R Onanena
email: raissa.onanena@inrets.fr

L Oukhellou
email: latifa.oukhellou@inrets.fr

D Candusso
email: denis.candusso@inrets.fr

A Same

D Hissel

P Aknin

The estimation of fuel cell operating time for predictive maintenance strategies

Keywords: Fuel cell, Durability, Reliability, Diagnostic, Predictive maintenance

One of the limiting factors for the spreading of the fuel cell technology is the durability and researches to extend their lifetime are being done world-widely. We present here a pattern recognition approach aiming to estimate fuel cell operating time based on electrochemical impedance spectroscopy measurements. It consists in first extracting features from the impedance spectrum. For that purpose, two approaches have been investigated. In the first one, particular points of the spectrum are empirically extracted as features. In the second approach, a parametric modelling is performed to extract features from both the real and the imaginary parts of the impedance spectrum. In particular, a latent regression model is used to automatically split the spectrum into several segments that are approximated by polynomials.

The number of segments is adjusted taking account the a priori knowledge about the physical behaviour of fuel cell components. Then, a linear regression model using different subsets of extracted features is employed for the estimation of fuel cell operating time. The performances of the proposed approach are evaluated on experimental data set to show its feasibility. Being able to estimate the fuel cell operating time, and consequently its remaining duration life, these results could lead to interesting perspectives for predictive maintenance policy of fuel cells.

Introduction

Clean and renewable energy as well as limited greenhouse gas emissions are important issues for producers and consumers of energy. Different ways to deliver cleaner power are investigated worldwide. One of them is to use Fuel Cells (FCs) that appear to be a promising technology and environmentally friendly energy conversion solution for the future, especially for transport applications.

However, the economical viability of FC systems, especially in the transportation sector, depends notably on improving the stack durability and reliability. Indeed, the stack is prone to material degradation (e.g. poisoning of the catalyst sites, loss of proton conductivity in the membrane, corrosion of plates, etc.) and the performance decay induced is strongly linked to the operating conditions (i.e. pollutants in the reactants, insufficient amounts of reactive gas flows versus the load current demand, operating temperature, mechanical constraints on the membrane electrode assemblies, etc.) [START_REF] Zhang | A review of accelerated stress tests of MEA durability in PEM fuel cells[END_REF][START_REF] Tian | Identification of failed cells inside PEMFC stacks in two cases: Anode/cathode crossover and anode/cooling compartment leak[END_REF][START_REF] Lin | Investigation of dynamic driving cycle effect on performance degradation and micro-structure change of PEM fuel cell[END_REF][START_REF] Hinaje | Impact of defective single cell on the operation of polymer electrolyte membrane fuel cell stack[END_REF][START_REF] O'rourke | In situ detection of anode flooding of a PEM fuel cell[END_REF]. Typical life requirements range from 5000 hours at least for car applications to 20000 operating hours for bus applications. Moreover, when dealing with durability and reliability, the efficient diagnosis of FC stack and system appears as a major issue. The development of diagnostic schemes can help evaluating the FC state-ofhealth, and thus speed up the development cycle of new technologies (e.g. FC vehicles).

Various diagnosis approaches for FC stacks and systems have been developed. They include model-based methods [START_REF] Escobet | Modelbased fault diagnosis in PEM fuel cell systems[END_REF][START_REF] Yuan | AC impedance technique in PEM fuel cell diagnosis -A review[END_REF][START_REF] Fouquet | Model based PEM fuel cell state-of-health monitoring via ac impedance measurements[END_REF][START_REF] Rubio | Diagnosis of performance degradation phenomena in PEM fuel cells[END_REF][START_REF] Hernandez | Modeling and fault diagnosis of a Polymer Electrolyte Fuel Cell using electrical equivalent analysis[END_REF], gray or black box model approaches using fuzzy logic [START_REF] Hissel | Diagnosis of automotive fuel cell power generators[END_REF],

design of experiment methods [START_REF] Wahdame | Design of experiment techniques for fuel cell characterisation and development[END_REF], neural networks [START_REF] Nitsche | Rapid (practical) methodology for creation of fuel cell systems models with scalable complexity[END_REF], or non-parametric identification by

Markov parameters [START_REF] Tsujioku | Analysis and modelling of a direct methanol fuel cell for failure diagnosis[END_REF]. Recent FC stack diagnosis approaches based on fuzzy clustering [START_REF] Hissel | Fuzzy Clustering Durability Diagnosis of Polymer Electrolyte Fuel-Cells dedicated to transportation applications[END_REF] and bayesian networks have been proposed [START_REF] Riascos | A Bayesian network fault diagnosis system for proton membrane exchange fuel cells[END_REF].

This paper presents a pattern recognition based diagnosis aiming to estimate the FC operating time from Electrochemical Impedance Spectroscopy (EIS) measurements done at approximately regular time intervals throughout two different Proton Exchange Membrane (PEM) FC durability tests (conducted on two stacks, noted here as FC1 and FC2). Our analysis uses data collected on FC1 and FC2 to ensure the robustness of the obtained results.

Furthermore, with the proposed approach, we are also able to estimate the remaining FC lifetime. For predictive maintenance purposes, it is obviously important to know how FC performances evolve throughout its working.

Fig. 1 -FC operating time estimation on the basis of a pattern recognition based approach.

The complete diagnosis system consists of several steps, shown in Fig. 1. From each recorded impedance spectrum (high dimensional data), a feature extraction is performed to generate features (low dimensional data). The goal of extraction and selection is to find a small number of features among the original ones that are particularly informative for the problem to be solved. Furthermore, dimensionality reduction is also essential when the available training data set is small as it is in our case, otherwise the well known phenomenon of curse of dimensionality could inevitably appear, leading to over-fitting [START_REF] Bellman | Adaptive Control Processes: A Guided Tour[END_REF][START_REF] Duda | Pattern classification[END_REF]. Finally, linear regression between a meaningful subset of features and the considered output (operating time) is achieved.

The paper is organised as follows. Section 2 describes the two ageing tests and highlights the link between FC ageing and EIS measurements. Section 3 focuses on the two different feature extraction methods that have been used. Section 4 presents the different solutions for operating time estimation based on linear regression and compares the different results obtained with the two feature extraction approaches. Experimental results are reported in this section. Section 5 concludes the paper with some perspectives.

Durability issues

Ageing experiments

In order to evaluate the influence of different factors on the ageing of FCs, experiments were carried out in FC LAB. The durability tests were performed on two identical small power PEMFC three-cell stacks of about 100 W during 1000 hours. The testing conditions varied from one stack to another. The first stack (FC1) was operated in nominal and stationary conditions. The load current was constant and equal to 50 A. In the second test, the fuel cell (FC2), was operated under dynamical load current based on a real transportation mission profile (maximum current of 70 A was reached for an average of 12.5 A). Details on the test conditions and kind of current solicitation can be found in [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF]. During these ageing tests, the stacks were characterised regularly (twice per week). To determine the number of characterisation sequences, a trade-off was found between two different needs: on the one hand, a sufficient amount of collected data for the monitoring of the FC state-of-health, and on the other hand, the minimisation of the perturbations due to the characterisation sequences in the achievement of the durability tests. Except for the two first EIS spectra recorded on FC1 (at the beginning of the ageing test) and for the three first spectra measured on FC2 (at the beginning of the durability test), the characterisations were made at average time intervals of 63 hours for FC1 and 75 hours for FC2. These regular characterisations consist in recording polarisation curves and impedance spectra. They have resulted in the constitution of a database made of 17 and 12 impedance spectra for FC1 and FC2 respectively. Note that the complete characterisation test results are reported in [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF]. In this paper, the ageing process will be analysed with the information extracted from impedance spectra only.

Electrochemical Impedance Spectrum

Since the polarisation curve gives information about the static behaviour of the FC, Electrochemical Impedance Spectroscopy (EIS) is used in order to obtain relevant information about its dynamical behaviour. Considering this technique, the FC is placed on its standard (static) operating point and then additional small amplitude solicitation signals are applied.

Each recorded impedance spectrum is a series of impedance measurements at discrete frequency points. EIS can be performed in two modes: potentiostatic (voltage control mode) and, like in our case, galvanostatic (current control mode). EIS allows the characterisation of dynamic processes occurring at different timescales in the system. EIS has been widely employed by FC experimenters to study various phenomena, such as diffusion phenomena at cathode side, the ionic conductivity of membranes, pollutant effects and catalyst loading [START_REF] Yuan | AC impedance technique in PEM fuel cell diagnosis -A review[END_REF][START_REF] Rubio | Diagnosis of performance degradation phenomena in PEM fuel cells[END_REF][START_REF] Yan | AC impedance characteristics of a 2 kW PEM fuel cell stack under different operating conditions and load changes[END_REF]. EIS can also be used to show the influence of the occurrence of a fault or the evolution of the dynamic behaviour during an ageing process.

Effects of FC ageing on impedance spectrum

During the two ageing tests, the dynamical FC behaviour is investigated using the same characterisation protocol: considering the stationary operating point of 35 A and a small sinusoidal alternating part around it (with amplitude of 1 A and frequency range from 10 mHz to 30 kHz). The different ageing test conditions applied on both stacks have led to different EIS results for each FC [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF]. As an example, the impedance plots measured during the ageing test conducted on FC1 stack are presented in Fig. 2. We can observe that the FC impedance can be divided into three parts, each part corresponding to a distinct dynamic behaviour:

a first capacitive arc (f < 130 Hz),

a second capacitive arc (130 Hz < f < 4 kHz),

an inductive part which is present in high frequencies (4 kHz < f).

These three parts correspond to physical processes in the FC. At low frequencies, the dynamic impedance is firstly close to the static one (pure resistance corresponding to the slope of the polarisation curve) and then it becomes capacitive due to mass and water transports. At medium frequencies, the charges (electrons and protons) transfer processes become more important than the diffusion phenomena and the second capacitive arc follows the first one. At high frequencies, the inductive behaviour of all connections (internal and external ones) becomes the major influence factor [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF]. The delimiting frequency values presented above are approximate values, and they depend on the FC and its ageing state. Our goal is to use these characteristics, especially their evolution to estimate the FC operating time. Indeed, they seem to be good indicators of the ageing phenomenon in FCs [START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF].

Feature extraction and selection

The goal of this processing phase is to generate a subset of features that will represent in the best way the data. Indeed, the spectrum data dimension (the number of its points) is about 50

(50 values of the frequency) whereas the number of observations during its ageing is 29. It is therefore highly recommended to reduce the dimension of the input space, summarise efficiently the measurements, and limit the curse of dimensionality. The underlying motivation is that the data live in a subspace whose intrinsic dimensionality is lower than the one of the original data space [START_REF] Bishop | Pattern recognition and machine learning[END_REF].

We chose to extract features using two different methods. The first one, presented on the following subsection, consists in the empirical extraction of particular hyperparameters from the spectrum. These hyperparameters contain relevant information regarding the ageing process of FCs. In the second method, the impedance spectrum is separated into two curves that represent the evolution of the real and imaginary parts of the impedance as functions of the frequency. A parameterisation procedure of each of the curves is then performed to generate features.

