy and reliability, production cost is an important matter in vehicle serial production. In that sense, the proposed estimation approach is especially efficient in terms of computational cost, at least when compared with most of the above mentioned observer-based approaches. Furthermore, only standard and low cost sensors will be required in order to implement the proposed

Outline of the article 3

Section 2 is devoted to present the proposed global estimation scheme. New algebraic techniques for derivative estimation will be combined with elementary diagnosis tools in order to design new estimators (an overview of this framework will be presented in Section 2.1). The first example of that approach will be introduced in Section 3, where a pitch diagnosis-based estimator will allow to obtain a good estimate of the instantaneous friction coefficient. A simple but efficient lateral effort estimator will be also presented in this Section. Once these variables are estimated, the maximum friction coefficient may be known. Section 4 will deal with the problem of distinguishing different road surfaces enough ahead of time to avoid undesirable control actions. In Section 5 two different scenarios will be used to test the quality of the estimator on multi-adherence roads. Preliminary experimental results are presented in Section 6, where the algorithm will be tested with experimental recorded data from a real vehicle. Finally, some concluding remarks will be given in Section 7.

Global estimation scheme

The vehicle is equipped with several proprioceptive sensors (typical measurements are longitudinal and lateral accelerations, yaw rate, odometries and steering angle) and, eventually, with exteroceptive sensors (radar, laser, camera, . . . ). All this information can be used to estimate, among others, the maximum longitudinal and lateral friction coefficients (µ x and µ y ). The way it is obtained is depicted in Fig. 2. This work needs only 7 measurable signals to provide a maximum friction estimator: longitudinal and lateral accelerations (the former from airbag systems, the latter from ESP systems), wheel angular velocities and yaw rate (from ESP systems as well).

Longitudinal and lateral velocities (V x , V y ) are the first step to obtain any information about the tire-road interaction. The work [START_REF] Villagra | Estimation of longitudinal and lateral vehicle velocities: an algebraic approach[END_REF] solves this problem without any vehicle nor road parameter. Two natural byproducts of this estimation algorithm are the slip ratio τ and the sideslip angle δ i , where the subscript i = f , r denotes front and rear, respectively. Efficient estimation algorithms for vertical F z effort have already been developed in the past (see, e.g., [START_REF] Gillespie | Fundamentals of vehicle dynamics[END_REF]), so that this work will take advantage of them. A new simple and reliable way to estimate the longitudinal friction estimation µ x and the lateral efforts F y i will be presented in the first part of this article (see Section 3). The friction coefficient will be used, on the one hand to obtain the longitudinal tire-road efforts F x i , and on the other hand, together with the estimated slip ratios, the maximum longitudinal coefficient µ x max .

Finally, a similar procedure will allow to estimate the maximum lateral friction coefficient µ y max from lateral efforts and sideslip angles.

It is important to remark that µ x max and µ y max will be obtained using XBS con- cept under the assumption of pure longitudinal or pure lateral movements, respectively. In this respect, figures 7 and 6 graphically shows that the proposed longitudinal and lateral effort estimator perform in a satisfactory way when combined longitudinal-lateral maneuvers take place. However, a deep study on the influence of forces correlation in the estimation accuracy seem necessary for real implementation.

Diagnosis-based estimation within an algebraic framework

In diagnosis terminology, a residual is defined as the amount by which an observation differs from its expected value. It is often used in fault tolerant control to detect a failure (for instance, in sensors or actuators) and act consequently.

