Introduction à la sûreté de fonctionnement (SdF) sûreté de fonctionnement 1/29
La notion de service Les systèmes sont conçus pour fournir à leurs utilisateurs un service selon des spécifications. La sûreté de fonctionnement (SdF) concerne la relation entre service spécifié et service effectivement observé. Le système est défaillant à l instant t si le service rendu ou observé à cet instant n est pas tel que spécifié. On appelle défaillance l événement «changement de service faisant que d un système en accord avec les spécifications on passe à un système défaillant». sûreté de fonctionnement 2/29
La trilogie faute/erreur/défaillance Une faute est la conséquence d une défaillance (en général humaine) lors de la conception du système. Une erreur est un état atteint par le système qui n avait pas été spécifié, un état que le système n était pas supposé d atteindre. On a une erreur parce qu il y a une faute (ou plusieurs). On a une défaillance parce qu il y a une erreur (ou plusieurs). On a l implication (potentielle) faute erreur défaillance sûreté de fonctionnement 3/29
Exemple Considérons le code suivant : int a, b, x, y, k,...... if (a == b) {... x = a - b; } if (k == 1) y /= x; sûreté de fonctionnement 4/29
Supposons que l instruction `x = a - b; soit une faute (il fallait écrire, disons, `x = a + b; ). Si lors d une exécution, a et b ne sont pas égaux à chaque fois que ce bloc est exécuté, il n y aura peutêtre pas d erreur (malgré la présence de la faute). Dans le cas contraire, si k ne prend pas la valeur 1 lors de cette exécution, il n y aura pas de défaillance (malgré l erreur). Dans le cas contraire, on divise par 0 et on a effectivement une défaillance. sûreté de fonctionnement 5/29
Second exemple Système : le code dans un nœud (commutateur, routeur, ) d un réseau de télécommunications. Dans ce code, le programmeur a écrit `i = 0; au lieu de `i = 1;, qui était l instruction correcte. Il y a donc une faute dans le système. A un moment particulier, l ordinateur exécute cette instruction, et, suite à un certain calcul, un tampon est dimensionné à 10 au lieu d être dimensionné à 100 ; on a donc une erreur. sûreté de fonctionnement 6/29
Les conditions d utilisation du réseau font qu exceptionnellement, ce jour-là, la charge est telle que le tampon reçoit un trafic trop important. Il y a alors trop de pertes (plus que les niveaux maximaux spécifiés) : on a une défaillance. Noter la non implication certaine de l erreur après la faute, ni de la défaillance après l erreur. sûreté de fonctionnement 7/29
Le caractère conventionnel de la notion de défaillance La notion de défaillance dépend des spécifications du service, ce qui est essentiellement conventionnel. Dans le cas précédent, si l on décide de tolérer plus de pertes que dans la spécification originale, il peut se produire que malgré la faute et l erreur, il n y ait pas de défaillance. sûreté de fonctionnement 8/29
Un autre exemple : les clients d un réseau deviennent plus exigeants, et si hier ils supportaient un délai moyen T, la concurrence peut faire que le critère devienne : délai moyen T/4 ; donc, sans que le système ait changé, on peut se retrouver face à des défaillances auparavant inexistantes. sûreté de fonctionnement 9/29
Sûreté de fonctionnement «La sûreté de fonctionnement (SdF) d un système est la propriété qui permet à ses utilisateurs de placer une confiance justifiée dans le service qu il leur délivre». Elle est perçue à travers différents attributs : la fiabilité, la disponibilité, la maintenabilité, la sécurité-innocuité, la confidentialité et l intégrité. sûreté de fonctionnement 10/29
Attributs quantifiables La fiabilité mesure la continuité du service (correct). La disponibilité mesure le fait que le service (correct) soit prêt pour l utilisateur. La maintenabilité mesure l aptitude à réparer (et à faire évoluer) les systèmes. La sécurité-innocuité mesure la non-occurrence de conséquences catastrophiques des défaillances. L analyse quantitative de ces attributs est fondamentale pour la conception des systèmes, pour leur maintenance, leur évolution, etc. sûreté de fonctionnement 11/29
Attributs difficilement quantifiables La sécurité-confidentialité concerne la nonoccurrence de divulgations non autorisées de l information. La sécurité-intégrité concerne la non-occurrence d altérations de l information. sûreté de fonctionnement 12/29
Raffinements Toutes ces notions ont de nombreux raffinements : fautes physiques et fautes humaines fautes humaines accidentelles et fautes humaines intentionnelles fautes transitoires (ou temporaires) et fautes permanentes erreurs latentes et erreurs détectées défaillances totales et défaillances partielles... sûreté de fonctionnement 13/29
Exemples de déclinaisons du concept de défaillance en aéronautique civile mineure majeure dangereuse catastrophique dans l automobile mineure majeure sérieuse fatale sûreté de fonctionnement 14/29