Hyperparameters extraction

The approach for feature selection is a method based on expert knowledge. The idea is to use as features some particular points of the impedance spectrum referred as hyperparameters that give relevant information on the ageing process. Previous studies presented in [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF] have focused on identifying characteristic points in the impedance spectrum that can be employed to diagnose FC stacks. We chose the following parameters as features:

the polarisation resistance value,

the minimal value of the imaginary part in the impedance spectrum, its corresponding real part values and its occurring frequency (3 hyperparameters in total), the internal resistance value and its corresponding frequency of occurrence (2 hyperparameters).

In Fig. 2, the clear evolution of these parameters during the ageing process can be observed.

For example, the minimal value of the imaginary part decreases throughout the experiments.

A more detailed analysis of the temporal evolutions of these hyperparameters can be found in [START_REF] Harel | PEMFC durability test under specific dynamic current solicitation linked to a vehicle road cycle[END_REF][START_REF] Wahdame | Comparison between two PEM fuel cell durability tests performed at constant current and under solicitations linked to transport mission profile[END_REF].

Feature extraction on the real and imaginary parts of the spectrum

In this section, we work with the real and imaginary parts of the Nyquist diagram. This enables us to use explicitly the additional information in the frequency variable distributed along the curve. The real and imaginary parts are presented in Fig. 3. It can be seen that an inherent link can be established between the FC ageing phenomenon and the evolution of these curves. Moreover, like on the EIS spectra, three parts representing the three physical processes can also be observed in the imaginary parts of the spectra. Therefore, it seems interesting to extract features from these plots that can be used afterwards to estimate the ageing time of the FC stack.

Fig. 3 -Evolution of the real and imaginary parts of the impedance spectrum versus frequency for FC1 from the initial state (Time : 0) to the final state (Time : 995 hours).

Feature extraction on the real part of the impedance

The real part of the impedance as a function can be approximated by an external model of four parameters related to an extended "logsig" function and defined as follows:

( )

( ) 2 3 1 4 log( ) Re log( ) 1 a f a a f a e - - = + + (1)
The four model coefficients are determined by minimising a cost function based on a mean square error with the help of simplex method [START_REF] Nedler | A simplex method for function minimization[END_REF]. The behaviour of this model is presented in Fig. 4. This "global" model does not fit perfectly the experimental data in the low frequencies part (see Fig. 4). However, it still gives good results: the mean error is equal to 1.18% in the low-frequency range, 1.15% in the medium frequencies and 1.45% in high frequencies. A more complex model could give a better approximation of the curves. However, it could also model the noise, and over-fit the curve (i.e. the fitted curve would pass exactly through each experimental point, but would oscillate widely between the experimental points and give a poor representation of the real part). With the proposed model, a trade-off between complexity and accuracy has been considered.

Feature extraction on the imaginary part of the impedance

The imaginary part of the spectrum is more informative than the real one. Rather than using a global fitting of this curve, the idea that we investigate here is to partition it into different segments that can be approximated individually by a polynomial. As indicated previously in section 2.3., both number and location of the segments have to be chosen in relation with the physical behaviour of the FC stack.

-Latent regression model

The feature extraction used here consists of a specific regression model incorporating a discrete hidden logistic process [START_REF] Chamroukhi | Time series modeling by a regression approach based on a latent process[END_REF][START_REF] Onanena | Estimation of fuel cell life time using latent variables in regression context[END_REF]. This method is a probabilistic-model-based approach to feature extraction. As it will be demonstrated further on, this model is adapted for measurements including smooth or abrupt transitions between regimes. Let x = (x 1 ,...,x n ) be the n points of the imaginary part of an impedance spectrum where x i is observed for the frequency value f i . In the following, f i will denote the logarithm of the frequency (f i ~ log f i .) that is more convenient for spectrum representation. This specific regression model assumes that the measurement incorporates K polynomial regimes (or class) and that the switching from one regime to another is controlled automatically by a latent discrete variable z i . This latent variable takes its values in the set {1,...,K}, and represents the class label of the polynomial regression mode. Thus, the observation is assumed to be generated by the following regression model:

1 i i T i z i z i i ...n, x r , β σ ε ∀ = = + (2)
where:

β zi T r
is the (p+1)-dimensional coefficients vectors of the p-degree polynomial, i = (1, f i ,..., (f i ) p ) T is the-frequency-dependent (p+1)-dimensional vector associated to β zi , ε i and σ are the independent random variables distributed according to a Gaussian distribution with a zero mean and a unit variance, zi is the variance coefficient associated with ε i . The vector ε = (ε 1 ,...,ε n ) T is therefore the noise vector.

The sequence of the latent variables z= (z 1 ,..., z n ) is a logistic process. It allows the switching from one regression model to another in K models. This process assumes that the variables z i , given the frequencies (f 1 ,...,f n ), are generated independently according to the multinomial (or multivariate) distribution M(1,π i1 (w),...,π iK (w)), where:

0 1 0 1 1 exp( ) ( ) ( ) , exp( ) k k i ik i K j j i j w w f w p z k w w w f π = + = =; = + ∑ (3)
is the logistic transformation of a linear function of the frequency f i and w=(w 10 ,w 11,..., w k0 ,w k1,..., w K0 ,w K1 ) T is the parameter vector of the logistic process. The relevance of the logistic transformation in terms of flexibility of transition has been well detailed in [START_REF] Chamroukhi | Time series modeling by a regression approach based on a latent process[END_REF].

-Parameter estimation

From the model given by Eq. ( 2), it can be proven that the variable x i is distributed according to the normal mixture density [START_REF] Mclachlan | Finite mixture models, Wiley series in probability and statistics[END_REF]:

2 1 ( ; ) ( ) ( ; , ), K T i ik i k i k k p x w x r θ π φ β σ = = ∑ (4)
where Φ(.;µ,σ 2 ) denotes a monodimensional normal density with mean µ and variance σ 2 , and θ the parameter vector to be estimated:

θ = (w, β 1 ,...,β K , σ 2 1 ,...,σ 2 K )
Assuming that, given (f 1 ,...,f n ), the x i (i=1,...,n) are independent, and that each x i is distributed according to the mixture density defined by Eq. ( 4), the log-likelihood of θ can be written as:

1 1 2 1 1 ( ) log ( ) log ( ) ( ) n n i i n K T ik i k i k i k L ; x ,..., x p x ; w x ; r , θ θ π φ β σ = = = = = ∏ ∑ ∑ (5)
This likelihood cannot be directly maximised, so we use a dedicated Expectation Maximisation (EM) algorithm [START_REF] Mclachlan | Finite mixture models, Wiley series in probability and statistics[END_REF][START_REF] Dempster | Maximum likelihood for incomplete data via the EM algorithm[END_REF] to perform the maximisation. The parameters of the hidden logistic process, in the inner loop of the EM algorithm, are estimated using a multiclass Iterative Re-weighted Least-Squares (IRLS) algorithm [START_REF] Green | Iteratively Reweighted Least Squares for Maximum Likelihood Estimation, and some robust and resistant alternatives[END_REF].

-Measurements approximation

In addition to perform feature extraction, this regression model can be used to approximate and segment the impedance spectrum. In fact, the approximated measurement at sample i is given by the expectation:

1 ˆˆ( ; ) ( ; ) ( ) , K T i i i i ik k i k E x x p x dx w r θ θ π β +∞ = -∞ = = ∑ ∫ ( 6
)
where θ is the parameter vector obtained at the convergence of the EM algorithm. Thus, since this expectation is a sum of polynomials weighted by the logistic probabilities, it is adapted for signals approximation with both smooth and abrupt transitions.

To perform the feature extraction, since the impedance spectrums include three regimes corresponding to three physical behaviours of the stack (i.e. mass transport, charge transfer, and inductive part), the number of regressive components K is then set to 3. The degree p of the polynomial regression is set to 3 too, which is adapted to the different regimes in these spectrums. Then the number of features representing the imaginary part of the impedance is equal to 14 (12 polynomial coefficients and the regime transitions' frequencies f 1 and f 2 ).

Figure 5 illustrates the behaviour of the hidden process regression. The three domains are clearly identified.

Feature selection and estimation of the duration time

The aim of feature selection is to choose a subset of relevant features from the previously extracted ones that are more informative on the FC ageing and simultaneously the most independent from the "inevitable" model noise. The criterion chosen to assess the relevancy of the feature extraction is the performance of the regression model estimating the operating time when it is trained on the given set of features. Because the number of extracted features is relatively small, an exhaustive search is carried out. Considering a set of features, an exhaustive feature selection require evaluating all possible subsets of features by training their associate regression model: This means that all possible feature subsets are considered as inputs of the regression model: each feature is individually evaluated, then subsets of two features, three features, four features and so on, until all the possible subsets are covered. At the end, the selected subset of features is the one that leads to the best performance in terms of operating time estimation, i.e. that results in the smallest mean error in the test set.

The final step of this estimation phase is the evaluation of the performances of the linear regression model. A cross validation is used [START_REF] Duda | Pattern classification[END_REF][START_REF] Bishop | Pattern recognition and machine learning[END_REF]. Because the size of the data is small from a statistical point of view, a particular cross-validation technique, known as the "leaveone-out" technique is carried out as follows. Consider the data made up of N elements. The model is trained using (N-1) elements (the training set), and tested on the N th element (the test set). The process is repeated until each of the N elements is used as a test set. The error rate is then estimated by computing the average of the N resulting test errors. This computation of the error rate provides an estimation of how well the regression will perform on a new data. In the case of a linear regression, the mean square error has been considered as the error rate.

The "leave-one-out" technique is generally expensive in time computation but it can be used in our case because the data set is very limited (29 elements only).

Experimental results and discussion

With the following experiments, we want to illustrate the capability of the proposed approach to estimate the operating time using the features extracted from the spectrum. The data on which the approach is tested is a dataset made up of 29 impedance spectrum measurements carried out on two FCs (FC1 and FC2 as previously described in Section 2.1) during 1000 hours.

Results using hyperparameters

The extraction of parameters using hyperparameters gives six parameters:

the internal resistance (h 1 the polarisation resistance (h

), 2
the minimal value of the imaginary part of the spectrum (h

),
3 ) and its corresponding real part (h 4

the respective frequencies corresponding to the internal resistance (h ), [START_REF] O'rourke | In situ detection of anode flooding of a PEM fuel cell[END_REF] ), and the peak of the spectrum (h 6

The selection of a subset of relevant features among the initial ones is achieved by an exhaustive search. All the possible parameter combinations are evaluated in terms of mean square error of the operating time. The chosen combination is the one that leads to the minimal rate of the test error. At the end, only the polarisation resistance (h

).

1 ) and the imaginary part of highest peak (h 3 ) are selected. That gives us a set of two features (h 1 , h 3 ) for a number of 29 observations.

Results using feature extraction on the real and imaginary parts of the impedance spectrum

The feature extraction methods are applied on each spectrum measurement. These lead to extract 4 features {a i ,} 1≤i≤4 from the real part and 14 features

{β i,j , f 1 , f 2 } 1≤i,j≤4
Considering the low number of observations, the first results obtained with the complete set of features (#18) with a cross-validation procedure lead to very bad estimation. This can be explained by the fact that this method describes more accurately the impedance spectrum curve, and that probably important information is kept during the feature extraction.

