ce A - TU -,

FR9703946

Gestion
Doc. enreg. le ;
THESE
N
° TRN : EUfl
Destination de DOCTORAT
I.I + D.D
de

l'UNIVERSITE PIERRE ET MARIE CURIE

(arrêté du 30 mars 1992)

spécialité :

Chimie Appliquée et Génie des Procédés Industriels

par

Said BENKHANNOUCHE
t

Aide à la supervision des processus

industriels : vers une méthodologie
de conception

Soutenue le 31 mai 1996 devant le jury composé de :

MM. Patrick MILLOT Rapporteur et président

Gilles MURATET Directeur de thèse
François LEBOURGEOIS Rapporteur
Patrick BOURSEAU Examinateur
Jacky MONTMAIN Examinateur

Cette thèse a été :

• préparée au Laboratoire d'Ingénierie des Matériaux et des Hautes Pressions (Paris XIII),
• réalisée au Commissariat à l'Energie Atomique,
• financée par le CEA et la Société Générale des Nouvelles Technologies (5GN).

1 ' •
 Remerciements

Cette page pour remercier l'ensemble des personnes qui ont rendu cette thèse possible, qui m'ont
accueilli dans leur service et laboratoire et m'ont témoigné leur soutien dans les moments difficiles.

Je tiens à remercier le Commissariat à l'Energie Atomique pour avoir mis à ma disposition tous les
moyens nécessaires au bon déroulement de cette thèse : monsieur MONCOUYOUX, chef du Service
de Confinement des Déchets, qui m'a notamment permis d'intervenir sur le Prototype Evolutif de
Vitrification, ainsi que monsieur LELIEVRE, qui m'a accueilli au sein du Service de Synthèse et
Prospective ; la Société Générale des Nouvelles Technologies qui a participé à cette aventure, en les
personnes de monsieur HAUSS puis de monsieur ROUDIL, dont le souci a été d'ancrer ce travail dans
l'optique d'une mise en oeuvre industrielle.

Je tiens également à remercier les membres du jury de m'avoir fait l'honneur d'évaluer cette thèse :
• Monsieur Patrick MILLOT, professeur à l'Université de Valenciennes et du Hainaut-Cambrésis,
pour avoir accepté d'être rapporteur et président du jury,
• Monsieur François LEBOURCEOIS, responsable du groupe d'experts technologiques à RHONE-
POULENC, pour avoir accepté la charge de rapporteur,
• Monsieur Gilles MURATET, professeur à l'Université Paris 13, pour avoir accepté de diriger cette
thèse,
• Monsieur Patrick BOURSEAU, maître de conférences à l'Université Pierre et Marie Curie, qui a
suivi ce travail et a eu le courage de lire une des premières versions de mon mémoire,
• Monsieur Jacky MONTMAIN, Ingénieur au Commissariat à l'Energie Atomique, pour l'aide qu'il
m'a apportée en fin de parcours.

Je tiens à remercier messieurs Daniel MATHIEU et Jean PENALVA, chefs successifs du Laboratoire
d'Informatique Appliquée, pour avoir accepté de m'accueillir dans leur laboratoire, ainsi que
l'ensemble des membres de leur équipe :
• les permanents : Jacky, Laurent, Michel, Eric, Christian, Pierre, Mariette,
• les thésards : Dziop, Claude et Vador,
• les stagiaires : Luc, Christophe, Patricia et Cendrine, Simon (le scientif.),
• les externes : Pascal SEI (ACTIONEL), Sophie MINAULT (IXI), David GODINAUD (IXI).

J'ai eu la chance d'effectuer ma thèse avec Lydie LEYVAL ainsi que Jacky MONTMAIN, qui ont
grandement contribué à faire en sorte que le LIA soit en pointe dans le domaine du diagnostic de
pannes pour les procédés continus. Je tiens tout particulièrement à les remercier pour leurs conseils
éclairés et leur disponibilité. Ils savent que cette thèse leur doit beaucoup.

J'ai eu le privilège de travailler avec Jean-François HOLLEBECQUE, Alain LEDOUX, ainsi que les équipes
postées d'opérateurs du PEV ; qu'ils reçoivent mes plus vifs remerciements.

Que mes parents voient ici la concrétisation de leurs efforts et sacrifices.

Table des matières

TABLE DES MATIERES

TABLE DES MATIERES i

LISTE DES FIGURES v

LISTE DES TABLEAUX vii

INTRODUCTION 1
Le contexte 1
Les limitations actuelles 1
Objectifs 2
Plan du mémoire 3

CHAPITRE I : Eléments de compréhension du facteur humain en supervision de processus S

1.1 Introduction 6
1.2 L'entreprise 7
1.2.1 Ses activités 7
1.2.2 Les contraintes de l'activité de production 8
1.2.3 Le système automatisé de production 9
1.2.4 Les tâches de l'opérateur de production 10
1.3 Variabilité de l'opérateur 12
1.3.1 Exigences de la tâche 12
1.3.2 Etat de l'opérateur 13
1.3.3 Charge de travail 13
1.3.4 Performance 13
1.4 L'erreur humaine 17
1.4.1 La typologie de Reason 17
1.4.2 La typologie de Nicolet 22
1.4.3 La typologie de de Keyser 23
1.4.4 Caractéristiques de ces typologies 23
1.5 Une classification des erreurs 25
1.5.1 Les typologies de Nicolet et de de Keyser 25
1.5.2 Liens avec la typologie de Reason 28
1.6 Une vision synthétique de l'activité opérateur 30
1.6.1 Limites des modèles opérateur 30
1.6.2 Les tâches et la typologie d'erreurs 31
1.6.3 Relations dimension/erreur/tâche 33
1.7 Conclusion . 34

Références bibliographiques 36

CHAPITRE II : Les aides à l'opérateur 39

11.1 Introduction 40
11.2 Relations entre Erreurs et aides informatisées 41
11.3 Erreurs d'exécution 43
.."11.3.1. Aide à la sélection . - . 4 3
11.3.2. Aide à la réalisation 44
ii Table des matières

11.4 Erreurs d'évaluation 46

11.4.1. Aide à la représentation mentale 46
11.4.2. Aide au diagnostic 51
11.5 Erreurs d'intégration 80
11.5.1. Approche automaticienne du conseil 80
11.5.2. Une approche plus humaine du conseil 80
11.5.3. Un exemple 81
11.5.4. Application à la supervision de processus industriels 82
11.6 Erreurs de planification 84
11.6.1. Un exemple 84
11.6.2. Cas des processus industriels 84
11.7 Erreurs de coordination 85
11.7.1. Communication homme-homme 85
11.7.2. Résolution collective de problème 85
11.7.3. Répartition des tâches entre l'homme et la machine 86
11.7.4. A propos de la coopération homme-machine 86
11.8 Conclusion 88

Références bibliographiques 90

CHAPITRE III : Propositions méthodologiques 97

111.1 Introduction 98
111.2 Particularités d'un projet d'aide à l'opérateur 99
111.3 Le projet DIAGPEV et ses enseignements 102
111.3.1 Description du projet 102
111.3.2 Enseignements 104
111.4 Découpage d u projet 106
111.3 Phase 1 : Spécification des objectifs 107
111.5.1 Recensement des motivations 107
111.5.2 Approche par les tâches 107
111.5.3 Approche par les attentes 109
111.5.4 Approche par les problèmes 109
111.5.5 Approche par les besoins 113
111.5.6 Approche par les fonctionnalités 114
111.5.7 Une classification 115
II 1.6 Phase 2 : Elaboration du cahier des charges fonctionnel 117
111.6.1 Définition du projet 117
111.6.2 Description fonctionnelle 118
111.7 Phase 3 : Expression des solutions proposées 122
111.7.1 Les solutions 122
111.7.2 Facteurs déterminants pour le concepteur 123
111.7.4 Facteurs déterminants pour les utilisateurs 124
111.8 Les phases suivantes 125
111.8.1 Phase 4 : Etude de faisabilité technique 125~
111.8.2 Phase 5 : Développement 125
IIÏ.9 Conclusion 128

Références bibliographiques 132

Table des matières iii

CHAPITRE IV : Acquisition des connaissances pour l'aide à la supervision 135

IV.1 Introduction 136
IV.2 Categorisations des connaissances 137
IV.2.1. Connaissances sur l'homme 137
IV.2.2. Connaissances sur le processus de fabrication 140
IV. 3 Une classification 142
IV.3.1. Connaissances publiques 142
IV.3.2. Connaissances partagées 146
IV.3.3. Connaissances privées 151
IV.4 La méthode SAGACE 155
IV.4.1. Les concepts fondamentaux de la modélisation systémique 155
IV.4.2. Les systémogrammes 156
IV.4.3. Les Graphes 160
IV.4.4. Les taxinomies 161
IV.5 Description d'une unité de production industrielle 163
IV.5.1. L'installation à modéliser 163
IV.5.2. Systémographie 164
IV.5.3. Réalisation de graphes 167
IV.6 SAGACE comme méthode de recueil 168
IV.6.1. Connaissances publiques 168
IV.6.2. Connaissances partagées 169
IV.6.3. Connaissances privées 169
IV.6.4. Conclusion 170
IV.7 SAGACE comme référentiel pour le diagnostic 171
IV.7.1. Les connaissances mises en œuvre dans DIAPASON 171
IV.7.2. Construction d'une structure de graphe causal 172
IV.7.3. Conclusion 178
IV.8 Conclusion 179

Références bibliographiques 180

CONCLUSION 183
Un cadre de description de l'opérateur 183
Les aides à l'opérateur 184
Une démarche de conception 184
L'acquisition des connaissances 185
Perspectives 186

ANNEXE I : Modèles de l'opérateur 187

A.1.1 Modèles de représentation 187
A.l.1.1 Modèle de De Keyser 187
A.1.1.2 La hiérarchie d'abstraction de Rasmussen 188
A.1.2 Modèles de raisonnement 194
A.l.2.1 Le modèle SRK de Rasmussen _ 194
A.l.2.2 Modèle de Rouse .- - - 196
r
ANNEXE II : Aspects fonctionnels, organiques et opérationnels concernant le PEV 199
11.1. Vision fonctionnelle . _ 199
II.1.1 Le procédé - . 1 9 9
iv Table des matières

11.1.2 Les activités 200

11.1.3 Les modes de comportement 201
11.2. Vision organique 201
11.2.1 L'installation 201
11.2.2 Les dispositifs logistiques 205
11.2.3 Les configurations 206
11.3. Vision opérationnelle 208
11.3.1 L'équipe de conduite 208
11.3.2 Les performances 208
11.3.3 La gestion du fonctionnement 213
11.3.4 La conduite de l'évolution 215

ANNEXE III : Retrouver la causalité chez De Kleer/Brown et Iwasaki/Simon 217

111.1 Méthode d'Iwasaki / Simon 217
111.2 Méthode de De Kleer /Brown 220
111.2.1 Déduction d'une relation de confluence 221
111.2.2 Exemple de l'évaporateur 222

ANNEXE IV : Analyse de dépendances selon la méthode de Finch et Kramer 225

IV.1. La Décomposition structuro-fonctionnelle 225
IV.2. Analyse des dépendances entre systèmes et unités 226
IV.2.1. Exemple d'un réacteur chimique 226
IV.2.2. Décomposition du réacteur 227
IV.2.3. Règles de construction du modèle de dépendances 228
IV.2.4. Modèle obtenu 228

ANNEXE V : Liens entre graphe causal et réseau de dépendances de Finch et Kramer 231

ANNEXE VI : Généralisation de l'analyse des dépendances structuro-fonctionnelles 237

VI.1. Maîtriser la complexité par la hiérarchisation 237
VI.2. Etablissement des relations de dépendance 238
Vl.2.1. Règles de décomposition 238
Vl.2.2. Règles de parcours de l'arborescence 239
VI.2.3. Règles de description des relations 242
Vl.2.4. Exemple 242

ANNEXE VII : Analyse de dépendances sur une installation industrielle 247

VII.1. Décomposition du PEV 247
VII.2. Relations de dépendances et graphe de causalité 251
Liste des figures

LISTE DES FIGURES

Figure 1.1 : Rôle de l'opérateur au sein du SAP. 10

Figure I.2 : La fiabilité comme adéquation entre niveau requis et efforts engagés. 15
Figure 1.3 : Schéma de principe du modèle CEMS. 18
Figure 11.1 : Schéma interprété du modèle séquentiel de raisonnement de Rasmussen. 48
Figure II.2 : Les outils de description de Lind. 50
Figure II.3 : Une schématisation des deux paradigmes de diagnostic. 53
Figure II.4 : Stratégies de diagnostic, selon Milne. 55
Figure II.5 : Diagnostic par classification heuristique, selon Clancey. 57
Figure II.6 : Tâche générique de diagnostic par classification heuristique, selon Chandrasekaran. 58
Figure II.7 : Processus de diagnostic heuristique, selon Leitch et Gallanti. 59
Figure II.8 : Processus de diagnostic basé sur la cohérence, selon Leitch et Gallanti. 59
Figure II.9 : Première étape de diagnostic (détection). 62
Figure 11. 10 : Seconde étape de diagnostic (localisation). 62
Figure 11.11 : Le système DIAPASON à travers la forme canonique de diagnostic. 63
Figure 11.12 : Densité de probabilité d'appartenance aux deux modes de marche. 73
Figure 11.13 : Méthodes employées par les modules de DIAPASON. 78
Figure II.14 : Descriptif général des traitements effectués par DIAPASON. 79
Figure 11.15 : Stratégies de conduite dans l'exemple de l'automobiliste. 81
Figure II.16 : Interactions entre les aides du niveau cognitif. 89
Figure 111.1 : Organisation des acteurs de l'entreprise. 100
Figure 111.2 : Méthodologie d'analyse des dysfonctionnements des opérateurs. 112
Figure III.3 : Identification du projet par focalisation. 116
Figure 111.4 : Cycle de développement en cascade. 125
Figure III.5 : Cycle de développement (inscrit dans le cycle de vie). 126
Figure 111.6 : Cycle de développement en spirale. 126
Figure IV.1 : Savoir-faire et savoir, expérience et expertise. 139
Figure IV.2 : Les méthodes de recueil d'expertise et leurs zones de recouvrement. 154
Figure IV.3 : La matrice SAGACE et les neuf points de vue de description. 157
Figure IV.4 : Schéma de base de description selon la méthode SAGACE. 158
Figure IV.5 : Relations entre points de vue d'une propriété. 159
Figure IV.6 : Relations entre points de vue de même vision. 160
Figure IV.7 : Structure d'un graphe, exemple d'un graphe défaut-défaillance. 161
Figure IV.8 : Taxinomie d'appareils d'extraction. ~ 162
Figure IV.9 : Schéma du prototype évolutif de vitrification. 163
Figure IV.10 : Les objectifs associés au PEV. 164
Figure IV.11 : Les fonctions à envisager pour conditionner Jes déchets haute activité. 165
Figure IV.12 : Alimentation en fritte de verre. 7 166
vi Liste des figures

Figure IV. 13 : Stratégie de fonctionnement normal. 166

Figure IV.14: Graphe défaut-défaillance de l'éditeur SAGACE. 167
Figure IV.15 : Interprétations de la causalité. 172
Figure IV.16 : Obtention d'une structure de graphe causal à partir d'une AM DE via SAGACE. 174
Figure IV.17 : Exemple de règle METHYS associée au calcinateur. 175
Figure IV.18 : Le réseau de dépendances entre groupes fonctionnels d'appareils. 176
Figure IV.19 : Le graphe de causalité du réacteur. 176
Figure IV.20 : Graphe causal obtenu après réduction. 177
Figure A.1.1 : Le processus de raisonnement proposé par Rasmussen. 195
Figure [Link].1 : Chambre de réfrigération d'un système de production de froid. 218
Figure [Link].2 : Graphe causal obtenu par la méthode d'Iwasaki et Simon. 220
Figure [Link].3 : Graphe obtenu par la méthode de De Kleer/Brown 224
Figure [Link].1 : Schéma PI&D du réacteur régulé. 226
Figure [Link].2 : Graphe de dépendance entre systèmes. 228
Figure A.V.1 : Structure du graphe causal selon Finch et Kramer. 232
Figure A.V.2 : Résultat de l'élimination de PT, F, PP et PB. 233
Figure A.V.3 : Elimination de TR. ' 233
Figure A.V.4 : Elimination des variables de régulation. 234
Figure A.V.5 : Graphe causal final. 234
Figure A.V.6 : Réseau de dépendance pour le réacteur chimique. 235
Figure [Link].1 : Exemple d'arbre fonctionnel. 238
Figure [Link].2 : Première étape d'analyse. 240
Figure [Link].3 : Seconde étape d'analyse. 241
Figure [Link].4 :Troisième étape d'analyse. 241
Figure [Link].5 : Etape 1. Relations de dépendances entre systèmes frères. 243
Figure [Link].6 : Etape 2. Instanciation des relations établies en étape 1. 244
Figure [Link].7 : Etape 3. Instanciation des relations établies en étape 2. 245
Figure [Link].1 : Première étape d'analyse des dépendances sur le PEV. 253
Figure [Link].2 : Seconde étape d'analyse des dépendances sur le PEV. 254
Figure [Link].3: Troisième étape d'analyse des dépendances sur le PEV. 255
Figure [Link].4 : Quatrième étape d'analyse des dépendances sur le PEV. 256
Figure [Link].5 : Structure causale résultante. 257
Liste des tableaux vii

LISTE DES TABLEAUX

Tableau 1.1 : Activités de l'entreprise. 8

Tableau I.2 : Erreurs au niveau SB. 19
Tableau 1.3 : Erreurs au niveau RB. 20
Tableau 1.4 : Erreurs au niveau KB. 21
Tableau I.5 : Dimensions de l'activité, niveaux de perception de l'intervention humaine et erreurs. 26
Tableau I.6 : Liens entre les trois typologies d'erreurs. 28
Tableau I.7 : Tâches et dimensions humaines sollicitées en conduite du PEV. 33
Tableau I.8 : Relations entre tâches, dimensions et erreurs. 33
Tableau I.9 : Récapitulatif des typologies de Nicolet, de de Keyser et Reason. 35
Tableau II.1 : Erreurs humaines, améliorations envisageables et aides informatisées. 42
Tableau 11.2 : Informations d'entrée et de sortie pour chacune des tâches primitives. 61
Tableau II.3 : Exemples de techniques de prédiction. 70
Tableau II.4 : Exemples de techniques d'interprétation. 71
Tableau 11.5 : Exemples de techniques de décision. 74
Tableau 11.6 : Exemples de techniques d'identification. 76
Tableau 111.1 : Tableau de correspondances entre tâches et dimensions (tiré de l'étude du PEV). 108
Tableau 111.2 : Résultats d'une analyse de besoins (DIACPEV). 114
Tableau III.3 : Tableau récapitulatif des approches de spécification. 130
Tableau 111.4 : Critères qualité des fonctionnalités d'aide à l'opérateur. 131
Tableau IV.1 : Dimension collective / connaissances publiques / méthodes. 143
Tableau IV.2 : Les niveaux d'abstraction de Rasmussen. (résumé). 144
Tableau IV.3 : Dimension cognitive / connaissances publiques / méthodes. 145
Tableau IV.4 : Dimension opératoire / connaissances publiques / méthodes. 146
Tableau IV. 5 : Dimension collective / connaissances partagées. 146
Tableau IV.6 : Dimension cognitive / connaissances partagées / méthodes. 149
Tableau IV. 7 : Dimension opératoire / connaissances partagées / méthodes. 151
Tableau IV.8 : Connaissances expertes / méthodes d'acquisition. 153
Tableau IV.9 : Champ de modélisation de la méthode SAGACE pour les processus industriels. 170
Tableau A.1.1 : Niveaux d'abstraction des connaissances. 192
Tableau A.I.2 : Niveaux d'abstraction des connaissances (suite). 193
Tableau [Link].1 : Tables d'addition et multiplication qualitatives. 221
Tableau [Link].1 : Décomposition du réacteur chimique. 227
Tableau [Link].1 : Les systèmes régulés du PEV: 248
Tableau [Link].2 : Les systèmes passifs du PEV. . _ . " " _ . 249
Tableau [Link].3 : Les systèmes passifs du PEV (suite). 250
Tableau [Link].4 : Les systèmes externes du PEV. 250
Tableau [Link]ï.5 : Classification des systèmes. 251
Introduction

INTRODUCTION

LE CONTEXTE

Les avancées techniques pouvaient laisser supposer, pendant de nombreuses années, que l'opérateur
verrait son rôle diminuer dans un système automatisé de production puisque progressivement
remplacé par des automatismes. Une des raisons invoquées était la supériorité des machines sur
l'homme en matière de reproductibilité des tâches et des capacités de calcul. Il s'avère à présent que
l'opérateur de conduite ne peut être complètement écarté car certaines de ses fonctions ne sont,
à l'heure actuelle, pas automatisables pour des raisons techniques ou économiques. L'amélioration
des performances et la recherche d'une plus grande fiabilité et disponibilité du système automatisé
requièrent donc la prise en compte d'aspects à la fois techniques et humains.

La situation actuelle est cependant déséquilibrée : d'un côté, les aspects techniques sont assez bien
maîtrisés au sens où les appareils deviennent de plus en plus fiables. Par ailleurs, l'introduction de la
redondance d'appareils1 aux endroits critiques du processus offre une plus grande disponibilité de
l'outil de production ; d'un autre côté, on ne sait pas vraiment quelles mesures adopter pour
maîtriser la fiabilité humaine, car trop de facteurs touchant au fonctionnement humain sont mal
maîtrisés.

Aujourd'hui, il y a convergence de points de vue pour confier aux machines les tâches réputées
répétitives et automatisables, et laisser les tâches à caractère décisionnel à la charge des opérateurs.
L'amélioration de la fiabilité et la disponibilité du processus de production conduit alors à envisager
des aides à l'opérateur. Ces aides font largement appel à des techniques innovantes, qui sont pour
la plupart issues de travaux en intelligence artificielle.

LES LIMITATIONS ACTUELLES

Les limites actuelles au développement du marché des aides à l'opérateur sont nombreuses, elles sont
notamment liées aux motivations des industriels, à la diversité et à l'état d'avancement des
techniques employés, et au manque de moyens permettant de garantir la qualité de ces aides.

' La redondance matérielle est fondée sur le principe selon lequel la probabilité que deux composants assurant la
même fonction tombent simultanément en panne est quasi nulle. Elle est envisagée aux endroits sensibles d'une
installation pour assurer, quoi qu'il arrive, la mission du système de production: Dans la pratique, cela revient à
doubler une pompe, un capteur, une commande, etc. Dans le domaine du nucléaire, cela revient à doubler voire
.tripler l'ensemble d'une chaîne de production. ~
 Introduction

Les motivations qui conduisent les industriels à envisager de tels systèmes sont très diverses. Elles ont
d'ailleurs été recensées au cours d'une enquête menée auprès d'industriels2 : la complexité croissante
des processus alliée à une responsabilité de plus en plus grande des opérateurs, les contraintes de
sécurité et de fiabilité, la rentabilité, les choix politiques, les modes et les mentalités. En règle
générale, les industriels ont jusqu'ici investi et continuent d'investir dans des systèmes d'aide à
l'opérateur "pour voir". Il ressort que les objectifs sont souvent insuffisamment définis, ce qui conduit
à des résultats très difficilement évaluables.

L'intérêt suscité par l'intelligence artificielle a donné lieu à une importante quantité d'outils logiciels
utilisables dans le cadre de la supervision de processus, et conçus à l'origine pour une application
particulière. Pour le concepteur du système d'aide, le problème se pose alors en terme de choix des
techniques les mieux adaptées aux objectifs. Il apparaît alors nécessaire de disposer d'un ensemble
d'outils conceptuels qui peuvent servir à guider le choix de ces techniques.

De nombreuses communautés scientifiques sont impliquées dans l'aide à l'opérateur, notamment

l'ergonomie, la psychologie, l'automatique et l'informatique. Chacune d'entre elles développe ses
propres concepts de l'aide à l'opérateur, d'où le manque d'homogénéité et la multiplicité des
définitions : pour l'automaticien, un système est capable d'aider l'opérateur s'il peut diagnostiquer
un dysfonctionnement et fournir des conseils d'action en termes de commandes à appliquer ; une
approche plus ergonomique de l'automatique part du principe qu'un système aide l'opérateur s'il
peut prendre à sa charge certaines des tâches humaines, et s'il est capable de fournir de l'information
en fonction des besoins de l'opérateur ; l'approche psychologique part du principe qu'opérateur et
système d'aide doivent partager des buts communs pour pouvoir coopérer. Il s'avère alors
nécessaire d'avoir une vision globale, structurée et pluridisciplinaire de l'aide à l'opérateur.

Une des difficultés majeures en conception d'aides informatisées n'est pas liée à la maîtrise de
techniques innovantes, qui ont pour la plupart montré leur faisabilité, elle est plutôt due au manque
de moyens d'évaluation de l'impact d'un système informatique conçu essentiellement pour interagir
avec l'homme. Ces systèmes constituent une véritable révolution car ils sont conçus pour s'adapter à
l'homme, et non l'inverse comme cela a été jusqu'à présent le cas. La conception de tels systèmes
implique la modification profonde des anciennes habitudes, c'est pourquoi le besoin de
méthodologies apparaît comme un enjeu crucial pour l'introduction effective des systèmes d'aide
en salle de conduite.

Il y a donc un travail conséquent à mener pour définir une approche méthodologique qui permette
aux décideurs, exploitants et concepteurs d'adopter une démarche qualité devant déboucher sur la
définition des services adaptés aux besoins ; c'est l'objet de la présente thèse.

OBJECTIFS
Notre objectif est essentiellement de proposer quelques clés devant permettre à l'ingénierie d'orienter
ses choix en termes d'objectifs du projet d'aide à l'opérateur, de fonctionnalités à implanter, et de
techniques et outils à mettre en œuvre. L'originalité de ce travail réside dans le soin qui est mis à
apporter un regard raisonné sur les différentes solutions proposées, ainsi qu'un cadre commun à
l'ensemble des approches de l'aide qui offre aux concepteurs et industriels une vue globale de l'offre

2
D. Notte, Pour une conception pluridisciplinaire des systèmes coopératifs homme machine : mythes et réalités,
Journées d'Etude S3j(Sûreté, Surveillance, Supervision), Supervision et coopération homme-machine, Ed. LAIL
USTL, Paris, les 12-13 janvier 1995.
Introduction

en matière de techniques d'aide à l'opérateur. Dans la mesure du possible, nous nous attacherons à
définir les notions abordées.

Les objectifs que nous nous proposons d'atteindre sont donc :

• la mise en évidence des caractéristiques humaines qu'il convient d'intégrer avant de démarrer
un projet d'aide,
• la définition d'une vision structurée des aides à l'opérateur, et par là même la définition d'une
vision opérationnelle des fonctionnalités existantes, en particulier d'aide au diagnostic,
• la définition d'une démarche méthodologique devant permettre de spécifier convenablement
les aides à concevoir,
• la proposition d'un cadre permettant le choix des méthodes d'acquisition des connaissances
pour alimenter les outils à mettre en œuvre.

Les processus de transformation chimique sont notre champ d'application privilégié, mais l'approche
que nous présentons est suffisamment générale pour s'appliquer à l'ensemble des processus
automatisés qui exigent une surveillance de la part de l'homme.

Ce travail s'inscrit dans le cadre du projet DIACPEV de supervision d'une installation prototype de
vitrification de déchets nucléaires ; les exemples et illustrations contenus dans ce mémoire en seront
issus.

PLAN DU MÉMOIRE
Le chapitre premier est consacré à préciser le rôle de l'opérateur dans le système de production
ainsi que ses caractéristiques principales, c'est-à-dire ses points forts certes, mais surtout ses
faiblesses. Nous nous proposons ainsi de motiver une aide à l'opérateur par l'analyse des problèmes
qui touchent à la performance globale du système de production ; cela se traduit en termes de
sûreté de fonctionnement et de productivité. Ceci nous semble être une approche industriellement
viable, car centrée opérateur.

Le second chapitre a deux objectifs principaux : faire un état des axes de recherche dans le domaine
des aides à l'activité humaine, en particulier cognitive, et en proposer une vision opérationnelle. Ce
chapitre sera l'occasion d'aborder les diverses conceptions de l'aide et comment les différencier. Les
concepts et outils développés dans le cadre du projet d'aide au diagnostic de défauts DIAPASON,
développé au CEA, sont intégrés dans cette synthèse.

Le troisième chapitre propose la description d'une démarche méthodologique qui met davantage
l'accent sur les phases initiales à la conception : la phase de spécification des objectifs vise la mise en
évidence des besoins ; la seconde phase vise l'élaboration du cahier des charges fonctionnel, qui
permet de définir le référentiel de besoins ; la troisième phase est la proposition de solutions
techniques répondant aux besoins et exigences des exploitants.

Les phases suivantes du projet sont l'étude de faisabilité technique des solutions proposées et le
développement proprement dit du système. Dès le démarrage de ces phases peut être constitué le
référentiel de connaissances qui serviront pour le projet. Cet aspect est plus particulièrement abordé
dans le quatrième chapitre. Les méthodes d'acquisition des connaissances les plus employées sont
classées en fonction des types d'aide recensés. Par ailleurs, la méthode SACACE de modélisation des
systèmes, basée sur une approche systémique et développée au CEA, est envisagée pour construire
un référentiel de connaissances utilisable dans un projet d'aide à l'opérateur en général, et par les
- modules du système DIAPASON en particulier.
 CHAPITRE I : Eléments
de compréhension du
facteur humain en
supervision de
processus

Les principaux facteurs d'influence de la performance de l'opérateur sont

passés en revue. Une synthèse, sous forme de grille classant les dimensions
de l'activité humaine, les tâches et les erreurs, est proposée.

1.1 Introduction 6
1.2 L'entreprise 7
1.3 Variabilité de l'opérateur 12
1.4 L'erreur humaine 17
1.5 Une classification des erreurs 25
1.6 Une vision synthétique de l'activité opérateur 30
1.7 Conclusion 34

Références bibliographiques 36
 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

1.1 INTRODUCTION
La problématique dans laquelle nous nous plaçons est la conception de systèmes qui répondent à
une double exigence : fournir des solutions dans le sens d'une meilleure disponibilité du
système de production et prendre en compte la composante humaine de la fiabilité du système
de production.

L'objet de ce chapitre est de préciser le champ dans lequel nous nous proposons d'intervenir :
activité de l'entreprise qui nous intéresse, place de l'homme au sein de cette activité,
caractéristiques et faiblesses humaines qui peuvent remettre en cause la performance du système
de production et la sûreté de fonctionnement.

Pour mener à bien l'analyse des différents aspects qu'il convient de prendre en compte, une
incursion dans des disciplines des sciences humaines telles que la psychologie du travail,
l'ergonomie et la psychologie cognitive, est requise. La psychologie du travail se fixe pour
objectif de comprendre le comportement humain au travail : il s'agit d'élucider les "relations
stables que les comportements manifestent avec des propriétés de l'environnement dans lequel
ils sont produits" [CAVER 91a]. L'ergonomie, quant à elle, relève plus de la démarche empirique
et vise à améliorer les conditions de travail. Des disciplines dérivées des deux premières
prennent pour objet d'étude l'activité humaine de supervision :
• la psychologie cognitive est une sous-discipline de la psychologie ; elle est centrée sur
l'individu et cherche à élucider les représentations et les mécanismes de raisonnement
humain en situation de travail qui produisent les comportements observés,
• l'ergonomie cognitive est une sous-discipline de l'ergonomie ; elle vise notamment l'étude
empirique des interactions homme-ordinateur et les moyens d'aménager le poste de travail,
• la psychologie cognitive ergonomique est une discipline mixte des deux précédentes [MOC
91] : il s'agit de concevoir des modèles de l'opérateur soumis à des situations complexes
(situations statiques, dynamiques et de conception). Elle peut donc être considérée comme
le domaine applicatif de la psychologie cognitive, mais elle n'est pas réduite à l'étude de
l'activité individuelle (il y a également prise en compte des aspects collectifs du travail)
et aux seuls psychologues cognitifs : les spécialistes en automatique humaine1 en sont aussi
des acteurs, de même que les spécialistes en intelligence artificielle.

Cette incursion nous permettra de mettre en évidence les caractéristiques propres à l'activité de
l'opérateur, plus particulièrement sur les facteurs de variabilité et les erreurs humaines.
L'activité d'un opérateur est ici prise au sens des mécanismes observables (le comportement) et
des mécanismes inobservables (les processus cognitifs) [HOC 91].

Notre apport sera ici la proposition d'un cadre descriptif faisant la synthèse des caractéristiques
humaines déterminantes pour la fiabilité et la disponibilité d'un processus de fabrication. Ce
cadre doit offrir au concepteur un outil méthodologique lui permettant d'orienter le projet
d'aide à l'opérateur. .

1
Nous faisons référence aux travaux du Laboratoire d'Automatique et de Mécanique Industrielles et
Humaines, à Valenciennes. _ ~
L'entreprise

1.2 L'ENTREPRISE
"L'entreprise est le siège d'activités organisées visant à fournir au client et au marché des
produits adaptés. Elle met en mouvement des flux d'énergie, de monnaie, de matière et de
personnels qui s'écoulent dans les circuits du système économique. Elle est un centre de décision
capable de se doter d'une stratégie économique autonome, et dont le principal objectif est de
rendre maximal son profit sous les contraintes techniques [la sûreté de fonctionnement par
exemple], financières, commerciales et sociales qui s'exercent sur elle" [DESPRE 91 ] .

1.2.1 Ses activités

L'entreprise est une organisation complexe d'activités différenciées comportant chacune : une
composante physique (le processus de transformation, par exemple), une composante
d'organisation (la structure organisationnelle pour chacune des activités) et une composante de
communication (les relations internes et externes à l'entreprise). Nous décrivons ces activités en
prenant pour référence l'ouvrage de Després.