This idea will be used in an estimation context to detect an abnormal behavior with respect to an ideal prediction model. In other words, the estimated variable can be considered as the sum of an ideal term and a "disturbing" one. 4The condition to decide wether the ideal term is valid or not to estimate the unknown variable is usually hard to obtain. Indeed, highly corrupted signals provided by the vehicle sensors and fixed integration step determined by signals sampling rate impose a signal pre-treatment. In addition, robust and real-time efficient

Variable name

Symbol

Longitudinal velocity V x

Lateral velocity V y

Vertical velocity V z

Yaw rate and acceleration ψ, ψ

Pitch angle and rate φ , φ Wheel speed ω

Sideslip angle δ

Slip ratio τ

Longitudinal acceleration γ x

Lateral acceleration γ y

Longitudinal force F x

Lateral force F y

Vertical force F z

Inst. and max. friction coefficient µ x , µ x max Lateral friction coefficient µ y , µ y max Wheelbase L

Height of the center of gravity h

Vehicle mass M

Yaw inertia moment

I Longitudinal stiffness coefficient K x Pitch stiffness coefficient K φ
Weighting factor in effort estimation α

Confidence factor in friction estimation χ numerical differentiators are also needed to render this approach feasible.

An algebraic framework [START_REF] Mboup | Numerical differentiation with annihilators in noisy environment[END_REF] is proposed to deal with filtering and estimating derivatives of noisy signals. It is important to point out that these fast filters and estimators are not of asymptotic nature, and do not require any statistical knowledge of the corrupting noises (see [START_REF] García Collado | Analyse fréquentielle des dérivateurs algébriques[END_REF] for a short discussion on the connections with some aspects of digital signal processing). This original way of treating conventional problems ought to be viewed as a change of paradigm in many control and signal processing aspects (see [START_REF] Fliess | Non-linear estimation is easy[END_REF] and the references therein).

Tire-road friction estimation

It has already been pointed out that longitudinal tire-road friction coefficient has a major importance on any braking action. However, when braking is combined with a turning maneuver, lateral tire effort estimation become also critical for two different reasons: • Longitudinal tire forces are coupled with lateral ones, so that the most braking force a wheel must transfer, the less lateral guiding force it is able to provide, and viceversa. This inter-dependency is characterized in Kamm effort circles (see figure 3 or [START_REF] Kiencke | Automotive control systems[END_REF] for more details).

As a consequence of all this, both lateral and longitudinal efforts need to be estimated. The next Sections will present an approach to separately solve both problems within the framework introduced in Section 2.1.

Longitudinal friction estimation

As explained in Section 2, besides the longitudinal and lateral velocities knowledge (see [START_REF] Villagra | Estimation of longitudinal and lateral vehicle velocities: an algebraic approach[END_REF]), one of the first steps in the global estimation scheme is to obtain an estimator for vertical loads in the tire-road interface. They may be pretty well approached by considering pitch rate and vertical velocity steady-state equations (cf. [START_REF] Gillespie | Fundamentals of vehicle dynamics[END_REF]):

   F z r L r -F z f L f = Mγ x h F z f + F z r = Mg
where the index f and r denote front and rear for vertical efforts F z and wheelbases L, γ x is the longitudinal acceleration, M is the vehicle mass, and h the nominal height of the center of gravity. The vertical effort estimators can then be easily obtained as follows

       F z f = ML r 2(L f + L r ) g -h γx L r F z r = ML f 2(L f + L r ) g + h γx L f
Note that vehicle mass M, the height of the center of gravity h and yaw inertia moment I -used in (6)-are not constant parameters, and therefore not easy to accurately measure. An off-line identification has been performed in order to know these values for the presented specific study cases. However, an on-line estimation of these two variable parameters should be done to robustify the algorithm. In this connection, asymptotic [START_REF] Lingman | Road slope and vehicle mass estimation using Kalman filtering[END_REF] or least squares [START_REF] Fathy | Online vehicle mass estimation using recursive least squares and supervisory data extraction[END_REF] approaches could be excellent candidates to be adapted within the algebraic framework used in this paper.