Results using a combination of the two feature extraction approaches

Figure 7 presents the performances of the regression model that uses a subset of features selected among the whole set of 24 features. Likewise, an exhaustive search has been used to select this subset and a "leave-one-out" cross-validation procedure to evaluate the performances. The mean error is equal to 95 hours over the total duration of 1000 hours (i.e. 9.5 %). Table1 presents the results obtained on the whole data set for the two different approaches.

Table 1 -Linear regression model for the estimation of FCs ageing time using different input descriptors.

Conclusion

A method to estimate the operating time of FCs, using a pattern-recognition-based approach on EIS measurements, has been presented in this article. when one uses the first feature extraction method, whereas the mean error equals 142 hours when using the second method and falls to 95 hours, when using features extracted using both methods. These are encouraging results, particularly in predictive maintenance context.

Improvements can be achieved either by the use of additional features extracted from another characterisation measurement (polarisation curve) and/or more exhaustive dataset.

Figure captions

Fig. 1 -FC operating time estimation on the basis of a pattern recognition based approach.

Fig. 2 -

 2 Fig. 2 -Presentation of hyperparameters in the impedance spectrum (left) and evolution of the

Fig. 4 -

 4 Fig. 4 -Example of real part of the impedance spectrum and its approximation by the external

Fig. 5 -

 5 Fig. 5 -Original signal, the three polynomials (top), and their corresponding logistic

Fig. 6 -

 6 Fig. 6 -Operating time estimation over the training (left) and the test (right) sets for the linear

Figure 6

 6 Figure 6 illustrates the distribution of mean square error (MSE) over all the operating times

Fig. 7 -

 7 Fig. 7 -Operating time estimation over the training (left) and the test (right) sets for the linear

  It involves two methods of feature extraction from the impedance spectrum, a feature selection procedure to keep only relevant descriptors and a regression model. While the first feature extraction approach uses hyperparameters extracted from the impedance spectrum, the second approach consists first in a parameterisation of the real part with an external model fitting, and then in the parameterisation of the imaginary part with a specific regression model incorporating a discrete hidden logistic process. Because of the small size of the available data set, a particular attention has been paid to the feature extraction and selection steps. Evaluations on real data set have shown that FC operating time (respectively lifetime) can be estimated with a mean error of 214 hours over a global operating duration of 1000 hours,

Fig. 2 -

 2 Fig. 2 -Presentation of hyperparameters in the impedance spectrum (left) and evolution of the

Fig. 3 -

 3 Fig. 3 -Evolution of the real and imaginary parts of the impedance spectrum versus frequency

Fig. 4 -

 4 Fig. 4 -Example of real part of the impedance spectrum and its approximation by the external

Fig. 5 -Fig. 6 -

 56 Fig. 5 -Original signal, the three polynomials (top), and their corresponding logistic

Fig. 7 -

 7 Fig. 7 -Operating time estimation over the training (left) and the test (right) sets for the linear

  The curse of dimensionality is clearly reached. Even more than what was the case with the previous feature extraction method, a preliminary feature selection is highly recommended.The selection of a subset of relevant features among the initial ones is also achieved by an exhaustive search. This has resulted in the selection of the following set of features: {β 21 , β 23 , β 24 , a 1 , a 2 , a 3 , a 4 }. The performances are evaluated with the "leave-one-out" technique. The results are presented in Table1, which illustrates the distribution of mean square error (MSE) over all the operating times among the database. The left part corresponds to the training phase and the right part the test phase. With such a model, the operating time of the FC can be estimated with a mean error of 142 hours over the total duration of 1000 hours (i.e. 14.2 %).

	from the
	imaginary part (3 hidden logistic process regressions with 12 coefficients of the three-order
	polynomial fitting of the curve and the 2 frequencies delimiting the central polynomial).
	Therefore, a total set of 18 descriptors are available for each impedance spectrum
	measurement. Like in section 4.1, a linear regression has been used for the estimation of the
	operating time.

6.


Joffrey Clarhaut
email: joffrey.clarhaut@inrets.fr

* -Saïd Hayat

Blaise Conrard
email: blaise.conrard@polytech-lille.fr

Vincent Cocquempot
email: vincent.cocquempot@univ-lille1.fr

Utilisation des séquences de pannes pour la conception de systèmes de commande sûrs. Application au ferroutage

Keywords: Sûreté de fonctionnement, conception de systèmes, séquences de défaillances, ferroutage Dependability, system design, sequences of failures, railroad systems

Cet article propose une méthode originale pour la conception à moindre coût de systèmes d'automatisation tolérants aux fautes. La sûreté de fonctionnement est évaluée de manière semi-quantitative en tenant compte de l'ordre d'apparition des défaillances. Cette évaluation tient compte du nombre, de l'ordre et de la longueur des séquences menant aux événements redoutés. Cette méthode présente l'intérêt d'être suffisamment simple pour permettre d'étudier un grand nombre de solutions potentielles d'architectures matérielles et suffisamment précise pour permettre leur comparaison. Parmi les méthodes d'évaluation classiques, certaines permettent de traiter cet aspect dynamique (graphe de Markov, réseau de Petri), mais elles ne sont pas ou peu appropriées pour la comparaison de différentes solutions. La méthode de conception présentée y remedie par l'emploi d'alternatives de réalisation. Une phase d'optimisation vient sélectionner les meilleures alternatives en maximisant la sûreté de fonctionnement pour un coût donné. La méthode est illustrée par la conception d'un système de détection des incendies pour le ferroutage.

ABSTRACT. This article proposes an original method for the design of faulty tolerant automated systems at lower cost. Dependability is evaluated semi-quantitatively by taking into account the order of failures. This evaluation takes into account the number, the order and the length of failure sequences leading to a dreaded event. This method has the advantage to be enough simple to allow the study of a large number of potential architectures and to be sufficiently precise to enable comparison between them. Among the classical evaluation methods, some of them may consider this dynamic aspect (Markov graphs, Petri nets), but they are inappropriate for comparing different solutions. The design method allows the use of alternative achievement. An optimization phase just selects the best alternatives maximizing dependability at a given cost. The method is illustrated by designing a fire detection system for a railroad system.

e soumission à Journal Européen des Systèmes Automatisés.

Introduction

Un système d'automatisation est composé de composants physiques, capteurs, actionneurs et unités de traitement organisés afin d'accomplir un ensemble de missions [START_REF] Simon | Reliability and credibility evaluation of networked control systems[END_REF]. Un tel système est sûr si malgré la défaillance de certains de ses composants, il reste en état d'accomplir l'ensemble ou une partie de ces missions et surtout s'il reste dans des états ne risquant pas d'amener le système vers une situation jugée critique ou dangereuse. Lors du cycle de conception, l'objectif du concepteur est donc de déterminer un système qui garantit un niveau acceptable de sûreté de fonctionnement [START_REF] Laprie | Guide de la sûreté de fonctionnement[END_REF]. Ce niveau de sûreté de fonctionnement caractérise le risque de ne plus pouvoir rendre les missions attendues ou d'atteindre une situation redoutée. Il peut être évalué soit de manière quantitative et probabiliste sur la base des taux de défaillance de chacun des composants [START_REF] Rausand | System Reliability Theory : Models, Statistical Methods and Applications Second Edition[END_REF], (Villemeur., 1992), soit de manière qualitative par l'étude des ensembles de combinaisons de défaillances amenant le système vers les états redoutés [START_REF] Dutuit | Exact and Truncated Computations of Prime Implicants of Coherent and non-Coherent Fault Trees within Aralia[END_REF], [START_REF] Rauzy | Mathematical Foundation of Minimal Cutsets[END_REF], [START_REF] Conrard | Design of Dependable Control System thanks to a semiquantitative Optimisation[END_REF]. Cet article propose une méthode originale pour la conception à moindre coût de systèmes d'automatisation tolérants aux fautes. La sûreté est évaluée de manière semi-quantitative en tenant compte de l'ordre d'apparition des défaillances. Cette évaluation tient compte du nombre, de l'ordre et de la longueur des séquences menant aux événements redoutés. Cette méthode présente l'intérêt d'être suffisamment simple pour permettre d'étudier un grand nombre de solutions potentielles d'architectures matérielles et suffisamment précise pour permettre leur comparaison. Parmi les méthodes d'évaluation classiques, certaines permettent de traiter cet aspect dynamique (graphe de Markov, réseau de Petri), mais elles ne sont pas ou peu appropriées pour la comparaison de différentes solutions. La méthode de conception présentée y remedie par l'emploi d'alternatives de réalisation. Cet article est divisé en trois parties. Dans la première partie, les concepts généraux relatifs aux méthodes de conception et d'évaluation de systèmes sûrs sont présentés puis la contribution est clairement mise en avant. Dans la deuxième partie, la méthodologie de conception de systèmes sûrs proposée est expliquée. Dans la troisième partie, la démarche est appliquée pour concevoir un système de détection des incendies pour le wagon de ferroutage. Une comparaison avec la méthode des arbres de défaillances classiques est réalisée afin de montrer les contributions de cette nouvelle approche. En conclusion, les notions importantes sont rappelées et quelques perspectives de ces travaux de recherche sont présentées.

Concepts et problèmes relatifs à la conception de systèmes sûrs de fonctionnement

Méthodologie de conception de systèmes d'automatisation

La conception d'un système d'automatisation impose la détermination successive de trois types d'architectures [START_REF] Lion | Dependable distributed computer control systems : analysis of the design step activities[END_REF], [START_REF] Cauffriez | Design of intelligent distributed control systems : a dependability point of view[END_REF]) : l'architecture fonctionnelle, l'architecture matérielle et l'architecture opérationnelle.

L'architecture fonctionnelle est construite suivant des spécifications fonctionnelles et des contraintes. Cette architecture représente le lien entre différentes fonctions du système sous forme d'une décomposition hiérarchique en fonctions, sous-fonctions et fonctions élémentaires (Figure 1, Activité A1) (AFNOR, 2004) . Aux fonctions élémentaires de cette architecture fonctionnelle est ajoutée une association d'un ensemble de matériels reflétant l'ensemble des choix matériels possibles pour l'accomplissement de ces fonctions (Figure 1, Activité A2). Cette architecture fonctionnelle et matérielle peut prendre en compte des composants de base comme des composants matériels et logiciels ainsi que des systèmes de communication. L'architecture opérationnelle est le résultat d'une projection, sous contraintes de coût et de sûreté de fonctionnement, de l'architecture fonctionnelle et matérielle (Figure 1, Activité A3). Cette architecture opérationnelle est ensuite validée suivant des objectifs de coût et de sûreté de fonctionnement fixés par le concepteur dans son cahier des charges (Figure 1, Activité A4). Si les objectifs ne sont pas atteints, la boucle de rétroaction entre les activités A1 et A4 fournit des informations qui seront utilisées pour améliorer les performances du système par la modification des objectifs/spécifications, e soumission à Journal Européen des Systèmes Automatisés.

des contraintes ou des critères de base. L'évaluation du niveau de sûreté de fonctionnement peut être faite de façon statique ou dynamique. L'évaluation statique est une évaluation probabiliste des critères de la sûreté de fonctionnement réalisée par rapport à chaque mode de défaillance. L'évaluation dynamique, quant à elle, considère les séquences ordonnées de modes de défaillances ou scénarios. Cette dernière évaluation permet de déterminer les scénarios amenant le système vers une situation dangereuse précise.