Trois grands types d'activités composent une entreprise de fabrication de biens : la production,
la maintenance et la gestion.

L'activité de production est définie comme la transformation des matières premières et d'énergie
en biens ; elle est considérée comme l'activité opérationnelle de l'entreprise, puisqu'elle est en
charge de la réalisation effective du produit. Ce domaine d'activité est pris en charge par le
personnel de production, le système de contrôle-commande et le processus de transformation.

L'activité de maintenance est chargée d'assurer la meilleure disponibilité de l'outil de

production par des actions curatives et préventives. Sont impliqués le personnel de
maintenance, le système informatique de maintenance, ainsi que les pièces de rechange et les
divers outils associés. Elle est activée lorsque une intervention du type diagnostic et réparation
des appareils est requise. Cette intervention se fait généralement quand le processus est à l'arrêt.

L'activité de gestion englobe la gestion financière et la gestion technique de l'entreprise : la

gestion financière a pour rôle la détermination de la meilleure stratégie produit, la définition
des moyens à mettre en œuvre au sein de l'entreprise pour essayer de répondre aux besoins tout en
minimisant les coûts ; elle fait appel au personnel de gestion financière et au système
informatique de l'entreprise. La gestion technique gère les matières premières, l'énergie et les
biens produits ; elle implique l'intervention du personnel de gestion technique, le système
informatisé de gestion technique et la manutention des matières premières et des biens produits.
La gestion technique se situe à l'interface des activités opérationnelles de production et de
maintenance, mais aussi de l'activité de gestion financière qui a un caractère plus fonctionnel.
Elle a pour mission de traduire les spécifications de produit de la gestion financière en
spécifications de qualité, de quantités et de délais de production ; elle gère tout ce qui se
rapporte aux incidents, aux problèmes d'indisponibilité, etc. Elle est donc considérée comme un
pilotage des activités opérationnelles.

Le tableau 1.1 en propose une synthèse qui distingue les activités de l'entreprise et ^es
composantes physique, organisatfonnelle et de communication.
 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

NIVEAU OPERATIONNEL NIVEAU PILOTAGE NIVEAU FONCTIONNEL

^"^v. ACTIVITÉS GESTION GESTION

PRODUCTION MAINTENANCE
TECHNIQUE FINANCIÈRE
COMPOSANTES^^
Outils de gestion
Manutention
Pièces de rechange financière, des flux d'
Le processus
PHYSIQUE informations, de
de fabrication Matières premières l'organisation et de la
Outils et énergie coordination des activités

Equipes de Personnel Structure de gestion

Equipes de
maintenance financière
conduite Système informatique
ORGANISATION Système Personnel
informatique de Processus de gestion
SNCC
des stocks (matières
maintenance
premières et produits) Système informatique
Coordination Contrainte de Planification de la
interne maintenance production Stratégie produit
Validation des
COMMUNICATION/ consignes de Taux Attentes du marché
d'indisponibilité de Contraintes de délais
COORDINATION production
Compte-rendus l'outil de Veille
Gestion des incidents
d'activité production

TRAITEMENT DE INFORMATIQUE DE
INFORMATIQUE INDUSTRIELLE GESTION
L'INFORMATION

Tableau 1.1 : Activités de l'entreprise.

1.2.2 Les contraintes de l'activité de production

Afin d'assurer sa crédibilité économique, l'entreprise se doit de garantir un fonctionnement sûr
de son outil de production. La sûreté de fonctionnement est la science des défaillances et des
pannes [VILLEM 8 8 ] ; elle englobe les notions de fiabilité, de disponibilité et son pendant la
productivité, de sécurité et de maintenabilité, que nous passons maintenant en revue.

La fiabilité est l'aptitude d'une entité à accomplir une fonction requise dans des conditions
données d'utilisation et pendant un temps donné. La fiabilité est indistinctement associée aux
appareils et aux hommes ; ainsi un système est dit fiable s'il est capable de récupération, donc
capable de gérer ses dysfonctionnements avant que l'état dysfonctionnel ne devienne
irréversible [NEBOIT 90a].

La disponibilité est l'aptitude d'une entité à être en état d'accomplir une fonction requise dans
des conditions données et à un instant donné,

La sécurité est l'aptitude d'une entité à éviter de faire apparaître, dans des conditions données,
des événements critiques ou catastrophiques,

La maintenabilité est l'aptitude d'une entité à être maintenue ou rétablie dans un état dans
lequel elle peut accomplir une fonction requise, lorsque la maintenance est accomplie dans des
conditions données avec des procédures et des moyens prescrits.

Ces contraintes s'exercent directement sur le système automatisé de production, au niveau de

toutes ses composantes : le processus de fabrication, les équipes de conduite et les
L'entreprise

communications entre les diverses activités. La sûreté de fonctionnement est remise en cause sur
apparition d'une défaillance au niveau de ces composantes.

La défaillance est définie comme la cessation de l'aptitude à assurer une fonction requise. Elle
est aussi bien utilisée pour les systèmes techniques que pour décrire un dysfonctionnement
humain.

1.2.3 Le système automatisé de production

Le Système Automatisé de Production (SAP) repose sur la mise en œuvre cohérente des moyens
matériels et humains tels : le processus de fabrication, le système de contrôle-commande, les
hommes chargés de la gestion technique, les hommes chargés de la production et les hommes
chargés de la maintenance. Dans notre démarche de focalisation, il nous faut maintenant
envisager la place de l'opérateur au sein de l'activité de production.

Le processus de fabrication est l'ensemble des opérations d'élaboration d'un produit selon un
procédé 2 , une méthode, ou une recette déterminée. Ces opérations sont prises en charge par
l'installation, qui représente l'organisation d'appareils qui assurent des fonctions unitaires telles
que le transport, le stockage ou la transformation, pour globalement réaliser l'objectif. Les
processus auxquels il sera souvent fait référence dans ce mémoire sont les processus chimiques
continus, à dynamique lente, en particulier dans le domaine du retraitement nucléaire.

Le système de contrôle-commande est conçu pour fournir l'ensemble des moyens permettant
d'assurer le contrôle-commande du processus : mesures, alarmes, organes de commande,
automatismes de sécurité, régulations, stockage des données, etc. Il sert souvent d'interface de
conduite puisqu'il centralise les moyens de commande ; par abus de langage, cette interface est
appelée interface de supervision, bien qu'elle ne permette pas de visualiser l'ensemble des
aspects intéressant la gestion globale du processus par les opérateurs. En effet, une vue
synoptique n'est sans doute pas la seule description qui soit pertinente pour l'opérateur; cet
aspect fera d'ailleurs l'objet d'un paragraphe dans le chapitre II.

Au sein du SAP, les hommes chargés de l'activité de production sont appelés agents
d'exploitation. Nous nous intéresserons plus particulièrement aux opérateurs de conduite ;
cette désignation regroupe les opérateurs, le chef de quart, et les rondiers.

La mission de l'opérateur de conduite est de garantir la productivité, la disponibilité et la

fiabilité du système de production en intervenant comme complément au système de contrôle-
commande, sur une installation en constante évolution. L'opérateur de conduite a donc un rôle
de superviseur du processus de fabrication.

Hormis les phases transitoires de démarrage et d'arrêt, son rôle est surtout de prendre en charge
l'imprévu, par sa capacité à mettre en œuvre une activité mentale adaptée à la résolution de
problème avec des informations imprécises et incertaines. L'opérateur de conduite est en effet
capable de juger et décider dans un contexte incertain, d'anticiper un dérèglement par des
indices avant la détection par les systèmes d'alarme, d'évaluer de manière qualitative des
données, de synthétiser, d'interpréter, en fonction des cas les plus probables, sans devoir
examiner l'ensemble des possibles.

2
Par abus de langage, il est parfois synonyme de processus (exemple : la conduite de procédé).
10 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

De façon pratique, l'opérateur est chargé :

• d'exécuter des procédures,
• d'ajuster les paramètres de fonctionnement (correction des défauts et dérives, optimisation
du fonctionnement du processus),
• d'adapter le fonctionnement du processus en fonction de contraintes de production
(modification de certaines consignes pour satisfaire aux obligations de production, passage
sur circuit auxiliaire si une panne est apparue sur le circuit principal),
• d'anticiper les actions à envisager, en fonction des délais de production (il planifie ses
interventions sur le processus),
• de participer à un objectif commun (coordination de ses interventions avec celles des
autres membres de l'équipe).

L'opérateur exerce son activité principalement à partir de postes informatiques situés en salle
de conduite centralisée . En local, le rondier vérifie l'état de marche des divers actionneurs
(vannes, pompes, etc.) c'est-à-dire directement sur l'installation (figure 1.1). Ce second type
d'intervention est généralement épisodique.

Opérateurs, chef de quart Conduite centralisée

Rondiers 1
£—
T
Contrôle-commande
SNCC
Rondiers

Instrumentation
Capteurs, actionneurs

Matières,
Processus
premières

Figure 1.1 : Rôle de l'opérateur au sein du SAP.

I.2.4 Les tâches de l'opérateur de production

Les contraintes imposées au système automatisé de production sont également les missions
attribuées à l'opérateur : assurer la productivité, la disponibilité et la fiabilité du processus.
L'opérateur assure ses missions en effectuant, pour ce faire, un certain nombre de tâches.

Nous utiliserons indifféremment les termes opérateur, opérateur de conduite et opérateur de

production.

La tâche est l'objectif assigné à l'opérateur, c'est-à-dire ce qu'il doit réaliser. Elle est définie
comme un ensemble d'actions conditionnées qui supposent l'existence d'interactions
particulières entre un opérateur et les équipements, les autres opérateurs ou l'environnement
[PHILLI 88]. Même si la durée moyenne d'une tâche peut varier,une tâche est toujours caractérisée
par un début et une fin, de sorte que l'on peut définir une unité d'actions isolable de l'ensemble
des actions possibles sous la forme du triplet : objectif, séquences d'actions et résultat.
L'entreprise H

Quatre grands types de tâches concernent spécifiquement la supervision de processus, selon

Rouse ([ROUSE 83] repris par [MILLO 88]) : les tâches de transition, les tâches de suivi, les
tâches diagnostic, et enfin les tâches de compensation :
• les tâches de transition sont sollicitées lors des phases transitoires de démarrage, de
changement de régime, ou d'arrêt, pour lesquelles les opérateurs disposent de procédures à
appliquer,
• les tâches de suivi sont généralement des tâchés de routine que l'opérateur doit effectuer de
manière périodique et en fonctionnement nominal, pour vérifier que les différents
paramètres de fonctionnement se maintiennent aux valeurs de consigne; dans le cas
contraire, l'opérateur peut agir sur le processus pour en régler certains (correction, suivi des
effets de correction, édition de comptes-rendus),
• les tâches de diagnostic sont sollicitées dès qu'un problème est détecté ; elles supposent,
de la part de l'opérateur, une activité constante de surveillance,
• les tâches de compensation correspondent aux actions menées par les opérateurs une fois le
diagnostic de la situation effectué (en fonction des consignes de sécurité, l'opérateur doit
par exemple activer les appareils de secours ou mettre le processus en mode de repli).

En règle générale, les tâches sont définies en termes d'objectifs, à charge pour l'opérateur de les
traduire sous une forme opérationnelle. Celui-ci doit, en effet, tenir compte des conditions
réelles de conduite qui l'obligent à adapter les moyens d'obtention en fonction des aléas et des
contraintes de la situation. L'expérience montre, en effet, que toutes les situations ne peuvent
être répertoriées à la conception. Par exemple, quand l'ingénieur d'exploitation demande à
l'opérateur d'amener le processus en mode de repli, c'est à l'opérateur de se définir la manière
dont il devra réaliser cette tâche, et sous quelles conditions, car toutes les situations n'ont pas
été prévues.

Dans l'éventualité d'une incohérence ou d'une incompatibilité des procédures avec le contexte
de travail, l'opérateur doit changer de procédure ou bien l'adapter au contexte, voire en élaborer
une nouvelle, lorsqu'il s'agit d'un problème qui lui est peu familier.

Ainsi, la réalisation d'une tâche connaît trois temps [POYET 90] : prescription de la tâche à
réaliser, redéfinition par l'opérateur en fonction de ses propres référentiels, puis actualisation :
• la tâche prescrite correspond à la tâche telle que la définit le prescripteur : mission,
performances à atteindre, délais à respecter, mais aussi consignes et procédures à appliquer,
• la tâche redéfinie est une traduction des prescriptions sous forme d'une représentation
fonctionnelle correspondant aux représentations (modèle du processus) et stratégies (moyens
de mise en œuvre) propres à l'opérateur,
• la tâche actualisée traduit le fait que l'opérateur doit prendre en compte le contexte dans
lequel la tâche doit être effectuée (état actuel de l'installation, avancement de la
production, incidents, contraintes temporelles, etc.). Cela demande de sa part la sélection
d'une stratégie en accord avec la situation.

Ayant décrit le cadre dans lequel le projet d'aide devra se positionner, il nous faut passer en
revue les caractéristiques humaines qui orienteront le projet d'amélioration des performances des
opérateurs.
12 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

13 VARIABILITE DE L'OPERATEUR
De graves incidents récents (parmi les plus tristement célèbres: Three Mile Island, 1979 et
Tchernobyl, 1986) ont amené à considérer l'homme comme un facteur de fiabilité du système
de production ; en effet, les études post-accidentelles ont montré que l'opérateur joue
effectivement un rôle déterminant dans leur occurrence [KOUTS 91].

L'objet de notre propos est de définir de quelle façon l'opérateur présente des singularités de
comportement en comparaison avec un automate, et en quoi ces singularités peuvent gravement
remettre en cause la fiabilité du système. Il nous semble que la variabilité est ce qui caractérise
le mieux l'opérateur. En effet, un automate est conçu pour produire les mêmes résultats quelles que
soient les conditions externes ; sa performance est constante et prévisible (jusqu'à l'apparition
d'une défaillance) alors que celle de l'opérateur est difficilement prévisible car elle est sensible
à de nombreux facteurs.

La variabilité est une caractéristique proprement humaine : elle traduit l'idée selon laquelle les
performances d'un opérateur sont fortement conditionnées par des facteurs qui perturbent son
activité dans l'accomplissement d'une tâche. Swain a notamment proposé un découpage en
facteurs internes et externes pour distinguer ce qui relève de l'environnement et ce qui relève des
caractéristiques propres à l'opérateur (repris dans [VILLEM 88]). Pour mieux comprendre la manière
dont ces facteurs interviennent dans la performance, Millot a proposé une schématisation sous
forme d'un modèle diagramme-bloc au niveau duquel [MILLO 88] :
• les entrées du modèle sont les exigences de la tâche, c'est-à-dire ce qui est demandé à
l'opérateur, et les contraintes environnementales que l'opérateur peut percevoir comme des
perturbations ou des nuisances (ils correspondent aux facteurs externes pour Swain),
• une variable interne non observable qui représente la charge de travail, et qui dépend de
l'état de l'opérateur (ce sont les facteurs internes de Swain),
• une variable de sortie unique, en l'occurrence la performance, qui est une fonction de
l'ensemble des entrées et de l'état de l'opérateur.

Nous aborderons successivement ces thèmes et essaierons d'en tirer les enseignements qui nous
permettrons ensuite de définir une aide à l'opérateur.

13.1 Exigences de la tâche

Les exigences de la tâche caractérisent la quantité d'effort minimale que l'opérateur devra
investir pour réaliser correctement une tâche. Ces exigences peuvent être considérées comme des
facteurs externes à l'opérateur. Ce sont principalement: le contexte dans lequel est
effectuée la tâche (tâche en fonctionnement normal, incidentel ou accidentel), les conditions
techniques de travail (nuisances générées par un environnement bruyant, la luminosité, les
contrastes, etc.), les conditions organisationnelles du travail (aspects sociologiques), la
complexité du processus (taille de l'installation, dynamique des phénomènes, etc.).

Pour traduire la complexité du processus que l'opérateur doit superviser, Hoc introduit la
notion de situation de_ transformation d'environnement dynamique, qui nécessite de la part
de l'opérateur-de mettre régulièrement à jour sa représentation de l'état-ou de l'évolution du
processus [HOC 91]. L'auteur distingue quatre facteurs d'influence: l'étendue du champ de
contrôle (possibilités matérielles et informationnelles permettant de se représenter l'état ou
l'évolution du processus), la proximité du contrôle et les délais de réponse (l'anticipation et
Variabilité de l'opérateur 13

la planification jouent un rôle important quand le contrôle est distant et les délais de réponse
longs), l'accessibilité des informations sur le processus (certaines informations sont d'accès
plus ou moins direct et nécessitent donc des inferences plus ou moins importantes), et enfin le
type de processus surveillé (les processus discontinus favorisent une représentation sous forme
d'états et de transformations discrètes, par opposition aux processus continus, qui imposent une
représentation sous forme d'évolutions).

13.2 Etat de l'opérateur

L'état de l'opérateur caractérise son aptitude, ou sa capacité fonctionnelle, à prendre en charge
une tâche donnée dans un contexte et des conditions donnés; il englobe les aspects cognitif
(niveau d'expérience), physiologique (rythmicité biologique ou circadienne de l'opérateur
[GADBO 90]) et psychologique (motivation). Ces états sont regroupés sous le terme de facteurs
internes qui déterminent l'effort que l'opérateur est capable et souhaite investir. Pour qualifier
cet effort, on introduit la notion de capacité de travail [MILLO 88], qui indique que l'opérateur
peut être amené à ajuster son degré de mobilisation lorsque la tâche le nécessite [QUEIN 87].
Ainsi, l'opérateur peut faire varier sa capacité de travail en fonction de son expérience, son
adresse, sa personnalité, ses motivations et ses aptitudes physiques et mentales. Le résultat est
une quantité d'effort mise en jeu pour effectuer une tâche.

1.3.3 Charge de travail

La charge de travail traduit l'idée selon laquelle il existe une relation complexe entre l'état de
l'opérateur, les exigences de la tâche et les nuisances environnementales qui déterminent,
pour une part, les efforts que l'opérateur peut engager. Cette "quantité d'effort" est à deux
composantes, physique et surtout mentale ; cette dernière rend particulièrement délicate la
mesure de la charge de travail, car on ne dispose pas de moyen direct de mesure. Elle est pourtant
centrale pour les ergonomes : ces derniers ont, par ce biais, les moyens d'évaluer l'adéquation
entre les exigences du travail et les capacités de l'opérateur, de manière à proposer les
aménagements qu'il convient [MILLO 88]. Incidemment, cette charge de travail influe sur la
performance de l'opérateur.

1.3.4 Performance
La performance de l'opérateur qualifie l'adéquation entre les exigences de la tâche et
l'activité de l'opérateur qui a conduit à sa réalisation. Elle peut être estimée à travers les
temps de réponse (temps mis pour réaliser la tâche à partir de l'instant où elle a été demandée)
ou bien à travers l'étude statistique des erreurs commises par l'opérateur (écarts entre la tâche
prescrite et sa réalisation effective).

Les facteurs d'influence de la performance ont notamment été étudiés par Rouse, qui a mis en
évidence l'importance des facteurs tels que la complexité du problème, le niveau d'expérience, le
contexte dans lequel la tâche demandée est effectuée (situation urgente et non urgente), dans la
performance humaine [ROUSE 78]. Les relations entre ces facteurs sont complexes, et non encore
élucidées. Une schématisation, nécessairement simpliste, peut toutefois permettre de comprendre
la relation entre variabilité et performance.
:
[Link] Les expériences de Rouse

Les expériences menées par Rouse consistaient à demander à plusieurs groupes de sujets
d'effectuer des tâches de diagnostic de défauts, en utilisant comme support de représentation un
14 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

graphe orienté dans lequel les nœuds représentaient les variables du système, et les arcs les
influences entre celles-ci. La performance d'un sujet était le nombre d'arcs testés pour parvenir à
découvrir l'origine du défaut. Les sujets disposaient de la structure du graphe, affichée en
permanence sur un écran d'ordinateur, et des valeurs des variables externes : la valeur 0 étant
affectée à une variable externe anormale, et la valeur 1 dans l'autre cas. Ils étaient, par ailleurs,
soumis à des situations de pannes uniques. L'expérience était conçue de sorte que les sujets
étaient contraints d'interroger l'ordinateur afin de connaître l'état d'une variable. Deux séries
d'expériences ont été menées.

Dans une première série de tests, une aide était proposée à certains sujets : ils pouvaient faire
disparaître de l'écran les nœuds non incriminés du graphe ; cela revenait à réduire la complexité
du problème. Dans une deuxième étape, les sujets ayant bénéficié d'une aide se sont retrouvés à
travailler sans cette aide, au profit des autres sujets ayant initialement travaillé sans. Cela a
permis de mettre en évidence des facteurs tels que : la complexité du problème (ici la taille du
graphe), les effets d'une aide à la résolution, et enfin les effets de la disparition de l'aide pour
des sujets s'y étant accoutumés pendant les tests.

Une deuxième série de tests a été menée ; elle proposait cette fois, avec le même problème à
résoudre, d'évaluer les effets de la contrainte temporelle sur la performance de nouveaux groupes
de sujets (de manière à ne pas fausser les résultats en utilisant des sujets déjà accoutumés). Ce
test était ciblé sur des facteurs d'urgence, assez étroitement liés à la notion de motivation de la
part des sujets (degré d'attention).

Les sujets étaient ainsi placés dans des conditions moyennement voire fortement contraintes, en
jouant sur le temps alloué pour chacune des situations proposées. Certains sujets bénéficiaient
d'une aide, d'autres pas. La performance des sujets devenait ici le pourcentage de réponses
correctes. Cette série d'expériences a permis de mettre en évidence les relations existant entre la
performance et l'urgence de la situation : sans contrainte de délai de réponse, les sujets
adoptaient la stratégie consistant à réduire le domaine d'observation par des éliminations
successives. Par ailleurs, la contrainte de délai de réponse a favorisé la recherche à partir d'un
nœud ayant été déclaré en défaut, en recherchant la source du défaut sur les nœuds amont. Elles
ont également mis en évidence l'effet d'accoutumance des sujets face aux situations proposées
(le taux d'échecs diminuant sensiblement au cours des diverses séries de test).

Ces expériences ont permis de mettre en évidence quelques facteurs de performance, mais les
conditions dans lesquelles elles se sont déroulées ne sont pas celles auxquelles l'opérateur est
soumis : les expériences ont été effectuées en laboratoire sur cas d'école. En situation réelle de
travail, il faut tenir compte de facteurs difficilement quantifiables du type : état physiologique,
degré de motivation, niveau de compétence, qui induisent une certaine variabilité des
performances humaines.

I.3.4.2 Essai de schématisation

La performance dépend certes de facteurs internes et externes multiples, des exigences de la

tâche, de la charge de travail ainsi que des nuisances. La figure I.2 propose une schématisation
sous la forme de facteurs affectés de poids supposés variables dans le temps et disposés sur une
balance: d'un côté, sont rassemblés les efforts engagés-par l'opérateur, et de l'autre les
exigences de la tâche.

Deux cas de figure peuvent se présenter: l'opérateur s'investit au moins à hauteur du niveau requis
par la tâche (cela se traduit par un rapport efforts / exigences supérieur à 1), l'opérateur investit
Variabilité de l'opérateur 15

moins d'efforts que la tâche n'en requiert (le rapport exigences / efforts est supérieur à 1). Ce
deuxième cas traduit un niveau insuffisant de vigilance (rythmes physiologiques) ou une
défaillance de l'opérateur due à une surcharge cognitive ou à l'inadéquation de la tâche avec
l'état de l'opérateur. Pour l'opérateur, la difficulté est de trouver le bon équilibre entre
exigences et efforts à engager : s'il effectue une tâche en s'engageant davantage que la tâche ne
le requiert, cela peut entraîner une fatigue prématurée, d'où le risque de réduction de la capacité
de l'opérateur. D'un autre côté, si les efforts engagés par l'opérateur sont insuffisants vis-à-vis de
la tâche, cela n'entraîne pas nécessairement une sanction en termes de performances de
production.

Réponse optimale

Rapport Rapport
efforts/exigences exigences/efforts
supérieur à 1 supérieur à 1

iffQRTS ENGAC£S PAR c «.

VOKRATEUR PQVR fONCTIONNEUES
ACCOMPLIR LA TACHE 01 LA TACHE

Figure 1.2 : La fiabilité comme adéquation entre niveau requis et efforts engagés.

Ainsi, la performance ne fait pas seulement intervenir des facteurs internes à l'opérateur, elle fait
également intervenir les facteurs externes liés à la tâche à réaliser et aux conditions
environnementales ; c'est pourquoi la notion de couple opérateur-tâche a été introduite [HOC
87] [NEBOIT 90a].

Les ergonomes assimilent cette notion de couple opérateur - tâche à celle de distance entre la
tâche prescrite et sa traduction en actions opérationnelles. Norman a ainsi été amené à introduire
les notions de distance d'évaluation et de distance d'exécution [NORMA 84]. Selon lui, la
distance d'évaluation est l'effort que l'opérateur doit fournir pour mettre en correspondance la
perception de la tâche (la tâche telle qu'elle est formulée), et une représentation mentale de
cette même tâche (compréhension) ; la distance d'exécution est l'effort engagé pour faire
correspondre la représentation mentale de la tâche (définition d'objectifs) et l'image externe de
cette tâche (traduction en actions opérationnelles).

Cette notion de distance entre tâche prescrite et activité réelle peut être source de biais à
chaque étape cognitive : réception -> interprétation -> traduction -> mise sous forme
opérationnelle. La notion de distance traduit également le besoin de définir une grandeur
permettant de quantifier la facilité avec laquelle une tâche est interprétée et traduite en actions
opérationnelles. Il s'agit, du point de vue de l'ergonome, de définir les conditions de plus
grande performance d'un opérateur face à une tâche à réaliser et, du point de vue du fiabiliste,
de définir les conditions d'apparition d'erreurs ou de défaillances dans l'exécution d'une
:
tâche en vue de les éviter.
16 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

Nous avons choisi d'aborder la performance opérateur sous le second angle de vue, celui du
fiabiliste ; l'opérateur est considéré comme une composante susceptible de défaillances. Par
extension à la fiabilité technique, la fiabilité humaine est définie comme "l'aptitude d'un
opérateur humain à accomplir une mission requise, dans des conditions données, pendant une
durée donnée" [VILLEM 88]. L'opérateur est donc considéré comme un système susceptible de
défaillances, mais à la différence des systèmes techniques, il est capable de récupérer ses
défaillances ; on parlera d'erreur plutôt que de défaillance.
L'erreur humaine 17

1.4 L'ERREUR HUMAINE

L'erreur est plus particulièrement l'objet d'étude de la fiabilité humaine, préoccupation qui
remonte aux années soixante et qui visait à déterminer les risques liés aux erreurs humaines dans
des activités telles que la supervision des installations industrielles. La fiabilité humaine est à
présent devenue la science des défaillances humaines [VILLEM 88], dont l'objet est de prédire
et de prévenir l'erreur humaine dans le but d'optimiser la fiabilité globale et la productivité.

Aborder l'étude de l'erreur humaine s'avère délicat, car l'analyse de l'erreur peut conduire à des
interprétations divergentes selon que l'on considère les écarts par rapport à la tâche telle que la
définit le prescripteur, par rapport à la tâche telle que la redéfinit l'opérateur, ou encore par
rapport à l'activité réelle de l'opérateur [CELLIER 90]. En effet, l'écart à la prescription n'est pas
nécessairement à interpréter en terme d'erreur, à forte connotation négative ; elle peut être
également bénéfique pour le processus, par la capacité de l'opérateur à produire des
comportements qui favorisent une "récupération innovante mais efficace" [POYET 90]. Par
ailleurs, l'erreur humaine ne peut être réduite à une activité individuelle isolée, elle est la
combinaison de facteurs à la fois internes et externes (conditions techniques et sociologiques,
contexte).

La fiabilité humaine, en tant que discipline de l'ergonomie, s'intéresse aux conditions

d'apparition de l'erreur et aux moyens de les prévenir; la psychologie cognitive s'intéresse plus
particulièrement aux mécanismes cognitifs de l'erreur. La première discipline s'intéresse
davantage à des indices, des traces de l'erreur ainsi qu'aux moyens d'y remédier, tandis que la
seconde vise à en comprendre et expliquer la genèse.

Une des premières tentatives de classification des erreurs humaines date du début des années
80 [RASMU 81]. Depuis, plusieurs typologies ont été proposées, nous en passerons trois en revue :
celle de Reason en psychologie cognitive, celle de Nicolet en ergonomie et celle de de Keyser
en psychologie du travail. Nous pensons qu'elles sont suffisamment représentatives, chacune
dans un domaine particulier, pour être l'objet d'une étude comparative.

1.4.1 La typologie de Reason

Reason a introduit un système générique de modélisation de l'erreur (GEMS pour Generic Error-
Modelling System), qui s'inspire du modèle de raisonnement de Rasmussen (se référer à l'annexe I
qui détaille ce modèle) ; ce dernier distingue fondamentalement trois types de comportements
cognitifs [REASON 93] : le comportement basé sur les automatismes (SB), le comportement basé
sur les règles (RB) et le comportement basé sur les connaissances déclaratives (KB).

Ce modèle est général, c'est-à-dire que Reason s'intéresse à l'explication psychologique de

l'apparition de l'erreur. Ce modèle est donc applicable à l'ensemble des activités humaines, y
compris la supervision des processus industriels.

L'hypothèse fondamentale dans le modèle GEMS est que le comportement SB est celui qui est
prioritairement sollicité dans une tâche, puis le comportement RB dès la détection d'un
problème dans l'exécution, puis le comportement KB si le problème n'est toujours pas résolu
(figure 1.3). Cette, typologie de comportements sert de base à la typologie d'erreurs de Reason :
les erreurs associées au comportement SB sont dues à des actions non conscientes (les lapsus et
les ratés), tandis que les erreurs associées aux comportements RB et KB sont dues à des actions
délibérées (les fautes). Par analogie avec la fiabilité technique, Reason parle de modes de
18 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

défaillance qui donne les indices observables par lesquels une erreur est décelée. Chacun de ces
modes de défaillance a une ou plusieurs causes à caractère psychologique.

• .' =' - • '•'!'. '.: :~>>' -,

'Actions routinières SB
v- rK^^k- V V- '

Problème
Problème résolu

Y
1 Application de
Al
ègles stockées
RB

Problème non Diagnostic et

familier définition d'un plan
d'action
Utilisation des
connaissances KB
déclaratives

Figure 1.3 : Schéma de principe du modèle CEMS.

Les modes de défaillance recensées par Reason du type SB sont l'inattention et l'attention
excessive. Pour l'inattention, les causes sont :
• une perturbation ou une interruption dans le sequencement d'actions en cours qui favorise
les oublis,
• une "intentionnalité réduite", c'est-à-dire qu'un délai entre la formation d'une intention et
son exécution effective peut conduire à oublier l'objectif de la séquence d'action en cours,
• une "confusion perceptive", qui traduit l'idée que des caractéristiques peuvent être perçues
de façon très grossière quand celles-ci sont devenues familières (l'effort impliqué dans la
reconnaissance est minimale); des caractéristiques approximativement similaires d'une
action peuvent ainsi conduire à faire exécuter une action non souhaitée.

Dans le cas d'une attention excessive, la vérification à contre-temps peut conduire à perturber
l'action en cours par l'attention qui se fixe sur un point particulier, alors que cela n'est pas
prévu ; cela survient pour les tâches fortement automatisées et peut conduire à des difficultés de
repositionnement par rapport à la tâche en cours.
L'erreur humaine 19

Type de
Modes de défaillance Causes psychologiques
comportement

Attention excessive Vérification à contretemps

SB Perturbation
Inattention Intentionalité réduite
Confusion perceptive

Tableau 1.2 : Erreurs au niveau SB.

Les modes de défaillances pour le comportement RB sont une application erronée de bonnes
règles et l'application de mauvaises règles (Selon Reason, "une bonne règle est celle qui s'est
révélée utile dans une situation particulière").

L'application erronée de bonnes règles a pour causes :

• une "règle forte mais fausse", lorsque le sujet est face à une situation non reconnue et
qu'il applique une règle qui s'est jusqu'ici avérée utile faute d'en avoir une adaptée,
• une situation peut être ambiguë, c'est-à-dire perçue à travers des "signes" et des "contre-
signes" ; certaines caractéristiques peuvent confirmer une règle alors que d'autres peuvent
venir la contredire, il peut également arriver que ces contre-signes soient rejetés car ne
correspondent pas à l'image que se fait le sujet,
• une capacité de traitement limitée, qui implique que l'ensemble des informations
disponibles, qui peuvent conduire à se faire une représentation complète de la situation, ne
sont pas toutes traitées,
• une compétition entre règles, qui indique une préférence pour certains signes au détriment
d'autres; plus une règle est forte, plus elle aura tendance à être considérée comme la plus
vraisemblable,
• un "conservatisme cognitif", qui conduit le sujet à ne pas changer les règles qu'il a établies
au profit de règles plus élégantes et plus simples.