γx = T 0 (2T -3t) γ x (t)dt (2)
where [0, T ] is a quite short and sliding time window. Using Newton's second law of motion, front and rear longitudinal efforts can be expressed as follows where M eq ( f ,r) are the front and rear equivalent masses, respectively. Hence, the front and rear friction coefficients (1) turn out to be equal and on only dependent on the longitudinal acceleration γ x

F x f = M eq f γ x , M eq f = F z f g ; F x r = M eq r γ x , M eq r = F z
µ x f = µ x r = F x f F z f = F x r F z r = γ x g ( 3
)
Since this approach does take into account neither the vertical nor the pitch dynamics, an additional term will be introduced in order to achieve better estimations of µ x . Experimental measurements have shown that the addition of a corrective term ∆µ x φ , proportional to the integral of pitch angle, remarkably corrects the estimation error obtained with (3):

µ x = γ x g 1 + ∆µ x φ (4)
Following the approach of [START_REF] Tseng | Estimation of land vehicle roll and pitch angles[END_REF], the kinematic relationship between the outputs of an inertial measurement unit and the derivatives of the Euler angles can be written, in its longitudinal component

Vx = γ x + ψV y -φV z + g sin φ (5)
with V z the vertical velocity. If the vertical velocity is neglected 5 and the longitudinal velocity is considered equal to rω, the following pitch angle estimator φ can be obtained from ( 5)

φ = arcsin γ x -ψV y -r ω g
The corrective term ∆µ x φ of equation ( 4) is numerically computed with the next algorithm

     ∆µ x φ (t) = T f φ T i φ K φ φ (t)dt, if | φ (t)| > ε 1 , 0 < ε 1 ≪ 1 ∆µ x φ (t) = 0, else
where T i φ and T f φ are respectively the initial and final time where the pitch variation is significative (i.e. | φ (t)| is greater than a threshold ε 1 ), and K φ is an off-line identified parameter 6 , which represents the normalized pitch stiffness.

Figure 5 shows the different behavior between (3) and ( 4) when demanding braking efforts are applied to the vehicle. These results have been obtained from experimental data recorded on a real vehicle with noisy measurements (see Section 6 for all details). Notice 7 from Fig. 6 that Equation ( 4) also provides reasonably good longitudinal forces estimations when a combined longitudinal/lateral acceleration is applied to the vehicle. Noise robustness and delay quantification are essential for an estimation algorithm. As stated in Section 2.1, two different works have been recently published on this respect for the proposed numerical differentiators. These studies are a first step towards a deterministic quantification of the delay/filtering trade-off, always delicate for the designer.

Lateral effort estimation

The single track 8 (or bicycle) model is the most spread one to study lateral dynamics in a car. The state vector is only conformed by lateral velocity and yaw rate, while longitudinal velocity is considered a slowly variable parameter of the 8 See [START_REF] Kiencke | Estimation of tyre friction for enhanced ABSsystem[END_REF] or [START_REF] Gillespie | Fundamentals of vehicle dynamics[END_REF] for a deep analysis on this and other vehicle models. resultant linear system. Since state variables estimation is not the main goal, but rather lateral forces estimation, the bicycle model will be written in terms of the latter using Newton's second law of motion:

   Mγ y = F y f + F y r I ψ = L f F y f -L r F y r (6)
where M is the vehicle mass, I the yaw inertia moment, L f , L r are the front and rear wheelbases, and F y f , F y r the front and rear lateral forces, respectively.

The choice of such a model is not at all arbitrary. Indeed, it represents a very interesting trade-off between simplicity and accuracy. In this connection, several works claim the interest (see, e.g., [START_REF] Baffet | Estimation of vehicle sideslip, tire force and wheel cornering stiffness[END_REF]) of the bicycle model to estimate lateral efforts, even under important longitudinal accelerations. Equation ( 6) can be rewritten in terms of F y f and F y r

       Fy f = 1 L f + L r L f M γy -I ψ Fy r = 1 L f + L r L r M γy -I ψ
Figure 7 shows the estimator performance in a severe longitudinal/lateral maneuver. It shows, on the one hand, the quality of the lateral forces estimation for very noisy measurements, and on the other hand, that the single-track model may be enough to properly estimate F y under combined efforts.