Notions de base de la sûreté de fonctionnement

La sûreté de fonctionnement est définie comme la science des défaillances (Villemeur, 1988). Elle est caractérisée par l'analyse des défaillances du système et de leurs conséquences. Les quatre principales caractéristiques de la sûreté de fonctionnement sont : la fiabilité, la disponibilité, la maintenabilité et la sécurité (AFNOR, 1988), (AFNOR., 1991), (Zwingelstein., 1999).

Une approche unifiée pour considérer ces caractéristiques est d'utiliser le concept d'événement redouté [START_REF] Conrard | Design of Automation Systems with criterion of cost and dependability[END_REF]. Par exemple, les événements redoutés « impossibilité d'achever la mission », « arrêt inattendu » ou « comportement dangereux » sont relatifs respectivement aux paramètres de disponibilité, fiabilité et sécurité. L'événement redouté permet de considérer les caractéristiques de la sûreté de fonctionnement de façon plus qualitative et plus compréhensible.

De même, un système sûr est un système qui accomplit ce pourquoi il a été conçu, sans incident réduisant sa disponibilité et sans accident réduisant sa sécurité [START_REF] Conrard | Design of Dependable Control System thanks to a semiquantitative Optimisation[END_REF]. Comme les quatre critères de la sûreté de fonctionnement ne sont pas indépendants (Sourisse et al., 1997), la conception d'un système sûr nécessite de trouver le meilleur compromis disponibilité-fiabilité-sécurité-maintenabilité.

Méthodes d'évaluation de la sûreté de fonctionnement

L'évaluation des critères de sûreté de fonctionnement d'un système peut être effectuée par différentes méthodes. De nombreux travaux de recherches [START_REF] Kumamoto | Probabilistic risk assessment and management for engineers and scientists[END_REF], [START_REF] Rausand | System Reliability Theory : Models, Statistical Methods and Applications Second Edition[END_REF] et la norme internationale dédiée à la sûreté de fonctionnement (IEC, 2003), décrivent ces méthodes.

Les arbres de défaillance et les diagrammes de fiabilité sont des méthodes statiques classiques qui permettent d'isoler les parties du système et les composants qui sont sensibles aux défaillances. Cependant, ces méthodes ne prennent pas ou difficilement en compte les séquences ordonnées de modes de défaillance et les dépendances temporelles entre fonctions [START_REF] Kerhen | Evaluation qualitative de systèmes physiques pour la sûreté de fonctionnement » Formalisation des activités concurrentes (FAC03)[END_REF]. Comme cela sera vu dans les parties suivantes, ces aspects temporels ne peuvent pas être négligés pour une évaluation précise de la sûreté de fonctionnement d'une architecture matérielle donnée.

Les méthodes basées sur les réseaux de Petri ou les graphes de Markov incluent la prise en compte de ces aspects temporels. Ces méthodes permettent de considérer différents taux de défaillance des composants en fonction de l'état global du système. Cependant, l'étude de ces modèles est plus complexe et s'appuie généralement sur des méthodes de simulation qui requièrent des temps de calcul relativement longs, surtout dès que le nombre de composants et le nombre d'états à étudier deviennent suffisamment important. Ainsi, ces méthodes ne sont pas bien adaptées pour la conception et l'optimisation où un grand nombre de solutions potentielles doivent être évaluées et comparées [START_REF] Moncelet | Dependability evaluation of mecatronic automative systems using Petri Nets PhD Thesis in French[END_REF], [START_REF] Jampi | Conception et sûreté de fonctionnement : deux activités indissociables » Congrès Francophone Mosim 2001[END_REF], [START_REF] Schoenig | An aggregation method of Markov graphs for the reliability analysis of hybrid system[END_REF]. L'idée de combiner les méthodes classiques et les méthodes de simulation afin d'évaluer de façon précise la sûreté de fonctionnement a fait l'objet de nombreux travaux [START_REF] Dugan | Fault tree Analysis of Computer-Based Systems[END_REF], [START_REF] Cepin | A dynamic fault tree[END_REF], [START_REF] Bouissou | Reliability analysis of a dynamic phased mission system[END_REF], mais ces méthodes souffrent de la même limitation concernant les temps de traitement. Il s'agit donc de regrouper et d'adapter les outils d'évaluation rapides et les algorithmes d'optimisation au sein d'une méthodologie globale de conception de systèmes sûrs.

Ce besoin d'un outil global a motivé le développement d'un nouveau modèle statique/dynamique. Ce nouveau modèle, appelé « Arbre de défaillances multiples amélioré » est basé sur une représentation arborescente assez classique, proche des arbres de défaillance. Il prend en compte les séquences ordonnées de multiples modes de défaillances et leurs dépendances temporelles. Les dépendances temporelles entre les défaillances des composants ou des fonctions qu'ils supportent sont exprimées dans le modèle par des opérateurs temporels. Ces ajouts permettent d'évaluer plus précisément le niveau de sûreté de fonctionnement.

Par ailleurs, les événements considérés n'étant que des défaillances permanentes et soudaines, la méthode proposée ne s'interesse qu'à des systèmes non-réparables durant le temps d'exécution d'une mission. Enfin, dans l'arbre proposé, des noeuds particuliers offrant différentes alternatives de réalisation sont utilisés. Ils permettent de proposer plusieurs solutions de réalisation du système afin d'en déterminer la ou les meilleures.

Présentation de la méthodologie de conception

Les objectifs de la méthodologie proposée sont :

-de modéliser un système d'automatisation sous la forme d'un ensemble de d'alternatives de réalisation, -de définir les conséquences et les effets des défaillances selon leur ordre d'apparition, -d'évaluer avec suffisamment de précision le niveau de sûreté de fonctionnement d'un ensemble d'architectures matérielles, -d'obtenir un ensemble d'architectures matérielles possibles, dont chaque solution est caractérisée par un niveau de sûreté de fonctionnement et un coût. e soumission à Journal Européen des Systèmes Automatisés.

La méthodologie est décomposable en deux phases : la phase de modélisation et la phase d'optimisation. Ces deux phases sont définies dans les sections 3.2 et 3.3. Nous détaillons d'abord les définitions et propriétés utilisées.

Définitions et propriétés de base

Cette section définit les concepts et les notions utilisés par la méthodologie proposée. Les définitions d'un scénario et de ses valeurs caractéristiques sont enoncées. Les opérateurs et les propriétés (ou lois de composition) de l'arbre de défaillances multiples sont également présentés. Le coût, le niveau de sûreté de fonctionnement et l'ensemble des architectures matérielles sont également définis dans cette section. Pour un même élément, plusieurs défaillances ou modes de défaillances peuvent être considérées s'il existe plusieurs états non désirés. Appliqué à des phases de fonctionnement où le système est supposé non réparable, un élément ne peut revenir à son état initial. Par la suite, on distinguera par événement redouté, la défaillance d'une fonction supportée par un ensemble de composant, tandis que le terme défaillance ne sera employé que pour un composant particulier.

Définition 2 : Un scénario correspond à une séquence de défaillances qui amène le système vers un événement redouté précis D. Un scénario est un ensemble ordonné dans le temps de modes de défaillances noté ϕ D tel que :

ϕ D = [F 1 i , . . . , F n j ] où F β α est
L D min = min 1≤i≤card(ΦD) L(ϕ i D )
Pour un événement redouté particulier, cette valeur correspond au nombre de modes de défaillances que le système peut tolérer avant l'occurrence de cet événement redouté.

Notation 4 : (Ensemble de scénarios ayant une longueur minimale) L'ensemble des scénarios de longueur minimale L min amenant à l'événement redouté D est noté ∆ D .

∆ D = {ϕ i D ∈ Φ D /L(ϕ i D ) = L D min }
Remarque. -Dans la littérature (Bouissou, 2006), un scénario qui amène le système vers un événement redouté est considéré comme minimal s'il n'est pas inclus dans un autre scénario qui amène vers le même événement redouté. L'ensemble des scénarios ayant une longueur minimale, défini dans la notation 4, est un sous ensemble de l'ensemble des scénarios minimaux où seules les séquences ayant une longueur minimale sont considérées.

Opérateurs caractérisant les relations entre modes de défaillances

Les arbres de défaillance classiques permettent de représenter graphiquement les combinaisons d'événements qui conduisent à la réalisation d'un événement redouté. Des opérateurs logiques, classiquement ET et OU, sont utilisés pour décrire les relations entre ces modes de défaillances. La prise en compte de dépendance temporelle entre événements et défaillances est réalisée par l'ajout de deux opérateurs notés p-ET et SEQ [START_REF] Dugan | Dynamic fault-tree models for tolerant computer systems[END_REF][START_REF] Coppit | Formal Semantics for Computational Engineering : A case Study on Dynamic Fault Trees[END_REF], classiquement utilisés sour leur forme anglaise (PAND et SEQ). Dans la phase de modélisation proposée, ces opérateurs sont utilisés dans les relations entre les différents modes de défaillances des fonctions, sous-fonctions et composants. Ces opérateurs possèdent également des propriétés mathématiques (ou lois de composition) utiles dans la phase d'optimisation lors du traitement de l'arborescence. e soumission à Journal Européen des Systèmes Automatisés.

Considérons A, B et C, trois événements redoutés, tels que C est le résultat de l'association de A et de B avec l'un des opérateurs. ∆ A , ∆ B et ∆ C sont les ensembles de scénarios minimaux associés à A, B et C. L'opérateur ET représente le cas où l'occurrence de C se produit après l'occurrence de A et de B quel que soit leur ordre d'apparition.

Propriété 1 : Avec C = A ET B, les valeurs caractéristiques de C peuvent être évaluées à l'aide des relations suivantes dont le détail des calculs est donné en Annexe :

L C min = L A min + L B min N C min = (L A min + L B min )! L A min ! × L B min ! × N A min × N B min
Cette dernière relation détermine le nombre des combinaisons différentes associant les événements des séquences menant à A et ceux menant à B formant l'ensemble des séquences menant à A et B.

L'opérateur OU représente le cas où l'occurrence de C se produit après l'occurrence de A ou de B.

Propriété 2 : Avec C = A OU B, les valeurs caractéristiques de C peuvent être évaluées à l'aide des relations suivantes :

si L A min < L B min L C min = L A min N C min = N A min si L A min = L B min L C min = L A min N C min = N A min + N B min si L A min > L B min L C min = L B min N C min = N B min
Définition 3 : (Opérateur p-ET) L'opérateur p-ET est une extension de l'opérateur ET intégrant une priorité entre les événements. Il représente le cas où l'occurrence de C se produit après les occurrences successives de A puis de B. Plus spécifiquement, si

ϕ A = [F 1 A , . . . , F n A ] et ϕ B = [F 1 B , . . . , F m B ] sont deux séquences entraînant l'occu- rence respective des événements A et B, les séquences ϕ C entraînant l'occurence de C et déduites de ϕ A et ϕ B respectent la contrainte suivante :    ϕ C = [F 1 C , . . . , F m-n-1 C , F m B ] avec F i C ∈ ϕ A ∪ ϕ B
Utilisation des séquences en conception 9

-Si F i C = F j A et ∀ k > i alors si F k C = F l A , on a l > j -Si F i C = F j B et ∀ k > i alors si F k C = F l B , on a l > j
Cet opérateur est utile lorsque les conséquences de la défaillance de fonctions ou composants diffèrent selon leur ordre d'apparition.