dans le nucléaire significative majeure grave catastrophique dans l industrie des lanceurs spatiaux incident mineur incident incident grave sûreté de fonctionnement 15/29
Sur le vocabulaire On évite le mot «panne» dans le vocabulaire technique, à cause des ambiguïtés associées. En anglais, faute fault erreur error défaillance failure sûreté de fonctionnement 16/29
Les deux volets méthodologiques de la SdF Après les attributs de la SdF, nous avons les méthodes de la SdF, qui permettent d obtenir des systèmes sûrs de fonctionnement les techniques d analyse, qui permettent de valider la SdF d un système, dimensionner, comparer, optimiser, sûreté de fonctionnement 17/29
Sur les méthodes de la SdF Il s agit de la prévention de fautes, c est-à-dire, d empêcher l occurrence de fautes, de diminuer la probabilité de leur apparition ; la tolérance aux fautes, c est-à-dire, de diminuer la probabilité de défaillance malgré la présence éventuelle de fautes ; l élimination des fautes, c est-à-dire, de détecter, identifier et enlever les fautes du système. sûreté de fonctionnement 18/29
Ceci appartient au monde de l ingénierie. Les différentes méthodes de la SdF dépendent fortement du domaine : informatique, télécommunications, mécanique, aérospatial, automobile, aéronautique, nucléaire, transports terrestres,... sûreté de fonctionnement 19/29
Les problèmes de coût Par exemple, en informatique : le coût induit en France par les défaillances est supérieur aux bénéfices de l industrie informatique ; ce coût est en croissance. En télécommunications, le coût annuel dû aux défaillances d un dispositif est estimé à 20% de son coût de production. sûreté de fonctionnement 20/29
Quelques exemples remarquables de défaillances indisponibilité du réseau téléphonique interurbain aux US, le 20/1/1990 blocage des opérations par carte bancaire en France, 26-27/1/1993 échec du premier vol d Ariane 5, le 4/6/1996 catastrophe du Concorde, le 25/7/2000 sûreté de fonctionnement 21/29
L analyse de la SdF c est un composant fondamental de la conception de systèmes sûrs de fonctionnement ; les techniques d analyse sont indépendantes du domaine, donc générales ; l objectif est la quantification de la SdF des systèmes ; en général, cela se passe dans un contexte probabiliste. sûreté de fonctionnement 22/29
Les techniques d analyse de la SdF On peut essayer de mesurer les attributs qui nous intéressent sur le système (qui doit être déjà construit et en opération). On peut évaluer ces attributs à partir d un modèle, et en utilisant la simulation, les techniques numériques, les techniques analytiques, des combinaisons de ce qui précède. sûreté de fonctionnement 23/29
Un cas particulier important : les systèmes critiques systèmes critiques : systèmes où les défaillances peuvent entraîner des pertes en vies humaines ils ont de très hautes exigences en SdF d où difficultés pour leur mise en œuvre difficultés supplémentaires pour leur analyse ou leur validation par extension, sont dits critiques les systèmes ayant des exigences de SdF similaires (par exemple, les systèmes assurant les transactions bancaires) sûreté de fonctionnement 24/29
Dans ce cours : analyse de métriques de SdF analyse de la SdF des systèmes à partir de modèles considération de techniques d analyse variées, avec accent sur les techniques analytiques (car elles apportent des informations structurelles en plus de l évaluation numérique cherchée). Mots-clés : probabilités et statistiques, graphes, méthodes booléennes, processus stochastiques, Markoviens, de renouvellement. sûreté de fonctionnement 25/29
Trois types de modèles statiques graphes probabilistes, arbres de défaillance on calcule essentiellement la fiabilité du système (une proba.) dynamiques, systèmes non réparables chaînes de Markov absorbantes, et extensions on calcule la fiabilité à l instant t, la MTTF, etc. dynamiques, systèmes réparables chaînes de Markov quelconques, et extensions on calcule la fiabilité à l instant t, la disponibilité à l instant t, etc. sûreté de fonctionnement 26/29
Quelques métriques de base Dans tous les cas, le système a deux états possibles : opérationnel ou ok, et non opérationnel ou défaillant. modèles statiques le temps ne joue pas de rôle explicite on calcule R = Pr(système ok) modèles dynamiques, systèmes non réparables ok défaillant T, durée de vie temps sûreté de fonctionnement 27/29
MTTF = E(T) fiabilité à t = R(t) = Pr(système ok de 0 à t) = Pr(T > t) modèles dynamiques, systèmes réparables ok défaillant temps sûreté de fonctionnement 28/29
beaucoup de variabilité dans les métriques dans ce cas métrique importante : disponibilité ponctuelle à t = DP(t) = Pr(système ok à t) on peut différentier deux situations ici : le système évolue toujours entre les états ok et défaillant, tôt ou tard une défaillance impossible à réparer se produit, et alors le système reste pour toujours défaillant cas particulier important : les périodes pendant lesquelles le système est ok sont iid, ainsi que celles où le système est défaillant sûreté de fonctionnement 29/29