L'application de mauvaises règles a pour causes :

• une représentation partielle de l'espace-problème, qui conduit à des actions sur certains
aspects et à négliger les autres (exemple du conducteur débutant qui éprouve des difficultés
à contrôler la direction et le passage de vitesses).
• une représentation incorrecte de l'espace-problème, c'est-à-dire une représentation
simpliste des propriétés physiques du monde,
• de mauvaises habitudes, qui consistent à employer des règles erronées (erreur de calculs
faits par des enfants), maladroites, inélégantes ou déconseillées (violation consciente de
règles de sécurité) pour atteindre un objectif ; ces règles peuvent avoir certains avantages
mais sont potentiellement dangereuses
• une confiance excessive en ses capacités : le sujet ne respecte pas certaines consignes, de
sécurité notamment, car il est convaincu qu'il aura toujours suffisamment de temps pour faire-
face aux situations redoutées le cas échéant (c'est le cas de l'automobiliste qui ne respecte
pas les distances de sécurité recommandées sur autoroute).
20 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

Type de
Modes de défaillance Causes psychologiques
comportement

Règles fortes mais fausses

Ambiguïté des situations [

Mauvaise application
Capacité limitée de traitement
de règles correctes

RB Compétition entre règles

• "Conservatisme cognitif"

Représentation partielle de l'espace-problème

Représentation incorrecte de l'espace-problème
Application de
mauvaises règles Mauvaises habitudes

Règles déconseillées

Tableau 1.3 : Erreurs au niveau RB.

Les défaillances du niveau KB se produisent quand le sujet met en œuvre son attention sur un
problème qui n'a pu être résolu au niveau RB.

Les modes de défaillance peuvent être :

• une récapitulation biaisée, ou "illusion du pointage", qui indique que le plan d'action est
évalué par rapport à certains aspects de la situation et non de manière systématique et
rigoureuse sur l'ensemble des données disponibles,
• une résistance au changement, qui indique qu'un plan d'action initialement établi est
maintenu malgré les nouvelles données qui indiquent que l'objectif poursuivi n'est pas
accessible de cette façon,
• une limitation de l'espace de travail, ou principe du "premier entré/ premier sorti" selon
lequel l'interprétation des caractéristiques du problème est réalisée par rapport à un modèle
mental (la charge de travail est différente selon la façon dont le problème est posé),
• "hors de la vue, hors de l'esprit", ou "heuristique d'accessibilité", selon laquelle la
priorité est donnée aux faits qui viennent facilement à l'esprit,
• une difficulté à maîtriser la complexité, qui est liée à :
* une perception limitée des aspects temporels, c'est-à-dire une mauvaise maîtrise des
processus à long délai de réponse (les actions sont alors réactives, c'est-à-dire dirigées par
les données, plutôt qu'anticipatives),
*une difficulté à traiter les évolutions exponentielles, c'est-à-dire qu'il y a sous-estimation
systématique de l'importance de certains phénomènes,
* une forte tendance à raisonner selon des séquences linéaires, c'est-à-dire que les effets des
actions ne sont pas considérés sur l'ensemble du processus,
* un "vagabondage thématique et enkystement", qui apparaissent dès qu'un problème ne
trouve pas de solution; le vagabondage est le passage d'un aspect à un autre sans
démarche précise, l'enkystement est une focalisation excessive sur un aspect particulier du
problème (De Keyser emploie le terme de fixation [DE KEYS 90a],
L'erreur humaine 21

• un biais de confirmation, qui correspond à un phénomène de rejet d'ambiguïté, c'est-à-dire

qu'une préférence est accordée aux interprétations disponibles malgré l'arrivée
d'informations qui viennent la remettre en question,
• une difficulté à se représenter la causalité, en raison d'une simplification excessive des
phénomènes causaux, qui conduit à juger sur des critères de similarité avec des cas antérieurs,
donc à ne pas considérer l'ensemble des cas possibles,
• u n e difficulté à diagnostiquer, directement liée à la conduite de raisonnement; l'erreur
peut provenir d'une imbrication néfaste entre assimilation des symptômes et génération des
scénarii qui ont pu conduire aux symptômes observés,
• une mauvaise sélectivité, qui indique que trop d'attention est accordée à des
caractéristiques non pertinentes, c'est-à-dire que l'attention est absorbée par des aspects
psychologiquement attirants.

Type de
Modes de défaillance Causes psychologiques
comportement

Récapitulation biaisée "Illusion du pointage"

Résistance au changement Résistance au changement

Limitation de l'espace
Principe du "premier entré/ premier sorti"
de travail

Hors de la vue, hors

de l'esprit "Heuristique d'accessibilité"

Perception des aspects temporels limitée

KB
Difficulté à traiter les "évolutions exponentielles"
Difficultés avec
la complexité
Forte tendance à raisonner selon des séquences linéaires

Vagabondage thématique et enkystement

Biais de confirmation Rejet d'ambiguité

Difficultés avec Simplification excessive de la causalité

la causalité

Difficultés de diagnostic Conduite de raisonnement

Sélectivité Attention du sujet

Tableau 1.4 : Erreurs au niveau KB.

22 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

Selon Reason, deux types d'erreurs peuvent être envisagés :

• les erreurs actives concernent directement l'activité des opérateurs, elles présentent la
caractéristique d'être récupérables, en ce sens que l'opérateur peut parvenir à corriger ses
erreurs avant que leur effet ne se fasse sentir,
• les erreurs latentes sont par exemple les erreurs de conception du processus ; leur
caractéristique est donc leur permanence. Ce sont des défauts insidieux dont on peut
difficilement quantifier l'impact

Les expériences menées en psychologie montrent que l'erreur active est présente dans tous les
aspects de l'activité humaine (posture, parole, actions, résolution de problème). Des travaux
expérimentaux ont également montré que la grande majorité des erreurs sont corrigées avant leur
effet sur le processus. Reason cite trois modes de détection de l'erreur : par un écart entre
l'intention et le résultat observé (analogie avec la boucle de rétroaction en automatique),
blocage des actions par les automatismes (ce sont généralement les sécurités mises en place
en conception), et la détection par un tiers (contre-maître).

Selon Reason, la non détection est susceptible de conduire à des conséquences graves, et l'étude
des accidents du type Three Mile Island ont permis de montrer que certains processus cognitifs
sont plus particulièrement responsables de la non détection d'erreurs par l'opérateur.

Les travaux expérimentaux relatés par Reason ont un caractère expérimental fort, puisque les
résultats ont été obtenus dans des conditions et des contextes différents de ceux rencontrés en
salle de conduite, et les conclusions tirées n'ont pas une portée générale. Cependant, le résultat
qu'il faut en tirer est le suivant : vouloir réduire les erreurs humaines est illusoire, il faut
plutôt s'attacher à se prémunir contre les conséquences possibles d'erreurs difficilement
corrigées par les opérateurs, sans l'intervention externe d'un contre-maître.

1.4.2 La typologie de Nicolet

Nicolet propose une typologie basée sur une approche ergonomique de l'erreur, et établie à partir
des étapes d'une tâche ; avec ce découpage, l'auteur distingue sept types d'erreur [NICOL 88] :
• les erreurs de perception ont des causes multiples, par exemple l'information n'est pas
correctement perçue, le signal est fugitif et l'opérateur n'a pas le temps de le percevoir ou de
le mémoriser, l'information est masquée par un écran, l'information est noyée au milieu d'un
grand nombre d'autres, etc.,
• les erreurs de décodage relèvent d'une mauvaise interprétation des indices sensoriels,
• le non respect d'une procédure est un acte conscient qui peut ne pas se révéler néfaste
pour le bon fonctionnement du processus, mais il est le signe de mauvaises habitudes de la
part des opérateurs,
• les erreurs de communication interviennent lors de l'échange d'informations entre
agents ; une information peut être mal transmise ou mal comprise par l'opérateur qui reçoit,
• les décisions peuvent ne pas être prises en temps voulu : une fois le diagnostic établi,
l'opérateur repousse la décision en attendant un complément d'information,
• les actions mal dosées ou mal adaptées relèvent d'une réalisation incorrecte d'une action
requise, du non-accomplissement d'une action nécessaire, de l'exécution d'une action
impromptue (non prévue dans la séquence en cours), de l'inversion de l'ordre d'exécution de
deux actions, : -
• les erreurs de représentation ou de modèle traduisent les écarts qui peuvent exister entre
les certitudes de l'opérateur et la situation réelle.
L'erreur humaine 23

\.43 La typologie de de Keyser

De Keyser propose une approche davantage orientée psychologie du travail. L'auteur distingue
quatre grandes classes d'erreurs : erreurs d'évaluation, de coordination, d'intégration et de
planification [DE KEYS 90b].

Les erreurs d'évaluation sont de trois types :

• les erreurs de filtrage 3 correspondent à des informations que l'opérateur ne prend pas en
compte, par exemple un changement, car il se fonde davantage sur une faible probabilité de
dérèglement d'un paramètre et ne le consulte pas, ou car il néglige de l'information,
• les erreurs dues à une carence ergonomique traduisent les situations mal perçues car
l'opérateur n'a pas les moyens d'évaluer l'apparition ni la durée d'un événement, il n'existe
pas de vue synoptique des événements du système,
• les erreurs de mode résultent d'une mauvaise mise en correspondance de quatre modes
d'appréhension du temps par l'opérateur : intériorisation des événements réguliers, mode
logique (mise en correspondance d'événements et de séquences d'action), mode causal
(événements produits par le processus) et mode de l'horloge (les délais et contraintes de
production). Pour une description détaillée des modes, se reporter en annexe I.

Les erreurs de coordination dans l'équipe de conduite sont dues, par exemple, à une charge de
travail trop importante (qui peut entraîner des délais et oublis de transmission d'informations),
à une mauvaise évaluation temporelle (mauvaise connaissance de l'état général du système), à
une difficulté de joindre les personnes à contacter, ou bien à des facteurs psychologiques ou
organisationnels (par exemple rétention d'information et conflits).

Les erreurs d'intégration concernent spécifiquement les décisions d'actions d'ajustement des
actions de l'équipe en fonction de retards ou d'avances au niveau de la production. Elles se
caractérisent par une évaluation correcte de la situation mais à une erreur dans la prise de
décision, par la difficulté de l'opérateur à suivre les différents événements qui constituent le
processus, ou encore par des difficultés à intégrer les actions de l'équipe avec les événements du
processus.

Enfin, les erreurs de planification apparaissent lorsqu'un écart trop important entre
déroulement temporel prévu et déroulement actuel requiert de la part de l'opérateur, seul ou en
accord avec sa hiérarchie, la prise de décisions bouleversant la planification initiale. Ces
décisions portent généralement sur des modifications de l'ordre des événements ou de leur durée.
Elles sont caractérisées par une mauvaise évaluation de l'état temporel du système, une mauvaise
connaissance des contraintes fixes et des zones de flexibilité, et une mauvaise connaissance des
liens de causalité entre événements ou actions.

1.4.4 Caractéristiques de ces typologies

Les typologies de Nicolet et de de Keyser sont orientées supervision de processus de fabrication.
Celle de de Keyser est principalement centrée sur la description des erreurs cognitives
(évaluation, intégration, planification), alors que celle de Nicolet décrit plus spécifiquement

3
Toute l'information de l'environnement de travail n'est pas prise en compte par l'opérateur, et il ne retient
que ce qui est important pour lui. L'erreur provient du fait qu'il néglige certaines informations au^ profit
d'autres qu'il considère relever davantage de l'état de marche du système.
24 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

les erreurs commises au niveau des étapes d'une tâche (perception, décodage, représentation,
décision, définition de procédures, action, communication). La typologie de Reason s'intéresse
plus particulièrement aux mécanismes de production de l'erreur et propose une explication
psychologique à leur occurrence ; elle a une portée plus générale que les deux premières, car elle
n'est pas spécifique à la supervision.

Ces typologies répondent, en fait, à des objectifs spécifiques :

• pour Nicolet, il s'agit d'avoir une typologie utilisable par l'ergonome, c'est-à-dire qui mette
l'accent sur les traces de l'erreur, de façon à permettre de proposer des solutions
ergonomiques,
• pour de Keyser, la typologie d'erreurs doit prendre en compte la dimension temporelle de
l'activité de supervision,
• pour Reason, il s'agit de recenser les causes psychologiques des erreurs commises, en
supervision de processus industriel comme dans les situations de la vie quotidienne.

Le paragraphe qui suit est consacré à l'évaluation de ces typologies en regard des activités
demandées à l'opérateur : quelle est celle qui tient compte de l'ensemble des activités humaines
en supervision de processus ?
Une classification des erreurs 25

1.5 UNE CLASSIFICATION DES ERREURS

Notre objectif est d'avoir une typologie qui prenne en compte l'ensemble des activités
demandées à l'opérateur : exécution de procédures, ajustement des paramètres de
fonctionnement, adaptation du fonctionnement (en fonction des pannes par exemple),
anticipation des actions sur le processus (prévision des évolutions du processus et planification
des actions en conséquence) et collaboration (l'opérateur doit coordonner son activité avec
celle des autres membres de l'équipe). Qu'en est-il effectivement pour les typologies évoquées ?

Dans un premier temps, nous mettrons en évidence les liens entre les typologies de Nicolet et de
de Keyser, puis nous envisagerons la typologie de Reason comme explication possible des erreurs
recensées dans les deux premières typologies.

1.5.1 Les typologies de Nicolet et de de Keyser

Nous proposons de ranger les divers types d'erreur selon l'activité à laquelle ils correspondent le
mieux :
• exécution : Nicolet recense les erreurs issues d'actions mal dosées et du non respect d'une
procédure,
• ajustement : Nicolet recense les erreurs de perception, de décodage et de représentation,
d'erreur due à une carence ergonomique, tandis que de Keyser introduit les notions d'erreur de
mode et de filtrage,
• a d a p t a t i o n : de Keyser indique que les erreurs pouvant survenir ici sont dues à
l'impossibilité de suivre le processus selon un mode causal, ainsi que la mauvaise
adéquation entre actions humaines et contraintes temporelles,
• anticipation : Nicolet recense les décisions non prises en temps voulu, de Keyser parle
d'erreur dans la sélection de but ou de tâche, ou encore de la décision de changer l'ordre des
événements et leur durée qui est prise de façon trop tardive ou de façon impromptue,
• collaboration : Nicolet parle ici d'erreur due à une mauvaise communication, de Keyser
d'oublis et de délais de transmission de l'information.

Ces typologies peuvent être considérées comme complémentaires, et nous proposons de les
regrouper en une seule typologie d'erreurs, basée sur la mise en correspondance des activités
humaines de supervision avec les typologies de Nicolet et de de Keyser :
• l'opérateur exécute des procédures ; il peut commettre des erreurs d'exécution,
• il ajuste les paramètres de fonctionnement ; il peut commettre des erreurs d'évaluation,
• il adapte le processus en fonction de contraintes de production ; il commet des erreurs
d'intégration,
• il anticipe les actions à envisager; il commet des erreurs de planification,
• il participe à un objectif commun ; il commet des erreurs de coordination.

Cette typologie n'a évidemment pas la portée d'une théorie ni l'assise d'une démonstration
expérimentale, elle est seulement fondée sur l'hypothèse selon laquelle certaines erreurs
surviennent préférentiellement au niveau d'une classe d'activité humaine.
26 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

Nous avons, par ailleurs, choisi de regrouper les activités de l'opérateur selon les trois
dimensions suivantes :
• la dimension collective ou sociale, qui tient compte des erreurs dues à des problèmes de
coordination entre opérateurs.
• la dimension cognitive, qui regroupe les aspects ajustement, adaptation et anticipation. Les
erreurs commises dans cette dimension sont rangées en erreurs d'évaluation (mauvaise
interprétation des observations), erreurs d'intégration (interprétation correcte mais
décision erronée) et erreurs de planification (mauvaise anticipation des évolutions et
mauvais choix de la stratégie de conduite),
• la dimension opératoire, qui tient compte des actions, des procédures, des tâches réalisées.
Les erreurs qui peuvent être commises ici relèvent spécifiquement d'une mauvaise exécution
des séquences d'actions,

II est à noter que parmi ces trois dimensions, seule la dimension cognitive échappe à
l'observation directe. Une synthèse est présentée dans le tableau 1.5.

Niveaux de perception de Typologie et origine des erreurs

Dimensions
l'intervention humaine
Erreurs de coordination
Mauvaise communication (Nicolet)
collective L'opérateur participe à un objectif
commun Oublis et délais de transmission de l'information
(Keyser)

Erreurs de planification
Décision non prise en temps voulu (Nicolet)
L'opérateur anticipe les changements Erreur dans la sélection de but, de cible ou de tâche
de stratégie de fonctionnement (de Keyser)
Décision de changer l'ordre des événements et leur
durée trop tardive ou de façon impromptue (de
Keyser)
Erreurs d'intégration (de Keyser )
Impossibilité pour l'opérateur de suivre le processus
cognitive L'opérateur adapte le fonctionnement du selon un mode causal
processus Mauvaise adéquation entre actions et contraintes
temporelles
Erreurs d'évaluation
Erreur de perception (Nicolet)
Erreur de décodage (Nicolet)
L'opérateur ajuste les paramètres de Erreur de représentation (Nicolet)
fonctionnement
Erreur de mode (de Keyser)
Erreurs dues à une carence ergonomique (Nicolet)
Erreur de filtrage (de Keyser)
Erreurs d'exécution (Nicolet)
I opératoire L'opérateur exécute des procédures Non respect d'une procédure ou d'un règlement

Action mal dosée

Tableau 1.5 : Dimensions de l'activité, niveaux de perception de l'intervention humaine et erreurs.

En 1964, Berliner et al. ont proposé un découpage similaire de l'activité humaine [BERLI 64]
(repris par [MILLO 88]). Quatre classes d'activités principales étaient alors considérées : activité
de perception, activité mentale, activité de communication et activité motrice. Une
comparaison avec la classification que nous proposons ^montre que les deux premiers aspects
évoqués par Berliner et al. sont pris en compte en dimension cognitive, l'activité de
Une classification des erreurs 27

communication est englobée dans la dimension collective et enfin les activités motrices
correspondent à la dimension opératoire.
28 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

1.5.2 Liens avec la typologie de Reason

Cette typologie d'erreurs résultante est désormais considérée comme notre hypothèse de travail.
Nous proposons de considérer les liens qui peuvent exister entre cette typologie, qui a un
caractère descriptif, avec la typologie proposée par Reason, qui a une portée plus générale, et
se veut avant tout explicative (tableau 1.6) :
• le comportement basé sur les automatismes ne fait pas intervenir le raisonnement
conscient et s'adresse donc directement à la dimension opératoire de l'activité humaine (il
y a un rapport entre erreurs de type SB de Reason avec les erreurs d'exécution),
• le comportement basé sur les règles est basé sur l'évaluation et la reconnaissance de la
situation, puis par l'exécution de procédures ; les erreurs dans ce type de comportement, font
donc référence aux erreurs d'exécution et aux erreurs d'évaluation,
• le comportement basé sur les connaissances déclaratives fait intervenir un
raisonnement conscient de résolution de problème ; il s'adresse donc directement à la
dimension cognitive de l'opérateur (erreurs d'évaluation, d'adaptation et de planification),
• la dimension collective du travail n'est pas prise en compte dans la typologie de Reason,
qui s'est restreint à l'étude des aspects cognitifs et individuels,

Type de Typologie d'erreurs

Modes de défaillance

Récapitulation biaisée

Erreurs de coordination
Résistance au changement

Limitation de l'espace de travail

Hors de la vue, hors de l'esprit Erreurs de planification

Difficultés avec la complexité

Biais de confirmation
Erreurs d'intégration

Difficultés avec la causalité

Difficultés de diagnostic

Sélectivité Erreurs d'évaluation

Mauvaise application de
règles correctes
RB
Application de mauvaises
règles
Erreurs d'exécution

Attention excessive
SB
Inattention

Typologie issue de
Typologie de Reason Nicolet et de Keyser

Tableau 1.6 : Liens entre les trois typologies d'erreurs.

Une classification des erreurs 29

Nous utiliserons donc la typologie élaborée à partir des typologies de Nicolet et de de Keyser,
mais nous aurons présent à l'esprit que les causes d'erreur peuvent être multiples.

L'analyse de ces trois typologies d'erreurs étant effectuée, nous pouvons maintenant dégager une
vision synthétique de l'activité de l'opérateur.
30 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

1.6 UNE VISION SYNTHETIQUE DE L'ACTIVITE OPERATEUR

Parallèlement à l'étude des mécanismes de l'erreur, la psychologie cognitive s'est intéressée à la
modélisation de l'opérateur. De nombreux travaux de recherche ont été et sont encore menés dans
le but de comprendre les mécanismes de raisonnement humain. La question à laquelle il nous faut
apporter des éléments de réponse est la suivante : les modèles de l'opérateur constituent-ils une
bonne base de travail pour spécifier une aide à l'opérateur ?

Nous envisagerons ensuite de dresser une description synthétique des caractéristiques principales
de l'opérateur, ce qui nous permettra ensuite d'entrevoir les contours d'une méthodologie de
conception d'aides.

1.6.1 Limites des modèles opérateur

Les efforts menés en ergonomie et psychologie cognitives ont mis en lumière certains aspects
fondamentaux liés à la façon dont l'opérateur se représente un processus et raisonne. L'étude des
comportements de l'opérateur, initiée entre autres par Rasmussen, a conduit à considérer deux
catégories de modèles : les modèles de représentation du monde, et les modèles de
raisonnement (se reporter à l'annexe I qui décrit entre-autres les modèles de Rasmussen et
Rouse).

Les travaux de Goodstein, Rasmussen et Rouse s'accordent sur une représentation multi-modèles
(abstractions) et multi-niveaux (de raffinement ou bien d'agrégation), ainsi que sur des
comportements-types sélectionnés en fonction de la situation [GOODS 82] [ROUSE 83] [RASMU
79, 8 1 , 84]. Pour le modèle de Rasmussen, qui est le plus employé, l'opérateur adopte des
comportements routinier, dirigé par des règles ou encore dirigé par les connaissances
déclaratives (résolution de problème), alors que Rouse considère le raisonnement par
reconnaissance de caractéristiques (pattern matching), et le raisonnement basé sur la
topologie du processus (recherche des causes par analyse structurelle). Les différences entre ces
modèles opérateur se situent davantage au niveau des modes de raisonnement : Rasmussen
propose un modèle séquentiel allant de l'observation de données du processus à
l'identification et la planification des actions, tandis que Rouse propose un modèle plus
général qui postule le parallélisme des activités cognitives.

Une première critique est que ces modèles sont essentiellement focalisés sur l'activité cognitive
de l'opérateur. Il est clair que cette dimension n'est pas suffisante pour traiter l'ensemble des
aspects humains mis en jeu dans l'activité humaine : l'opérateur agit sur le processus (tâches
d'exécution), il intervient dans le cadre d'une équipe, d'une organisation. Il est nécessaire de
considérer les dimensions opératoire, cognitive et collective, pour avoir une représentation plus
proche de la réalité.
Une vision synthétique 4e l'activité opérateur 31

Une seconde critique porte sur le caractère séquentiel du modèle de Rasmussen, qui est considéré
comme trop restrictif pour pouvoir prendre en compte l'activité réelle des opérateurs ;
Bainbridge estime nécessaire un changement de concepts pour modéliser, de façon plus
satisfaisante, le comportement humain [BAINB 93]. En effet, les situations complexes auxquelles
doit faire face l'opérateur font davantage appel à des modèles contextuels, car, selon
Bainbridge :
• l'information disponible est généralement mal adaptée à la compréhension de ce qu'il se
passe ; l'opérateur est obligé d'inférer des règles pour interpréter les données qu'il reçoit,
• il est souvent impossible de produire un comportement automatisé ou standard en réponse à
une situation,
• en situation complexe, l'opérateur peut avoir plusieurs buts simultanément (cela implique
une certaine flexibilité et adaptabilité),
• les situations non familières exigent l'adaptation de la charge de travail de l'opérateur, et
la mise en œuvre de méthodes de résolution particulières (consultation d'un expert,
recherche d'une situation similaire dans l'historique de l'installation, combinaison de
plusieurs méthodes en une nouvelle séquence d'actions, et enfin raisonnement à partir de
premiers principes).

Nous nous exposons donc à leurs limites si nous envisageons de définir une aide basée sur eux et
donc à proposer une aide qui risque de se révéler inadaptée. Quel est alors le niveau ou le point
de vue auquel il faut se placer, pour pouvoir appréhender les caractéristiques qui nous
permettrons de comprendre les faiblesses de l'opérateur et, ce faisant, de nous doter des moyens
de décliner une aide? Nous avons choisi d'explorer une voie des erreurs humaines : partant de
principe que l'erreur peut survenir à tous les niveaux de l'activité de l'opérateur (par exemple lors
de l'exécution de procédures ou pendant l'interprétation de données), nous nous proposons de
recenser l'ensemble des types d'erreurs potentiels, de manière à être capables de décliner les
améliorations les mieux indiquées pour chacun des types d'erreur recensés.

1.6.2 Les tâches et la typologie d'erreurs

Les liens entre les erreurs et les tâches confiées aux opérateurs apparaissent à partir du moment où
nous considérons qu'une tâche fait intervenir les trois dimensions humaines : opératoire,
cognitive et collective.

La tâche est alors définie comme un ensemble d'actions conditionnées qui suppose des
interactions particulières entre un (ou plusieurs) opérateur (s) et le processus. Nous utiliserons par
la suite le découpage en quatre types de tâches précédemment introduit : tâches de transition,
tâches de suivi, tâches de détection/diagnostic et tâches de compensation.

Quand l'opérateur prend à sa charge une tâche, il met en application des procédures (dimension
opératoire), il diagnostique une situation et planifie ses actions (dimension cognitive), et
enfin il communique des informations et agit de concert avec les autres membres de l'équipe
(dimension collective). Il nous faut donc voir la tâche comme faisant potentiellement
intervenir l'ensemble de ces dimensions.

Nous ne pensons pas qu'il y ait une seule dimension de l'activité impliquée pour effectuer, par
exemple, une tâche de transition. Il semble, au contraire, que les dimensions impliquées dans
chaque type de tâche dépendent étroitement du processus industriel lui-même (fonctionnement
continu ou batch), de l'organisation de l'équipe de conduite (répartition des rôles entre
opérateurs), etc.
32 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

Prenons l'exemple du Prototype Evolutif de Vitrification. Le PEV est la réplique d'une ligne de
vitrification des déchets de haute activité de l'usine COGEMA La Hague. Il sert de banc de test,
en grandeur réelle, des choix technologiques avant leur mise en œuvre effective. Le procédé est
le suivant : la solution de produits de fission est séchée, calcinée, puis incorporée à du verre en
fusion. Plusieurs heures d'alimentation continue sont nécessaires pour avoir la quantité requise
de verre et pouvoir ensuite le couler dans un conteneur (l'annexe II présente une description
détaillée de cette installation).

Les tâches de transition sont nombreuses puisque le PEV est une installation fonctionnant, en
règle générale, par campagnes d'une semaine ; par ailleurs, le procédé de fabrication implique
une alimentation continue et un produit obtenu de manière discontinue. Ces tâches font
principalement appel aux dimensions opératoire et collective qui nécessitent la coordination
des actions de l'équipe de conduite. Bien entendu, la dimension cognitive intervient mais les
tâches sont bien connues car l'installation fonctionne par campagnes d'une semaine, c'est-à-dire
que les tâches de transition sont très fréquentes.

Les tâches de suivi du processus en régime établi sont reparties sur l'ensemble de l'équipe. Une
grande partie des paramètres surveillés sont rassemblés en salle de conduite, et une ronde est
effectuée à intervalles réguliers pour vérifier le bon fonctionnement des appareils ; le bilan de
suivi est consigné sous forme de bilans matière et énergie, de courbes d'évolution de certains
paramètres importants. Les dimensions qui interviennent de manière prépondérante sont les
dimensions opératoire et collective. Les tâches de suivi sont des tâches de routine du type
vérification horaire des bilans matière et énergie, suivi de la coulée de verre, ajustement des
puissances de chauffe au niveau du pot de fusion.

Les tâches de détection et diagnostic se concentrent essentiellement sur certaines parties du

processus, considérées comme vitales - ce sont d'ailleurs sur celles-ci que des sécurités ont été
disposées. Elles font principalement appel aux dimensions cognitive et collective.

Les tâches de compensation interviennent après le diagnostic d'un défaut ou d'une dérive. Le
plus souvent, l'installation est mise temporairement en position de repli. Ces tâches font appel
aux dimensions opératoire, cognitive et collective.

Le tableau 1.7 indique les importances relatives de chacune des dimensions dans les tâches
humaines de supervision du PEV.
Une vision synthétique de l'activité opérateur 33

Tâches de Tâches de Tâches de Tâches de

Dimensions
compensation diagnostic suivi transition

+++ +++ ++ +++ collective

++ +++ + + cognitive

+++ ++ +++ +++ opératoire

Tableau 1.7 : Tâches et dimensions humaines sollicitées en conduite du PEV.

1.6.3 Relations dimension/erreur/tâche

A partir de cette description, il est aisé d'en déduire les liens entre types de tâches humaines et
types d'erreurs (tableau 1.8).

Tâches de Tâches de Tâches de Tâches de Typologie

Dimensions
compensation diagnostic suivi transition d'erreurs

+++ +++ ++ +++ collective Erreurs de

coordination

Erreurs de
planification

Erreurs
++ +++ + + cognitive d'intégration

Erreurs
d'évaluation

+++ ++ +++ +++ opératoire Erreurs

d'exécution

Tableau 1.8 : Relations entre tâches, dimensions et erreurs.

Ainsi, l'opérateur est considéré comme un système ayant à prendre en charge certains types de
tâches, qu'il réalise en mettant en œuvre plus particulièrement certains types d'activités, elles-
mêmes associées à des types d'erreurs. Cette description ne permet pas d'orienter le choix de
l'aide en fonction des dimensions de l'activité les plus sollicités dans un type de tâche, elle a
seulement pour objet de proposer une cartographie instantanée de la supervision d'un processus
de fabrication.
 34 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

1.7 CONCLUSION
L'opérateur de conduite a un rôle essentiel comme superviseur au sein du processus de
fabrication : il effectue un certain nombre de tâches fortement dépendantes du contexte, donc
difficilement automatisables, qui nécessitent de sa part une activité constante de surveillance
du processus, du système de contrôle-commande ainsi que des capteurs et actionneurs ; il peut être
amené à diagnostiquer un dysfonctionnement qu'il devra compenser en agissant, en retour, sur le
processus. Il est donc considéré comme composante d'adaptation du système de contrôle-
commande, face aux changements de mode de marche, aux perturbations extérieures, et aux
événements nouveaux.

Mais d'un autre côté, ses performances sont sujettes à d'importantes variations, qui peuvent
avoir une incidence sur le processus et remettre en cause la mission qui lui a été confiée. Pour
prendre la mesure de ce risque, il nous faut considérer l'opérateur comme un facteur de risque
par la variabilité de ses performances. Cette variabilité est à l'origine de la défaillance de
l'opérateur (inaptitude à assurer une fonction requise), qui peut conduire à l'erreur humaine ;
la défaillance caractérise un état de fonctionnement, tandis que l'erreur, quant à elle,
caractérise un écart par rapport à une intention (il y a erreur à partir du moment où les
actions effectives ne correspondent pas aux intentions) [REASON 93].

Nous avons passé en revue trois typologies d'erreurs : la typologie de Reason, en psychologie
cognitive, celle de Nicolet en ergonomie, et celle de de Keyser en psychologie du travail. Nous
avons tenté de montrer les relations possibles entre ces trois typologies : la typologie de
Nicolet s'attache plus à décrire les erreurs survenant au cours d'une tâche, de Keyser insiste sur les
aspects temporels de la supervision, qui peuvent conduire l'opérateur à l'erreur ; Reason, quant à
lui, fournit un modèle générique et explicatif de l'erreur, principalement axé sur les aspects
cognitifs de l'activité humaine.

Pour prendre en compte l'ensemble des activités humaines en supervision de processus, nous
avons émis l'hypothèse de la complémentarité des typologies proposées par Nicolet et de Keyser,
et proposé de fondre ces deux typologies en une seule. Cinq types sont ainsi mis en évidence :
• l'opérateur est considéré en tant qu'exécutant, d'où les erreurs d'exécution,
• l'homme est un système capable d'ajustements, d'où les erreurs d'évaluation,
• l'homme est un système capable d'adaptation, d'où les erreurs d'intégration,
• l'homme est un système capable d'anticipation, d'où les erreurs de planification,
• l'homme est capable de participation à un objectif général, d'où les erreurs de
coordination.

La typologie de Reason s'intéresse aux causes psychologiques de l'erreur, qui peuvent ensuite
donner lieu à des erreurs d'exécution, d'ajustement, d'adaptation et de planification. Notre
typologie d'erreur constitue désormais notre support de réflexion puisque les modèles de
raisonnement ne répondent que partiellement à notre besoin de disposer d'une vision globale de
l'activité de l'opérateur.