Propriété 3 : Avec C = A p-ET B, les valeurs caractéristiques de C peuvent être évaluées à l'aide des relations suivantes :

L C min = L A min + L B min N C min = (L B min + L B min -1)! L B min ! × L A min -1 ! × N A min × N B min
Définition 4 : (Opérateur SEQ) L'opérateur SEQ est une restriction de l'opérateur p-ET. L'expression C = A SEQ B représente le cas où l'occurrence de C se produit après les occurrences successives de A puis de B et impose qu'aucune défaillance amenant le système vers l'événement redouté B ne se produise avant l'occurrence de l'ensemble des défaillances amenant à l'événement redouté A. Plus formellement, soit

ϕ A = [F 1 A , . . . , F n A ] (resp. ϕ B = [F 1 B , . . . , F m B ] et ϕ B ) une séquence de défaillances menant à l'événement redouté A (resp. B), la concaténation des 2 séquences ϕ A et ϕ B : ϕ A SEQ B = [F 1 A , . . . , F n A , F 1 B , . . . , F m B ] entraîne l'événement redouté C, on note C = A SEQ B.
Cet opérateur est utile pour modéliser des redondances passives de fonctions ou de composants. En effet, la fonction redondée est exécutée seulement quand la fonction principale est défaillante. De ce fait, l'occurrence de la défaillance de la fonction redondée ne peut se produire qu'après l'occurrence de la défaillance de la fonction principale.

Propriété 4 : Avec C = A SEQ B, les valeurs caractéristiques de C peuvent être évaluées à l'aide des relations suivantes : Pour un système particulier, ce couple caractérise la probabilité d'occurrence de l'événement redouté D. Ainsi, ce couple peut être utilisé pour comparer plusieurs systèmes entre eux. En annexe une démonstration de la relation entre ce couple et la probabilité d'occurrence de l'événement considéré est présentée et précise le domaine de validité de cette relation.

L C min = L A min + L B min N C min = N A min × N B
Définition 6 : (Comparaison entre niveaux de sûreté de fonctionnement pour un même événement redouté) Pour deux systèmes équivalents S 1 et S 2 et pour le même événement redouté D, le niveau de sûreté de fonctionnement de S 1 est dit meilleur que celui de S 2 , si la relation suivante est vérifiée :

L D,S1 min > L D,S2 min ou L D,S1 min = L D,S2 min N D,S1 min < N D,S2 min On notera N iv S1 D > N iv S2 D .
Définition 7 : Par extension de la définition 6, le niveau de sûreté de fonctionnement entre deux systèmes est dit identique, c'est à dire

N iv S1 D = N iv S2 D , si L D,S1 min = L D,S2 min et si N D,S1 min = N D,S2
min Notation 7 : (Niveau de sûreté de fonctionnement d'un système) Pour un système (ou un composant) composé de n événements redoutés D i (i ∈ [1, n]), le niveau de sûreté de fonctionnement est donné par l'ensemble N iv S de tous les N iv S Di .

N iv S = N iv S D1 , . . . , N iv S

Dn

Cet ensemble exprime la robustesse du système considéré à plusieurs modes de défaillances et pour différents événements redoutés.

Propriété 5 : (Comparaison entre systèmes équivalents de niveau de sûreté de fonctionnement) Soit deux systèmes équivalents S 1 et S 2 et un ensemble d'événements redoutés, le niveau de sûreté de fonctionnement N iv S1 est supérieur à N iv S2 si la relation suivante est vérifiée :

∀i N iv S1 Di ≥ N iv S1 Di et ∃j N iv S1 Dj > N iv S1 Dj On notera N iv S1 > N iv S2 .
N iv S1 > N iv S2 signifie que le système S1 est plus tolérant aux fautes que le système S2.

Notation 8 : (Coût d'un système) A chaque composant est associée une valeur représentant son coût. Pour un système S, son coût est égal à la somme des coûts individuels de ses q composants.

Coût(S) = q i=1 Coût(i)
Le coût calculé pour l'architecture matérielle correspond au coût d'achat de chacun de ses composants, cependant, d'autres coûts peuvent être pris en compte : coût de maintenance, coût de mise en service, ...

Coût(S 1 ) = Coût(S 2 ) N iv S1 < N iv S2 ou Coût(S 1 ) < Coût(S 2 ) N iv S1 ≥ N iv S2
Définition 9 : (Systèmes optimaux) Pour un ensemble de systèmes équivalents Ω, l'ensemble des systèmes optimaux Ω optimal est défini par la relation suivante :

Ω optimal = {S ∈ Ω, ∄S i ∈ Ω avec C Si > C S }

Cas particulier des composants de sécurité

L'utilisation des scénarios et de leur comparaison sur la base de leur longueur implique que les modes de défaillances considérés sont équiprobables ou tout au moins ont une probabilité d'occurrence du même ordre de grandeur. En conséquence, la comparaison de composants ayant des fiabilités très dissemblables ne peut pas être effectuée avec la méthode proposée. C'est plus particulièrement le cas des composants de sécurité qui, par rapport à des composants standards, offrent une grande fiabilité visà-vis de modes de défaillance dangereux, c'est-à-dire ceux susceptibles d'amener le système dans une situation dangereuse ou critique.

La méthode peut être enrichie en remplaçant les longueurs (L D min ) par un coefficient permettant de comparer des composants de fiabilités variées. Noté CF R (Coefficient de Fiabilité Relatif), ce coefficient rend compte de la probabilité qu'un événement ou qu'une séquence d'événements apparaisse. Les relations précédentes dans e soumission à Journal Européen des Systèmes Automatisés. lesquelles L D min est remplacé par CF R D min restent valides sous l'hypothèse d'indépendance des modes de défaillances et des événements redoutés. C'est à dire que les modes de défaillances ne peuvent pas apparaître simultanément dans deux scénarios et que les scénarios conduisant à des événements redoutés ne partagent pas de défaillances.

Définition 10 : (Coefficient de fiabilité relatif d'un mode de défaillance) Le coefficient de fiabilité relatif, noté CF R Fi [START_REF] Conrard | Design of Dependable Control System thanks to a semiquantitative Optimisation[END_REF], caractérise la probabilité d'occurrence d'une défaillance F i par rapport à une probabilité de défaillance de référence. Appliquée à un mode de défaillance d'un composant, cette valeur correspond au nombre équivalent de défaillances de composants standards qu'il faut avoir pour obtenir la même probabilité d'occurrence. Le CFR d'un composant est lié à la probabilité d'occurrence de la défaillance F i par la relation suivante :

P rob(F i ) = r CF RF i avec 0 < r << 1 où r est la défiabilité (1 -R(t mission )) de référence, correspondant à celle d'un composant standard (CFR = 1).
Remarque. -Lorsque les composants ont des fiabilités homogènes, les coefficients correspondants sont identiques et sont fixés à 1. Dans ce cas particulier, le CF R D min est égal à la longueur L D min . Le CFR d'un scénario est égal à la somme des CFR des événements qui le composent sous condition d'indépendance des événements.

CF R ϕD = Fi∈ϕD CF R Fi avec ϕ D = F 1 i , . . . , F n i D'
un point de vue pratique, si le concepteur veut distinguer certains composants ayant une fiabilité bien supérieure aux autres, il leur affecte un CFR supérieur à 1, tandis que les composants standards ont un CFR fixé à 1, valeur servant de référence. Ainsi, un CFR d'une valeur de 2 appliquée à un mode de défaillance particulier d'un composant indique que sa probabilité de défaillance est équivalente à la défaillance de deux composants standards.

Pour illustrer ceci, considérons que la probabilité de défaillance P rob(F ) d'un composant standard (pour lequel CF R F = 1) durant une mission est de l'ordre de 10 -3 . Le CF R FR d'un composant robuste pour une défaillance F R avec la fiabilité à P rob(F R ) = 10 -5 est évalué à 1, 66 par la relation suivante.

CF R FR = ln(P rob(F R )) ln(P rob(F ))
En annexe, une démonstration est fournie et montre, pour deux scénarios ϕ 1 et ϕ 2 , sous quelles conditions l'inégalité CF R ϕ1 < CF R ϕ2 implique que la probabilité d'occurrence de ϕ 1 est supérieure à celle de ϕ 2 .

Dans les deux sous-sections suivantes, la méthodologie de conception de systèmes d'automatisation est expliquée. Cette méthodologie utilise les séquences ordonnées de modes de défaillances afin d'évaluer le coût et le niveau de sûreté de fonctionnement d'architectures matérielles. Après avoir identifié les événements redoutés d'un système d'automatisation, l'ensemble des architectures matérielles possibles est déterminé ce qui permet de sélectionner l'ensemble des architectures opérationnelles optimales.

Phase de modélisation

La première phase de la méthodologie de conception a pour objectif de représenter dans un modèle hiérarchique toutes les architectures matérielles potentielles réalisables. Ce modèle est construit en deux étapes : dans la première étape, le système est décrit à l'aide d'une décomposition fonctionnelle et dans la seconde étape, les modes de défaillance et leurs relations entre niveaux hiérarchiques sont ajoutées à chaque noeud de cette décomposition.

Modèle hiérarchique

Le modèle du système est décrit sous forme d'arbre obtenu à partir d'une analyse fonctionnelle hiérarchique. Cette analyse est souvent utilisée pour modéliser des systèmes d'automatisation (Benard et al., 2008), [START_REF] Conrard | Design of Dependable Control System thanks to a semiquantitative Optimisation[END_REF]. Dans la méthodologie proposée, trois types de noeuds sont utilisés : le noeud associatif, le noeud alternatif et le noeud élémentaire.

-Le noeud associatif modélise une fonction complexe nécessitant, pour sa réalisation, un ensemble de sous-fonctions. Par exemple, sur la Figure 2a, une fonction de contrôle par rebouclage nécessite une fonction de mesure, une fonction de contrôle et une fonction de commande.

-Le noeud alternatif est utilisé pour modéliser différentes possibilités d'implantation d'une fonction. Par exemple, sur la Figure 2b, pour une fonction de mesure le concepteur peut choisir d'utiliser soit un unique capteur, soit une fonction d'estimation ou soit un ensemble de capteurs redondés.

-Le noeud élémentaire (Figure 2c) est utilisé pour modéliser une fonction de base, associée avec un unique composant.

Arbre de défaillances multiples amélioré

La décomposition hiérarchique précédente donne l'architecture de l'arbre de défaillances multiples. Contrairement aux arbres de défaillances classiques qui n'associent qu'à une fonction un mode de défaillance, l'arbre de défaillances multiples e soumission à Journal Européen des Systèmes Automatisés. contient pour chaque fonction de sa structure un à plusieurs modes de défaillances. Dans l'objectif de déterminer le comportement du système lors de l'occurrence d'une défaillance, l'arbre de défaillances doit être complété par une description des modes de défaillances possibles et de leurs effets sur le système. Cette phase associe à chaque noeud un ensemble de modes de défaillances décrivant comment peut être affecté l'accomplissement de la fonction correspondante. Pour les noeuds associatifs, les relations liant les modes de défaillances de la fonction associée à ceux de ses sous-fonctions doivent être ajoutées et utilisent les opérateurs ET, OU, p-ET et SEQ, décrits dans la section précédente. Par exemple Figure 3, la relation de défaillances peut être la suivante : ( défaillance 1A = défaillance 2A p-ET défaillance 3A) ET (défaillance 1B = défaillance 2B ET défaillance 3B).