From instantaneous friction to maximum friction estimation

The last stage in the global estimation scheme (presented in Figure 2) is probably the most complicated one. This complexity comes from the fact that most of the road surfaces (from ice to dry asphalt) have a very similar characteristic curve (µ x -τ) for standard situations. However, when difficult situations arise, In other words, while the vehicle is in the linear (µ x -τ) zone, there is a strong risk of indistinguishability (see [START_REF] Fliess | Real-time estimation for switched linear systems[END_REF]) of the type of surface, and therefore, to fail in predicting the maximum friction coefficient. 9Hence, this approach tends to take advantage of the presented numerical algorithms to be able to detect danger zones in a reliable way. Once the 'failure' is detected, a simple tire behavior model (section 4.1) will help to obtain a good estimation of µ x max slightly ahead of time.

Dugoff model

Since the physics of tire force generation is highly nonlinear and complex, several tire models have been introduced to overcome this problem (see [START_REF] Svendenius | Tire modeling and friction estimation[END_REF] and the references therein). The pseudo-static model from [START_REF] Pacejka | The magic formula tyre model[END_REF] gives a good approximation to experimental results and is widely used in automotive research and industries. However, this model has a complex analytical structure and its parameters are difficult to identify. For these reasons, it is mainly used for simulation rather than for control or estimation purposes.

Dugoff tire model [START_REF] Dugoff | Tire performance characteristics affecting vehicle response to steering and braking control inputs[END_REF] assumes a uniform vertical pressure distribution on the tire contact patch. This is a simplification compared to the more realistic parabolic pressure distribution assumed in Pacejka. However, it has the advantage of its conciseness and its results are considered to be on the safe side in an emergency situation. Furthermore, the lateral and longitudinal forces are directly related to the maximum friction coefficient in more transparent equations than in Pacejka model.

Dugoff model accuracy will then be evaluated as a good candidate to estimate µ x max . Longitudinal efforts are modeled as follows

F x = f (λ )K x τ
where τ is the slip ratio, K x is the longitudinal stiffness coefficient and f (λ ) is a piecewise function

f (λ ) =    (2 -λ )λ , λ < 1 1 , λ 1 , λ = µ x max F z 2|K x τ|
It is not difficult to see that µ x max can be expressed in terms of 4 a priori known variables10 µ x max = g(F x , F z , σ , K x ). Let us take the nonlinear zone case, i.e. f (λ ) = (2 -λ )λ

F x = 2 -µ x max F z |K x τ| µ x max F z |K x τ| K x τ
This expression can be rewritten as a second order algebraic equation of the maximum friction coefficient:

µ 2 x max F 2 z -2µ x max |K x τ|F z + |K x τ|F x = 0 whose two solutions µ x max = |K x τ| ± K x τ(K x τ -F x )
F z [START_REF] Dugoff | Tire performance characteristics affecting vehicle response to steering and braking control inputs[END_REF] are always real because K x τ(t) -F x (t) 0, ∀t. As a result of the previous statements, µ x max prediction model will be obtained by weighting the minimum value of (7):

μD x max (t k ) = α Fz (t) (|K x τ(t k )| -K x τ(t k )(K x τ(t k ) -Fx (t k )) , λ (t k ) < 1 μD x max (t k ) = μD x max (t k-1 ), λ (t k ) 1 (8)

Detection algorithm

As stated in the introduction, the extended braking stiffness (XBS) will be used to detect the entrance in danger zone (or, in other words, to signal the distinguishability between road surfaces).

XBS was defined by [START_REF] Ono | Estimation of automotive tire force characteristics using wheel velocity[END_REF] as the derivative of the friction coefficient with respect to slip ratio. Therefore, the switching function will be given by the following XBS estimator:

X BS(t) = dµ x dτ = dµ x dt dt dτ = μx τ
where μx and τ are obtained using algebraic algorithms [START_REF] Mboup | Numerical differentiation with annihilators in noisy environment[END_REF].

The main difficulty in this computation is to obtain numerical derivative estimators such that a good trade-off between filtering and reactivity is achieved.

Algebraic derivative estimators are compared for a particular scenario to the analytical derivatives in Figures 9a and9c. Both derivative estimators perform in a satisfactory way, even with singular behaviors such as sudden changes of µ x max (i.e. at t=3s). The analytical values present a hard discontinuity at that point, but it is pretty well filtered by the proposed estimators.