Dans le chapitre suivant, nous utiliserons cette typologie pour décliner les aides à l'activité de
l'opérateur, en particulier les aides supportées par des systèmes informatiques en salle de :
conduite. *- ; - •• _ *

Le tableau 1.9 fait la synthèse des principaux points évoqués concernant l'erreur entre les
typologies de Nicolet et de Keyser, ainsi que leurs causes au niveau de la typologie de Reason.
 "—""jay
Type de
Modes de défaillance Causes psychologiques
comportement Typologie et origine des erreur*
"Illusion du pointage' : plan d'action évalué par rapport à certains aspects de la situation et non de
Récapitulation blohéc
manière exhaustive et systématique Erreurs de coordination
Confiance excessive : le plan d'action initialement établi est maintenu malgré les nouvelles données qui Intervention en local sans avertir la salle de commande
Résistance au changement
indiquent que l'objectif poursuivi n'est pas accessible de cette façon Oublis et délais de transmission d'informations
Facteurs psychologiques ou organisationnels
Principe du 'premier entré/ premier sorti" : interprétation des caractéristiques du problème en fonction
limitation de l'espace Impossibilité de joindre les personnes à contacter
de travail de son modèle mental (charge de travail cognitive différente selon la manière dont est présenté le
problème) Mauvaise évaluation de l'état temporel du système

Hors de la vue, non "Heuristique d'accessibilité" : priorité accordée aux faits qui viennent le plus facilement à l'esprit
Erreurs de planification
c de l'esprit Mode causal + mode logique + mode horloge

KB Perception limitée des aspects temporels : mauvaise maîtrise des processus à long délai de réponse qui Mode horloge : mauvaise connaissance des contraintes et des
conduit à agir de manière réactive plutôt que de manière anticipative("les actions sont dirigées par les zones de flexibilité (butées temporelles)
données plutôt que par un modèle prédictif")
Erreurs dans la sélection de but, de cible ou de tache
Difficulté a traiter les "évolutions exponentielles" : sous-estimation de l'ampleur d'un phénomène

s Difficultés avec
la complexité
(cas des évolutions catastrophiques)
Forte tendance à raisonner selon des séquences causales linéaires plutôt que de réseaux causaux :
Décisions non prises en temps voulu

non prise en compte des effets des actions sur l'ensemble du processus Erreurs d'intégration
Vagabondage thématique (traitement superficiel de problème) et enkystement (fixation sur un Mode causal + mode logique

Ia Biais de confirmation
point non pertinent)

Rejet d'ambiguïté : préférence accordée à une interprétation disponible malgré l'arrivée d'informations qui
Mauvaise connaissance des effets des actions
Mauvaise adéquation entre actions de l'équipe et évolution
viennent la remettre en question temporelle du processus
to Non possibilité de suivre le processus selon un mode causal,
Difficultés avec Simplification excessive de la causalité : croyance qu'un événement donné puisse avoir une seule cause
donc d'agir juste à temps
la causalité satisfaisante (l'expérience d'événements similaires en accroît la vraisemblance )
•o Erreurs d'évaluation
o. Difficultés de diagnostic
Conduite de raisonnement : imbrication néfaste entre analyse des symptômes de dysfonctionnement et
Mode causal
génération de scénarios d'événements qui les expliquent
«8., Attention du sujet : trop d'attention est accordée à des caractéristiques non pertinentes ou attention
Erreur de filtrage : informations non prises en compte ( fixation
sur des stéréotypes ou des détails considérés pertinents,
to Sélectivité
VI insuffisante sur des points essentiels raccourcis familiers), "patern" familier non reconnu.
' a Erreurs dues à une carence ergonomique
m "Règles fortes mais fausses" : interprétation d'une situation nouvelle en utilisant des règles qui étaient |lncomplétude des systèmes d'Information, mauvais regroupement,
Z jusqu'ici vraies (situations connues), raisonnement par analogie avec des caractéristiques similaires, tout en
signaux erronés
sachant pertinemment qu'il y a des différences notables
Erreurs de mode : interprétation erronée d'événements

I Ambiguïté des situations : interprétation avec des données incomplètes et imprécises (raisonnement sur
des indices, des signes, permettant de se représenter la situation )
Capacité limitée de traitement : les données permettant d'avoir un tableau complet de la situation ne
Interactions entre systèmes non anticipées
] Traitement des informations d'entrée (occurrence et observabilité
Mauvaise application sont pas toutes prises en compte des événements) : information non reçue, mauvaise
a de règles correctes
n interprétation, imprécision
Mémoire : oubli d'actes isolés, alternatives erronées
Compétition entre règles : certains indices sont plus particulièrement considérés au détriment d'autres
ft RB
(effet de l'expérience qui donne plus d'importance aux chemins de causalité vérifiés par le passé) Erreurs dues à une mauvaise évaluation du risque
Alarmes outrepassées
7*.
"Conservatisme cognltif" : maintien des règles qui ont fait leur preuve, plutôt que d'employer des règles
plus élégantes et moins fastidieuses Erreurs d'exécution
Représentation partielle de l'espace-problème : mauvais contrôle du processus lié è l'inexpérience Non respect d'une procédure ou d'un règlement

Représentation incorrecte de l'espace-problème : conception intuitive et fausse des lois qui régissent Erreur de procédure, erreur dans l'exécution d'une tache
Application de les phénomènes physiques Manque de procédures spécifiques d'urgence
mauvaises règles Mauvaises habitudes : règles inélégantes ou maladroites
Utilisation de méthodes proscrites
Règles déconseillées : non respect de certaines consignes (de sécurité par exemple) sachant qu'on pourra

| Attention excessive
de toujours faire face aux situations redoutées le cas échéant

Vérification a contretemps : examen inopportun de la situation pendant l'exécution d'une séquence

d'actions automatiques (oubli de l'objectif initialement poursuivi)

Perturbation : omission de vérification

SB Intentlonallté réduite : perte d'intention due au retard existant entre formulation d'intention et exécution

Confusion perceptive : reconnaissance très approximative de caractéristiques, surtout si celles-ci sont

familières
36 Chapitre I :- Eléments de compréhension du facteur humain en supervision de processus

Références
bibliographiques

[BAINB 93] L. Bainbridge,

The change in concepts needed to account for human behavior in complex
dynamic tasks,
IEEE Conference SMC, Le Touquet, Vol.1, pp 126-131, 1993.

[BERLI 64] C. Berliner, D. Angell, D.J. Shearer,

Behaviors, measures and instruments for performance evaluation in simulated
environments,
Symposium and Workshop on the Quantification of Human Performance,
Albuquerque, New Mexico, August 1964.

[CAVER 91a] J.P. Caverni, C. Bastien,

La psychologie cognitive face à ses enjeux,
Psychologie Cognitive: modèles et méthodes, Eds. PUC, pp. 7-10, 1991.

[CELLIER 90] J.M. Cellier,

L'erreur humaine dans le travail,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 193-209, 1990

[DE KEYS 90a] V. de Keyser, D.D Woods,

Fixation errors in complex systems,
In A. G. Colombo and R. Minsenta (Eds), Advanced Systems Reliability
Modelling, Kluwer Academic Publisher, 1990.

[DE KEYS 90b] V. de Keyser,

Fiabilité humaine et la gestion du temps dans les systèmes complexes,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 85-108, 1990.

[DESPRE 91] F. M. Després,

Automatisation des systèmes de production. Du besoin à l'utilisation,
eds. KIRK, 1991.

[GADBO 90] C. Gadbois,

Dimensions temporelles de l'action et fiabilité des systèmes socio-
techniques,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 159-187, 1990.

[GOODST 82] L.P. Goodstein,

An integrated display set for process operators,
IFAC Congress Analysis, Design and Evaluation of man-machine systems, Baden-
Baden, September 1982.

[HOC 87] J. M. Hoc,

Psychologie cognitive de la planification, ,
Sciences et Technologies de la Connaissance, PUG, 1987.
Références bibliographiques 37

[HOC 91] J.M. Hoc,

L'ergonomie cognitive : un champ pluri-disciplinaire dans les sciences
cognitives,
Les sciences cognitives en débat, Editions du CNRS, Paris, 1991.

[KOUTS 91] H. Kouts,

L'accident de la tranche 2 de la centrale nucléaire de Tree Mile Island,
Conférence Internationale sur les Accidents Nucléaires et le Futur de l'Energie
Nucléaire. Leçons tirées de Tchernobyl, pp. 44-51, 15-17 avril 1991.

[MILLOT 88] P. Millot,

Supervision des Procédés Automatisés et Ergonomie,
Traité des Nouvelles Technologies, Hermès, 1988.

[NEBOIT 90a] M. Neboit, X. Cuny, E. Fadier et M.T. Ho,

Fiabilité humaine : présentation du domaine,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 23-46, 1990.

[NICOL 90] J.L Nicolet,

Outils et démarches pour l'amélioration de la fiabilité des systèmes
complexes,
tes Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 23-46, 1990

[NORMA 84] D.A. Norman,

Stages and levels in human-machine interaction,
Int. J. Man-Machine Studies, 21, pp. 265-375, 1984.

[PHILLI 88] M. D. Phillips, H. S. Bashinski, H. L. Hammermann, C. M. Fligg,

A task analytic approach to dialogue design,
Handbook of Human - Computer Interaction, M. Helander (éd.), Elsevier Science
Publishers B. V. (North Holland), pp 835-857, 1988.

[POYET 90] C Poyet,

L'homme, agent de fiabilité dans les systèmes automatisés,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions
OCTARES Entreprises, pp. 223 240, 1990.

[QUEIN 87] Y. Queinnec et G. de Terssac,

Chronobiological approach of human Errors in complex systems,
RASMUSSEN, DUNCAN, LEPLAT (Eds), New technology and human Error,
Chichester, Wiley and Sons, pp. 223-233, 1987.

[RASMU 79] J. Rasmussen,

On the structure of knowledge - a morphology of mental models in a man-
machine system context,
RIS0-M-2192, UDC 007.51 :62-5 : 65.015.12, Ris0 National Laboratory, DK-
4000 Rokslide, Denmark, 1979.

[RASMU 81] j . Rasmussen, O.M. Pedersen, A. Carnino, M. Griffon, G. Mancini, and P.

Gagnolet,
Classification system for reporting events involving human malfunctions,
EUR 7444 EN (Commission of the European Communities^ Luxembourg), 1981.

[RASMU 84] J. Rasmussen,

Strategies for State Identification and Diagnosis in Supervisory Control
Tasks, and Design of Computer-Based Support Systems, -
Advances in Man - Machine Systems Research, Volume 1, pp. 139-193, 1984.
38 Chapitre I : Eléments de compréhension du facteur humain en supervision de processus

[REASON 93] J. Reason,

L'erreur humaine,
Traduit de l'anglais par f-M. Hoc, Le travail Humain, PUF, 1993.

[ROUSE 78] W.B. Rouse,

Human problem solving performance in a fault diagnosis task,
IEEE Trans. Syst, Man, Cybern., vol. SMC-8, No 4, April 1978.

[ROUSE 83] W.B. Rouse,

Models of human problem solving : detection, diagnosis and compensation
for system failure,
Automatica, Vol. 19 - N°6, pp. 613-625, November 1983.

[VILLEM 88] A. Villemeur,

Sûreté de fonctionnement des systèmes industriels, Fiabilité - Facteurs
humains - Informatisation,
Collection de la Direction des Etudes et Recherches d'Electricité de France,
Editions Eyrolles, 1988.
 39

CHAPITRE II : Les aides à

l'opérateur

La typologie d'erreurs proposée dans le précédent chapitre est le cadre que nous
avons choisi pour définir une classification des améliorations de l'activité de
supervision. Les aides informatisées correspondant à ces améliorations sont
successivement passées en revue.

Les aides au diagnostic sont plus particulièrement détaillées : un cadre

générique du diagnostic est proposé et les critères de choix des techniques à
employer sont passés en revue.

11.1 Introduction 40
11.2 Relations entre erreurs et aides informatisées 41
11.3 Erreurs d'exécution 43
11.4 Erreurs d'évaluation 46
11.5 Erreurs d'intégration 80
11.6 Erreurs de planification 84
11.7 Erreurs de coordination 85
11.8 Conclusion 88

Références bibliographiques . . 90
40 . Chapitre II : les aides à l'opérateur

11.1 INTRODUCTION
Le chapitre précédent a permis de clarifier les concepts de supervision, de surveillance et de
diagnostic : l'opérateur est considéré comme superviseur du processus de production, il met en
oeuvre un certain nombre d'activités dont la surveillance, et il effectue des tâches qui font intervenir
les composantes de diagnostic, de planification, et d'actions sur le processus. On qualifiera ainsi les
aides relativement :
• a u rôle de l'opérateur; on parlera alors d'aide à la supervision dans son acception la plus
générale,
• à une dimension de l'activité ; on parlera, par exemple, d'aide à la décision pour les aides qui
relèvent de la dimension cognitive,
• à une composante de la tâche opérateur; on parlera par exemple d'aide au diagnostic.

Les recherches menées en automatique et en Intelligence Artificielle connaissent, depuis quelques

années, un essor considérable. Face à la multiplicité des solutions proposées dans le domaine de l'aide
à l'opérateur, une vision synthétique et structurée s'impose. C'est, il nous semble, une condition
nécessaire à la définition d'une méthodologie de conception de tels systèmes.

Plusieurs classifications des aides à l'opérateur ont été proposées, la plupart sont basées sur un
modèle de l'opérateur. Un exemple en est la classification proposée par Taborin et étendue par
Kolski, qui est construite autour du modèle de raisonnement de Rasmussen [TABOR 89] [KOLSKI 93] ;
ce modèle constitue, en réalité, l'élément structurant de la classification, mais le risque est que cette
dernière hérite également des limites du modèle (se reporter au chapitre I). Selon nous, un modèle
devrait tenir compte du fait que : l'opérateur exécute des procédures (tâches manuelles), il met en
œuvre des activités cognitives qui le conduisent à ajuster les paramètres, adapter le fonctionnement
du système aux contraintes de l'environnement et anticiper les changements de stratégie de
conduite, et enfin il collabore à la bonne marche du processus dans le cadre du travail en équipe.

Il nous semble que la classification des aides doit être construite en respectant les caractéristiques
suivantes :
• elle doit couvrir l'ensemble des activités humaines impliquées dans la supervision,
• elle doit être générique et surtout indépendante de tout modèle, de façon à être applicable à
l'ensemble des processus automatisés,
• elle ne doit pas être guidée par la capacité du concepteur à mettre en œuvre des fonctionnalités
techniques proposées, mais elle doit plutôt être orientée par les services à assurer de manière à
intégrer, dans une même représentation, les aides proposées par des disciplines comme
l'ergonomie, la psychologie, l'automatique, et l'intelligence artificielle.

C'est la classification que nous nous proposons de décrire dans ce chapitre. Nous déclinons d'abord
les types d'améliorations, avant de passer en revue les types d'aides classés selon les erreurs humaines
qu'elles permettent de réduire. Les aides correspondant aux erreurs d'évaluation feront davantage
l'objet de ce chapitre, car elles ont donné lieu à de nombreuses solutions techniques, en l'occurrence
le système d'aide au diagnostic DIAPASON. Les aides correspondant aux aspects adaptation et
anticipation de l'activité de l'opérateur sont encore peu explorées. Nous envisagerons tout de même
d'en tracer les contours.

Les processus industriels à haut niveau de sûreté sont le champ privilégié d'appHcation des aides à
l'opérateur, c'est pourquoi la plupart des exemples d'applications cités dans ce chapitre en sont issus.
Erreurs et aides informatisées

11.2 RELATIONS ENTRE ERREURS ET AIDES INFORMATISEES

Les dimensions humaines de l'activité et la typologie des erreurs décrites au chapitre I sont le cadre
que nous utilisons pour porter un regard synthétique et structuré sur les améliorations et les aides à
l'opérateur.

Les erreurs d'exécution peuvent avoir des causes multiples, par exemple le non respect de certaines
règles de conduite, auquel cas des mesures visant à supprimer les mauvaises habitudes doivent être
envisagées. Ces erreurs peuvent également être dues à la mauvaise sélection ou réalisation d'une
procédure. Une solution consiste à proposer à l'opérateur des guides d'application de procédures
en situation normale et surtout incidentelle.

Les erreurs d'évaluation pourraient être réduites par des aides destinées à améliorer la représentation
du processus et la perception de sa dynamique. Cela consiste à fournir une information compatible
avec les modes de représentation et de raisonnement par des opérateurs. Il s'agit notamment :
• de concevoir une véritable interface homme-machine de supervision, de manière à présenter à
l'opérateur une information pertinente par rapport à la situation et adaptée à ses modes de
raisonnement,
• de permettre à l'opérateur d'évaluer rapidement une situation et de l'aider à diagnostiquer les
dysfonctionnements, c'est-à-dire fournir une aide au diagnostic.

Les erreurs d'intégration révèlent des écarts entre les adaptations apportées par l'équipe concernant
la marche du système, et les contraintes temporelles de production. Une amélioration consisterait à
proposer aux opérateurs les moyens de s'adapter aux événements du processus et aux changements
de mode de fonctionnement. Un type d'aide envisagé, que nous appelons aide à l'adaptation,
consiste à proposer aux opérateurs de l'information sur la marche à suivre, c'est-à-dire du conseil.

Les erreurs de planification pourraient être levées en fournissant à l'opérateur les moyens de
décider d'une intervention dans les délais imposés par la situation. Il semble que les aides
correspondantes sont celles qui permettraient de fournir des stratégies de conduite, basées sur le
diagnostic de la situation. Ces aides seront dites aides à l'anticipation. Ce type d'aide diffère
notamment de l'aide à l'adaptation par le fait qu'une stratégie implique, de la part du système, qu'il
soit capable d'évaluer une situation en regard des objectifs de production et des contraintes
d'exploitation.

Les erreurs de coordination peuvent être dues à des problèmes de communication, de répartition
des rôles et des tâches, ou à des problèmes d'ordre relationnels, elles concernent de toute façon la
dimension collective du travail. Les améliorations envisageables sont d'augmenter la résolution
collective de problème, de négocier les conflits, et d'instaurer des relations de confiance entre agents.
Le comportement collectif des opérateurs pourrait être assisté par des systèmes favorisant une
meilleure circulation des informations et une meilleure répartition des tâches. Ces aides sont
nommées aide au travail collectif.

La classification des améliorations est décrite dans le tableau 11.1 ; des exemples d'améliorations sont
proposés relativement aux dimensions et erreurs humaines.
42 Chapitre II : les aides à l'opérateur

Typologie et origine
Dimensions des erreurs Ameliorations Aides informatisées
Améliorer la résolution collective de problème
Négocier les conflits
Erreurs de coordination Fournir un résumé du dernier poste pour la Aide au travail collectif
collective
nouvelle équipe postée
Répartir les taches entre les agents
Renforcer le réseau conversationnel
Améliorer la connaissance des opérateurs des
contraintes fixes et des zones de flexibilité
Erreurs de planification Faciliter la réalisation des plans d'action Aide à l'anticipation
Fournir des prédictions concernant les effets et
conséquences des événements et actions
(anticipation des effets de plans d'action)

cognitive Conseiller l'opérateur de sorte à faire coïncider

Erreurs d'intégration Aide à l'adaDtation
mode causal et mode logique

Alerter l'opérateur d'une dérive, un

changement avant que les alarmes ne se
Aide au diagnostic
déclenchent
Erreurs d'évaluation Améliorer la perception, la représentation de
l'état temporel du processus Aide à la représentation
Fournir la possibilité de naviguer è travers
mentale
plusieurs représentations temporelles

Faciliter l'exécution de commandes via l'écran

de contrôle
Aide à l'application des
opératoire Erreurs d'exécution Eliminer les comportements non sûrs procédures
Guider l'application des modes opératoires

Tableau 11.1 : Erreurs humaines, améliorations envisageables et aides informatisées.

Les aides qui viennent d'être déclinées sont passées en revue dans l'ordre suivant: dimension
opératoire, dimension cognitive puis dimension collective. Nous avons choisi de conserver le
découpage selon les erreurs, de manière à rester homogène avec le chapitre précédent.
Erreurs d'exécution 43

11.3 ERREURS D'EXÉCUTION

Les erreurs d'exécution intéressent spécifiquement la dimension opératoire de l'activité d'un
opérateur. Les améliorations envisageables pour contrebalancer ce type d'erreurs sont, par exemple,
d'éliminer les comportements non sûrs, de guider l'application des modes opératoires, et de faciliter
l'exécution de commandes via l'écran de contrôle. La solution classique consiste à analyser les
comportements de l'opérateur pour déceler ceux qui relèvent de comportements non sûrs et à
envisager des solutions pour empêcher que ces comportements ne deviennent des habitudes [MILL
92]. Il existe, par ailleurs, des systèmes informatisés qui fournissent une aide à l'exécution de
procédures, ce sont eux que nous décrirons ici.

En nous restreignant aux tâches effectuées sur un écran de contrôle, les améliorations peuvent porter
sur les interactions homme-ordinateur, c'est-à-dire sur les moyens de mieux informer l'opérateur
tout le long de l'exécution de ses tâches procédurales. Ce type d'aide est d'autant plus important
que l'installation supervisée est complexe et exige un haut niveau de sûreté, comme les centrales
nucléaires, pour lesquelles les opérateurs sont tenus d'appliquer les procédures établies, c'est-à-dire
d'adopter une approche par états. Celle-ci consiste à mettre l'accent sur la gestion des situations
incidentelles : à une situation donnée doit correspondre sa procédure de récupération. Des efforts
importants sont faits pour prévoir les différentes situations de panne et fournir aux opérateurs une
procédure standard pour y répondre. La demande en systèmes d'aide est alors tournée vers la
gestion informatisée des situations incidentelles, afin de faciliter la recherche des procédures de
récupération les plus appropriées. L'aide à la dimension opératoire est basée sur la prévision des
pannes et les moyens que les opérateurs devront mettre en œuvre pour éviter qu'elles ne s'étendent
à l'ensemble du système1.

Ces procédures correspondent chacune à une situation déterminée et une "conduite à tenir" de la
part des opérateurs ; elles peuvent constituer une base d'informations très importante, c'est pourquoi
une aide informatisée est utile car elle doit permettre à l'opérateur d'accéder rapidement aux
informations requises par la situation.

Dans le cadre de la réalisation des tâches à caractère fortement opératoire, Norman propose de
découper la réalisation d'une tâche en quatre étapes successives [NORMA 84] : la formation d'une
intention, la sélection d'actions à effectuer (méthode à employer et sélection du type de
commande), la réalisation et la validation. A notre connaissance, la formation d'une intention et la
validation ne sont pas des directions de recherche très développées pour entrevoir des outils en salle
de conduite, contrairement aux étapes de sélection et de réalisation, qui ont donné lieu à des outils
que nous décrivons brièvement ici.

11.3.1. Aide à la sélection

L'aide à la sélection peut être abordée sous l'angle d'outils de conservation de la mémoire des
actions possibles en fonction du contexte, c'est-à-dire des systèmes capables de proposer à
l'opérateur des moyens de recherche efficace de l'information.

1
Pour accroître la somme d'incidents auxquels les opérateurs pourraient être confrontés, le projet 1RS (Incident
Reporting System) de l'Agence Européenne de l'Energie Atomique (AIEA) vise, depuis les années 80, à proposer
aux partenaires européens les moyens de constituer et de consulter une base de connaissances commune faite
des enseignements tirés par les exploitants des divers pays [TOLSTY 94]. A l'heure actuelle, plus de deux mille^
incidents ont été répertoriés. : .
44 Chapitre II : les aides à l'opérateur

Cela revient à offrir aux opérateurs un moyen de recherche efficace et sûr des modes opératoires à
mettre en application pour les situations qu'ils auront préalablement diagnostiquées. Plusieurs intérêts
sont associés à ce type d'aide : rapidité de la recherche des informations, diminution du stress
quand il s'agit de répondre à une situation que l'opérateur ne maîtrise pas bien, diminution des
erreurs liées à la recherche des procédures à mettre en œuvre dans des situations non familières.

Un exemple d'application est l'approche de conception d'interfaces orientées procédures OFM

(Operator Function Model) [MITCH 86]. Cette approche est fondée sur l'organisation en niveaux de
mise en œuvre : buts à atteindre, sous-buts, tâches à accomplir et procédures. L'approche OFM
conduit à décrire un arbre d'actions à effectuer par l'opérateur et dont la racine est le but global (la
mission), et les feuilles l'ensemble des procédures pouvant être invoquées en fonction du contexte.
Une démarche OFM permet donc d'organiser et de représenter les procédures de routine et de
sécurité (on trouvera une analyse comparée de cette approche dans [VICEN 92]).

Un autre exemple d'application est l'outil COGEMO, actuellement mis en œuvre dans les salles de
conduite de la société COGEMA. Cet outil est un système logiciel de gestion automatisée des
procédures qui regroupe l'ensemble des modes opératoires afin de faciliter la recherche des
procédures de récupération sur détection d'anomalies. Le système est activé sur requête de
l'opérateur, qui a préalablement identifié le défaut.

11.3.2. Aide à la réalisation

L'aide à la réalisation permet d'assister l'opérateur en suivant, pas à pas, l'exécution des procédures
et en vérifiant que chacune des étapes est correctement effectuée. Ce type d'aide suppose un niveau
de dialogue supérieur à l'aide à la sélection puisque l'opérateur doit informer le système dès qu'une
étape est achevée.

Dans le domaine du nucléaire, Green et al. définissent les spécifications générales que devrait remplir
une interface de présentation et de suivi d'exécution de procédures d'urgence [GREEN 94] :
• (1) navigation à travers la base pour faciliter la recherche des procédures à appliquer,
• (2) présentation des procédures selon un format déterminé,
• (3) suivi de réalisation des procédures en-cours, qui permet de conserver une trace au fur et à
mesure du déroulement de la procédure sous forme d'un marquage sur l'écran de contrôle de
chaque étape réalisée ; cela permet de gérer les interruptions et d'en faciliter la reprise,
• (4) proposition d'informations relatives à chaque étape de la procédure,
• (5) affichage des valeurs réelles des paramètres de fonctionnement à surveiller pendant
l'exécution d'actions, pour comparer avec celles qui ont été définies dans les procédures,
• (6) adaptation de procédures en fonction de la situation courante.

Nous ne connaissons pas de système qui remplisse l'ensemble de ces critères, toutefois, EDF et le CEA
ont mené un projet commun qui a abouti à la réalisation d'un système capable de gérer des
procédures opératoires, que l'opérateur peut activer dans le cas d'une situation accidentelle [LE BOT
90]. Le système propose et vérifie les choix de l'opérateur et présente, pas à pas, les actions que ce
dernier devra réaliser. Ce système a d'ailleurs été testé en grandeur réelle.

La plupart des projets évoqués jusqu'ici sont, pour les systèmes les plus avancés, .à l'état de
prototypes. Si les processus à haut niveau de sûreté en sont les premiers secteurs d'application visés, if
est tout à fait envisageable de généraliser l'aide à l'exécution à l'ensemble des autres processus
industriels. Cependant, une difficulté importante à sa mise en œuvre dans des secteurs industriels
moins sensibles que le nucléaire, sera de démarrer et surtout de poursuivre une politique de recueil
des informations concernant le fonctionnement du processus, lé recueil des incidents, même mineurs, "
Erreurs d'exécution .45

l'analyse de leurs causes et les moyens mis en œuvre pour y remédier. En effet, il semble peu
probable qu'une base documentaire rassemblant l'ensemble des situations (normales, incidentelles ou
accidentelles) avec la conduite à tenir pour chacune d'elles, soit déjà existante. Notons que cet aspect
recueil de connaissances fait l'objet du chapitre IV.
46 Chapitre II : les aides à l'opérateur

11.4 ERREURS D'EVALUATION

Les erreurs d'évaluation constituent le premier type d'aide de la dimension cognitive. Elles ont pour
causes une carence ergonomique au niveau des systèmes d'information en salle de conduite, ou une
mauvaise évaluation des risques de la part de l'opérateur. Les améliorations envisageables sont par
exemple la proposition d'une information débarrassée des informations non pertinentes,
l'amélioration de la perception temporelle de l'état du processus, et la détection des
dysfonctionnements afin de permettre à l'opérateur d'intervenir sur le processus de manière précoce
et "sans-à-coup", de préférence avant que les alarmes du système de contrôle-commande n'entrent
en action, et que les systèmes de sécurité ne soient activés.

Nous avons recensé deux solutions complémentaires pour éviter l'apparition de ce type d'erreur :
l'aide à la représentation mentale, et l'aide au diagnostic.

11.4.1. Aide à la représentation mentale

L'aide à la représentation mentale a pour objectif de fournir à l'opérateur les moyens de mieux suivre
les évolutions du processus par une représentation adaptée de l'état du processus et la manière dont
celui-ci évolue. Ce type d'aide intéresse directement l'imagerie présentée aux opérateurs par les
interfaces homme-machine. A ce titre, il faut prendre soin de distinguer les concepts d'interface
homme-ordinateur IHO (HCI pour human computer interface) et d'interface homme-machine IHM
(MMI pour man machine interface). Pour l'IHO, on s'intéresse aux interactions opérateur et
ordinateur au travers d'une boucle d'action du type : perception -> action. GOMS est le modèle
d'interaction le plus célèbre [CARD 83] (d'autres exemples de modèles sont décris dans l'article de
synthèse de [HAAN 91 ]). Une interface homme-machine est l'ensemble des éléments "visibles" d'un
système informatique qui intéressent directement l'opérateur dans le cadre de son travail ; elle porte
sur la représentation du processus dans un ordinateur, la forme que cette représentation devrait avoir
à l'écran pour être correctement perçue, les actions sur le processus et les moyens de leur suivi par
l'opérateur. L'IHM intègre donc les aspects interaction entre l'homme et l'ordinateur, que l'on
retrouve dans les IHO.

La démarche classique consiste à déterminer la meilleure manière de présenter les informations à

l'opérateur. Cette approche bénéficie d'une longue expérience en ergonomie, qui a notamment
permis de mettre en évidence des usages, des dispositions, des formes particulières de présentation
de l'information que les ergonomes ont figé sous forme de normes et de conventions de conception.
Celles-ci concernent :
• les modes de navigation à travers le synoptique du processus, qui peut se matérialiser par la
navigation "verticale" selon différents niveaux de détail, et la navigation "horizontale" sur un
même niveau au travers des différents groupes d'appareils,
• l'organisation de l'écran, en termes de taille de l'écran, d'organisation spatiale des informations,
de format de présentation,
• le codage de l'information sous forme de symboles graphiques, couleurs, contrastes, icônes,
• la densité des informations.

Les recherches actuellement menées dans ce domaîne portent essentiellement sur la conception
d'interfaces conformes aux modes de raisonnement et aux modes de représentation des
opérateurs. En effet, le rôle de l'opérateur a évolué de la conduite d'appareils à la gestion globale du
processus de fabrication ; l'opérateur a pour rôle la supervision du processus industriel à l'aide
d'écrans de contrôle, d'indicateurs logiques et analogiques, le tout rassemblé en salle de conduite.
Erreurs d'évaluation 41

L'opérateur, ayant de moins en moins d'informations directes, devient dépendant des données que
lui fournissent les interfaces. Le problème maintenant posé est que les interfaces commercialisées
n'ont, quant à elles, pas fondamentalement évolué : dans le principe, ce sont les mêmes interfaces
qui servaient à la conduite centralisée qui sont maintenant employées pour la supervision avec
quelques fonctionnalités d'animation supplémentaires ; les interfaces sont essentiellement construites
autour du synoptique de l'installation. Le rôle de superviseur pose maintenant des problèmes
spécifiques : sous quelle forme psychologiquement acceptable décrire la complexité d'un processus ?
quelle est la meilleure façon de communiquer l'information à l'opérateur pour éviter les erreurs ?

La complexification des tâches opérateur impose donc de concevoir des interfaces permettant de
gérer cette complexité en proposant une représentation aussi proche que possible de la
représentation mentale de l'opérateur.

Il est maintenant bien admis qu'une représentation unique sous la forme d'un synoptique ne peut
s'adresser à l'ensemble des dimensions de l'activité opérateur. En effet, l'apparition de situations
nouvelles et non prévues ne peut jamais être totalement écartée, c'est pourquoi il semble nécessaire
de concevoir des interfaces adaptées à ce type de situations. Par exemple, l'interface envisagée dans
le cadre du projet ALLIANCE est construite autour de trois vues [TABOR 89] : la vue synoptique, la
vue tendance (pour permettre de juger de l'évolution temporelle d'une variable) et la v u e
propagation (qui fait abstraction de l'installation est qui décrit les liens de causalité entre variables
importantes).

Les interfaces que l'on cherche à concevoir ont pour objectif de se rapprocher le plus possible d'une
description, somme toute encore hypothétique, de la manière dont l'opérateur se représente et
raisonne sur le processus. Deux approches théoriques semblent actuellement se dégager : la théorie
EID (Ecological Interface Design) [VICEN 92], et la théorie MFM (Multilevel Flow Modelling) [LIND
82]. Elles sont nées du besoin de faire face à des processus de plus en plus complexes, c'est-à-dire
technologiquement avancés, de grande taille et donc de plus en plus difficiles à maîtriser par les
opérateurs.

[Link]. Approche EID

L'approche EID est bâtie sur la distinction entre modèle de représentation et modèle de
raisonnement [VICEN 92]. Vicente et Rasmussen considèrent qu'une interface écologique doit
prendre en compte les trois types de comportement suivants [RASMU 83] : comportement routinier
(SB), comportement basé sur des règles (RB), et comportement intelligent ou fondé sur les
connaissances (KB). Le modèle de raisonnement interprété de Rasmussen est décrit en figure 11.1.
Rasmussen part de l'hypothèse d'un modèle séquentiel comportant les étapes de raisonnement
suivantes : activation, observation, identification, définition des tâches, définition d'une procédure et
exécution. Si la situation est routinière (comportement SB), l'opérateur utilise des raccourcis cognitifs
de telle sorte qu'il passe de l'étape d'observation à celle d'exécution sans contrôle conscient. Si la
situation est connue mais non familière (comportement RB), l'opérateur devra sélectionner la bonne
procédure avant de la mettre à exécution. Dans le cas de situations inconnues (comportement KB),
l'opérateur devra passer par l'ensemble des étapes de raisonnement.
48 Chapitre // : les aides à l'opérateur

Définition
Définition
Activation Observation Identification d'une Exécution
des tâches
procédure

Détection Sélection
dépassement- Exécution
seuil procédure pré- - "automatique
SNCC programmée

Alarme,

Identification \
Détection _ | » . de l'eut du ' (RBB) Sélection d'une
Opérateur anomalie système procédure de * Mise en
récupération

Evaluation des Définition d'une

.V conséquences sur la —
sécurité, la performance
. Stratégies de
récupération
rocédure
nouvelle

Figure 11.1 : Schéma interprété du modèle séquentiel de raisonnement de Rasmussen.