Pour les noeuds élémentaires, le CF R associé à chaque mode de défaillance définit la robustesse du composant associé vis-à-vis de ce mode. Indirectement, il spécifie s'il s'agit d'un composant standard, durci (ou éprouvé) ou de sécurité.

Pour les noeuds alternatifs, l'ensemble des modes de défaillances correspond à ceux des alternatives proposées et est l'union de ceux-ci. Plus particulièrement, suivant la technologie utilisée, certains modes de défaillances n'apparaissent pas pour certaines alternatives. Par exemple, un capteur intelligent peut posséder trois modes de défaillances : mesure trop basse, mesure trop haute et absence de mesure tandis qu'un capteur standard possède seulement deux modes de défaillances : mesure trop L'arbre de défaillances multiples obtenu décrit différentes alternatives de réalisation du système, tout en modélisant le comportement dysfonctionnel, c'est-à-dire l'effet de combinaison de défaillances des composants sur la capacité du système à accomplir sa mission ou sur le risque de voir apparaître des situations critiques ou dangereuses.

Phase d'optimisation

L'objectif de la phase d'optimisation est de déterminer la meilleure architecture du système de contrôle commande parmi toutes les architectures potentielles décrites dans l'arbre de défaillances multiples. Une approche de type « bottom-up » est proposée et est comparable à la méthode du branch and bound [START_REF] D'ariano | A branch and bound algorithm for scheduling trains in a railway network[END_REF]. Le principe général, détaillé en annexe, est de déterminer l'ensemble des solutions Pareto optimales pour chaque noeud du modèle hiérarchique jusqu'à obtenir celles du système.

Plus spécifiquement, pour les noeuds élémentaires, l'ensemble des solutions est composé d'une seule solution caractérisée par le coût de ses composants et par le CFR associé à chaque mode de défaillance. Pour les niveaux hiérarchiques supérieurs composés de noeuds associatifs et de noeuds alternatifs, cet ensemble de solutions est construit suivant les ensembles de niveaux hiérarchiques inférieurs. Dans le cas d'un noeud alternatif, cet ensemble est déterminé par l'union des différentes solutions possibles. Grâce à l'union de ces différents ensembles et grâce aux opérateurs de comparaison (cf. Définition 8), l'ensemble optimal est facilement construit. Dans le cas d'un noeud associatif, les solutions optimales sont déduites des différentes combinaisons des solutions offertes par chaque sous-fonction requise. Pour une combinaison particulière, le coût d'une solution obtenue est donnée par la somme des coûts des solutions de chaque sous-fonction requise. Le niveau de sûreté de fonctionnement est e soumission à Journal Européen des Systèmes Automatisés.

évalué grâce aux valeurs caractéristiques de sûreté de fonctionnement (CF R et N ) calculées pour chaque niveau de l'arbre à l'aide des relations entre défaillances et de leurs opérateurs associés. L'ensemble optimal est obtenu par l'union de toutes les solutions trouvées après l'application des critères de comparaison définis dans la section précédente. D'un point de vue algorithmique, l'ensemble des solutions Pareto optimales est construit progressivement. Ainsi quel que soit le noeud considéré (associatif ou alternatif), chaque nouvelle solution potentielle est immédiatement comparée à celles précédemment trouvées. Plus précisément, une nouvelle solution potentielle est ajoutée à l'ensemble optimal seulement s'il n'existe pas de meilleure solution dans cet ensemble. Sur le même principe, quand une nouvelle solution est ajoutée, si d'autres solutions sont moins bonnes que la nouvelle, elles sont retirées de l'ensemble optimal. A la fin de la phase d'optimisation, la méthodologie fournit l'ensemble optimal pour le noeud traité. Pour l'optimisation de très grands systèmes, l'explosion combinatoire du nombre de solutions à envisager peut limiter l'emploi de cette méthode d'optimisation par des temps de calcul relativement longs. D'autres méthodes, comme les algorithmes génétiques, pourraient être utilisées [START_REF] Sallak | Optimal design of Safety Instrumented Systems[END_REF] pour déterminer des solutions de réalisations industriellement intéressantes, mais elles ne garantiront pas d'avoir nécessairement trouvé l'optimum.

Cas d'étude : conception d'un système d'automatisation pour un wagon de ferroutage

La méthodologie de conception est appliquée à un système de ferroutage. Dans une première section, les problèmes associés et les besoins liés à la conception de systèmes d'automatisation pour le wagon de ferroutage sont présentés. Dans une seconde section, la méthodologie est appliquée afin de concevoir un système de détection des incendies pour ce wagon. Enfin, un exemple d'architecture opérationnelle optimale est donné.

Présentation du ferroutage et du cas d'étude

Le ferroutage est un terme général du fret ferroviaire, correspondant à l'ensemble des systèmes qui transportent des camions. De nombreuses solutions sont proposées : Modalhor et Eurotunnel Fret (France), RoadRailer (USA), Expressway (Canada), Route Roulante (Suisse), Projet Sail (Allemagne), ... Ce type de transport présente de nombreux avantages comme la réduction de la congestion routière, la baisse de la pollution, la baisse de la consommation en carburants. Cependant, ce mode de transport présente de nombreux risques d'accidents pour lui-même (déraillement, incendie) et pour son environnement proche à cause des camions et du chargement transporté. Par conséquent, par rapport aux trains classiques, le ferroutage doit prendre en compte des exigences et des besoins de sûreté de fonctionnement supplémentaires : protection incendie, protection contre des agressions extérieures humaines et environ-nementales, surveillance de la charge, ... La conception d'un wagon intelligent permet de répondre à ces exigences [START_REF] Clarhaut | Safety intelligent system conception for piggyback service[END_REF], [START_REF] Clarhaut | Safety system conception by using a semi-quantitative reliability evaluation application. Application to railroad transportation systems[END_REF]. Ce wagon doit avoir des fonctionnalités supplémentaires qui augmentent le niveau de sûreté de fonctionnement global du système de ferroutage. La méthodologie proposée est illustrée pour la conception d'une nouvelle fonctionnalité de ce wagon intelligent : le système de détection d'incendie automatique. La conception de ce système a fait l'objet de nombreux travaux de recherche [START_REF] Eisinger | Modeling of uncertainties in reliability centered maintenance -a probabilistic approach[END_REF], [START_REF] Elsayed | Fire protection System for Cargo Trains using fuzzy logic[END_REF], [START_REF] Elsayed | Fire protection System for Cargo Trains using fuzzy logic[END_REF], [START_REF] Jiang | A combined Intelligent Fire Detector with BP Networks[END_REF]. Notre objectif est d'obtenir un système d'automatisation pour ce système de détection incendie qui présente un bon compromis entre son coût et son niveau de sûreté de fonctionnement.

Phase de modélisation

Modèle hiérarchique

La Figure 4 présente le modèle hiérarchique du système de détection incendie automatique. Ce système a trois missions en phase de convoi : détecter les incendies, alerter les opérateurs du système (conducteur du train) et éteindre les incendies en utilisant un système d'extinction du feu. La partie détection du système est composée de détecteurs de fumées et de détecteurs de chaleur. La partie signalisation est constituée d'un système de traitement utilisant des automates programmables (API) et un système d'alimentation. Le système d'extinction est activé par un système de relais. Les composants de base sont décris dans la Table 1. Deux types de composants (standards et sécuritaires) ayant des coûts différents peuvent être utilisés. Ces différents types de composants possèdent des niveaux de robustesse différents (cf. Définition 10). De plus, quatre types de redondances peuvent être choisis : active, passive, série ou parallèle. Les redondances séries ou parallèles font référence à l'organisation des composants. Dans une redondance active, les composants remplissent leur mission au même moment tandis que pour une redondance passive, le second composant est utilisé dès que le premier composant est défaillant.

Arbre de défaillances multiples amélioré

Afin de limiter le nombre de pages, seules les missions détection et signalisation sont considérées dans cet article. La première étape dans la construction de l'arbre de défaillances amélioré est de définir les événements redoutés. Deux événements redoutés sont considérés :

-Pas d'alarme incendie provenant du système de traitement quand un feu est détecté. Cet événement redouté est associé au niveau de sécurité du système et est noté ER 1 .

-Fausse alarme, c'est-à-dire que le système d'automatisation active de façon intempestive une alarme en l'absence d'incendie. Cet événement redouté est associé au niveau de disponibilité du système et est noté ER 2 . e soumission à Journal Européen des Systèmes Automatisés.

Figure 4. Modèle hiérarchique du système de détection incendie automatique

La seconde étape dans la construction de l'arbre est d'associer à chaque noeud de l'arbre hiérarchique l'ensemble des relations de modes de défaillances décrivant le comportement dysfonctionnel de la fonction correspondante. Par exemple, sur la Figure 4, la fonction de détection des incendies peut être accomplie de trois façons différentes (Arcs 1, 2 et 3 du noeud alternatif N3) : soit la fumée et la température sont détectées simultanément, soit successivement ou soit uniquement la fumée ou soit uniquement la température. Il est bon de noter qu'avec l'arbre de défaillance classique, la seconde possibilité, la détection successive, ne peut être modélisée. Dans le but d'expliquer comment les relations sont obtenues, considérons la fonction détecter les incendies qui considère l'alternative (Arc 2 du noeud alternatif N3) : détecter les fumées PUIS détecter l'augmentation de température. Les relations entre défaillances représentées pour ce noeud sont expliquées ci-dessous : -La fonction détecter les fumées est continuellement passive (mode de défaillance E1), c'est à dire que la fonction ne produira pas d'alarme.

Composants

-ET -La fonction détecter la température est continuellement passive (mode de défaillance D1), c'est à dire que la fonction ne produira pas d'alarme.

-Fausse alarme provenant du système (mode de défaillance B2), si :

-La fonction détecter les fumées est continuellement active (mode de défaillance E2), c'est à dire que la fonction produit une fausse alarme.

-p-ET -La fonction détecter la température est continuellement active (mode de défaillance D2), c'est-à-dire que la fonction produit une fausse alarme.

Ces deux relations sont formalisées par les équations suivantes : Détec.Fumées(E1) ET Détec.Temp(D1) =⇒ B1 Détec.Fumées(E2) p-ET Détec.Temp(D2) =⇒ B2 Pour chaque noeud de l'arbre, les relations de modes de défaillances sont associées avec le même principe pour chaque fonction jusqu'à atteindre les composants de base. L'arbre de défaillances multiples pour les deux événements redoutés est détaillé dans les Tables 2 et 3 et en figure 5. Les relations entre modes de défaillances sont listées en annexe. Cet arbre caractérise le comportement du système de détection des incendies en présence de défaillances grâce aux relations indirectes entre les modes de défaillances des composants à la base de l'arbre et les modes de défaillances des missions au sommet de l'arbre. e soumission à Journal Européen des Systèmes Automatisés. L'évaluation de l'arbre de défaillances multiples amélioré par la méthode d'optimisation donne 74 solutions optimales pour le système de détection des incendies automatique. La Table 4 synthétise ces solutions par rapport aux deux événements redoutés. Le nombre de solutions ainsi que le coût minimum et maximum sont donnés pour chaque niveau de sûreté de fonctionnement. Par exemple, si le concepteur souhaite un système robuste à trois défaillances pour chaque événement redouté (donc de longueur égale à 4), il aura le choix parmi 9 systèmes dont le coût varie entre 38 et 49 unités. Si le coût le plus faible est recherché, la solution au coût de 38 pourra être choisie. Cependant en investissant plus, le concepteur pourra opter pour une solution qui, tout en respectant la limite des 3 défaillances tolérées, offre une probabilité moindre d'occurrence d'incidents par un nombre plus réduit de scénarios menant à ceux-ci. Par ailleurs, pour chaque solution optimale, la méthodologie donne les composants de base et leur organisation dans l'architecture proposée (type de redondance, nombre et type de composants.).