Also in Figure 9 (b and d) a comparison between filtered XBS and µ x evolution is shown. Similar trends can be appreciated in both graphs, i.e. when µ x reaches a local peak, XBS is close to local minima. Furthermore, the closest µ x is to µ x max , the lower value of XBS is obtained. As a result of this, an XBS validity range ([X BS max , X BS min ] can be selected as significative for µ x max detection. Thus, when XBS values are greater than X BS max or lower than X BS min , it will be considered that µ x remains equal to the last obtained value within the validity range. If µ x falls into the validity range, a corrective factor will be applied to the µ x max (t) predicted value by equation [START_REF] Eichhorn | Prediction and monitoring of tyre/road friction[END_REF]. Finally, a [0, 1.2] saturation function is used to correct the previous value in case the estimation exceeds realistic friction limits. To sum up, the final algorithm can be concisely written as follows:

if X BS(t k ) X BS max µ x max (t k ) = max 0, min 1.2, µ * x max (t k ) µ * x max (t k ) = µ D x max (t k ) 1 + χ X BS(t k ) X BS max if X BS max X BS(t k ) µ x max (t k ) = µ x max (t k-1 ) (9)
Remark 4.1. Parameter χ acts as a confidence factor of the friction value provided by Dugoff model within the validity range. It can be seen from equation [START_REF] Fathy | Online vehicle mass estimation using recursive least squares and supervisory data extraction[END_REF] that the nearest XBS is to XBS max , the closest the factor X BS(t k ) X BS max is from 1. On the contrary, when XBS tends to 0, the same stands for X BS(t k ) X BS max . The value of parameter χ is always close to 1 and its optimum value depends on the measurement noise nature.

Remark 4.2. The same procedure presented here will be used to estimate lateral maximum friction coefficient from its instantaneous value, which in turn, will be computed from pre-estimated vertical loads Fz and lateral efforts Fy . Two different scenarios have been used to test the algorithm in a simulation environment 11 . In both of them, each of the 3 braking phases is carried out under different friction conditions. Thus, while in the first case µ The applied braking efforts have been chosen to be useful for the proposed failure detection algorithm, i.e. strongly enough to leave the linear zone, but softly enough to avoid tire saturation.

Simulation results of friction estimation

x max (t) = 0.65,t ∈ [0, 3], µ x max (t) = 1,t ∈ [3, 5], µ x max (t) = 0.75,t ∈ [5, 8.5], in the second one µ x max (t) = 1,t ∈ [0, 3], µ x max (t) = 0.35,t ∈ [3, 5], µ x max (t) = 0.7,t ∈ [5, 8.5].
Figure 10 shows the simulation results for the first scenario. A vehicle begins to move at 15ms -1 and 3 braking actions are consecutively applied so that the resulting longitudinal accelerations are those of Figure 10a). The bottom graph of the same figure plots the friction coefficient and its estimation, with the instants t µ max where minimum values are attained. This information can be complemented with Figure 10b, where µ x -τ evolution can be very well distinguished for all 3 tire-road interfaces. Moreover, alarm times (t a , in black), coming from the estimation algorithm, always arise sufficiently in advance with respect to maximum friction instants t µ max (in red).

Bottom graph of Figure 10 compares the real µ x max obtained values, on the one hand, with Dugoff prediction model, and on the other hand, with the weighted Dugoff prediction model 12 . Besides the fact the alarm times seem to be sufficiently ahead of time, the estimation error is significantly small. These promising results are confirmed in a second multi-adherence scenario (Fig. 11). Remark that in both maneuvers, only when important braking actions are carried out, the estimator algorithm change its value (cf. i.e. in the second scenario, between t = 5s and t a = 5.61, the estimated µ x max is not updated because there is a problem of distinguishability).