De manière schématique, l'approche EID se décline donc selon trois principes généraux : pour
faciliter le comportement SB, l'interface doit permettre à l'opérateur d'intervenir directement sur
l'écran, il faut donc que la distance cognitive entre informations et commandes soit la plus courte
possible ; pour assister le comportement RB, l'interface doit fournir une image qui associe les
contraintes gouvernant le comportement du procédé et les indices visuels et sonores fournis par
l'interface ; pour assister le comportement KB, l'interface devrait présenter le procédé selon différents
niveaux d'abstraction. Une hiérarchie de modèles d'abstraction est décrite en partant des modèles
de l'installation pour aboutir à des modèles de plus en plus généraux :
• le premier type de modèle décrit l'anatomie du système, c'est-à-dire la manière dont est
physiquement perçue l'installation,
• un modèle structuro-fonctionnel décrit un découpage fonctionnel de l'installation, c'est-à-
dire qu'à chaque appareil est associée au moins une fonction qu'il réalise,
• un modèle décrivant les fonctions génériques fait abstraction des appareils et décrit
spécifiquement les grandes fonctions du système, c'est-à-dire une "boucle de régulation" ou un
"circuit de refroidissement". L'installation est alors perçue au travers des fonctions principales
qu'elle assure,
• un modèle de fonctions abstraites décrit le fonctionnement souhaité du système sous forme de
processus de transformation de matière, d'énergie ou d'information, en d'autres termes les
services attendus,
• un modèle décrit les objectifs du système de production. Il correspond pour l'ingénieur aux
caractéristiques du produit attendu, et se traduisent en termes de spécifications quantitatives
et qualitatives de production, de performance ainsi qu'en termes de spécifications de sûreté.

Cette hiérarchie d'abstraction décrit la nature de connaissances associées à chacun des niveaux
d'abstraction. Liberté est laissée au concepteur de l'interface de choisir la manière de modéliser ces
connaissances (se reporter en annexe I pour une description plus fine du contenu des différents
niveaux d'abstraction).

L'approche EID. implique l'élaboration d'interfaces comportant cette hiérarchie de modèles

d'abstraction. Dans la -pratique, une telle interface apparaît alors particulièrement délicate à
Erreurs d'évaluation _ . 49

concevoir, sachant qu'il y a cinq niveaux d'abstraction à construire et qu'à chacun d'eux correspond
un modèle organisé en niveaux de raffinement. Cela suppose d'avoir préalablement rassemblé un
grand nombre de connaissances, et c'est une limite importante à la mise en œuvre de cette approche
[VICEN92].

L'intérêt pratique de cette approche a été évalué par Frey et Rouse, qui ont expérimenté l'approche
EID pour des tâches de maintenance dans le domaine de l'aviation, et dont les conclusions font
ressortir que [FREY 92] : pendant la résolution de problème, le choix du modèle d'abstraction dépend
à la fois de l'expérience des sujets mais également du type de tâche à réaliser ; le choix du niveau de
raffinement dépend de l'état d'avancement de la tâche (en début de tâche, les niveaux supérieurs de
raffinement sont les plus utilisés, alors qu'une fois l'action engagée, l'opérateur se concentre sur les
niveaux les plus bas) ; et enfin, les sujets ont montré une apparente préférence pour des formats
nouveaux d'imagerie, probablement parce que ceux-ci étaient mieux adaptés aux tâches à réaliser
que les formats classiques d'imagerie.

[Link]. Approche MFM

L'approche MFM a été initialement proposée par Lind pour faciliter la supervision par les opérateurs
de conduite. Elle est basée sur l'utilisation de règles de représentation du processus qui privilégie la
description des lois de conservation de masse et d'énergie, et qui décrit un processus industriel en
termes de buts (la raison pour laquelle le système a été conçu), de fonctions (les moyens d'atteindre
les buts) et de ressources (les composants physiques impliqués) [LIND 82, 89a]. Cette approche est
fondée sur la conviction qu'une interface qui renseigne sur les buts à atteindre et les fonctions
remplies par les appareils qui composent le processus, est très utile à l'opérateur dans une tâche de
diagnostic. La modélisation se fait ainsi selon deux axes : modélisation selon plusieurs niveaux
d'abstraction (moyens/objectifs), et modélisation en largeur (tout/partie).

La représentation MFM est une traduction du schéma de procédé auquel est ajoutée de l'information
concernant les fonctions remplies et les buts à atteindre. Lind introduit également la notion de
hiérarchie de but, qui revient à structurer la représentation sous forme de niveaux de mise en œuvre.
Cela se traduit par la description de buts et de sous-buts, chacun réalisé par une combinaison
particulière de fonctions.

Les concepts MFM utilisés pour la représentation d'un processus sont principalement :
• les buts de production, de sûreté et de performance (schématisés par un cercle),
• les fonctions de stockage, transport, source, puits, barrière,
• les liens
* de réalisation "fonction -> but", qui indiquent les liens entre fonctions mises en jeu et les
buts auxquels elles participent,
* de dépendance conditionnelle "but -> fonction", qui traduisent l'idée selon laquelle
l'atteinte d'un but conditionne la disponibilité d'une fonction,
* e t de mise en œuvre "fonction -> composant" qui précisent le support physique d'une
fonction donnée.

Les objets graphiques sont décrits en figure 11.2, ils correspondent aux objets de l'approche MFM telle
que proposée en 1982 et qui a été quelque peu enrichie .
50 Chapitre II : les aides à l'opérateur

BUTS FONCTIONS

Matière Energie Information

Production / ~ \ Stockage / ~ ~ \

s O Observation

Sûreté /—>S Transport /—£\ O

0
.rv. Décision

Performance

O
ÇXj Puits (/O
•
( • ) Source ( • )

Figure 11.2 : Les outils de description de Lind.

La représentation MFM facilite le raisonnement de l'opérateur en ce qu'elle explicite les dépendances

entre fonctions, buts et appareils. De cette façon, dans le cas où une fonction n'est plus assurée,
l'interface doit permettre de déduire directement sur l'interface quels sont les objectifs qui peuvent
être remis en cause et quelles peuvent en être les causes. Elle permet donc de constituer une interface
de diagnostic de dysfonctionnements.

Les applications de l'approche MFM sont multiples : Kaarela et Oksanen utilisent l'approche MFM
pour présenter des informations ayant trait à la sûreté de fonctionnement en direction des opérateurs
de conduite [KAARE 9 4 ] ; Olesson et al. ont utilisé MFM comme description intermédiaire du
processus avant réalisation effective de l'interface homme-machine de supervision [OLSSON 94] ;
Larsson utilise le formalisme MFM comme support de description du processus pour concevoir un
système de diagnostic utilisant cette description comme base de connaissances et comme interface
homme-machine devant expliquer les raisonnements du système [LARSS 94].

[Link]. Conclusion

EID est une architecture conceptuelle d'interface écologique, qui organise les informations utiles à
l'opérateur selon cinq niveaux d'abstraction, chacun représentant un point de vue d'un seul et même
processus, et chacun pouvant être décomposé en différents niveaux de détail. MFM est une
approche de modélisation qui propose un formalisme et des outils de description, et à l'intérieur de
laquelle on retrouve les concepts de niveaux d'abstraction et de raffinement. Elle n'est pas une
approche dédiée à la réalisation d'interfaces, mais elle pourrait être employée dans le cadre de la
conception d'une interface écologique conforme aux principes d'EID. MFM et EID sont donc des
approches qui peuvent s'envisager de façon complémentaire.

En ce qui concerne l'approche EID, il semble très intéressant de disposer de plusieurs représentations
du même processus industriel, de manière à permettre à l'opérateur de choisir la représentation la
1
mieux adaptée à ses préoccupations en termes de tâches ou d'activités. Nous ne connaissons pas
d'interface homme-machine conçue sur cette approche théorique et utilisée en ligne mais il nous
Erreurs d'évaluation . 51

semble que les principes qu'elle recèle sont très^îrometteurs et pourraient, dans un futur proche,
donner lieu à des interfaces exploitables par les opérateurs.

Pour tempérer notre discours, il est important de noter que l'approche multi-modèles, dans une
interface homme-machine, est encore trop peu étudiée et expérimentée sur cas réel pour que des
enseignements généraux puissent être tirés quant à l'efficacité de telles solutions et surtout quant aux
caractéristiques que devront avoir les futures interfaces. Il est certain qu'elles influeront sur l'opérateur
(c'est l'objectif), mais il reste à déterminer l'impact exact de ces aides sur l'opérateur, et sur la fiabilité
et la disponibilité du processus. En fait, et comme pour les autres types d'aides déjà évoqués ou à
venir, l'introduction de tels systèmes innovants en salle de conduite est à considérer avec d'infinies
précautions car cela suppose, de la part des opérateurs, de modifier profondément leurs modes de
pensée.

11.4.2. Aide au diagnostic

Le diagnostic est le processus par lequel on cherche à déterminer les anomalies en utilisant des
connaissances concernant la structure, les comportements ou les fonctions à partir de symptômes
observés, qui prennent la forme d'un écart par rapport à une référence. Il est généralement défini
comme l'action de détecter un état anormal, de le qualifier et d'en trouver l'origine.

L'intérêt de cette fonctionnalité est la possibilité de faire face à un dysfonctionnement dès son
apparition, c'est-à-dire favoriser une conduite sans-à-coup. Les conditions auxquelles sont soumis les
opérateurs font que les systèmes de diagnostic doivent fonctionner en intégrant, dans leurs
traitements, la notion du temps. Nous ne traiterons pas du cas des systèmes de diagnostic qui
n'entrent pas dans ce cadre, car ils s'adressent davantage aux équipes de maintenance, pour laquelle
les contraintes temporelles ne se posent pas de manière aussi pressente que pour les opérateurs de
conduite.

Parmi les diverses aides qui ont jusqu'ici été conçues, l'aide au diagnostic est certainement la plus
particulièrement investiguée et constitue, à elle seule, un domaine de recherche extrêmement vaste
où les sciences de l'ingénieur sont toutes représentées. Cependant, la mise en application industrielle
de ces aides s'avère particulièrement délicate car elle fait nécessairement intervenir un processus
complexe de traitement des données et il n'existe pas de règle de conception. Jusqu'à présent, peu
d'applications en vraie grandeur ont été réalisées, ce qui explique le manque d'expérience dans ce
type de projets. Un des freins à la multiplication de ces projets est liée au choix des techniques qui
relève davantage d'un savoir-faire acquis par les équipes de recherche que d'une norme de
conception, d'ailleurs encore à définir.

Notre objectif sera donc d'essayer de dégager les invariants les plus importants à partir desquels il
devrait être plus aisé de démarrer une réflexion quant aux choix des techniques les plus appropriées.
Nous verrons, par ailleurs, comment les étapes habituellement considérées dans la communauté
diagnostic peuvent être décomposées en tâches élémentaires, et en quoi cela est intéressant pour le
concepteur.
52 Chapitre II : les aides à l'opérateur

[Link]. Les approches du diagnostic

Les approches du diagnostic ont jusqu'ici été considérées à travers une vision dichotomique :
• approche de diagnostic utilisant des connaissances2 profondes par opposition à une approche
utilisant des connaissances de surface (Chandrasekaran parle, quant à lui, de connaissances
compilées [CHANDR 88]),
• diagnostic abductif (ou diagnostic par classification heuristique [CLANC 85]) par opposition à
diagnostic basé sur la cohérence (consistency-based diagnosis) [POOLE 89],
• approche par modèle de mauvais fonctionnement par opposition à approche par modèle de
bon fonctionnement [MORIZ 91 ] [CHAT 93].

Cette opposition traduit, en réalité, deux conceptions du diagnostic, en fait deux paradigmes qui
requièrent des connaissances différentes du monde et des modalités de raisonnement spécifiques
[POOLE 89].

[Link].1. Les paradigmes du diagnostic

L'opposition entre connaissances profondes et connaissances de surface met l'accent sur une
source de connaissances, en l'occurrence l'ingénieur qui a un certain degré de compréhension du
processus et dont les connaissances s'expriment en termes de lois de comportement plus ou moins
générales, par opposition à l'expert dont les connaissances relèvent davantage de connaissances
compilées qui se rapportent à un savoir-faire ou à un savoir.

L'opposition entre diagnostic abductif et diagnostic basé sur la cohérence porte sur les modalités
de traitement de l'information : le raisonnement abductif part des connaissances des défauts et de
leurs symptômes afin de rendre compte d'observations anormales ; le second mode de raisonnement
part d'un comportement de référence connu (le comportement normal) et cherche à expliquer la
raison de la non conformité constatée.

L'opposition entre approche de diagnostic par modèle de mauvais fonctionnement et approche par
modèle de bon fonctionnement met l'accent sur la nature des connaissances exploitées : d'un
côté, le système de diagnostic exploite des connaissances ayant trait aux dysfonctionnements du
processus (il s'agit de reconnaître un dysfonctionnement parmi un ensemble de dysfonctionnements
répertoriés), et de l'autre le système exploite les connaissances ayant trait à son fonctionnement
normal (il s'agit de reconnaître un écart par rapport au fonctionnement normal).

En fait, ce sont trois manières de décrire la même opposition entre méthodes de diagnostic (figure
11.3).

2
Se référer au chapitre IV pour une définition.
Erreurs d'évaluation 53

Connaissances
de mauvais Connaissance
fonctionnement _compilée_ ^ Diagnostic basé
sur les règles

Paradiame des svstèmes de dlaanostic utilisant un raisonnement abductif

Modèle physique
de bon
fonctionnement Diagnostic à base de
modèle physique

Paradigme des systèmes de diagnostic utilisant un raisonnement base sur ta coherence

Figure 11.3 : Une schématisation des deux paradigmes de diagnostic.

A notre sens, en se basant sur la dichotomie abductif-cohérence employée par Poole, on constate que
la mise en œuvre d'un processus abductif suppose d'avoir répertorié les connaissances de mauvais
fonctionnement et leurs symptômes (indices, ou encore modes de défaillance) associés, il est alors
légitime de dire que le diagnostic se fait par modèle de mauvais fonctionnement. Par ailleurs, la
grande majorité des systèmes de diagnostic utilisant des connaissances de mauvais fonctionnement
exploitent des connaissances de surface, car il faudrait, dans le cas contraire, construire autant de
modèles qu'il y a d'états de défauts ; c'est une approche très peu pratiquée car on dispose de très peu
de données sur le comportement d'un système en mauvais fonctionnement. De la même manière, un
processus basé sur la cohérence a pour objectif de mettre en évidence le dysfonctionnement du
processus dont le fonctionnement normal a pu être décrit à travers un modèle de connaissances
profondes.

Certains auteurs, par exemple Leitch et Gallanti, opposent diagnostic par classification heuristique
et diagnostic par modèle [LEITC 92]. Cependant, cette distinction manque de précision ou peut
être source de confusions, car les connaissances compilées, même décrites par un ensemble de règles
de production, peuvent être traduites sous forme de modèles [CLANC 86]. C'est pourquoi une telle
dichotomie n'est pas pertinente, car elle semble mettre l'accent sur la forme des connaissances
employées par ces systèmes. Il vaut donc mieux, dans ce cas, parler d'approche heuristique et
d'approche par modèle profond.

[Link].2. Utilisation conjointe des deux paradigmes

La limite souvent évoquée pour l'approche par abduction est la suivante : la base de connaissances
des systèmes bâtis sur cette approche ne peut être exhaustive, ne serait-ce que parce que toutes les
situations n'ont pas été expérimentées (le processus est un système dynamique complexe au niveau
duquel des comportements nouveaux peuvent apparaître). Un tel système est donc capable de
fournir rapidement un résultat, mais ne peut gérer que les situations déjà vécues. D'un autre côté, les
systèmes de diagnostic basés sur la cohérence mettent en œuvre des processus de traitement plus
sophistiques, donc demandent plus de temps avant de produire un diagnostic, puisqu'ils procèdent
par éliminations successives (le raisonnement est, en règle générale, itératif). Ces systèmes sont
intéressants pour diagnostiquer des situations non encore vécues mais demandent des temps de
traitement plus longs que pour l'approche par abduction.
54 Chapitre II : les aides à l'opérateur

La solution généralement adoptée consiste donc à envisager l'utilisation conjointe des deux
approches [MILNE 87] [POOLE 89]. L'utilisation conjointe d'un système de diagnostic abductif et
d'un système basé sur la cohérence tient principalement au caractère fondamentalement
complémentaire des connaissances manipulées par chacun des deux systèmes : le raisonnement basé
sur la cohérence utilise des modèles de bon fonctionnement, qui impliquent des connaissances sur
les variables et les paramètres de fonctionnement du processus, tandis que le diagnostic abductif
utilise des connaissances compilées sous forme de règles ; ces règles associent une défaillance
matérielle à son symptôme. Le système de diagnostic résultant de ces deux types de systèmes peut
utiliser le raisonnement basé sur la cohérence pour détecter un mauvais fonctionnement et le
raisonnement abductif pour associer le mauvais fonctionnement à une défaillance physique (se
reporter à l'exemple du système DIAPASON, décrit plus loin, qui fonctionne sur ce principe).

[Link].3. Généralisation

II est clair que ces deux formes de diagnostic sont très générales, et qu'un découpage plus fin est
préférable. Davis décrit une procédure de diagnostic basée sur l'utilisation de connaissances sur la
structure et le comportement d'un circuit électronique [DAVIS 84]. La structure du circuit est la
manière dont sont interconnectés les composants ; le comportement représente les lois qui régissent
les changements d'états logiques des sorties de chaque composant en fonction de ses entrées. Le
système utilise conjointement ces deux types de connaissances : partant des symptômes qui
traduisent un comportement anormal, il s'agit de trouver les anomalies structurelles responsables de
ces symptômes, c'est-à-dire soupçonner certains composants d'être défaillants.

Sembugamoorthy et Chandrasekaran ont été également parmi les premiers à proposer d'intégrer,
dans un même système de diagnostic, des connaissances de différents niveaux d'abstraction [SEMBU
86]. Les auteurs proposent, en effet, de considérer chaque composant d'un système selon quatre
niveaux d'abstraction : la structure, les services remplis (function), les connaissances à caractère
générique (generic knowledge), c'est-à-dire les lois qui décrivent le comportement normal du
composant, et les hypothèses de fonctionnement élaborées par l'expert et mises sous forme de
règles (assumptions). L'objectif est alors de concevoir un système de diagnostic capable de raisonner
sur plusieurs niveaux d'abstraction.

Le type de diagnostic employé doit être le fruit de choix qui dépendent des connaissances
disponibles, certes, mais également du résultat que l'on cherche à obtenir. C'est l'idée que défend
Milne [MILNE 87] : la stratégie de diagnostic qui semble la plus séduisante consiste à concevoir le
système en fonction des connaissances que l'on a au départ, et à le faire évoluer en ajoutant une
couche de traitement supplémentaire capable de "raisonner" avec des connaissances d'un autre
niveau d'abstraction. La figure 11.4 est inspirée et adaptée de la description proposée par Milne, qui
indique qu'un diagnostic peut être entrepris à partir de la topologie du processus, d'un modèle de
comportement, d'un modèle téléologique ou encore de règles expertes. Le plus important est,
semble-t-il, de choisir le type de diagnostic initial, puisque l'évolution ne pourra se faire que dans le
sens des niveaux d'abstraction supérieurs, si l'on s'en réfère à l'auteur. A notre sens, affirmer qu'un
système utilisant un raisonnement abductif ne peut faire appel à un diagnostic (local ou non) basé
sur la cohérence n'est pas fondé, mais il faut bien concéder que la tendance actuelle va dans le sens
que décrit Milne : concevoir un système de diagnostic basé sur la cohérence, quitte ensuite à faire
appel aux connaissances de niveaux d'abstraction plus élevés pour affiner le diagnostic.
Erreurs d'évaluation 55

NIVEAUX D'ABSTRACTION

Classification
4—
heuristique >iagnostic basé
sur tes'rèqles.;:'

Règles de diagnostic

; Fonctionnel Diagnostic a base

fonctionhertient
: de rnodefe
fonctionnel

2—

1 -

P I I I
CONNAISSANCE UTILISÉE RAISONNEMENT TYPE DE DIAGNOSTIC

Figure 11.4 : Stratégies de diagnostic, selon Milne.

La hiérarchie proposée par Milne est intéressante dans la mesure où elle permet d'envisager les
diverses combinaisons possibles entre plusieurs processus de diagnostic, mais placer les connaissances
de mauvais fonctionnement au niveau le plus haut de cette hiérarchie d'abstraction est discutable (la
hiérarchie d'abstraction pour les trois autres formes de connaissances sont généralement admis ; le
lecteur pourra utilement se référer à la hiérarchie d'abstraction de Rasmussen en Annexe I).

[Link]. Une architecture générique

Le diagnostic est une préoccupation commune de l'intelligence artificielle et de l'automatique. Il est

intéressant d'analyser la manière dont ces deux disciplines abordent ce thème, dans l'optique de
mettre en évidence leurs points de convergence. Nous envisageons ici une description générique du
diagnostic qui peut s'appliquer à l'un ou à l'autre paradigme de diagnostic.

[Link].1. Etapes de diagnostic et tâches primitives

Le diagnostic est un processus complexe qui est généralement décomposé en blocs de traitement des
données, quelle que soit la discipline à laquelle on fait référence : en étapes pour l'automatique, et en
tâches pour l'intelligence artificielle. Cet aspect est l'objet de ce paragraphe.
 X

56 Chapitre II : les aides à l'opérateur

En automatique _- . •.

Le découpage employé pour qualifier les étapes d'un système de diagnostic est le suivant [BRUNE
90]:
• l'étape d'acquisition de données du système de contrôle-commande, qui fournit une
information préalablement conditionnée et devant constituer un ensemble d'observations
tolérant aux bruits de mesure,
• l'étape de perception correspond à l'abstraction des données brutes et fournit des indices ou
paramètres indicateurs de défauts. Elle correspond à l'étape préliminaire de génération des
résidus (le résidu est nul en fonctionnement normal, et non nul en fonctionnement dégradé),
• l'étape de détection de symptômes d'anomalies permet de décider si le comportement réel du
processus est bien en accord avec le comportement attendu,
• l'étape de localisation/diagnostic a pour fonction d'attribuer le défaut détecté à un capteur, à
un appareil ou un organe de commande et de classer le défaut par type et degré de sévérité. Si
l'étape de détection est essentiellement fondée sur un processus décisionnel, l'étape de
localisation est, quant à elle, une combinaison de processus de recherche des causes et de
processus décisionnels.

Il n'existe pas de norme en la matière, la communauté internationale distingue habituellement deux

grandes étapes : la détection et la localisation de défauts (pour failure detection and isolation)
[PATTO 94], la détection et le diagnostic de défauts (fault detection and fault diagnosis) [ISERM 94].

En intelligence artificielle

L'intelligence artificielle s'intéresse, en réalité depuis ses débuts, au problème du diagnostic : les
premiers systèmes ont été des systèmes experts médicaux, dont MYCIN est l'archétype [SHORT 76].
Les préoccupations initiales étaient de construire des systèmes capables d'utiliser des données non
plus numériques mais symboliques, à l'image du raisonnement de l'homme.

Une des motivations fondamentales des travaux actuels (la seconde génération de systèmes experts)
est la nécessité de rendre réutilisable tout ou partie des connaissances codées dans le système
expert. Les travaux ont alors convergé vers une représentation intermédiaire des connaissances avant
leur implementation sur machine. Il s'agissait, en fait, de décrire la manière dont les connaissances
sont utilisées plutôt que la manière dont elles sont implémentées. Ce changement correspond en fait
à l'adoption d'une dimension supplémentaire, celle d'abstraction, qui introduit un niveau
intermédiaire entre les objectifs que le système expert est censé atteindre et ('implementation, qui
correspond au codage des connaissances et de la stratégie de raisonnement. Dans ce niveau
d'abstraction intermédiaire, on ne parle plus de moteur d'inférence mais de méthode de résolution
de problème ; les connaissances ne sont plus considérées en termes de représentations ou de
symboles (symbol level) mais en termes de modèles de connaissances requis (knowledge level) par
la méthode de résolution (pour une synthèse des nouvelles avancées sur le sujet, le lecteur se référera
utilement à l'article de Motoda qui effectue une étude bibliographique s'étendant de 1988 à 1991
[MOTOD94]).

Clancey et Chandrasekaran ont séparément formulé un cadre générique de résolution de problème,

fondé l'organisation de noyaux élémentaires de raisonnement : Clancey au travers de sa méthode de ;
classification heuristique [CLANC 85], et Chandrasekaran au travers de la notion de tâche
générique [CHANDR 85, 88]. ;

La méthode de diagnostic par classification heuristique est basée sur l'hypothèse selon laquelle il est . ,
possible de découper le processus selon trois noyaux de raisonnement ou tâches primitives que sont
Erreurs d'évaluation 57

(figure 11.5) : l'abstraction des données (conversion des données au format adéquat en vue de leur
traitement), le recouvrement heuristique (génération des candidats de panne en accord avec les
observations), et le raffinement (proposition d'un diagnostic).

Diagnostic

Données

Figure 11.5 : Diagnostic par classification heuristique, selon Clancey.

Les travaux de Chandrasekaran ont un caractère plus générique car l'auteur cherche à décrire
l'ensemble des méthodes de résolution comme des processus particuliers mettant en œuvre des
tâches génériques du type classification, sélection de plan et diagnostic, elles-mêmes
décomposables en tâches primitives (building blocks). Chandrasekaran considère que le diagnostic
est fondamentalement un processus de classification d'hypothèses de dysfonctionnement mettant en
œuvre les quatre tâches primitives suivantes :
• la tâche d'abstraction des données (knowledge-directed data abstraction and inference), qui
effectue un traitement préliminaire des données observées en informations utilisables par les
autres tâches,
• la tâche de comparaison d'hypothèses (hypothesis matching), qui fournit un ensemble
d'hypothèses de panne,
• la tâche de classification hiérarchique (hierarchical classification), qui fournit l'ensemble des
hypothèses de panne les plus plausibles,
• la tâche d'assemblage abductif (abductive assembly), qui fournit l'hypothèse expliquant le
mieux les observations.

La figure 11.6 reprend la description de l'organisation des tâches primitives de Chandrasekaran.

58 Chapitre II : les aides à l'opérateur

D(ogno!tfc

Observations Mesura .

Figure 11.6 : Tâche générique de diagnostic par classification heuristique, selon Chandrasekaran.

La méthode de classification heuristique de Clancey est incluse dans la méthode proposée par
Chandrasekaran [CHANDR 88]. L'intérêt souligné par Chandrasekaran de cette généricité est que ces
quatre tâches primitives sont indépendantes de la stratégie de diagnostic employée et sont
susceptibles d'être utilisées dans d'autres tâches. Par ailleurs, un tel découpage offre la possibilité de
concevoir des modules informatiques réalisant chacun une tâche primitive.

De ce point de vue, il serait intéressant d'envisager un rapprochement avec les étapes de diagnostic
considérées en automatique, de manière à disposer d'une référence commune aux deux disciplines.
C'est d'ailleurs l'objet du paragraphe suivant.

Le découpage de Leitch et Gallanti

Sur la base du concept de tâche primitive formulée par Clancey et Chandrasekaran, Leitch et
Gallanti ont, à leur tour, proposé un découpage plus opérationnel qui tient compte de la dynamique
du processus [LEITC 92] :
• la tâche d'interprétation est un pré-traitement qui met les données observées sous un format
utilisable par les autres tâches,
• la tâche d'identification est le processus de recherche de la cause du défaut et a pour charge de
fournir des candidats expliquant les observations,
• la tâche de décision génère des conclusions ou des hypothèses satisfaisant des contraintes
spécifiées,
• la tâche de prédiction permet de calculer des états futurs à partir de l'état présent observé.

Les tâches-primitives ainsi définies sont combinées pour former l'architecture fonctionnelle d'un
système de diagnostic : la figure 11.7 schématise le processus de diagnostic heuristique selon Clancey
Erreurs d'évaluation 59

et Chandrasekaran, et la figure 11.8 schématise le processus de diagnostic basé sur la cohérence, dans
lequel peuvent s'inscrire les approches employées en automatique.

Ce découpage en tâches primitives permet de disposer d'une description générique du diagnostic

par l'agencement des tâches primitives en un réseau de blocs élémentaires et indépendants de
raisonnement, conformément aux conceptions de Clancey et Chandrasekaran.

Appareils
défaillants

Figure 11.7 : Processus de diagnostic heuristique, selon Leitch et Gallanti.

Entrées

Observations

Interprétation

Etat observé
Prédiction

Décision
Hypothèses
de défaut
Ecarts

Identification

Figure 11.8 : Processus de diagnostic basé sur la cohérence, selon Leitch et Gallanti.

A ce niveau d'abstraction, le processus dé diagnostic de la figure 11.7 n'est pas fondamentalement

différent de celui de la figure 11.8. Ce dernier peut, en réalité, être envisagé comme une forme
canonique à partir de laquelle les autres processus, dont le diagnostic heuristique, peuvent être
60 Chapitre H : les aides à l'opérateur

retrouvés. Le processus de diagnostic heuristique est donc indu dans le processus basé sur la
cohérence.

[Link].2. Processus de diagnostic adopté

Le processus canonique introduit par Leitch et Callanti est celui que nous considérons dorénavant, à
quelques modifications près. En effet, Leitch et Gallanti considèrent la tâche d'interprétation
comme une mise au format des données mesurées, c'est-à-dire de l'acquisition des mesures ; cela
implique que la tâche de décision effectue deux types de traitements : la comparaison des mesures
avec les données de référence fournies par la tâche de prédiction, et la décision proprement dite.
Nous préférons associer chacun des deux traitements à une tâche bien spécifique, de manière à
rester homogène avec la définition de la tâche primitive donnée par Chandrasekaran (considérée
comme un bloc élémentaire de traitement de l'information). Cela nous oblige à donner un nouveau
sens à la tâche d'interprétation, qui est alors considérée comme la tâche d'évaluation et de
qualification du résidu, et la tâche de décision proprement dite à laquelle est associée une logique
de décision. De cette façon, à chacune des tâches du processus générique peut être associé un
traitement spécifique.

Les étapes de diagnostic adoptées en automatique (détection et localisation) peuvent être

considérées comme un agencement particulier de ces mêmes tâches primitives : l'étape de
détection met en œuvre les tâches d'interprétation, de prédiction et de décision ; l'étape de
localisation regroupe, quant à elle, les tâches de prédiction, de décision et d'identification.
Chacune de ces tâches primitives est caractérisée par des données d'entrée et des données produites,
les sorties. Le tableau 11.2 présente notre interprétation de ces tâches.
Erreurs d'évaluation 61

Aides en ligne Tâches primitives Entrées

Données issues de
mesures
Interprétation
Valeurs de référence

Résidu de test
Traitement préliminaire Valeurs prédites
des données

Décision Résidu d'observation Défaut

Génération de conclusions ou
d'hypothèses qui satisfont des
contraintes données ou des Résidu de test Candidat maintenu
Aide au diagnostic spécifications ou rejeté

Identification

Défaut Candidats à tester

Détermination des états passés
ou présents inconnus ou non
mesurables à partir de l'état
courant observé

Nouvelles consignes et
Prédiction paramètres de Valeurs de référence
fonctionnement

Calcul des états futurs à partir de Candidats à tester Valeurs prédites

l'état présent observé

Tableau 11.2 : Informations d'entrée et de sortie pour chacune des tâches primitives.

Dans une approche basée sur la cohérence, le processus de diagnostic procède par vérification de
la cohérence entre valeurs de référence calculées et valeurs mesurées. Une incohérence est appelée
résidu : le résidu est nul dans le cas où le fonctionnement est normal et différent de zéro sur
apparition de défaut. L'architecture d'un système de diagnostic est présentée à travers les figures 11.9,
pour la détection (en traits gras), et figure 11.10 pour la localisation, conformément au découpage de
Brunet et al.
62 Chapitre II : les aides à l'opérateur

~ -.. <&
Entries

Nouvelles consignes
et paramètres de
fonctionnement

Figure 11.9 : Première étape de diagnostic (détection').

Une fois le défaut détecté, la tâche d'identification lance la recherche des candidats potentiels, de
manière itérative ; ces candidats peuvent être des composants, des variables ou des fonctions, ou
bien encore des défaillances, selon la stratégie de diagnostic adoptée.

La combinaison des deux types de techniques conduit à un système de diagnostic très puissant, par
exemple le système effectue la recherche des variables sources du dysfonctionnement et essaie de
déterminer les défaillances physiques associées (cf. l'exemple de DIAPASON, dans le paragraphe
suivant).

Nouvelles consignes
et paramètres de
fonctionnement

Interprétation

Prédiction \~^un prédltes

Décision
Candidat à tester

Candidat maintenu ou
Défaut
rejeté

identification

Figure 11.10 : Seconde étape de diagnostic (localisation).

Lorsque l'on dispose d'un modèle dynamique du procédé, le processus de recherche de défauts
permet de comparer en continu comportement mesuré et comportement attendu. Son avantage est
de permettre une détection précocedes dysfonctionnements. Ce type de diagnostic est, par ailleurs,
bien adapté aux systèmes où la dynamique nç peut être négligée si l'on veut en comprendre le
fonctionnement.
Erreurs d'évaluation 63

[Link].3. Description succincte de DIAPASON

Le système DIAPASON est un exemple de système de diagnostic fonctionnant sur la base d'un
modèle de bon fonctionnement et d'une base de connaissances construite à partir d'une analyse des
défaillances d'appareils. Il est constitué des modules dédiés PROTEE, MINOS 3 , et METHYS, et peut
être considéré comme un système fonctionnant selon le processus décrit en figure 11.11.

Sorties

Historique

PROTEE
Voleurs simulées

MINOS

Candidats à tester Défaut Candidat

mtintew

MINOS

Appareil METHYS
défaillant

Figure 11.11 : Le système DIAPASON à travers la forme canonique de diagnostic.