Nombre de systèmes

Longueur minimale des scénarios pour ER La Table 5 montre quelques systèmes issus de la Table 3 dont le L min est égal à 3 pour chaque événement redouté. On constate dans cette table que si des composants sont ajoutés, le coût du système augmente (il passe de 26 à 31 unités) et le nombre de scénarios (N min ) diminue pour les deux événements redoutés (Pour l'événement redouté Pas d'alarme incendie, il passe de 36 scénarios pour le système ayant un coût de 26 unités à 6 scénarios pour le système ayant un coût de 31 unités). Cette diminution atteint un niveau minimal. Cela est dû à un nombre très important de composants dans cette architecture. En effet, plus il y a de composants dans l'architecture, plus importante est la probabilité d'un composant d'être défaillant. Par exemple, dans la Table 5, la solution ayant un coût de 31 unités montre que N min augmente pour l'événement redouté fausse alarme par rapport à la solution ayant un coût de 30 unités. Il est donc important de choisir une bonne architecture représentant un bon compromis entre le coût et le niveau de sûreté de fonctionnement.

Plus spécifiquement, une solution optimale obtenue avec l'approche proposée est présentée Figure 6. Cette solution a un coût de 31 unités et son L min est de 3 pour les deux événements redoutés. Cette architecture est composée de deux systèmes d'automatisation (Système N˚1 et N˚2) en redondance passive. Le système N˚1 détecte la fumée puis la température à l'aide d'un capteur de température standard et d'un capteur de fumée standard. Il comprend 2 automates standards en redondance active Plus spécifiquement, les solutions obtenues avec l'approche proposée sont plus précises sur la quantification du niveau de sécurité-disponibilité, en raison d'un nombre de scénarios (N min ) plus faible pour chaque événement redouté par rapport à l'arbre classique (Table 5). En effet, les opérateurs temporels suppriment les scénarios impossibles du fait de l'architecture choisie contrairement aux coupes de l'arbre de défaillances. Par exemple, la solution optimale obtenue avec l'approche proposée présentée Figure 6 et qui correspond à la solution ayant un coût de 31 dans la Table 5 possède 6 scénarios amenant vers l'événement redouté « Pas d'alarme incendie » avec l'approche proposée contre 12 scénarios avec l'approche classique. Il y a donc 6 scénarios impossibles dont on tient compte avec l'approche classique. L'un de ces scénarios est Arrêt inattendu alim. 2 du système 1, Arrêt inattendu alim. 1 du système 1, Arrêt inattendu alim. 3 du système 2. Ce scénario est impossible car les alimentations 1 et 2 du système 1 sont en redondance passive (Figure 6) et donc l'alimentation 2 ne peut avoir son mode de défaillance avant celui de l'alimentation 1. Notre approche, à la différence de l'approche classique, permet de prendre en compte ces différences de comportement.

Conclusion

Dans cet article, une méthodologie complète de conception de systèmes d'automatisation sûrs de fonctionnement est présentée. Le point innovant de cette méthodologie est qu'elle utilise les séquences de modes de défaillances ordonnées dans le temps. Une nouvelle représentation, dénommée arbre de défaillances multiples amélioré, est définie. Cette représentation permet de modéliser les relations entre défaillances de e soumission à Journal Européen des Systèmes Automatisés. chacune des fonctions et d'évaluer le niveau de sûreté de fonctionnement d'un ensemble d'architectures matérielles en utilisant des séquences de modes de défaillances. La méthode de conception proposée fournit un ensemble d'architectures optimales caractérisées par un coût et un niveau de sûreté de fonctionnement. Le concepteur peut ainsi choisir l'architecture qui correspond le plus à ses besoins. La comparaison entre l'approche proposée et une méthode d'évaluation classique montre que l'ensemble de solutions optimales trouvées avec l'arbre de défaillances multiples est plus petit que l'ensemble de solutions optimales trouvées avec l'arbre classique. L'ensemble est plus petit mais les solutions sont mieux évaluées car l'approche proposée intègre des fonctions temporelles et évalue plus précisément le niveau de sûreté de fonctionnement.

Les futurs travaux de recherche visent à améliorer l'algorithme de comparaison dans le but de concevoir des systèmes d'automatisation plus complexes ayant un plus grand nombre de composants et de fonctions. Ces futurs travaux visent également à prendre en compte les ressources partagées entre composants pour évaluer les valeurs caractéristiques de la sûreté de fonctionnement de l'arbre de défaillances amélioré.

Ce travail a été réalisé grâce au soutien :

-du CISIT : Campus International sur la Sécurité et l'Intermodalité dans les Transports, -de la région Nord-Pas-de-Calais, -de l'union européenne, -du ministère de l'enseignement supérieur et de la recherche -du CNRS : Centre National de la Recherche Scientifique -de l'INRETS : Institut National de Recherche sur les Transports et leur Sécurité.

Bibliographie

AFNOR French Standards NF X60-500. Zwingelstein G., Sûreté de fonctionnement des systèmes industriels complexes, Techniques de l'ingénieur N˚S8250, 1999.

Annexes

Principe général de l'algorithme d'optimisation

Le principe général de l'optimisation est de déterminer l'ensemble des solutions optimales ou systèmes optimaux. Cet algorithme est décomposable en deux étapes :

-La première étape est de subdiviser le problème d'optimisation en sousproblèmes selon une démarche ascendante de scrutation des noeuds de l'arbre. Ainsi, chaque noeud de l'arbre est considéré comme un sous-problème d'optimisation sur lequel nous allons ensuite déterminer les solutions optimales pour la réalisation de chaque fonction de ce noeud. Cette démarche de décomposition en sous-problèmes n'est valide que sous la contrainte d'indépendance des fonctions.

-La seconde étape est de traiter chaque sous-problème d'optimisation en deux temps :

-La génération des solutions admissibles pour la réalisation d'une fonction.

-La sélection des solutions optimales par comparaison des solutions deux à deux.

La figure 7 présente le principe général de l'algorithme d'optimisation 7.1.1. Génération des solutions La génération des solutions admissibles (solutions réalisables mais pas forcément optimales) dépend du type de noeud considéré et n'est valable que grâce à l'hypothèse d'indépendance des fonctions de l'arbre :

-Pour le noeud alternatif, l'ensemble des solutions admissibles est déterminé par l'union des différentes solutions admissibles de chaque fonction. e soumission à Journal Européen des Systèmes Automatisés. -Pour le noeud associatif, l'ensemble des solutions admissibles est déterminé par scrutation de toutes les combinaisons de solutions admissibles de chaque fonction requise. Pour chaque combinaison de solutions, une solution est établie par l'évaluation :

-du coût par addition des coûts individuels des solutions de la combinaison étudiée.

-du niveau de sûreté de fonctionnement en utilisant, pour chaque mode de défaillance, les lois de composition correspondantes aux opérateurs de la relation associée à ce mode de défaillance.

-Pour le noeud élémentaire utilisé à la base de l'arbre, l'ensemble des solutions admissibles est composé d'une seule solution caractérisée par le coût de son composant et par un niveau de sûreté de fonctionnement composé des couples :

-La valeur du CF R permettant de caractériser sa robustesse (standard, sécuritaire, durci, ...) pour le mode de défaillance considéré.

-Le nombre de scénarios amenant au mode de défaillance considéré (N min ) égal à 1.

La figure 8 présente ce mécanisme d'établissement tenant compte des trois types de noeuds.

. Sélection des solutions optimales

Les solutions de l'ensemble des solutions admissibles sont comparées entre elles deux à deux. Les solutions moins bonnes et donc non-optimales sont ensuite éliminées de l'ensemble. A la fin de l'étape d'optimisation, la méthodologie fournit l'ensemble Pareto-optimal, c'est-à-dire qu'il n'existe pas de solutions qui fassent diminuer un critère sans augmenter dans le même temps au moins un autre critère. La figure 9 représente le principe de comparaison puis d'élimination des solutions non-optimales.

Démonstration des lois de composition des opérateurs logiques

Pour chaque démonstration, considérons A, B et C, trois événements redoutés, tels que C est le résultat de l'association de A et de B avec l'un des opérateurs (ET, p-ET ou SEQ). CF R ψ1 < CF R ψ2 ⇐⇒ r CF R ψ 2 -CF R ψ 1 ≤ r ∆CF R puisque 0 < r « 1.

Si la condition suivante est satisfaite, on montre que l'inégalité CF R ψ1 < CF R ψ2 implique que la probabilité d'occurrence de la séquence ψ 1 est supérieure à celle de ψ 2 .

r ∆CF R < 1 lg!
Cette hypothèse s'appuie sur le fait que r est petit et que les séquences de fautes étudiées sont d'une longueur maximale connue, notée lg (généralement de l'ordre de 2, 3 ou 4). Or puisque :

1 ≤ card(ψ 1 ) ≤ lg et 1 ≤ card(ψ 2 ) ≤ lg on obtient : r ∆CF R < 1 lg! ≤ card(ψ 2 )! card(ψ 1 )! ainsi : r CF R ψ 2 -CF R ψ 1 ≤ r ∆CF R ≤ card(ψ 2 )! card(ψ 1 )! d'où : r CF R ψ 2 card(ψ 2 )! < r CF R ψ 1 card(ψ 1 )!
soit, au final :

CF R ψ2 > CF R ψ1 =⇒ P rob(ψ 2 ) < P rob(ψ 1 )

Relations entre modes de défaillances du système de protection contre les incendies

Relations entre modes de défaillances de la figure 5 :

(N1)            Arc1 Syst.commande

Figure 1 .

 1 Figure 1. Méthodologie de conception

  le mode de défaillance qui apparaît à la position β dans ϕ D . Notation 1 : (Ensemble de scénarios) Soit Φ D l'ensemble des scénarios amenant le système vers un événement redouté D. Soit ϕ i D un élément de Φ D . Φ D = ϕ i D , . . . , ϕ m D où ϕ i D est le ième élément de Φ D . Notation 2 : (Longueur d'un scénario) Pour un scénario composé d'un ensemble de modes de défaillances notés F i avec i = 1, . . . , n et n = card(ϕ D ), la longueur L(ϕ D ) est égale au cardinal de ϕ D . L(ϕ D ) = card(ϕ D ) Notation 3 : (L min Longueur minimale d'un ensemble de scénarios) La longueur minimale de tous les scénarios contenus dans Φ D est noté .