Experimental results of friction estimation

Several braking maneuvers have been realized on roads with different maximum friction coefficient. In every test, a large set of dynamic variables has been recorded at high frequency rates (around 250 Hz) on an instrumented vehicle.

The promising results obtained in simulation have been confirmed with real data in severe braking maneuvers. Two examples of this satisfactory results are plotted in Figures 12 and13

Conclusion and future work

A new approach to estimate vehicle tire forces and road maximum adherence is presented in this paper. It is based on the combination of elementary diagnosis tools and new algebraic techniques for filtering and estimating derivatives. First of all, instantaneous friction and lateral forces are estimated. Then, extended braking stiffness concept is exploited to detect which braking efforts allows to distinguish a road type from another. Very promising results have been obtained in noisy simulations and in real experimentations.

However, the validity domain of this novel global estimation scheme remains still limited. Therefore, more exhaustive tests with real data will have to be performed in difficult situations like mu-split or emergency braking while turning. In this connection, a deep sensitivity analysis to vehicle parameters and noise measurements will be performed.

Future work will also have to be done to characterize the robustness of parameter χ with respect to the measurement noises. When this task will be completed, a real friction-dependent stop-and-go control strategy (see [START_REF] Villagra | Robust stop-and-go control strategy: an algebraic approach for nonlinear estimation and control[END_REF] or [START_REF] Villagra | Robust grey-box closed-loop stop-and-go control[END_REF]) will be implemented to validate the preliminary results presented here.

Let us emphasize finally that the practical usefulness in the automotive industry of these new algebraic techniques is confirmed by other successful applications [START_REF] Abouaissa | Fast parametric estimation for macroscopic traffic flow model[END_REF][START_REF] Andréa-Novel | Commande sans modèle de vitesse longitudinale d'un véhicule électrique[END_REF][START_REF] Join | Étude préliminaire d'une commande sans modèle pour papillon de moteur[END_REF][START_REF] Villagra | Robust stop-and-go control strategy: an algebraic approach for nonlinear estimation and control[END_REF][START_REF] Villagra | Robust grey-box closed-loop stop-and-go control[END_REF][START_REF] Villagra | Estimation of longitudinal and lateral vehicle velocities: an algebraic approach[END_REF].

Figure 1 :

 1 Figure 1: Adhesion coefficient characteristic curve for several tire-road interfaces (top); XBS definition (bottom)

Figure 2 :

 2 Figure 2: Global vehicle dynamics estimation scheme

Figure 3 :•

 3 Figure 3: Kamm friction circles ( F 2 x + F 2 y µFz )

Remark 3 . 1 .

 31 Longitudinal acceleration is usually an available measurement in production cars. However, since sensors providing this signal are really lowcost, their measurements are especially noisy. Filtering techniques introduced in Section 2.1 are used to obtain a denoised γ x as follows:

Figure 4 Remark 3 . 2 .

 432 Figure 4 shows experimental results of the F z estimator, which, in general terms, performs pretty well.

Figure 4 :

 4 Figure 4: Front and rear tire normal forces estimation from experimental results.

Remark 3 . 3 .Remark 3 . 4 .

 3334 When a µ-split situation occurs, the previous assumptions are not fulfilled. Therefore, the proposed longitudinal friction estimator will provide some sort of average front and rear friction coefficient. A deeper study has to be done to guarantee a functional estimator for this kind of extreme situations. To separately estimate friction on each front or rear wheel, yaw and roll dynamics should be considered. The previous pitch estimator has been designed following the methodology introduced in Section 2.1, i.e. robust algebraic techniques for filtering and estimation are combined within a classical fault diagnosis framework to obtain the desired estimates.