DIAPASON fonctionne globalement de manière séquentielle. MINOS détecte les incohérences entre
le comportement de référence fourni par le simulateur PROTEE et les mesures. De cet ensemble
d'incohérences, qui constituent l'ensemble des défauts, MINOS cherche à identifier, par le biais de
procédures récursives, le défaut source c'est-à-dire celui qui, par sa présence, est capable d'expliquer
l'ensemble des autres défauts constatés. A chaque fois que MINOS change d'avis sur le défaut source,
il informe METHYS de ses conclusions qui se charge, à son tour, de relier les défauts sources sur les
variables du procédé à des défaillances d'appareils.

En termes de tâches primitives, la répartition est la suivante : PROTEE prend en charge la tâche de
prédiction, tandis que MINOS prend en charge les tâches d'interprétation, de décision et
d'identification. METHYS peut être considéré comme un module d'identification complémentaire.

Cette description sommaire du système DIAPASON nous a permis de positionner et d'organiser les
divers modules employés. Nous verrons plus loin quelles en sont les caractéristiques principales.

3
Les modules PROTEE et MINOS sont le fruit de deux thèses de doctorat effectuées au CEA, respectivement
[LEYVA91]et[MONTM92]. .
64 Chapitre II : les aides à l'opérateur

11.4.23. Choix des outils

Les techniques employées dans le cadre du diagnostic sont très nombreuses. Elles peuvent être
regroupées selon les tâches qu'elles assurent, et ceci constituera une première classification, mais cela
n'est évidemment pas suffisant pour orienter leur choix. Il nous faut, en effet, définir la stratégie de
diagnostic que l'on souhaite mettre en œuvre, choisir les techniques à employer en fonction des
caractéristiques du modèle de connaissances et de l'instrumentation, etc.

Nous proposons ici de passer en revue les critères de choix qui devraient permettre au concepteur de
définir les caractéristiques générales d'un système de diagnostic.

[Link].1. Choix de la stratégie de diagnostic

Le choix du processus de diagnostic doit se faire en fonction des connaissances disponibles et des
résultats recherchés. Pour ce faire, il faut préalablement définir le type de diagnostic utilisé au
départ : cherche-t-on à faire un diagnostic basé sur un modèle de structure, de comportement,
fonctionnel, ou encore un diagnostic à base d'heuristiques ? le diagnostic doit-il fournir en sortie la
liste des variables sources de défaut ou bien des défaillances potentielles ?

Il est possible de trancher en considérant que les connaissances de bon fonctionnement sont
généralement disponibles dès la conception du processus, alors qu'une part non négligeable des
connaissances de mauvais fonctionnement sont acquises par expérience. Par ailleurs, la
schématisation de la stratégie de diagnostic selon Milne permet d'envisager une approche de
diagnostic initiale (diagnostic basé par exemple sur la structure du processus) puis de l'enrichir par
d'autres types de connaissances.

De ce point de vue, l'approche basée sur la cohérence se révèle initialement plus intéressante,
sachant qu'il sera toujours possible d'évoluer vers un diagnostic abductif.

La stratégie peut consister à partir d'un système de diagnostic de comportement, puis à envisager la
possibilité de faire évoluer le système vers le haut (diagnostic utilisant des connaissances de
comportement + connaissances fonctionnelles ou encore connaissances de comportement +
connaissances compilées). Nous supposerons dorénavant que les systèmes qui exploitent des
connaissances relatives à la structure, au comportement et au fonctionnement relèvent des systèmes
dont le principe de raisonnement est fondé sur la validation de la cohérence (structurelle,
comportementale ou encore fonctionnelle) ; que les systèmes qui exploitent des connaissances
compilées sont des systèmes essentiellement abductifs (bien qu'il puisse exister des cas particuliers).

[Link].2. Choix des techniques

Les tâches primitives ne sont pas tout à fait indépendantes les unes des autres, ne serait-ce que parce
qu'elles échangent entre elles des données et qu'elles sont très spécifiques des données qu'elles
peuvent exploiter; le choix d'une technique pour une tâche est en fait susceptible d'orienter le choix
au niveau des autres tâches. Le sens de ces contraintes est donné par le sens dans lequel les
traitements sont effectués.

Dans l'étape de détection (figure 11.9), la tâche de prédiction dépend principalement du modèle qui
sert à décrire le fonctionnement normal du processus, donc des connaissances qui ont servi à
l'élaborer. La tâche d'interprétation dépend, pour une part, de l'instrumentation, mais également
de la tâche de prédiction. En effet, la vérification de la cohérence entre valeurs mesurée et attendue
suppose que les données soient comparables. Le résidu, issu de cette comparaison, puis qualifié dans
Erreurs d'évaluation 65

l'étape d'interprétation, présente des caractéristiques propres au modèle et à l'instrumentation. Il est

ensuite "utilisé en tâche de décision, qui hérite ainsi des caractéristiques du modèle et de
l'instrumentation.

Dans l'étape de localisation (figure 11.10), l'information qui sert à identifier la cause de défaut est
l'ensemble des résidus qualifiés en étape de détection. La tâche d'identification retourne une liste de
variables candidates, à partir desquelles des tests seront effectués pour infirmer ou confirmer une
hypothèse.

En résumé, le choix des techniques à employer est en grande partie influencé par les caractéristiques
propres aux tâches de prédiction et d'interprétation. Il faut voir le processus de diagnostic comme
une cascade de traitements avec en amont, la tâche d'interprétation qui génère un résidu dont les
caractéristiques vont influer sur l'étape de détection mais aussi sur l'étape de localisation, qui
serviront à rechercher le défaut source. Plus en amont encore, la tâche d'interprétation est
conditionnée par le modèle (structurel, de comportement, ou encore fonctionnel) qui doit servir de
référence. Les caractéristiques de l'instrumentation interviennent principalement en décision, afin
de vérifier la cohérence des valeurs mesurées.

Les caractéristiques du modèle et de l'instrumentation sont développés ici, puisqu'ils influent sur
l'ensemble du processus de diagnostic.

[Link].3. Propriétés des modèles de référence

Nous avons jusqu'ici considéré trois types de connaissances à partir desquelles envisager un
diagnostic. Mais il faut noter que les systèmes les plus représentatifs utilisent, dans leur majorité et
pour les processus continus, des connaissances de comportement.

En considérant la modélisation comportementale, deux critères permettent de caractériser un

modèle :
• le niveau de résolution d'un modèle : deux grands axes de modélisation comportementale que
sont l'approche automaticienne et l'approche du génie des procédés sont généralement
empruntés ; ces deux approches se distinguent par le niveau de compréhension des
phénomènes modélisés,
• un second critère est la précision du modèle.

La résolution

La résolution traduit l'effort consenti par le concepteur pour décrire les phénomènes physiques ; cela
revient à considérer des niveaux d'abstraction de la modélisation des phénomènes. Grossièrement,
deux catégories de modèles peuvent être envisagées :
• un modèle de résolution basse est construit à partir des variables suffisantes pour résumer le
passé et prédire le comportement futur immédiat d u système [BRUNE 9 0 ] . Ce type de modèle
est employé en automatique pour le contrôle-commande, il est assimilable à un modèle boîte
noire, c'est-à-dire un modèle qui prend en compte uniquement les relations mathématiques qui
lient: les entrées et les sorties de chaque appareiJ, de sorte que les réponses fournies par le
modèle correspondent aux évolutions réelles d u processus, sans se préoccuper des phénomènes
internes, • ~ :
• un modèle de résolution haute prend en compte les paramètres physiques d u processus. Il est
habituellement employé en modélisation physique.
66 Chapitre II : les aides à l'opérateur

Le choix de la résolution du modèle n'est, a priori, pas imposé aux modélisateurs : dans l'absolu,
l'un ou l'autre type de modèle peut être employé pour fournir les valeurs de référence. Le choix doit
se faire sur des critères supplémentaires comme la pertinence, le coût, les délais imposés, la
réutilisation du modèle hors diagnostic, etc. Les contraintes de coût et de délais généralement
imposées aux concepteurs font que le choix du modèle est fixé par les connaissances disponibles. Il
est certes légitime de dire qu'un modèle boîte noire est pauvre en connaissances, mais d'un autre
côté ce type de modèle est bien adapté au contrôle-commande car relativement aisé à réaliser et à
valider. Par ailleurs, un modèle qui prend en compte les aspects physico-chimiques s'intéresse
davantage aux lois phénoménologiques pour le calcul des flux produits ou transférés ; c'est une
modélisation riche en connaissances mais son coût est nettement supérieur.

Une autre manière de trancher est de choisir le type de modélisation en introduisant le principe de
pertinence : quel est le type de modèle le mieux adapté à la supervision d'un processus ? En ce sens,
les psychologues et ergonomes s'accordent à dire que les opérateurs ont une connaissance
superficielle du processus mais suffisante pour leurs besoins, et qu'ils se limitent à considérer les
comportements les plus significatifs pour la supervision. Cela sous entend qu'il n'est
vraisemblablement pas nécessaire d'investir une somme considérable d'efforts pour réaliser un
système de diagnostic basé sur un modèle de résolution haute, sachant que les informations qui
pourront être délivrées ne seront pas utiles à l'opérateur.

La précision

La précision d'un modèle qualifie les approximations consenties pour modéliser les phénomènes.
Par exemple, une relation entre deux variables x et y peut être exprimée de diverses façons : la
variable y varie dans le même sens que x ; la variable y varie sous l'influence de x, dans des
proportions telles que le rapport des amplitudes de variation est de 1,5 ; la variable y varie sous
l'influence de x, et son évolution est définie par une loi de comportement (une équation
différentielle) qui relie x à y. Le choix de la précision est également contraint par les caractéristiques
de l'instrumentation : pour un débit donné à 30 % près, il n'est peut être pas nécessaire que le
modèle ait une précision supérieure.

Le courant de modélisation de la physique qualitative (dont les précurseurs ont été De Kleer et
Brown, Forbus, et Kuipers [DE KLE 84] [FORBU 84] [KUIPE 86]) fixe comme objectif la représentation
d'un système et l'explication de son comportement. Elle adopte, en partie, le point de vue de
l'homme qui utilise des "règles de bon sens" afin de comprendre la manière dont un système
physique évolue, et conserve un certain niveau de connaissance sur la physique des phénomènes
[BOBRO 84]. Les différentes approches que l'on rencontre en physique qualitative jouent en fait sur le
poids accordé aux aspects raisonnement humain, peu précis car fondé sur une évaluation intuitive
de la part de l'expert, par rapport à l'aspect description physique, plus rigoureuse et requérant des
données précises : cela débouche sur la notion de niveau de précision des connaissances contenues
dans un modèle. Pour décrire l'ensemble des cas de figure, nous avons considéré trois niveaux de
précision : qualitatif, mixte et numérique.

Un inconvénient de l'approche du tout-qualitatif est que l'on s'expose aux ambiguïtés du calcul
symbbrique_[BOURS 89]. C'est pourquoi la plupart des approches actuelles sont fondées sur un
compromis quanti-qualitatif de façon_ à bénéficier des avantages du calcul numérique tout en
choisissant le niveau de précision le plus pertinent pour l'opérateur.
Erreurs d'évaluation . 67

[Link].4. Structure du modèle de référence

Le diagnostic est par essence un processus causal, puisqu'il s'agit de trouver la raison d'un mauvais
fonctionnement. Cette causalité peut être explicitée au travers de la structure du modèle employé
dans la recherche de candidats, au niveau de la tâche d'identification. En effet, c'est elle qui
oriente le raisonnement en fournissant les chemins et le sens de parcours entre objets du modèle au
travers des relations orientées. "Cette structure causale est également intéressante lorsque l'objectif
est d'expliquer de manière didactique à l'opérateur les mécanismes internes au processus qui
amènent celui-ci à changer d'état sous l'influence de facteurs externes" [LEYVA 91 ] .

D'un point de vue général, le modèle utilisé en tâche d'identification doit pouvoir être décrit au
travers du couple {objets ; relations orientées}. Nous envisagerons deux types de modèles : une
structure de modèle qui relie des pannes entre elles, et une structure de modèle qui relie
causalement les variables, mesurées ou non, qui caractérisent le fonctionnement du processus.

L'arbre de pannes est le modèle le plus classiquement employé dans une approche de diagnostic
abductif ; nous le formaliserons de la manière suivante : {pannes, symptômes, événements ; relations
de cause à effet}. Un symptôme est un indice observable qui révèle un dysfonctionnement du
processus. Il peut s'expliquer par un ou plusieurs événements, qui eux-mêmes peuvent s'expliquer
par d'autres événements ... On obtient ainsi un arbre causalement structuré dont un symptôme est
une racine. En général, les événements de différents sous-arbres ne sont pas indépendants mais
directement liés soit par des relations instantanées soit par des relations avec une certaine
dynamique. De ce fait, si les événements de différents sous-arbres sont connectés, plusieurs
symptômes peuvent apparaître en même temps ou selon une certaine séquence [MONTM 92].

La seconde structure de modèle met en jeu une représentation des variables et leurs influences
mutuelles, et sont appelés graphes dirigés [IRI 79]. Cette structure sert à rechercher les variables qui
ont pu causer le défaut observé en remontant les chemins de causalité du graphe et à effectuer des
tests sur chacune des variables qui sont susceptibles d'avoir contribué à la perturbation observée sur
la variable de détection.

[Link].5. L'instrumentation

Les contraintes imposées par l'instrumentation sont dues principalement au nombre de capteurs, à
leur répartition dans le processus, ainsi qu'à leurs caractéristiques propres (plage de variation, point
de fonctionnement, précision, biais minimum détectable). Les caractéristiques propres aux capteurs
imposent une limite haute de précision du modèle, d'où une limite de sensibilité de la détection.
D'un autre côté, le nombre et la répartition de ces capteurs imposent une limite d'isolabilite ou de
diagnosticabilité. Selon les termes de Dubuisson : "un système est dit diagnosticable s'il est
susceptible d'être soumis à un diagnostic, c'est-à-dire s'il est muni d'organes d'observation (capteurs)
et d'un système d'analyse pour étudier les informations fournies. La diagnosticabilité sera l'aptitude
d'un système à être diagnostiqué" [DUBUI 90].

Cassar et al. proposent une méthode et un algorithme permettant d'étudier la diagnosticabilité d'un
système et de générer le module de surveillance adapté [CASSA 92]. La démarche est basée sur
l'utilisation des Relations de Redondance Analytique (RRA) : ce sont des relations statiques ou
dynamiques composées uniquement de variables et paramètres connus à partir de l'instrumentation
(un exemple d'application de la méthode de génération à une installation pétrochimique est proposé
dans [CORDI 91]). La violation d'une RRA sera significative d'une défaillance sur la mesure d'une
variable ou d'un changement de la valeur d'un paramètre de la relation. L^obtention de ces RRA
s'appuie sur l'analyse fonctionnelle (les objectifs et les services attendus), t o p o l o g i q u e
68 Chapitre II : les aides à l'opérateur

(interconnexions entre appareils) et comportementale (ensemble de relations qualitatives ou

quantitatives liant variables et paramètres entre-eux, du type : T3 = f (mesure 1, mesure 2) ; équation
de confluence 3T=3P+3V [DE KLE 84] ; équations différentielles classiques). Pour l'analyse de la
diagnosticabilité, on ne s'attache pas, en effet, à définir un modèle de comportement de façon
complète, mais plutôt l'ensemble des relations que l'on a pu établir. Cette approche d'analyse a
d'ailleurs donné lieu au logiciel D3, qui facilite l'analyse de la diagnosticabilité d'un processus et
permet de générer un système de surveillance.

L'étude des RRA permet donc de déterminer la diagnosticabilité structurelle du système. Les étapes
ultérieures consisteront alors à déterminer l'isolabilité des défauts, qui est réalisée en associant à
chaque variable connue, une signature binaire de panne. L'identification consistera alors à décider
quelle variable a la signature de panne la plus voisine de la signature calculée en ligne.

[Link].6. Conclusion

Les points importants à retenir sont les suivants :

• la qualité de la détection est vue en terme de sensibilité, c'est-à-dire d'écart minimal détectable
entre la référence et la réalité. Cette sensibilité est donc déterminée par les caractéristiques de
l'instrumentation et du modèle construit pour générer ces valeurs de référence,
• l'étape de détection est qualifiée à travers la notion de robustesse, qui définit l'aptitude du
système à faire la distinction entre les défauts caractéristiques de défaillance d'une part, et les
bruits de mesure et erreurs de modélisation, d'autre part. La robustesse caractérise la capacité
à raisonner sur des informations bruitées et incomplètes, et elle concerne principalement la tâche
de décision,
• l'étape de localisation est qualifiée par le critère d'isolabilité, ou diagnosticabilité, qui revêt
deux formes. La première est la discrimination, que traduit le cardinal de l'ensemble des
candidats ; la seconde est la justesse ou l'exactitude de la localisation, qui est la probabilité que
la panne effective soit dans l'ensemble des candidats. On l'a vu précédemment,
l'instrumentation joue ici un rôle important car elle intervient dans la différenciation des causes
potentielles de défaut,
• la recherche des candidats est un processus causal qui exploite une structure de modèle.

Ainsi, les résultats fournis par le système d'aide au diagnostic résultent d'un traitement dans des
conditions où les informations sont généralement imprécises en raison des choix de modélisation et
des caractéristiques de l'instrumentation.

Muni des types de tâches et des propriétés de résolution et de précision, il est alors possible de
décliner une classification des approches les plus importantes pour chacune des tâches de diagnostic.

[Link]. Une classification des outils

La classification proposée ici est essentiellement axées sur les processus continus. Nous passons
successivement en revue les techniques employées dans les tâches de prédiction, d'interprétation,
de décision et d'identification. Par ailleurs, dans une même tâche, nous distinguons les techniques
en utilisant deux propriétés des connaissances employées que sont la résolution et la précision.

A titre d'illustration et pour chacune des tâches, nous envisagerons comment s'effectuent les
traitements au sein de chacun des modules du système DIAPASON.
Erreurs d'évaluation 69

H.[Link]. Prédiction

Le tableau 11.3 présente une synthèse non exhaustive des principales approches de modélisation et de
simulation d'un système industriel employées en diagnostic. Les différentes techniques ont été
classées selon la résolution et la précision, qui constituent, selon nous, les principaux critères de
sélection.

On remarquera, autant en haute qu'en basse résolution, l'intérêt croissant porté aux approches mixtes
qualitatif-quantitatif, qui constituent un compromis intéressant aux faiblesses du calcul symbolique,
certain mais imprécis, et du calcul numérique - précis mais incertain. En effet, un modèle de
précision numérique nécessite des efforts de modélisation souvent disproportionnés par rapport à
l'utilisation qui en sera faite en supervision, d'autant plus que la précision des capteurs et les bruits de
mesure rendent illusoire cette précision numérique [MONTM 92]. D'un autre côté, les modèles
purement qualitatifs produisent des comportements non pertinents qu'il faut ensuite filtrer en
ajoutant un jeu de règles spécifiques pour réduire l'ensemble des possibles.

La modélisation mixte qualitative-quantitative s'avère donc être un bon compromis au tout qualitatif
et au tout quantitatif. D'ailleurs, les travaux s'orientent, depuis 1987, vers cette voie. La modélisation
mixte s'avère, en fin de compte, fournir des résultats assez proches de la réalité, ce qui la rend
intéressante pour la surveillance des processus continus : pour les modèles de résolution haute,
l'approche proposée par Kuipers connaît un développement important; elle a notamment été
appliquée à la surveillance de processus hydrauliques [CHARL 92], et également aux bio-procédés
[BOUSS 93] ; pour les modèles de résolution basse, encore appelés modèles de comportement,
l'approche par fonctions de transfert qualitatives a déjà fourni des résultats concluants, notamment au
travers des projets ALLIANCE [LAPPA 89] et DIAPASON.
70 Chapitre II : les aides à l'opérateur

Prédiction

Simulation par réseau de neurones, Résolution numérique d'équations

[HOSKI 88]. différentielles

Numérique
Propagation des efforts et des flux
Fonctions de transfert énergétiques au travers d'un modèle
Bond Graph [LUCAS 94].

Propagation d'effets quantifiés au travers de

fonctions de transfert qualitatives (FTQ) au
sein d'un graphe causal, [CENTI 87]
Simulation par propagation de
DIAPASON, module PROTEE [LEYVA 91] : contraintes entre paramètres physiques.

I Mixte
• exploite les fonctions de transfert
qualitatives,
• l'influence dynamique entre variables est
décrite à travers les gains, retard pur et
Outil QSIM de Kuipers [KUIPE 86]

Simulation qualitative floue, CA-EN

B
[BOUSS 93].
temps de réponse,
• la simulation est événementielle
(propagation d'évolution des variables
d'entrée du modèle si elle est considérée
significative).

Propagation d'évolutions: signes des

Prédiction de tous les états possibles à partir
1
variables et tendances au travers d'un
Qualitative graphe de causalité orienté, [IRI 79], d'une évolution initiale (physique naïve de
[SHIOZA 85], [TSUCE 85], [PALOW 86]. Forbus, [FORBU 84] ; confluences de De
Kleer et Brown [DE KLE 84] )

Basse Haute Résolution

Tableau 11.3 : Exemples de techniques de prédiction.

Au sein de DIAPASON, le module PROTEE remplit la tâche de prédiction en simulant le

comportement normal du processus sur la base d'un modèle causal dynamique, encore appelé
graphe causal [LEYVA 91]. La structure du graphe causal est construite à l'aide des variables
significatives pour la supervision et de relations orientées qui indiquent les influences entre variables.
Ces relations symbolisent chacune une loi d'influence qui prend la forme d'une fonction de
transfert, classique en automatique. Les perturbations détectées sur les variables d'entrée du modèle
sont propagées sur les autres variables si elles sont considérées significatives ; on préfère ainsi décrire
le comportement des variables par des évolutions significatives plutôt que par des valeurs précises
et échantillonnées, comme dans les simulateurs classiques. La simulation est donc la propagation
d'événements significatifs à l'aide des informations portées par chaquearc pour déduire le
comportement des autres variables. L'évolution d'une variable est alors perçue comme une séquence
chronologique d'événements.
Erreurs d'évaluation 71.

Le choix d'un modèle causal s'est révélé intéressant dans la mesure où il permet de comprendre la
manière dont les perturbations se propagent dans le modèle, on parle alors de pouvoir explicatif de
l'approche qualitative au travers de la structure causale du modèle [LEYVA 91 ] .

[Link].2. Interprétation

Le tableau 11.4 présente une synthèse des techniques utilisables pour évaluer et qualifier un résidu.
Comme nous l'avons précédemment souligné, la technique qu'il convient de choisir dépend
étroitement des propriétés du modèle employé en tâche de prédiction.

Interprétation

Méthode des relations de parité :

redondance directe et redondance
temporelle [PATTO 91]

Méthode des observateurs (résidus en Pas de méthode spécifique. Il est

Numérique boucle fermée), filtre de Kalman et dérivés possible d'utiliser les méthodes
(observateurs stochastiques, [DUNK 91], numériques employées en basse
[SELIG 91], [PATTON 91], [FRANK 93] ) résolution dans certains cas particuliers

Estimation des paramètres d'un modèle

(variation des paramètres de référence)
[ISERM 91]

Historique concis pour chacune des

Résidus en boucle ouverte (calcul d'écart variables mesurées, à chaque période
Mixte entre évolutions simulée et réelle) et d'échantillonage ; les valeurs des variables
interprétés qualitativement, DIAPASON sont positionnées dans un espace
module MINOS [MONTM 92] quantité. QDIAC, [CHARL 92]

Vérification de cohérence entre deux

Alarmes (+,-)
i Qualitative états stables (passé et courant) QUARAF,
[LEPET87]

Basse Haute

Tableau 11.4 : Exemples de techniques d'interprétation.

Dans le système DIAPASON; la tâche d'interprétation est basée sur la comparaison, par le module
MINOS, de données provenant respectivement des données de mesure et des valeurs calculées par le
simulateur PROTEE. La technique mise en œuvre est le calcul des résidus en boucle, ouverte, et
interprétés qualitativement : dès qu'un événement survient, il est aussitôt propagé à l'ensemble du
72 Chapitre II : les aides à l'opérateur

graphe et comparé avec l'évolution observée sur les variables mesurées. Compte-tenu du caractère
qualitatif du modèle contenu dans PROTEE, la comparaison entre observations et simulation se fait
sur des critères qualitatifs comme la forme et la tendance des évolutions. La décision se fera donc sur
la base de ces critères.

[Link].3. Décision

Comme pour les autres tâches, nous avons choisi de classer les techniques de décision selon les
connaissances employées (tableau 11.5). Distinguer les techniques selon la résolution n'a pas de sens
ici, puisque la décision est réalisée sur un écart par rapport à une référence.

Le processus décisionnel est mis en œuvre dans les étapes de détection et de localisation pour
décider de l'apparition d'un défaut de fonctionnement ainsi que du maintien ou du rejet d'un
candidat potentiel. On demande au système :
• en détection, d'être sensible aux défaillances et robuste aux bruits de mesure et aux erreurs de
modélisation. Cela pose le problème de la sensibilité aux fausses alarmes, et de la non
détection des défauts de faible amplitude,
• en localisation, de correctement isoler les causes de défaut. Cela pose le problème de la
signature des défauts, sachant que plus les signatures seront éloignées les unes des autres, plus
il sera aisé de distinguer les défauts les uns des autres. L'isolabilité n'est pas liée aux propriétés du
modèle de simulation, elle est directement dépendante des caractéristiques structurelles de
l'installation en matière d'instrumentation.

La difficulté réside alors dans le choix d'une frontière entre une évolution qui sera jugée normale
d'une évolution anormale. Le dilemme sera alors de choisir entre deux critères antagonistes que sont
la précision et la certitude, qui s'exprime par le fait que si l'on souhaite rendre plus précis le contenu
d'une proposition, on tendra à accroître son incertitude et inversement [DUBOI 88].

Si l'on choisit de travailler sur dépassement de seuil, on se trouve confronté à une grande sensibilité
de la décision au voisinage du seuil de déclenchement. Ce manque de robustesse peut être réduit en
ajoutant un compteur derrière la logique ou bien en filtrant le signal avant la logique [BRUNE 90]. La
technique du comptage permet de différer la décision tant que le seuil n'a pas été atteint un nombre
de fois déterminé. Doyle introduit la notion de seuil adaptatif pour tenir compte des différents
modes de fonctionnement : l'auteur propose d'ajuster les seuils de façon dynamique et de
sélectionner les capteurs à suivre en fonction du contexte [DOYLE 89].

Une manière de lever les limites inhérentes à la logique à seuils est de travailler sur des données
numériques. L'approche numérique d'élaboration de la décision, ici appelée test statistique, revient
à associer à un indicateur, défini par sa valeur moyenne ou sa variance, une probabilité
d'appartenance à une hypothèse de fonctionnement parmi celles qui ont été préalablement définies.
Pour une variable donnée (ou un vecteur de variables) et ayant déterminé deux hypothèses de
fonctionnement, deux cas de figure se présentent : le résidu est approximativement nul aux bruits de
mesure près, ou bien le résidu est en dehors du seuil de tolérance fixé. La détection consiste alors à
déterminer laquelle de ces hypothèses se rapproche le plus de l'indicateur qui vient d'être calculé.
Pour ce faire, on décompose l'espace d'observation (par exemple la plage de variation pour une
variable) en autant de sous-espaces que d'hypothèses de modes de fonctionnement (dans le cas le
plus simple : mode nominal et mode dégradé). A chacun de ces sous-espaces est associée une valeur
de référence (une valeur moyenne caractérisant la marche nominale, une valeur moyenne
caractérisant l'apparition d'une défaillance), une loi de probabilité conditionnelle (généralement une
fonction gaussienne) qui tient compte des variations aléatoires dues aux prises de mesures, ainsi
qu'un seuil de détection (cf figure 11.12). f
Erreurs d'évaluation 73

densité de probabilité

Marche normale Défaillance

i :

•EL
Plage de variation

Seuil de détection

Figure 11.12 : Densité de probabilité d'appartenance aux deux modes de marche.

Le recouvrement partiel des deux distributions représente l'incertitude quant à l'état dans lequel se
trouve la variable : cette incertitude est décrite à travers les notions de probabilité de non détection
p
nd et probabilité de fausse alarme Pfa. L'inconvénient majeur est que l'on s'expose aux fausses
alarmes ou à la non détection, puisque la loi de distribution réelle n'est pas connue mais posée
comme hypothèse de travail. La qualité de la détection de panne résulte en fait d'un compromis
entre le taux de fausse alarme, la vitesse de détection, la sensibilité aux pannes, la robustesse
aux erreurs, le choix des signaux indicateurs et la détection en fonction du système et de ses
pannes [BRUNE 90].

Deux attitudes sont adoptées quant à l'incertitude liée à l'appartenance d'une variable à un état de
fonctionnement ou à un autre, comme dans le cas de la figure 11.12 où les deux domaines ont une
zone commune de recouvrement. La première attitude, qui caractérise les approches statistiques,
consiste à associer à une variable un domaine selon sa valeur, ce qui revient à travailler dans l'espace
{0, 1}, et à faire abstraction des incertitudes inhérentes au recouvrement des deux domaines. Cela a
pour inconvénient d'induire des risques d'erreurs (fausses alarmes ou non détection) aux limites des
deux domaines. La seconde attitude, qui caractérise l'approche par les ensembles flous [ZADEH 65],
propose d'attribuer une valeur réelle d'appartenance à chacun des domaines, de sorte qu'une
variable dont la valeur se situe dans la zone d'intersection entre états normal et anormal (figure 11.12),
puisse à priori être considérée comme appartenant aux deux états avec, pour chacun d'eux, une
valeur d'appartenance dans l'intervalle réel [0, 1 ]. De cette façon, la décision qui utilise la théorie des
ensembles flous est vue comme l'agrégation de l'ensemble des critères dans un environnement
imprécis et incertain [MONTM 92, 94].
74 Chapitre II : les aides à l'opérateur

Décision
Prédsion

Tests statistiques :
• test de Neyman Pearson,
• test multi-seuils,
Numérique • test global d'hypothèses binaires,
• test du minmax,
• test de Bayes,
• test séquentiel d'hypothèses.
Une synthèse de ces techniques est proposée dans
[BRUNE 90]

Evaluation qualitative de deux évolutions (trois critères sont

Mixte employés : erreur intégrale signée, écart quadratique, coût
de recalage), à travers la théorie des ensembles flous
([ZADEH 65] ), DIAPASON module MINOS [MONTM 92]

Logique à seuils

Tables de vérité, [PALOW86]

Qualitative

Technique des seuils adaptatifs ( loi empirique

d'évolution des seuils) [DOYLE 89]

Sans objet Résolution

Tableau 11.5 : Exemples de techniques de décision.

Dans le système DIAPASON, la décision qui intervient en détection est fondée sur les résultats fournis
par la tâche d'interprétation, qui évalue les écarts entre la forme et la tendance des évolutions simulée
et observée. La décision est vue comme l'agrégation de trois critères :
• l'erreur intégrale signée caractérise l'écart moyen entre deux évolutions sur une période
temporelle donnée,
• l'écart quadratique caractérise la translation à effectuer pour mettre en correspondance les
deux évolutions simulée et réelle,
• la norme du vecteur de translation fournit une idée du coût de la translation (le recalage),
autrement dit la distance entre les deux courbes.

La décision est alors motivée par un écart trop important entre les deux évolutions, ou par le coût
induit par la translation (le recalage) [MONTM 92]. Dans le cas d'une panne brutale, la décision peut
rapidement être prise; dans le cas de dérives lentes, la décision est suspendue tant que le coût-de
recalage ne dépasse pas une certaine limite ; sachant que les effets de la dérive iront en grandissant,
la détection se fera dès qu'une limite de coût de recalage aura été dépassée. De cette façon, il est
possible de privilégier la robustesse devant la précocité, selon les seuils de recalage admis.
Erreurs d'évaluation 75

[Link].4. Identification

L'identification est une étape importante du processus de diagnostic car elle consiste à découvrir la
source du défaut à travers les chemins de causalité, sachant qu'en raison des problèmes de seuillages
des variables du processus, une variable effectivement déclarée en défaut peut, en fait, subir
l'influence d'une autre variable non déclarée en défaut mais qui est responsable du
dysfonctionnement. L'identification des candidats potentiels au défaut détecté peut prendre des
formes multiples. Quelques unes des techniques sont figurées dans le tableau 11.6, toujours en les
distinguant selon les critères de résolution et de précision des connaissances qu'elles manipulent.

Un exemple d'approche consiste à partir d'un graphe de causalité et à comparer le comportement

réel avec l'ensemble des comportements possibles, qui ont préalablement été générés hors ligne et
structurés sous forme d'un arbre représentant l'ensemble des évolutions permises avec les contraintes
imposées. L'identification associe à l'évolution observée une ou plusieurs branches de l'arbre [CHARL
92].
76 Chapitre II : les aides à l'opérateur

Identification
r'œasion
Technique des résidus structurés : en Reconnaissance de signature de défaut
présence d'un défaut unique, seul un sous- par redondance analytique, outil D3
ensemble de résidus spécifiques du défaut [CASSA 92] .
deviennent non nuls.
Techniques des vecteurs de résidus Classification de contraintes quantitatives
directionnels : en réponse à un défaut (équations du procédé) : à une contrainte
Numérique est associé l'ensemble des défaillances
unique, le vecteur de résidus est confiné
possibles compatibles avec l'état de la
dans une direction spécifique d'un défaut.
contrainte, [KRAME 87].