  Notation 5 : (Nombre de combinaisons d'un ensemble de scénarios) Le nombre de scénarios contenus dans l'ensemble ∆ D est noté N D min . Cette valeur, associée à L D min , est directement liée à la probabilité d'occurrence de l'événement redouté D. N D min = card(∆ D ) L D min et N D min représentent les valeurs caractéristiques d'un événement redouté D.

  Comparaisons entre niveau de sûreté de fonctionnement et entre systèmes Définition 5 : (Systèmes équivalents) Deux systèmes (ou composants) sont équivalents s'ils peuvent accomplir les mêmes fonctions et si les mêmes événements redoutés peuvent être définis pour ces deux systèmes. e soumission à Journal Européen des Systèmes Automatisés. Notation 6 : (Niveau de sûreté de fonctionnement pour un événement redouté) Pour un système S et pour un événement redouté D, le niveau de sûreté de fonctionnement est formé par le couple L D,S min , N D,S min . Il est noté N iv S D .

  Notation 9 : (Caractérisation d'un système) Un système S est caractérisé par le couple C S formé du coût et du niveau de sûreté de fonctionnement. C S = Coût(S), N iv S Définition 8 : (Comparaison de systèmes) Le système S 1 est meilleur que le système S 2 , c'est à dire C S1 > C S2 , si la relation suivante est vérifiée.

Figure 2 .

 2 Figure 2. Exemples d'un noeud associatif (a), d'un noeud alternatif (b) et d'un noeud élémentaire (c)

Figure 3 .

 3 Figure 3. Exemples de modes de défaillances associés aux fonctions

  Composants, modes de défaillances et types pour le système de protection incendie-Pas d'alarme incendie provenant du système de traitement quand un feu est détecté (mode de défaillance B1), si :

Figure 5 .

 5 Figure 5. Arbre de défaillances du système de détection incendie automatique

  Synthèse des systèmes trouvés de protection de l'incendie

Figure 7 .

 7 Figure 7. Principe général du mécanisme d'optimisation

Figure 8 .

 8 Figure 8. Schéma du mécanisme d'établissement des solutions suivant le type de noeud pris en considération

  ∆ A , ∆ B et ∆ C sont les ensembles de scénarios minimaux associés à A, B et C. Nous prenons pour hypothèse que les événements redoutés A et B sont indépendants, c'est-à-dire qu'une défaillance ne peut pas apparaître simultanément dans A et B. e soumission à Journal Européen des Systèmes Automatisés.

Figure 9 .

 9 Figure 9. Constitution d'un ensemble de solution d'après[START_REF] Conrard | Design of Dependable Control System thanks to a semiquantitative Optimisation[END_REF]

  Correspondance entre fonctions et modes de défaillances de la figure5e soumission à Journal Européen des Systèmes Automatisés.

		Utilisation des séquences en conception 21
	Dénomination Dénomination	Noeud Noeud	Modes de Modes de
	de la fonction de la fonction	correspondant correspondant	défaillances défaillances
	Mission : Détecter et Utiliser 2 détecteurs	Noeud alternatif Noeud alternatif	-ER1 : Non détection -I1 : Continuellement actif
	signaler incendies en série	N1 N11	-ER2 : Fausse alarme -I2 : Continuellement passif
	Utiliser Utiliser 2 détecteurs	Noeud associatif Noeud alternatif	-A1 : Non détection -I1 : Continuellement actif
	1 système de en parallèle	N2 N11	-A2 : Fausse alarme -I2 : Continuellement passif
	automatisation Utiliser	Noeud alternatif	-J1 : Arrêt avec alarme
	Utiliser 1 API	Noeud associatif N12	-A1 : Non détection -I2 : Arrêt sans alarme
	2 systèmes de Utiliser 2 API	N2 Noeud alternatif	-A2 : Fausse alarme -J1 : Arrêt avec alarme
	automatisation avec priorité alarme	N12	-I2 : Arrêt sans alarme
	Détecter Utiliser 2 API	Noeud alternatif Noeud alternatif	-B1 : Non détection -J1 : Arrêt avec alarme
	un incendie sans priorité alarme	N3 N12	-B2 : Fausse alarme -I2 : Arrêt sans alarme
	Détecter Utiliser	Noeud élémentaire -D1, E1 : Continuellement passif Noeud alternatif -K1 : Arrêt inattendu
	Température 1 Alimentation	N4 N13	-D2, E2 : Continuellement actif
	ET Fumée Utiliser	Noeud alternatif	-K1 : Arrêt inattendu
	Détecter 2 Alimentations	Noeud élémentaire -D1, E1 : Continuellement passif N13
	Fumée en redondance active	N4	-D2, E2 : Continuellement actif
	PUIS température Utiliser	Noeud alternatif	-K1 : Arrêt inattendu
	Détecter 2 Alimentations	Noeud élémentaire -D1, E1 : Continuellement passif N13
	Fumée en redondance passive	N4	-D2, E2 : Continuellement actif
	OU température Détecteur Température	Pas de noeud	-L1 : Continuellement passif
	Envoyer signal standard	Noeud associatif	-C1 : Non détection -L2 : Continuellement actif
	aux opérateurs Détecteur Température	N5 Pas de noeud	-C2 : Fausse alarme -L1 : Continuellement passif
	Détecter sûr type 1	Noeud alternatif	-D1 : Continuellement passif -L2 : Continuellement actif
	température Détecteur Température	N6 Pas de noeud	-D2 : Continuellement actif -L1 : Continuellement passif
	Détecter sûr type 2	Noeud alternatif	-E1 : Continuellement passif -L2 : Continuellement actif
	fumée Détecteur Fumée	N7 Pas de noeud	-E2 : Continuellement actif -M1 : Continuellement passif
	Envoyer signal depuis standard	Noeud alternatif	-F1 : Arrêt inattendu ac alarme -M2 : Continuellement actif
	système de traitement Détecteur Fumée	N8 Pas de noeud	-F2 : Arrêt inattendu ss alarme -M1 : Continuellement passif
	Alimenter système sûr type 1	Noeud alternatif	-G1 : Arrêt inattendu -M2 : Continuellement actif
	de traitement Détecteur Fumée	N9 Pas de noeud	-M1 : Continuellement passif
	Utiliser sûr type 2	Noeud alternatif	-H1 : Continuellement actif -M2 : Continuellement actif
	1 détecteur API standard	N10 Pas de noeud	-H2 : Continuellement passif -N1 : Arrêt inattendu avec alarme
	température		-N2 : Arrêt inattendu sans alarme
	Utiliser 2 détecteurs API sûr	Noeud alternatif Pas de noeud	-H1 : Continuellement actif -N1 : Arrêt inattendu avec alarme
	en série type 1	N10	-H2 : Continuellement passif -N2 : Arrêt inattendu sans alarme
	Utiliser 2 détecteurs API sûr	Noeud alternatif Pas de noeud	-H1 : Continuellement actif -N1 : Arrêt inattendu avec alarme
	en parrallèle type 2	N10	-H2 : Continuellement passif -N2 : Arrêt inattendu sans alarme
	Utiliser 1 détecteur Alimentation standard	Noeud alternatif Pas de noeud	-I1 : Continuellement actif -O1 : Arrêt inattendu
	fumée Alimentation sûr	N11 Pas de noeud	-I2 : Continuellement passif -O1 : Arrêt inattendu
	Tableau 2. Correspondance entre fonctions et modes de défaillances de la figure 5 Tableau 3.

  Systèmes ayant une longueur minimale de 3 pour ER 1 et ER 2 Détails de systèmes issus de la table 4 e soumission à Journal Européen des Systèmes Automatisés. avec priorité d'alarme. Il est alimenté par 2 alimentations standards en redondance passive. Le système N˚2 détecte la fumée puis la température à l'aide d'un capteur de température standard et d'un capteur de fumée standard. Il comprend deux automates standards en redondance active. Il est alimenté par 1 alimentation robuste. Les deux systèmes envoient leurs informations aux opérateurs du système.Dans cette section, l'approche proposée est comparée avec la méthode d'évaluation traditionnelle à base d'arbres de défaillances. Nous rappelons ici que dans les arbres de défaillances classiques, seuls les opérateurs ET et OU sont utilisés et que les aspects temporels ne sont pas considérés. L'évaluation de l'arbre de défaillance classique par la méthode d'optimisation donne 117 solutions optimales. La Table6synthétise ces solutions. Nous constatons que l'ensemble des solutions issu de l'arbre de défaillances multiples amélioré est inclus dans l'ensemble des solutions issu de l'arbre de défaillances classique (Table4). En effet, l'utilisation des opérateurs temporels n'a pas d'influence sur la limite du nombre de défaillances tolérées, mais sur Synthèse des systèmes trouvés avec l'arbre de défaillance classique l'évaluation du nombre de scénarios menant aux événements redoutés. Ainsi, la méthode proposée, par rapport aux arbres de défaillances classiques permet de déterminer des solutions meilleures en termes de nombre de scénarios. De ce fait, lors de l'optimisation de l'arbre de défaillances multiples, l'existence de ces nouvelles architectures permet d'éliminer plus de possibilités d'architectures non optimales en comparaison d'une optimisation avec l'arbre classique.

	Nombre de systèmes		Longueur minimale des scénarios pour ER 1
	et coûts		1	2	3	4
		1	6 systèmes 8 systèmes 4 systèmes C : 10 à 12 C : 13 à 18 C : 19 à 22	1 système C : 25
	Longueur minimale des scénarios pour	2 3	8 systèmes 7 systèmes 12 systèmes 16 systèmes C : 13 à 16 C : 20 à 22 C : 23 à 25 C : 26 à 31 4 systèmes 4 systèmes 14 systèmes 11 systèmes C : 19 à 22 C : 23 à 25 C : 26 à 31 C : 32 à 37
	ER 2	4	4 systèmes 3 systèmes 11 systèmes 8 systèmes C : 25 à 28 C : 29 à 31 C : 32 à 37 C : 38 à 50
	Tableau 6.
	Coût du système Opérateurs temporels N min pour ER 1 36 24 9 26 28 30 31 6 N min pour ER 2 27 18 6 12 Opérateurs classiques N min pour ER 1 60 30 24 12 N min pour ER 2 60 30 15 36 Tableau 5. Figure 6. Exemple d'architecture opérationnelle optimale 4.3.2. Comparaison avec les arbres de défaillances classiques

  (A 1 ) ⇒ ER 1 Syst.commande(A 2 ) ⇒ ER 2 Syst.commande 1 (A 1 ) SEQ Syst.commande 2 (A 2 ) ⇒ ER 1 (Syst.commande 1 (A 1 ) SEQ Syst.commande 2 (A 2 )) OU (Syst.commande 1 (A 2 ) SEQ Syst.commande 2 (A 2 )) ⇒ ER 2

	
	
	Arc2
	

e soumission à Journal Européen des Systèmes Automatisés. ceux de la figure 5 et que le terme Detec.Temp-Standard est remplacé par celui du composant correspondant (Detec.Fumee-Sur1, Alim.-Standard, ...).

(N2)

Detec.incendie(B 1 ) OU Envoi.signal(C 1 ) ⇒ A 1 Detec.incendie(B 2 ) OU Envoi.signal(C 2 ) ⇒ A 2 (N3)

) ⇒ H 2 Les noeuds N11 à N13 ne sont pas détaillés car ils reprennent la même structure que le noeud N10 à la différence que leurs modes de défaillances correspondent à