Figure 5 :

 5 Figure 5: Longitudinal friction estimation comparison between equations (3) and (4) from real data measurements.

Figure 6 :

 6 Figure 6: Comparison between real and estimated longitudinal efforts in a mixed braking and turning maneuver: front F x (left) and rear F x (right)

Figure 7 :

 7 Figure 7: Lateral tire forces estimation: a) Pure lateral maneuver at 15 ms -1 , longitudinal and lateral accelerations; b) Front and rear lateral effort estimation; (c) Combined longitudinal-lateral maneuver at 15 ms -1 ; d) Front and rear lateral effort estimation

Figure 8

 8 Figure 8 shows a longitudinal force comparison between Pacejka and Dugoff models. A similar behavior can be appreciated for 3 different maximum friction coefficients (µ x max = 0.4, µ x max = 0.7 and µ x max = 1):

Figure 8 :

 8 Figure 8: Comparison between Pacejka, Dugoff and modified Dugoff tire models for 3 different roads with the same wheel load (F z = 4500N). (a) µ x max = 0.4, (b) µ x max = 0.7 and (c) µ x max = 1.

Figure 10 :

 10 Figure 10: First scenario: a) Longitudinal acceleration b) µ x -τ graph with maximum friction and detection instants c) Maximum adherence estimation during the first multi-adherence scenario

Figure 11 :

 11 Figure 11: Second scenario: a)Longitudinal acceleration b)µ x -τ graph with maximum friction and detection instants c)Maximum adherence estimation during the first multi-adherence scenario

  .

Figure 13 :

 13 Figure 13: Maximum friction estimation for the second experimental maneuver.

Table 1 :

 1 List of variables

Let us recall that only measurements from encoders, longitudinal and lateral accelerometers, and yaw rate gyroscope are usually available trough the CAN bus.

Friction coefficient is plotted in terms of slip ratios for several tire-road interfaces following pseudo-static Pacejka[START_REF] Pacejka | The magic formula tyre model[END_REF] tire model. These characteristic curves have been obtained by fitting real data of a half range commercial car under very different conditions.

A preliminary version was presented in[START_REF] Villagra | An algebraic approach for maximum friction estimation[END_REF].

Those disturbing terms are nothing else than "poorly known" effects. See[START_REF] Fliess | Commande sans modèle et commande à modèle restreint[END_REF] for the control of poorly known systems.

[START_REF] Tseng | Estimation of land vehicle roll and pitch angles[END_REF] justifies this simplification with very satisfying results of a pitch angle estimation proposed by the same authors.

An adaptation of roll stiffness estimation developed in[START_REF] Ryu | Vehicle sideslip and roll parameter estimation using GPS[END_REF] has been used in this work for pitch stiffness identification.

So far these results have been verified only in simulation.

Some authors, like for instance[START_REF] Gustafsson | Slip-based estimation of tire-road friction[END_REF], have tried to classify the road friction only with the wheel's rotation dynamics, but their results are not conclusive.

While F x , F z and τ are byproducts of the proposed global estimation scheme, a nominal K x could be obtained either by an off-line or an online identification, following techniques introduced in Section 2.1.

A realistic simulator of a vehicle with 14 degrees of freedom, and with complete suspension and tire models (see[START_REF] Pacejka | The magic formula tyre model[END_REF]) has been used in all simulations.

As aforementioned, µ x max estimation is updated when XBS is within its validity range.

Acknowledgement

The authors wish to thank the anonymous reviewers for their most valuable comments which helped them to greatly improve their paper.

In the first case, the vehicle is moving at a constant speed (100 kmh -1 ) on a dry road (µ x max = 1.1) , when a sudden and hard braking effort is applied at t = 3.5 s. The vehicle remains braking close to the maximum tire-road friction coefficient until it stops at t = 8.5 s. The real friction coefficient µ x increases rapidly around t = 3.5 s, but it does not attain its maximum value almost until the end of the braking maneuver. This monotone behavior, probably due to the the fact that wheels do not get blocked, is not an obstacle to the estimator, which obtains a constant value of μx max = 1.07 at t = 4.2 s, sufficiently in advance of the µ x peak.

The second case is again a vehicle moving at a constant speed (60 kmh -1 ) in a straight line on a wet road (µ x max = 0.8). As it can be appreciated in Fig. 13, the results are even more satisfactory than in the previous case. On the one hand, the estimated value is now even closer to the real value, and on the other hand, the transient state is much shorter than before.