Une synthèse de ces techniques est proposée

F
dans [PATTO 94] . Pas de méthode spécifique, mêmes techniques
qu'en résolution basse

Recherche de candidat à travers un graphe

signé dirigé dont les arcs sont affectés d'un
poids à valeur floue et traduisant les délais de Reconnaissance de l'évolution observée
réponse aux perturbations [TAKED 94] avec l'ensemble des évolutions
Recherche des candidats par parcours inverse dysfonctionnelles et générées en-ligne,
aux chemins de causalité ; les variables amont M I M I C [DVORA89]
à la variable de détection sont susceptibles
Mixte d'être les sources effectives, KB-MUSICA ,
[MOUSS93], DIAPASON modules PROTEE et Reconnaissance de l'évolution observée
MINOS [ M O N T M 92] . avec l'ensemble des évolutions
Recherche des candidats par analyse dysfonctionnelles et générées hors-
structurelle et comparaison avec une base de ligne, QDIAC [CHARL92]
données de dysfonctionnements classés selon
leur degré de croyance (classification établie
par un expert du processus) [PAASC 9 3 ] , ou
selon la fiabilité des appareils [ATKIN 9 3 ] .

Raisonnement hypothétique et stratifié

utilisant les connaissances de mauvais
fonctionnement des appareils, DIAPASON,
Recherche dans un graphe fonctionnel
module METHYS [COUDO 91] du procédé, [FINCH 8 7 ] .
Parcours d'arbre de défaut : recherche
Qualitative exhaustive des combinaisons de pannes qui Isolation du sous-ensemble de
expliquent les observations [DE KLE 87] paramètres de l'ensemble des
perturbations dont la valeur qualitative
est "croissante" ou "décroissante"
Inference de règles correspondant aux effets
QUARAF [LEPET 87]
d'un défaut d'une variable donnée sur
l'ensemble des variables du graphe causal,
[PALOW 8 6 f .

Basse Haute

Tableau 11.6 : Exemples de techniques d'identification.

Pour identifier l'origine du défaut, le module MINOS fait appel au module PROTEE qui va alors lancer
une simulation locale, c'est-à-dire limitée à une partie du modèle, sur les variables à tester.

MINOS identifie la cause de défaut parmi un ensemble de défauts constatés grâce à la structure
causale du modèle de PROTEE, qui fournit l'ensemble des chemins possibles de propagation des
défauts : au temps t, un défaut constaté sur une variable peut s'expliquer par les défauts de ses
antécédents en consultant les historiques simulé et réel de chaque variable concernée. L'hypothèse
est faite que les défauts se propagent avec la dynamique du fonctionnement du procédé, donc en
accord avec des retards et des temps de réponse portés par les arcs du graphe. La recherche des
antécédents ne peut être faite que sur un sous-graphe dont les nœuds sont nécessairement des
antécédents des variables de détection.
Erreurs d'évaluation 77

Le module METHYS est particulier à DIAPASON puisqu'utilise en tant que module d'affinage des
conclusions tirées par MINOS : il assure la correspondance entre les défauts constatés puis structurés
par le filtrage, et les causes de défaillances physiques ou matérielles. Il met en œuvre un raisonnement
inductif basé sur la mise en correspondance d'hypothèses de défauts et de défaillances contenues
dans sa base de faits. Il est, par ailleurs, capable de remettre en cause ses conclusions, en fonction des
informations qui lui sont envoyées par MINOS. Les connaissances qui constituent sa base sont des
règles hypothétiques construites à partir d'une analyse des modes de défaillances et de leurs effets
(AMDE).

[Link]. Conclusion

Dans la plupart des cas - pour ne pas dire dans la majorité - un système de diagnostic sera construit
par tâtonnement, puisqu'on ne peut savoir, a priori, quelles sont les techniques qui donneront les
meilleurs résultats. La conception d'un système de diagnostic revient généralement à réaliser un
système spécifique, en raison des choix effectués tout le long des étapes de conception.

Pour tenter de poser les critères généraux de choix d'un système de diagnostic, nous avons essayé de
décrire les caractéristiques d'un tel système à un niveau intermédiaire entre les spécifications de
besoins, à caractère trop général pour être directement utilisables, et sa réalisation effective, trop
spécifique pour servir de guide de choix dans d'autres projets. Il nous a préalablement fallu définir ce
niveau de description intermédiaire, en nous gardant de tomber dans l'un ou l'autre de ces écueils.

La description sous forme de tâches génériques permet de découper le processus de diagnostic selon
quatre unités primitives de traitement : la prédiction, l'interprétation, la décision et l'identification.
Nous avons caractérisé chacune de ces tâches par un jeu d'entrées/sorties, et précisé, pour chacune
d'elles, des exemples de techniques selon deux propriétés des connaissances : résolution et précision.
Nous avons également énuméré les critères de choix qui nous paraissent qualifier le système. L'étape
de détection, qui correspond à l'activité de surveillance, peut être qualifiée à travers les critères de
robustesse (aptitude à ne détecter que les défauts), de sensibilité (aptitude à détecter tous les
défauts) et de précocité (aptitude à détecter les défauts dès leur apparition). L'étape de localisation,
qui suit l'étape de détection, est qualifiée par le critère d'isolabilité, qui caractérise à la fois la
capacité à discriminer les candidats et à déduire, dans la liste de candidats, le défaut source.

Les figures 11.13 et 11.14 récapitulent les méthodes et les résultats de traitement par les modules de
DIAPASON.
 o
00

Comparaison de courbes
• Erreur intégrale signée (écart moyen entre
deux évolutions)
• Forme des courbes (une translation fait diminuer
l'erreur intégrale)
c • Distance entre courbes (coût de la translation)
s Traduction symbolique
Fonction de Transfert :
Ecart entre courbes : {Très fort négatif (Tf). fort
• Théorie de la commande (Gain, retard
négatif (f), normal (0), Fort positif (F), Très Fort
pur, temps de réponse)
3-
o Qualitative -
positif (TF)}
• Evolution approchée par une droite
Q.
• Déclenchement propagation sur
5 dépassement de seuil de tolérance
Agrégation de critères
• Principe de superposition

SI erreur intégrale TF ou Tf
i ALORS si courbes différentes — > diagnostiqua
si courbes similaires — > OK
OU SI (erreur intégrale entre F et TF ou entre f et Tf)
"S ALORS si courbes différentes -—> diagnostiqu -r
si courbes similaires — > OK

I
8
Q.
ft 3

O
Recherche de l'appareil défaillant î
z Si B est en défaut alors
SUPPOSER (défaillance appareil 1 avec CONTEXTE 1
défaillance ns2 avec CONTEXTE 2
i
i
SINON
SINON ...)
OU ALORS défaillance capteur

I
c
ft . tmlK
t-R-LFC t-R t Temps Temps
(également évolution des autres variables : O, A, D, B, et E)

Observatioi
.* Observation

1
to Simulati
Re-simulation

to"
i ^
Temp: t-LFC t Temps
Résidu d'observation résidu de test J
a.

éfaûn
La variable H est en défaut

Re-simulation avec
•a l'évolution réelle de C
Cl
-1 La variable B est la source du défaut observé sur HJ
g
I
1 la variable C est peut-être
responsable, eu égard au
modèle causal. Demande
de re-simulation
80 Chapitre II : les aides à l'opérateur

11.5 ERREURS D'INTEGRATION

Tout comme les erreurs d'évaluation, les erreurs d'intégration intéressent la dimension cognitive de
l'activité humaine. Les améliorations envisageables nous semblent relever du conseil à l'opérateur
une fois la détection et le diagnostic d'un dysfonctionnement effectués. Cet aspect conseil à
l'opérateur a jusqu'ici été peu étudié, aussi ce qui suit doit être considéré comme une tentative de
définition de ses principales caractéristiques.

11.5.1. Approche automaticienne du conseil

Une conception automaticienne du conseil s'attache à définir, au travers des lois de commande à
appliquer, les moyens d'action sur le processus, c'est-à-dire les variables sur lesquelles agir,
l'amplitude et la durée de l'action de correction, ainsi que les moyens d'en estimer les effets. A un
défaut répertorié et détectable doit correspondre une loi de commande que l'opérateur n'aurait alors
plus qu'à appliquer.

Par exemple, considérons une route à deux voies séparées par une ligne continue et sur laquelle
circule une voiture. Faisons l'hypothèse d'un système embarqué et chargé d'informer l'automobiliste
de tout écart par rapport à la trajectoire optimale, de le prévenir dès qu'il y a risque de
franchissement de la ligne blanche, et de lui indiquer les actions à effectuer pour redresser la
trajectoire de la voiture s'il ne l'a pas déjà fait. Si ce type de conseil peut être envisagé dans des cas
simplifiés à l'extrême (systèmes comportant très peu de variables de contrôle), elle se révèle
impraticable pour les processus industriels. Il faudrait, en effet, que le diagnostic fournisse des
résultats précis et certains, alors que l'on ne peut actuellement attendre d'un système de diagnostic
qu'un faisceau d'hypothèses de défauts pour une même panne. Dans ce cas, agir sur les causes de
défaut parait alors peu réaliste. D'un autre côté, définir les lois de commande contrebalançant les
effets prédits des défauts détectés pourrait être envisagé à condition d'avoir prévu tous les effets
potentiels et de les avoir associés aux causes de défauts ; cette voie se révèle très difficile à réaliser,
d'autant plus que l'exhaustivité n'est pas garantie. Une autre voie, encore peu explorée en
automatique, est de définir des systèmes de commande robustes aux défauts et capables de s'adapter
activement aux changements inopportuns de mode de fonctionnement (cf. [AUBRU 94] pour une
synthèse des méthodes de reconfiguration de la commande).

11.5.2. Une approche plus humaine du conseil

II est sans doute nécessaire de repenser complètement le conseil, qui doit être davantage tourné vers
les opérateurs : à une approche automaticienne du conseil nous privilégions une approche
cognitive orientée vers la définition d'une aide à la représentation de la situation, qui indiquerait
quelles sont les alternatives envisageables dans un contexte donné L'objectif du conseil est d'alerter
suffisamment tôt l'opérateur d'une situation à venir non conforme à la normale, de manière à lui
permettre, d'anticiper et de planifier les actions de correction avant qu'elles ne deviennent des actions
de récupération. Il s'agit donc de privilégier une conduite anticipative plutôt qu'une conduite
réactive.

Définir ce que doit être ce type d'aide nous renvoie alors à notre vie quotidienne : comment
réagissons-nous face à une situation imprévue et redoutée? Quelles sont les informations et/ouïes
représentations qui nous aident à nous adapter à la nouveauté?
Erreurs d'intégration 81

11.5.3. Un exemple
Prenons l'exemple de l'automobiliste dont l'objectif est d'atteindre un point "arrivée" (figure 11.15), et
considérons que cet automobiliste dispose d'une radio branchée en permanence sur les informations
routières qui lui permet de connaître l'état des routes. Cet automobiliste connaît le chemin optimal
ou habituel pour atteindre son objectif (itinéraire (1)). On annonce à la radio qu'un début de
bouchon est en train de se créer sur la route qu'il est justement en train d'emprunter. Pour éviter
d'être coincé, l'automobiliste décide de se définir un nouvel itinéraire (itinéraire (2)), en se gardant la
possibilité de revenir sur la route principale dès que la circulation sera rétablie (itinéraire (3)). Dans le
cas contraire, il est obligé de poursuivre sur l'itinéraire (4). L'opérateur peut ainsi adapter son
itinéraire en fonction de la situation.

Arrivée

Itinéraire de
secours
Retour à
3) l'itinéraire
initial

Figure 11.15 : Stratégies de conduite dans l'exemple de l'automobiliste.

Ainsi, pour pouvoir être en mesure de décider d'une réorientation> l'automobiliste doit être informé
suffisamment tôt (rôle de la radio), il doit connaître sa position actuelle même de manière
82 Chapitre II : les aides à l'opérateur

approximative, il doit connaître la localisation du bouchon et il doit avoir une idée des itinéraires de
la région ; le rôle du plan ou de la carte routière est ici déterminante. Si l'information concernant
l'événement redouté parvient tardivement à l'automobiliste, ce dernier a alors toutes les chances de
se retrouver bloqué; dans ce cas, ni le diagnostic ni le conseil n'ont plus leur raison d'être. Il est donc
nécessaire que le diagnostic et le conseil aient un caractère précoce pour avoir une quelconque
utilité.

Le conseil à l'automobiliste doit donc être fonction du temps et être capable de connaître la position
de l'automobiliste par rapport au problème à venir : s'il existe plusieurs itinéraires, le conseil devrait
fournir ceux qui restent à choisir si l'automobiliste n'a pas encore décidé de réagir.

Les itinéraires proposés par le conseil doivent tenir compte des contraintes relatives au contexte :
dans le cas où l'automobiliste circule de ville en ville, l'aide doit avoir l'ensemble des données relatives
aux limitations de vitesse pour chaque tronçon de route ; dans le cas où l'automobiliste circule en
ville, l'aide doit avoir en mémoire l'ensemble des données relatives aux rues qui peuvent être fermées
de manière périodique (les jours de marché), permanente (les sens uniques) ou temporaires (pour
cause de travaux), etc.

L'automobiliste reste entièrement maître de la conduite de son véhicule ; l'aide n'intervient pas au
niveau de la manière de conduire son véhicule, c'est à l'automobiliste de respecter la signalisation
routière (feux, stop, carrefour giratoire, etc.), et d'adapter sa vitesse en fonction de l'état de la route
et des conditions atmosphériques (pluie, neige, verglas, brouillard, jour, nuit, etc.). Les aspects
conduite et stratégie sont ainsi bien découplés : l'aide ne doit pas, à notre sens, intervenir au niveau
de la conduite du véhicule, mais donner les moyens à l'automobiliste d'atteindre son objectif en lui
évitant les erreurs, les arrêts nécessaires pour consulter sa carte, et le stress induit dès qu'il s'agit de
définir un nouvel itinéraire.

Dans le cas d'un long trajet, l'automobiliste se fixe des objectifs intermédiaires qui, atteints les uns
après les autres, lui permettront finalement de remplir l'objectif qu'il s'est fixé. Par exemple, pour aller
à Paris en partant d'Avignon via la route nationale, l'automobiliste se fixe les étapes suivantes :
Montélimar, Valence, Lyon, Mâcon, Beaune puis Auxerre. On peut ainsi distinguer deux niveaux
stratégiques : entre deux villes, l'automobiliste a généralement peu de manœuvres à effectuer, car la
route nationale est relativement droite. Par contre, la traversée d'une ville peut se révéler très délicate,
c'est pourquoi un changement d'échelle de l'aide s'impose : l'aide doit alors se focaliser sur les
moyens de traverser cette ville. C'est également le cas lorsqu'il s'agit d'éviter un bouchon annoncé :
l'aide doit focaliser à l'endroit où se trouve l'automobiliste ainsi que la position du bouchon pour lui
fournir un plan détaillé de la région.

La stratégie est considérée comme un séquencement d'états à atteindre ; les distances entre états
donnent une idée du coût (horaire, consommation) induit.

11.5.4. Application à la supervision de processus industriels

Par analogie avec l'exemple de l'automobiliste, l'opérateur a besoin d'une description physique des
"itinéraires" permis de manière à être à même de développer ses stratégies en ayant un support
informationnel adéquat. Il a essentiellement besoin d'un plan ; comme le souligne Hoc, "un plan est
une structure schématique et anticipatrice de l'activité, composée de connaissances déclaratives [le
plan n'est donc pas un programme exécutable], et constituant un guide à l'activité humaine, de sorte
que l'activité pourra s'organiser en suivant la structure du plan" [HOC 87].
Aujourd'hui encore, une telle description n'existe pas. En effet, les schémas de l'installation fournis par
l'interface homme-machine sont assimilables à un schéma de fonctionnement de la voiture, avec les
Erreurs d'intégration . 83

paramètres à vérifier (vitesse, direction, niveau d'essence, niveau d'huile, température moteur, etc.),
mais l'objectif de l'automobiliste est autre : il s'agit pour lui d'utiliser la voiture comme moyen de
transport pour aller d'une ville à l'autre. C'est d'une toute autre description que le schéma de
fonctionnement de la voiture dont l'automobiliste a réellement besoin : il a besoin d'avoir une idée
de la route à suivre pour atteindre son objectif, en ayant pour consigne le respect du code de la
route, c'est-à-dire les consignes de sécurité (vitesse limite autorisée), et la signalisation routière (feux,
stop, priorités, etc.). Pour l'opérateur, le problème est rigoureusement le même : il s'agit d'avoir une
description des "itinéraires" qui peuvent être empruntés, avec pour chacun, les contraintes imposées
par les ingénieurs (modes opératoires, consignes de sécurité, configurations de marche interdites,
règles de conduite, etc.).

En supervision de processus, le diagnostic de défauts et de défaillances fournit une indication sur des
difficultés présentes ou à venir ; il est alors comparable à l'information routière qui fait un état de la
circulation. La position de l'automobiliste correspond à l'état du processus fourni par l'ensemble des
mesures. A notre connaissance, il n'existe pas d'équivalent de la carte routière en supervision. De
manière intuitive, une telle représentation devrait à la fois prendre en compte l'ensemble des
contextes de conduite, des procédures, de l'objectif principal, de la position actuelle par rapport à
l'objectif. A priori, les contraintes d'exploitation sont telles qu'il y a moins de "chemins" possibles,
donc qu'un plan de route devrait assez facilement être constitué. Nous proposons d'associer à cette
notion d'itinéraire celle de configuration de marche du processus de fabrication, qui indique que
l'objectif de l'opérateur est de produire en faisant passer l'installation par différents états de marche
(arrêt, mise en régime, régime nominal, etc.). Le nombre de configurations et donc d'itinéraires est
limité, c'est ce qui caractérise un processus industriel complexe : d'ailleurs, dans sa description des
processus complexes, Reason indique qu'une caractéristique de ces systèmes est qu'il y a très peu de
possibilités différentes d'atteindre un but donné" [REASON 93].

Les possibilités de passage entre ces configurations de marche rappelle la notion de plan de route
pour l'automobiliste, à partir duquel peuvent être envisagés différents itinéraires (passage de la
configuration d'arrêt à celle de marche nominale, en passant par la configuration de mise en régime).

Un itinéraire qui fait, par exemple, passer l'installation de l'arrêt à la marche nominale sera assimilé à
une s t r a t é g i e . Cela correspond, pour l'opérateur, à suivre un séquencement d'objectifs
intermédiaires jusqu'à atteindre les conditions de marche nominale.

L'aide ne doit pas avoir pour rôle la manière de conduire le processus de fabrication, mais d'indiquer
quelles sont les stratégies possibles.

En résumé, le conseil peut être vu comme un niveau supérieur d'aide à l'activité humaine. Il comporte
l'ensemble des niveaux d'aide précédemment décrits (aide à la représentation mentale et aide au
diagnostic) avec une fonctionnalité particulière : la possibilité de proposer des "chemins" alternatifs,
nécessairement sous-optimaux par rapport au "chemin" préféré, mais qui permettent d'éviter l'arrêt
de la production tout en respectant les contraintes de sûreté (tout en acceptant, dans une certaine
mesure, des pertes de performances). Il ne s'agit pas de définir des procédures à appliquer en regard
de la situation diagnostiquée, mais plutôt d'orienter l'opérateur vers des objectifs réalistes en rapport
avec la situation telle qu'elle est diagnostiquée. Le conseil est une aide qui se révèle particulièrement
utile dans le cas de systèmes complexes : il doit permettre à l'opérateur d'avoir des indications quant
aux orientations vers lesquelles il convient de se diriger relativement à dès performances, des
conditions environnementales et des contextes d'exploitation. Intuitivement, le conseil en supervision
de processus doit comporter le diagnostic si possible précoce de la situation, il doit rappeler l'objectif
à atteindre, indiquer les modes de fonctionnement et les configurations de marche atteignables.
 Chapitre II : les aides à l'opérateur

11.6 ERREURS DE PLANIFICATION

Les erreurs de planification sont le signe d'une mauvaise sélection d'un but, d'une cible ou d'une
tâche, de décisions non prises en temps voulu, ou d'actions mal adaptées en regard de la situation.
L'amélioration de la capacité à prédire les états futurs suite à des actions de l'opérateur, l'amélioration
de la connaissance des contraintes et des zones de flexibilité et le suivi des plans d'action peuvent
permettre de réduire ce type d'erreur. Dans le prolongement des aides à l'évaluation et à
l'intégration évoquées précédemment, nous dirons que l'objectif d'une telle aide consiste à
intervenir au niveau du choix et du suivi des stratégies d'exploitation. Cela est bien en accord avec
l'idée selon laquelle l'aide ne doit intervenir qu'au niveau cognitif, donc que l'opérateur reste
responsable du processus. Nous appelons ce niveau d'aide cognitive aide à l'anticipation afin de
bien souligner le fait que l'aide intervient dans la préparation des plans d'action de l'opérateur. Ses
caractéristiques fonctionnelles sont les suivantes : elle doit être capable d'effectuer, en temps réel, un
classement des stratégies possibles, en fonction de critères de performance et de sûreté ; l'aide doit
être capable de justifier ses conclusions de manière à permettre à l'opérateur de suivre ses
"raisonnements". Cette aide doit fonctionner en prenant en compte le temps de manière à offrir à
l'opérateur une stratégie adaptée au contexte dynamique de la supervision (d'où l'importance du
diagnostic précoce et de l'analyse de conséquences).

11.6.1. Un exemple
En reprenant l'exemple de l'automobiliste, l'aide à l'anticipation pourrait se matérialiser par un
itinéraire optimal régulièrement remis à jour en fonction des événements (bouchon, route
provisoirement fermée, traversée d'une ville, etc.). Les critères invoqués par l'automobiliste pour
choisir un nouvel itinéraire sont généralement : le plus direct, le plus rapide, le plus sûr, etc. L'aide à
l'anticipation devrait intégrer certains de ces critères et évaluer chacun des itinéraires pour ne retenir
que les plus pertinents. Par exemple, dans le cas où la sûreté est le critère prédominant, l'aide à
l'anticipation pourrait fournir l'itinéraire qui s'écarte le plus du bouchon à partir du moment où ce
dernier a pu être diagnostiqué de façon certaine (localisation du bouchon et estimation de son
étendue).

L'aide pourra se matérialiser sur un écran par une description des routes de la région sur lequel seront
indiqués l'itinéraire proposé, la position du bouchon, et la position de l'automobiliste.

11.6.2. Cas des processus industriels

Par comparaison avec l'exemple de l'automobiliste, l'aide à l'anticipation en supervision de processus

doit proposer des stratégies alternatives en fonction de l'objectif à atteindre.

Comme pour l'aide à l'intégration, une description des stratégies possibles pourrait avoir la forme
d'un plan indiquant les différentes configurations de marche. A la demande de l'opérateur, l'aide
devrait proposer une stratégie de conduite menant à une configuration de marche sous-nominale,
une configuration de repli, ou bien une configuration d'arrêt.

Les configurations transitoires et les passages d'une configuration de marche à une autre sont celles
qui exigent le plus d'attention de la part de l'opérateur. Elles doivent donc être assistées de façon
spécifique, comme dans le cas de la focalisation de l'aide sur une ville ou bien dans la région à
traverser. Il s'agit donc de décrire des sous-objectifs qui permettront d'atteindre une configuration
particulière.
Conclusion . 85

11.7 ERREURS DE COORDINATION

Les erreurs de coordination ont pour causes des problèmes de communication entre agents ou une
mauvaise répartition des tâches. Ce type d'erreur pourrait être réduit par un renforcement du
réseau conversationnel, l'amélioration de la résolution collective de problème, ou une meilleure
répartition des tâches. On cherche ici à améliorer la performance des opérateurs en introduisant
dans l'organisation un système doté de capacités de traitement, de dialogue avec les opérateurs et
d'action sur le processus. Ce type d'aide prendra le terme générique d'aide au travail collectif. Un
agent artificiel doté de capacités de résolution de problème, ou capable de prendre en charge
certaines tâches humaines de manière autonome, est généralement appelé système coopératif.

11.7.1. Communication homme-homme

Un premier moyen d'aider les opérateurs est d'agir au niveau de la communication homme-
homme, en proposant des moyens informatiques visant spécifiquement les échanges informationnels
entre opérateurs, ainsi que la répartition des tâches entre opérateurs. Les solutions que l'on rencontre
actuellement, relèvent du domaine de la bureautique, le groupware et le workflow, mais il est
intéressant d'en avoir une idée même succincte. Le groupware ou travail en groupe propose une
nouvelle organisation du travail. Il repose essentiellement sur les avancées récentes en matière de
réseaux informatiques, qui permettent d'échanger de l'information entre postes de travail. Le principe
du groupware est de "constituer des entités de travail virtuelles avec des personnes (bien réelles)
affranchies de contraintes d'espace et de temps"[LEVAN 94]. Les buts sont de faire mieux travailler
ensemble un groupe de gens, de faciliter la communication, la coopération et la coordination des
tâches. Le workflow traduit l'idée d'un partage et d'envoi des tâches aux agents d'une même équipe,
par l'intermédiaire d'un système informatique. Ce type d'aide peut constituer un moyen
complémentaire de communication qui possède la caractéristique de pouvoir garder la trace des
messages échangés entre opérateurs et des tâches qui leur ont été confiées : l'opérateur peut
consulter sa "fenêtre de dialogue" qui lui indiquera les tâches demandées par le chef de quart, ou les
messages que lui a transmis l'opérateur situé à l'extérieur de la salle de contrôle. Nous ne connaissons
pas d'application industrielle de ce type.

11.7.2. Résolution collective de problème

Dans le cadre de la résolution collective de problème, qui est d'ailleurs un des centres d'intérêt de
l'intelligence artificielle, l'enjeu est de définir les modalités de résolution conjointe de problème.
Une caractéristique importante de ces systèmes est la capacité à rechercher ensemble la solution à
un problème, par un dialogue adapté.

Baker distingue deux niveaux d'interaction homme-machine : le niveau coopération et le niveau

collaboration [BAKER 92] : selon l'auteur, "la coopération n'est effective qu'à partir de l'instant où
l'aide explique ou justifie et l'opérateur reçoit effectivement ses explications", par ailleurs, "la
collaboration diffère fondamentalement de la coopération en ce sens qu'elle implique l'action
conjointe et un engagement à maintenir une compréhension mutuelle pour la tâche à accomplir"
[BAKER 92].

Il s'agit de cbnstruireensemble l'explication au travers de chaque échange. De cette façon, les

explications peuvent émerger du dialogue par un processus de négociation. Les conflits qui peuvent
survenir à propos de divergences d'appréciation d'une situation ou de mesures à prendre doivent être
gérés par le système d'aide et l'opérateur. Cela doit être l'occasion d'amener l'opérateur à comparer
86 Chapitre II : les aides à l'opérateur

ses conclusions avec celles proposées par le système et à rechercher les erreurs ayant pu être
commises, que ce soit par l'opérateur ou par le système lui-même.

Les travaux dans le domaine de l'explication sont, à notre connaissance, encore largement au stade
de la recherche, c'est pourquoi nous ne connaissons pas de système fonctionnant selon ce mode.

11.7.3. Répartition des tâches entre l'homme et la machine

Une autre conception de l'aide à la coordination entre machine et opérateur suppose que chacun des
deux surveille et pallie la défaillance de l'autre si celle-ci n'est pas récupérée, ce mode nécessitant
l'allocation, ou répartition, dynamique des tâches. C'est ce que Millot nomme la coopération
horizontale entre l'homme et la machine [MILLOT 88].

Cette approche de l'aide à l'opérateur est du ressort de l'automatique humaine, discipline mixte
automatique et ergonomie qui se propose de définir les moyens de répartir de manière dynamique et
optimale les tâches entre un opérateur et le système de contrôle-commande afin d'éviter toute
surcharge de travail. La mise en œuvre de cette aide est basée sur l'utilisation de modèles
d'estimation des performances de l'opérateur qui font notamment appel à la théorie de la commande
et à la théorie de l'information [MILLOT 88].

La répartition dynamique des tâches se justifie pour des systèmes où les variations de charge de
travail de l'opérateur peuvent se révéler importantes. Il s'agit de faire réaliser par une machine un
certain nombre de tâches qui normalement sont du ressort de l'opérateur, mais qui ne peuvent l'être
pour cause de surcharge cognitive. Une condition d'applicabilité évidente de cette approche est que
la tâche à répartir soit automatisable. Ce sont donc les tâches de compensation de perturbations et
de mauvais réglage qui sont plus particulièrement visées [KAMOU 89]. Cette approche a également
été expérimentée dans le domaine du contrôle aérien [VAN DE 94] : le système expert SAINTEX de
régulation du contrôle aérien est couplé au répartiteur de tâches SPECTRA, qui distribue
automatiquement les tâches à effectuer entre l'opérateur et le système expert.

La répartition des tâches peut se révéler intéressante dans les cas où l'opérateur doit consacrer toute
son attention à la résolution d'un problème. Dans ce cas, les tâches routinières peuvent se révéler
gênantes ; la répartition dynamique des tâches peut permettre de décharger l'opérateur de ces tâches
au profit de tâches cognitives centrées sur le problème. Il ne s'agit pas d'ôter à l'opérateur toutes les
tâches de routine, mais de trouver le compromis satisfaisant entre activité de routine et activité en
situation dégradée, afin de lui permettre de maintenir un certain niveau de compétence [BAINB 83]
[POYET 90].

11.7.4. A propos de la coopération homme-machine

"Pour pouvoir coopérer, l'aide doit pouvoir assister l'opérateur dans la mise en œuvre de ses
stratégies, mêmes si elles sont sous-optimales, et proposer, sur demande, la stratégie appropriée"
[FALZO 89]. Par ailleurs, l'opérateur reste responsable du fonctionnement du processus et doit
pouvoir, à tout moment, porter un jugement sur les conclusions tirées par l'aide [HOC 95]. Cela
suppose des modalités de dialogue homme-machine particulières, car il s'agit de convaincre
l'opérateur de la pertinence des conclusions du système d'aide [BAKER 92] : "la coopération n'est
effective qu'à partir de l'instant où l'aide explique ou justifie et l'opérateur reçoit effectivement ses
explications".

Les concepts de la coopération sont largement encore à l'étude, certains ajoutent même qu'elle n'a
pas encore été définie de manière satisfaisante [NOTTE 95]. Hoc considère que la coopération, telle
Conclusion - - 87

qu'envisagée actuellement, c'est-à-dire comme l'allocation des tâches entre l'homme et la machine,
est soit trop tournée vers la machine, en l'occurrence le partage des tâches, soit non satisfaisante,
car l'hypothèse de buts communs entre homme et machine apparaît illusoire [HOC 95].

La mise en œuvre d'aides correspondant à ce niveau demande donc encore des efforts de recherche
importants notamment de modélisation de l'opérateur.

La notion de coopération homme-machine est un thème qui préoccupe de nombreuses disciplines,

comme l'intelligence artificielle et l'automatique, mais chacune ayant sa propre vision de la
coopération. Devant la multiplicité des définitions de la coopération, il devient difficile de s'en faire
une idée précise.
88 Chapitre II : les aides à l'opérateur

11.8 CONCLUSION
La mise en évidence des dimensions humaines et des erreurs associées constitue le cadre qui nous a
servi à décliner une typologie des aides en ligne.

Dans ce chapitre, nous avons essayé d'apporter quelques définitions parmi lesquelles :
• l'aide à l'opérateur ou aide à la supervision : dénomination générale qui recouvre l'ensemble des
aides,
• l'aide à la décision : concerne les aides de la dimension cognitive (aide à la représentation
mentale, aide au diagnostic, aide à l'adaptation et aide à l'anticipation),
• l'aide au diagnostic : concerne les aides visant à fournir des informations préalablement
élaborées sur l'état du processus,
- surveillance : activité d'évaluation de certaines caractéristiques du processus et débouchant
sur la détection d'un dysfonctionnement,
- diagnostic : tâche activée après détection d'un dysfonctionnement ; cette tâche consiste à en
localiser la cause.

Pour chacune des erreurs humaines mises en évidence, a été associé un type d'aide qui doit
permettre d'en réduire les risques d'occurrence. Pour la dimension cognitive, qui nous intéresse plus
particulièrement, quatre types d'aide ont été mis en évidence :
• les aides à la représentation mentale recouvrent l'ensemble des travaux visant à fournir des
moyens visuels permettant à l'opérateur de mieux appréhender les aspects temporels et de se
faire une meilleure image du processus,
• les aides au diagnostic regroupent les travaux effectués notamment dans les domaines du génie
des procédés, de la physique qualitative, de la décision, de l'automatique et de l'informatique
pour fournir des systèmes de traitement avancé devant permettre d'assister l'activité de
l'opérateur dans ses tâches de diagnostic et de récupération,
• les aides à l'adaptation doivent permettre d'assister l'opérateur dans les changements
d'orientation, que nous associons à des changement de configuration de marche. Le conseil est
vu comme la proposition d'une liste de choix possibles, en fonction de la situation, à charge
pour l'opérateur de choisir celle qu'il estime la plus pertinente,
• les aides à l'anticipation sont vues comme des moyens de fournir à l'opérateur une aide au
choix de stratégies à adopter suite à l'apparition de dysfonctionnements.

Les deux premiers types d'aide sont actuellement les plus représentés ; nous nous sommes penchés
sur l'aide au diagnostic car des applications industrielles commencent à voir le jour. Quant aux deux
types d'aide suivants, après avoir constaté qu'il n'existait pas de support informationnel prenant en
compte les aspects stratégiques en conduite de processus, nous avons proposé de dégager les
caractéristiques qui nous semblaient importantes : ces caractéristiques sont issues d'une analyse
comparative des situations de conduite d'une automobile et la situation de supervision de processus
industriels. L'exemple de l'automobiliste nous a conduis à envisager la notion de "plan de route"
pour l'opérateur, qui doit lui permettre de s'adapter plus facilement aux contextes dynamiques.

Les aides cognitives peuvent être perçues en termes de niveaux d'interaction croissants avec
l'opérateur (figure 11.16): l'aide à la représentation mentale est vue comme l'aide regroupant
l'ensemble des résultats provenant des autres niveaux ; l'aide au diagnostic est un second niveau
d'aide qui est actuellement représenté par un ensemble conséquent de techniques et d'outils de
diagnostic des défauts de fonctionnement et dont les résultats sont visualisés à travers l'interface
homme-machine ; l'aide à l'adaptation se base sur le diagnostic de la situation pour proposer un
Conclusion 89

conseil. L'aide à l'anticipation est le niveau de complexité le plus élevé, qui est encore largement à
l'état de recherche et qui recouvre les trois précédents types d'aide.

'•?.'; l/Ô.

Apparaît dans

Apparaît dans
la représentation mentale}) •* ( Aide à l'adaptation

Apparaît dans

Figure 11.16 : Interactions entre les aides du niveau cognitif.

Ainsi avons-nous défini le cadre qui permettra de décliner les premières étapes d'une méthodologie
de conception d'aide à l'opérateur, objet du chapitre suivant.
90 Chapitre II : les aides à l'opérateur

References
bibliographiques

[ATKIN 93] R.M. Atkinson, M.R. Montakhab, D.j. Woollons, P.A Hogan, C.R. Burrows,
K.A. Edge,
DESHC : a diagnostic expert system for hydraulic circuits,
Tooldiag'93, International Conference on fault diagnosis, Toulouse, pp. 882-895,
April 5-7, 1993.

[AUBRU 94] C. Aubrun, H. Noura, F. Hamelin, D. Sauter,

Accommodation des lois de commande des systèmes soumis à des défauts,
journées d'Étude S3 (Sûreté, Surveillance, Supervision), Stratégies de conduite en
présence de défaillances, Ed. LAIL USTL, Paris, le 8 décembre 1994.

[BAKER 92] M. Baker,

Le rôle de la collaboration dans la construction d'explications,
Explication-1992, Actes des 2'èmes Journées Explication du PRC-CDR-IA du CNRS,
Sophia-Antipolis, INRIA,17-19 Juin 1992.

[BAINB 83] L. Bainbridge,

Ironies of automation,
Automatica, vol. 19,n°6, pp. 775-779, 1983.

[BOBRO 84] D. C. Bobrow,

Qualitative reasoning about physical systems : an introduction,
Artificial Intelligence, n°24, pp. 1-5, 1984.

[BOURS 89] P. Bourseau, C. Muratet,

Certains aspects pathologiques en physique qualitative,
Revue d'Intelligence Artificielle, 3, n°4, pp. 111-132, 1989.

[BOUSS 93] K. Bousson, F. Guerrin, L. Trave-Massuyes,

Qualitative prediction and interpretation for bioprocess supervision,
Toolgiag'93, Toulouse, April 5-7, pp. 1044-1053, 1993.

[BRUNE 90] J. Brunet, D. jaume, M. Labarrère, A. Rault et M. Vergé,

Détection et diagnostic de pannes,
Traité des Nouvelles Technologies, série Diagnostic et Maintenance, Hermès, 1990.

[CARD 83] S.K. Card, T.P. Moran, A. Newell,

The psychology of Human-Computer Interaction,
Lawrence Erlbaum Ass., Hillsdale, New Jersey, 1983.

[CASSA 92] J. P. Cassar, M. Staroswiecki, P. Declerck,

Structural decomposition of large scale systems for the design of failure
detection and identification procedures,
System Science XI, Wroclaw, Poland, September 22-25, 1992. ;

[CHANDR85] B. Chandrasêkaran,
Generic tasks in knowledge based reasoning : high level building blocks for
: expert system design,
IEEE Expert, vol. 1,N°3, pp. 23-30, 1985. . -
Références bibliographiques 91

[CHANDR88] B. Chandrasekaran,
Generic tasks as building blocks for knowledge-based systems : the diagnosis
and routine design examples,
Technical research report, Laboratory for Artificial Intelligence Research, Ohio
State University, 88-BC-Routine, June 28, 1 988.

[CHARL92] A. Charles,
Aide à la détection d'anomalies de fonctionnement de systèmes dynamiques :
une approche fondée sur des modèles qualitatifs et quantitatifs,
thèse de l'Université Technologique de Compiègne, 1992.

[CHAT 93] J-N. Châtain,

Diagnostic par système expert,
Traité des Nouvelles Technologies série Diagnostic et Maintenance, Hermès, i 993.

[CLANC 85] W. J. Clancey,

Heuristic classification,
Artificial Intelligence, n°27, pp. 289-350, 1985.

[CLANC 86] W. J. Clancey,

Viewing knowledge bases as qualitative models,
Department of Computer Science, Stanford University, CA, Report N° STAN-CS-87-
1170, 1986.

[CORDI 91] B. Cordier, C.T. Huynh, [Link] Cassar, M. Staroswiecki, E. Herbault

Supervision system design for a petroleum production application,
IFAC/IMACS-Symposium on Fault Detection, Supervision and Safety for Technical
Processes, Safeprocess'91, R. Isermann editor, vol.2, pp. 289-293, Baden-Baden,
September 10-13 1991.

[COUDO 91] L. Coudouneau, J-M. Penalva,

Fault diagnosis in DIAPASON : a continuous process control aid system,
IFAC/IMACS-Symposium on Fault Detection, Supervision and Safety for Technical
Processes, Safeprocess'91, R. Isermann editor, vol.2, pp. 99-104, Baden-Baden,
September 10-13, 1991.

[DAVIS 84] R. Davis,

Diagnostic reasoning based on structure and behavior,
Artificial Intelligence, n°24, pp. 347-410, 1984.

[DE KLE 84] j . De Kleer, j . S. Brown,

A qualitative physics based on confluences
Artificial Intelligence Journal, vol. 24, pp. 7-83, 1984.

[DE KLE 87] J. De Kleer, J.S. Brown,

Diagnosing multiple faults,
Artificial Intelligence, n°32, pp. 97-130, 1987.

[DOYLE 89] R. Doyle, S. Sellers, D. Atkinson,

A focused context-sensitive approach to monitoring,
IJCAI, pp. 1231-1237, Detroit, 1989.

[DUBOI 88] D. Dubois, H. Prade,

Théorie des possibilités. Application à la représentation des connaissances en
informatique,
2nde édition, MASSON, 1988. -

[DUBUI 90] B. Dubuisson,

Diagnostic et reconnaissance des formes,
Traité des Nouvelles Technologies, série Diagnostic et Maintenance, Hermès, 1990.
92 Chapitre // : les aides à l'opérateur

[DUNK 91] W. Dunkel, R. Brockhaus,

A nonlinear observer fault detection in an airplane,
IFAC/IMACS-Syposium on Fault Detection, Supervision and Safety for Technical
Processes, Safeprocess'91, R. Isermann editor, vol.1, pp. 233-238, Baden-Baden,
September 1 0-13 1991.

[DVORA 89] D. Dvorak, B. j . Kuipers,

Model-based monitoring of dynamic systems,
IJCAI'89, Detroit, pp. 1338-1343, 1989.

[FALZON89] P. Falzon,
Assister l'activité,
AVIGNON 1989, vol. n°1, pp. 383-391.

[FINCH 87] F.E. Finch, M.A. Kramer,

A rule-based approach to fault diagnosis unsing the signed directed graph,
AlChE journal, vol.33, n°7, July 1987.

[FREY 92] P.R. Frey, W.B. Rouse,

Big graphics and little screens : designing graphical displays for maintenance
tasks,
IEEE Transactions on Systems, Man, and Cybernetics, Vol. 22, N°1, January/February
1992.

[FORBU 84] K.D. Forbus,

Qualitative Process Theory,
Artificial Intelligence, 24, pp. 85-168, 1984.

[GENTI 87] S. Gentil, S. Feray-Beaumont, P. Caloud,

Qualitative modeling for supervision systems,
ECAI, Brighton, pp. 335-349,1986.

[GREEN 94] M. Green, E. Hoilnagel, Y. Niwa,

Guidelines for the presentation of emergency operating procedures using
advanced information technology,
International Atomic Energy Agency Specialists Meeting on Advanced Information
Methods and Artificial Intelligence in Nuclear Power Plant Control Rooms, Halden,
Norway, 13-15 September, pp. 86-93, 1994.

[HAAN 91] G. de Haan, G.C. van der Veer, J.C. van Vliet,
Formal Modelling Techniques in Human-Computer Interaction,
Acta Psychologica, 1-3 (78): 27-67, 1991.

[HOC 87] J. M. Hoc,

Psychologie cognitive de la planification,
Sciences et Technologies de la Connaissance, PUC, 1987.

[HOC 95] J. M. Hoc,

La résolution de problème en situation dynamique : apports de la psychologie
cognitive et implications sur la conception de la coopération homme-machine,
Journées d'étude S3, Supervision et Coopération homme-machine du CDR
Automatique, Paris, les 12-13 Janvier 1995.

[HOSKI88] J. C. Hoskins, D. M. Himmelblau,

Neural network models for knowledge representation in process engineering,
Comp. in Chem^Engng, 12, pp. 881-892, 1988.

[IRI 79] M. Iri, K. Aoki, E. O'Shima, H. Matsuyama,

An algorithm for diagnosis of system failures in the chemical process,
Computer Chem. Engng, 3, 489-493, 1979. :
Références bibliographiques 93

[ISERM89] R. Isermann,
Process fault diagnosis on process model knowledge,
IFAC Symposium on Advanced Information Processing in Automatic Control, Nancy,
1989.

[ISERM91] R. Isermann,
Fault diagnosis of machines via parameter estimation and knowledge
processing,
SAFEPROCESS'91, vol.1, sept. 10-13, pp. 121-133, Baden-baden, 1991.

[ISERM94] R. Isermann,
Integration of fault detection and diagnosis methods
IFAC Safeprocess'94, Helsinki University of Technology, Finland, pp.597-612, June
13-16 1994.

[KAARE 94] K. Kaarela, j . Oksanen,

Communicating the safety aspects of industrial plants,
IFAC Safeprocess'94, Helsinki University of Technology, Finland, June 13-16 1994.

[KAMOU 89] A. Kamoun,

Contribution à la répartition dynamique des tâches entre opérateur et
calculateur pour la supervision de systèmes automatisés,
Thèse de l'Université de Valencienne, 1989.

[KOLSKI 93] C. Kolski,

Ingénierie des interfaces homme - machine, conception et évaluation,
Traité des Nouvelles Technologies, série Automatique, eds HERMES, 1993.

[KRAME 87] M.A. Kramer, Palowitch,

A rule based approach to fault diagnosis using the signed directed graph,
AlChe journal, vol. 33, n°7, pp. 1067-1078, July 1987.

[KUIPE 86] B. j . Kuipers

Qualitative simulation
Artificial Intelligence, 29, pp. 289-338, 1986.

[LAPPA 89] D. de Lapparent, P. Calloud, Y. Descotte, S. Feray-Beaumont, S. Gentil, V.

Taborin, P. Millot,
Le projet ALLIANCE,
Systèmes experts et conduite de processus, Rapport de synthèse du groupe
Systèmes Experts, Masson, pp. 81-94, 1989.

[LARSS 94] J.E. Larsson,

Diagnostic reasoning strategies for means-end models,
Automatica, Vol. 30, N°5, pp 775-787,1994.

[LE BOT 90] P. Le Bot, R. Solermann, C. Guesnier, G. Beltranda, B. Papin, A. Poujol,

Development and testing on full-scope simulator of computerized accident
operating procedures for the new EDF 1400 MW (N4) class control room
International Atomic Energy Agency, International Symposium on Balancing
Automation and Human Action in Nuclear Power Plants, 9-13 July 1990, Munich,
Federal Republic of Germany.

[LEITC 92] R. Leitch and M. Gallanti,

Task classification for knowledge-based systems in industrial automation,
:
- - IEEE trans. Syst, Man and Cyber., vol. 22, N° 1, January/February 1992.

[LEPET87] M. Lepetit, D. Vernet,

Physique qualitative et contrôle de processus, .
7èmes Journées Internationnales. Les systèmes Experts et leurs Applications,
AVIGNON'87, EC2, vol. 2, pp. 1229-1248, 13-15 mai 1987.
94 Chapitre II : les aides à l'opérateur

[LEVAN94] S.K. Levan, A. Liebmann,

Le groupware,
Collection Systèmes d'Information, Hermès, 1994.

[LEYVA91] LLeyval,
Raisonnement causal pour la simulation de procédés industriels continus,
Thèse de doctorat de l'Institut Polytechnique de Grenoble, 1991.

[LIND 82] M. Lind,

Multilevel flow modelling of process plant for diagnosis and control,
International Meeting on Thermal Nuclear Power Safety, Chicago, 1982.

[LIND 89a] M. Lind,

Human machine interface for diagnosis based on multilevel flow modeling,
Proc. 2nd European Meeting on Cognitive Science Approaches to Process Control,
Siena, Italy, 1989.

[LUCAS 94] B. Lucas

Méthode d'aide à la modélisation par graphes de liaison et utilisation pour le
diagnostic qualitatif de systèmes physiques,
Thèse de doctorat de l'Université PARIS XI Orsay, mai 1994.

[MILL 92] R. C. Mill,

Human Factors in Process Operations,
Institution of Chemical Enginners, Robert C. Mill Editor, 1992.

[MILLOT 88] P. Millot,

Supervision des Procédés Automatisés et Ergonomie,
Traité des Nouvelles Technologies, Hermès, 1988.

[MILNE 87] R. Milne,

Strategies for diagnosis,
IEEE Transactions on systems, man and cybernetics, SMC-17, pp.333-339, 1987.

[MITCH 86] C M . Mitchell, R.A. Miller,

A discrete control model of operator function : a methodology for information
display design,
IEEE Trans. Man, Cybern., Vol. SMC 16, pp 343-357, 1986.

[MONTM 92] j . Montmain,

Interprétation qualitative de simulations pour le diagnostic en ligne de procédés
continus
Thèse de doctorat de l'Institut Polytechnique de Grenoble, 1992.

[MONTM 92] J. Montmain,

Raisonnement approximatif et graphes causaux pour la détection et la
localisation de défaillances,
journées d'études du GRECO "Sûreté, Surveillance, Supervision", Paris, 17-18
novembre 1994.

[MORIZ 91] P. Morizet-Mahoudeaux, B. Dubuisson,

Apport des techniques d'Intelligence Artificielle au diagnostic des systèmes,
Rapport du GR Automatique "Automatique et Intelligence Artificielle", CNRS, Ed. S.
GENTIL et D. DUBOIS, 1991.

[MOTOD 94] H. Motoda,

Second-generation expert systems,
IEEE Expert, Vol. 9, n°2, pp. 66-76, April 1994.

[MOUSS 93] P. Mousset, :

An alarm filtering system : a causal graph based method,
Tooldiag'93, vol. 1, pp. 55-64, 5-7 avril 1993. :
Références bibliographiques 95

[NORMA 84] D.A. Norman,

Stages and levels in human-machine interaction,
Int. j. Man-Machine Studies, 21, pp. 265-375, 1984.

[NOTTE95] D. Notte,
Pour une conception pluridisciplinaire des systèmes coopératifs homme
machine : mythes et réalités,
journées d'Etude S3 (Sûreté, Surveillance, Supervision), Supervision et coopération
homme-machine, Ed. LAIL USTL, Paris, les 12-13 janvier 1995.

[OLSSON94] G. Olsson, P.L Lee,

Effective interfaces for process operators - a prototype,
y. Proc. Cont, Volume 4, Number 2, 1994.

[PAASC 93] R.K. Paasch, A.M. Agogino,

A structural and behavioral reasoning system for diagnosing large-scale systems,
IEEE Expert, pp. 31-36, August 1993.

[PALOW 86] B. Palowitch, M. Kramer,

The application of a knowledge-based expert system to chemical plant fault
diagnosis,
American Control Conference, pp. 646-651, 1986.

[PATTO 91] R.J. Patton,

A review of parity space approaches to fault diagnosis,
SAFEPROCESS'91, vol.1, pp. 239-255, sept.10-13, Baden-baden, 1991.

[PATTO 94] R.J. Patton,

Robust model-based fault diagnosis : the state of the art,
IFAC symposium on Fault Detection, Supervision and Safety for Technical
Processes, Safeprocess'94, Vol.1, pp. 1-24, June 13-16, Finland, 1994.

[POOLE 89] D. Poole,

Normality and faults in logic-based diagnosis,
l]CAI,pp. 1304-1310, Detroit, 1989.

[POYET 90] C. Poyet,

L'homme, agent de fiabilité dans les systèmes automatisés,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, ouvrage collectif
sous la direction de ]. Leplat et G. de Terssac, editions OCTARES Entreprises, pp. 223
-240, 1990.

[RASMU 83] J. Rasmussen,

Skills, rules and knowledge : signals, signs, and symbols, and other distinctions in
human performance models,
IEEE trans. Syst., Man and Cyber., vol. SMC -13, N° 3, May/June 1983.

[REASON 93] j . Reason,

L'erreur humaine,
Traduit de l'anglais parJ-M. Hoc, Le travail Humain, PUF, 1993.

[SEMBU 86] V. Sembugamoorthy, B. Chandrasekaran,

Functional representation of devices and compilation of diagnostic problem-
solving systems,
Experience, memory and reasoning, }. L. Kolodner and C K. Riesbeck, eds.,
Lawrence Erlbaum Associates, Hillsdale, N. J., pp. 47-73, 1986.

[SHIOZA 85] J. Shiozaki, H. Matsuyama, K. Tano, E. O'Shima,

Fault diagnosis of chemical processes by the use of signed directed graphs.
Extension to five-range patterns of abnormality,
International Chemical Engineering, vol. 25, n°4, pp. 651-659, 1985.
96 Chapitre II .les aides à l'opérateur

[SHORT 76] E. Shortliffe,

A rule-based computer program for advising physicians regarding antimicrobial
therapy selection,
Ph. D dissertation, Stanford University, 1976.

[TABOR 89] [Link],

Coopération entre opérateur et système d'aide à la décision pour la conduite de
procédés continus : application à l'interface opérateur système-expert du projet
ALLIANCE,
Thèse de Doctorat de l'Université de Valenciennes, Mars 7 989.

[TAKED 94] K. Takeda, B. Shibata, Y. Tsuge, H. Matsuyama,

The improvement of fault diagnosis algorithm using signed directed graph,
IFAC SAFEPROCESS'94, Vol. 1, Finland, June 13-16, pp. 368-373, 1994.

[TSUGE 85] Y. Tsuge, ). Shiozaki, H. Matsuyama, E. O'Shima, Y. Iguchi, M. Fuchigami, M.

Matsushita,
Feasibility study of a fault diagnosis system for chemical plants,
International Chemical Engineering, vol. 25, n°4, pp. 660-667, 1985.

[VANDE 94] F. Vanderhaegen, I. Crevits, S. Debernard, P. Millot,

Human-machine cooperation : toward an activity regulation assistance for
different air traffic control levels,
International Journal of Human-Computer Interaction, vol. 6, n°l, pp. 65-104,
1994.

[VICEN 92] K. J. Vicente, J. Rasmussen,

Ecological interface design : theoretical foundations,
IEEE Transactions on Systems, Man and Cybernetics, Vol. 22, N°4, July/August 1992.

[ZADEH 65] LA. Zadeh,

Fuzzy sets,
Information and control, vol. 8, n°3, pp. 338-353, 1965.
 97

CHAPITRE
Propositions
méthodologiques

Les propositions méthodologiques décrites dans ce chapitre partent du constat

suivant : il est essentiel que les phases initiales du projet spécifient clairement les
objectifs afin de réussir la conception de l'aide.

Les spécificités de la conception d'une aide sont dégagées, puis les

caractéristiques du projet DIAGPEV évoquées. Les enseignements tirés sont
exploités à travers une démarche de conception qui distingue cinq phases.

La première phase consiste en l'identification des objectifs du projet. La seconde

phase est la définition du cahier des charges fonctionnel, qui représente le
référentiel du projet. La troisième phase est la proposition des solutions
techniques qui doivent figurer dans le cahier des charges. Les autres phases
concernent davantage la réalisation proprement dite de l'aide : l'étude de
faisabilité technique des solutions arrêtées ainsi que le développement
proprement dit.

111.1 Introduction 98
111.2 Particularités d'un projet d'aide à l'opérateur 99
III.3 Le projet DIAGPEV et ses enseignements 102
111.4 Découpage du projet 106
111.3 Phase 1 : Spécification des objectifs 107
111.6 Phase 2 : Elaboration du cahier des charges fonctionnel 117
III.7 Phase 3 : Expression des solutions proposées 122
III.8 Les phases suivantes 125
II 1.9 Conclusion 128

Références bibliographiques 132

98 Chapitre III : Propositions méthodologiques

111.1 INTRODUCTION
Dans le chapitre I, nous avons proposé une synthèse des principaux aspects qui interviennent de
façon cruciale sur la performance de l'opérateur. Nous avons vu que l'opérateur est une composante
de la fiabilité du processus de fabrication et que, d'un autre côté, cette capacité s'accompagne
d'inconvénients spécifiques tels que la variabilité, qui est liée à son état (état cognitif, psychologique
et physiologique), au contexte de conduite (marche normale, marche dégradée, etc.) et aux
conditions de travail (ambiance sonore, visuelle, etc.). Une manière de réduire le risque lié à cette
variabilité est d'apporter une aide à l'activité des opérateurs. La spécification de l'aide la plus indiquée
se heurte cependant à la diversité des solutions potentielles.

La difficulté majeure, à notre sens, est de parvenir à spécifier les objectifs de l'aide par rapport à des
attentes, des besoins, ou des problèmes. En effet, les concepteurs disposent de peu de critères
quantitatifs qui permettraient d'orienter le projet et d'évaluer la qualité de l'aide à chaque phase de la
conception. Jusqu'à présent, la grande majorité des projets d'application ont été menés avec comme
objectif la mise en application sur cas réels de techniques issues des recherches. Peu de travaux ont,
par contre, porté sur la définition d'une méthodologie de conception permettant de passer du stade
de l'innovation, de la démarche exploratoire au stade de la mise en œuvre effective. Une
méthodologie est définie comme l'étude systématique, par observation, de la pratique scientifique,
des principes qui la fondent et des méthodes de recherche qu'elles utilisent" (Petit Larousse illustré).

D'une approche de conception purement technique de l'aide, il nous parait maintenant souhaitable
de poser les bases d'une approche visant d'abord et avant tout à cerner les objectifs afin d'être en
mesure de concevoir une aide répondant enfin à des spécifications précises. Nous proposons, dans ce
chapitre, de considérer comment le développement d'une aide peut se ramener, sous certaines
conditions, à une démarche de conception "classique".

Les recommandations qui figurent ici sont notamment issues de l'expérience du Laboratoire
d'Informatique Appliquée en recherche et développement d'outils entrant dans le cadre des aides au
diagnostic ; notre implication dans le projet DIAGPEV, en particulier, nous a permis de tirer quelques
enseignements sur la manière d'aborder un tel projet sur une installation industrielle.

Ce chapitre n'a pas l'ambition de décrire une méthode de conception éprouvée, nous essayons plutôt
de tracer des voies qui nous semblent intéressantes et relever d'une démarche vers la mise en
application industrielle de techniques de traitement destinées à assister le travail de l'opérateur.

Une méthodologie est considérée comme une organisation de méthodes, de techniques et d'outils
hétérogènes permettant d'atteindre un objectif donné. Certains auteurs ajoutent une composante
supplémentaire, celle de "gestion de projet" qui représente la stratégie d'atteinte de l'objectif et qui
organise les méthodes entre elles, met en œuvre des techniques particulières et utilise des outils de
construction [DUBRI 95].

Elle n'a pas le caractère universel que l'on associe à une méthode, qui est un plan d'action à
appliquer (il y a une logique d'action) ; une méthodologie trace les contours d'un plan, et l'on y fait
appel quand on n'a pas de méthode prête à l'emploi pour parvenir au résultat. Une méthodologie
est donc le fruit de tâtonnements qui caractérisent l'apparition de nouveaux champs d'action, en
l'occurrence l'aide à l'activité de l'opérateur.
Particularités d'un projet d'aide à l'opérateur 99

111.2 PARTICULARITÉS D'UN PROJET D'AIDE À L'OPÉRATEUR

L'hypothèse qui sous-tend notre travail est qu'apporter une aide à l'opérateur, c'est apporter des
solutions pour éviter que ses erreurs n'entraînent de conséquences graves sur la performance et la
sécurité. Mais la multiplicité des erreurs ainsi que leurs causes potentielles suppose des aides
également multiples. Vers quel type d'aide s'orienter plus particulièrement ? Une aide informatisée
est-elle la plus indiquée ? Quel est le cycle de développement le plus approprié ?

Pour cerner correctement les fonctions d'un produit technique, l'approche la plus immédiate consiste
à utiliser les méthodes déjà éprouvées d'analyse de la valeur, qui préconisent l'analyse fine du besoin
et des fonctions recherchées : il s'agit de décomposer les services attendus en autant de services
élémentaires et d'affecter, à chacun d'eux, des niveaux de contrainte ; ces derniers permettront
ensuite de hiérarchiser les services auxquels le produit devra satisfaire en priorité selon des critères
déterminés. Un premier principe stipule que le besoin est correctement identifié par analyse des
services demandés ; un second principe stipule qu'à chacun de ces services peut être associée une
caractéristique évaluable, qui permettra ensuite de vérifier l'adéquation entre spécifications et
réalisation effective, en cours de développement du produit. Autrement dit, en analysant finement les
besoins, on parvient à définir les fonctions attendues ainsi que les critères techniques de performance
auxquels le produit devra se conformer. Le produit réalisé sera évalué, en fin de réalisation, par
comparaison entre les spécifications contenues dans le cahier des charges et les caractéristiques du
produit.

Ces deux principes sont difficilement transposables au domaine de l'aide à l'opérateur, car :
• l'analyse de besoins suppose que les contours du produit soient à peu près connus, la démarche
d'analyse consistant en réalité à préciser les caractéristiques techniques les plus importantes ;
l'aide à l'opérateur n'est pas une réponse évidente à un besoin, car elle s'insère dans un
environnement organisationnel complexe qu'est l'entreprise,
• comment définir la notion de qualité - de valeur - pour une aide à l'opérateur ? S'agit-il d'un
service à l'opérateur de production ? S'agit-il d'un service pour le personnel de la gestion
technique ? S'agit-il d'un service à rendre en direction de la gestion financière ? S'agit-il d'un
service à rendre pour l'ensemble des activité de l'entreprise ? Ces questions ne sont pas triviales
et demandent une sérieuse réflexion,
• le système d'aide devant essentiellement interagir avec les opérateurs et améliorer leur
performance, il est difficile de lui attribuer des critères de qualité quantifiables,
• en vertu du précédent point, la distinction entre fonction d'usage (les services que le produit
doit remplir en priorité) et fonction d'estime (les services qui améliorent l'image du produit)
n'est pas claire,
100 Chapitre III : Propositions méthodologiques

L'application des méthodes normalisées d'analyse fonctionnelle des besoins s'avère mal adaptée
puisque les fonctions d'aide ne peuvent être décomposées en fonctions évaluées individuellement par
des critères techniques, ou tout au moins le sont-elles difficilement. En fait, la conception d'une aide à
l'opérateur dépasse le cadre de la conception de systèmes techniques devant remplir un certain
nombre de fonctions bien différenciées, c'est pourquoi, il nous faut
• mettre en œuvre d'autres méthodes que l'analyse fonctionnelle de besoins,
• admettre que l'aide s'insère dans une organisation dont les enjeux dépassent les besoins de
l'opérateur,
• élargir le champ du problème de l'aide à l'opérateur à celui de l'entreprise dans son ensemble.

Considérons l'entreprise comme une organisation d'acteurs ayant chacun une activité spécifique :
gestion financière, gestion technique, production et maintenance (figure lll.l). Voici le cadre dans
lequel nous proposons d'inscrire un projet d'aide.

Gestion financière Décide des évolutions mineures et majeures des autres activités

bntraintes de délais
^•Quantité de biens à produire
Planification de la Moyens à mettre en oeuvre pour atteindre
production <"des prix de revient compatibles avec ceux du
marché

Gestion des matières premières

Gestion des opèrationnehtg
Gestion technique Gestion des incidents
Gestion des appareils (disponibilité, coûts d'indisponibilité)

Taux d'indisponibilité
Compte-rendus de l'outil de production
d'activité
Objectifs Contraintes de
Consignes de maintenance
production
Demande

ï_d'intervention —» •- • \ i

Production Maintenance
Entretien
préventif

Figure 111.1 : Organisation des acteurs de l'entreprise.

Chacune des activités de l'entreprise a ses préoccupations propres, ses besoins et ses insatisfactions, la
difficulté étant d'en déterminer lés points de convergence : définir une aide qui remplisse un rôle
économique (l'aide doit permettre une diminution des coûts), définir une aide qui facilite la gestion
technique du processus de fabrication (accroissement de la disponibilité par détection rapide des
dysfonctionnements, par exemple), définir une aide qui améliore l'activité de supervision, et définir
une aide qui facilite les opérations de maintenance. Voilà une manière d'aborder le problème de la
justification de l'aide.

En gestion financière, les préoccupations sont à caractère stratégique et économique. Il s'agira de

convaincre qu'une aide peut répondre, dans une certaine mesure, à ce type de préoccupations. Au
niveau de la gestion technique, l'apport d'une aide est évaluée à travers des données de
Particularités d'un projet d'aide à l'opérateur 101

maintenabilité et de disponibilité du processus de fabrication ; elles sont obtenues par recensement

des données concernant les défaillances, les temps de détection de ladite défaillance et le temps au
bout duquel la défaillance est réparée. Les apports d'une aide ne s'évaluent pas seulement par des
critères de sûreté de fonctionnement, mais également par des critères de qualité, tels que le taux de
rejet correspondant aux produits hors norme. Ces gains ont des conséquences directes sur l'activité
de gestion financière de l'entreprise, en termes de coût d'exploitation et de coût de production.

L'apport de l'aide au diagnostic de dysfonctionnements est généralement bien perçue par les
industriels. Mais faut-il considérer que c'est l'aide qui convient le mieux à l'ensemble des situations ? si
l'aide au diagnostic apporte un plus certain par rapport aux informations fournies par le SNCC, on ne
peut prétendre que cela réponde de manière générale à l'ensemble des besoins. La thèse que nous
soutenons est que l'aide au diagnostic doit être considérée comme un type d'aide parmi d'autres, et
qui répond à des besoins spécifiques qui doivent être mis en évidence.

Les difficultés auxquels peut se heurter le concepteur d'un système d'aide sont :
• la difficulté à replacer la problématique de l'aide à l'opérateur dans le cadre global de l'entreprise
(fournir une aide à l'opérateur pour remplir quels objectifs, quelle finalité ?),
• la nécessité de prendre en compte la composante humaine dans le processus de conception,
tout simplement parce que le système est destiné à fortement interagir avec l'opérateur (quels
sont les critères d'acceptabilité de l'aide du point de vue de l'opérateur ?),
• la nécessité de passer par des étapes de maquettage et de prototypage successifs pour s'assurer
que l'aide intègre davantage les préoccupations des opérateurs (quand et comment faire
intervenir les utilisateurs dans la boucle de conception ?),

Du point de vue du concepteur de l'aide, la conception s'apparente à un problème ouvert, c'est-à-

dire que la solution n'est pas contenue dans les données du problème, par opposition à un problème
fermé où les données qui accompagnent un problème, par exemple de calcul de l'enthalpie d'une
réaction chimique, orientent, en quelque sorte, la stratégie de résolution puisque l'on sait qu'il
n'existe qu'une seule solution. Dans le cas du projet d'aide, cette solution est plutôt à construire.
D'où l'intérêt de se baser sur l'expérience de projets analogues, comme par exemple le projet
DIACPEV.
102 Chapitre III : Propositions méthodologiques

111.3 LE PROJET DIAGPEV ET SES ENSEIGNEMENTS

Le projet DIAGPEV a démarré en 1991 ; c'est un projet interne au CEA qui vise la conception d'une
aide aux opérateurs de conduite et appliquée à l'installation Prototype Evolutif de Vitrification.

Le prototype de vitrification de Marcoule (P.E.V.) est une installation fonctionnant en inactif (ne
traitant pas de matières radioactives réelles mais simulées) à l'échelle 1. La mission assignée à PEV
consiste à réaliser des essais tests pour valider des choix de procédé, avant une application sur des
installations industrielles réelles.

Le prototype P.E.V. permet :

• de produire des verres inactifs représentatifs des verres contenant des déchets nucléaires,
• d'aider à la détermination d'une formule de verre en mettant en lumière les contraintes d'ordre
technologique qui sont à prendre en compte dans le choix d'une composition de verre adaptée
à une solution de produits de fission donnée,
• de caractériser l'influence de la composition en matières premières et des paramètres de
conduite sur la qualité du verre. Cette caractérisation passe par une étude de fiabilité au cours
d'essais de longue durée (de deux à trois semaines, en règle générale) où seront déterminées les
limites de variation des principaux paramètres de conduite du processus,
• de rechercher les conditions optimales d'élaboration du verre.

III.3.1 Description du projet

Le projet DIAGPEV a principalement un caractère prospectif; il s'agit d'appliquer en grandeur réelle

des fonctionnalités de diagnostic, afin de démontrer l'intérêt de ce type de fonctionnalités aux acteurs
des activités de gestion financière qui désirent ainsi mieux en percevoir les potentialités économiques
et stratégiques.

[Link] Les motivations

Le projet DIAGPEV est motivé par :

• la valeur ajoutée espérée vis-à-vis des clients et partenaires industriels,
• le souhait d'évaluer l'apport de techniques nouvelles en grandeur réelle,
• l'amélioration de l'exploitation du PEV (qualité du verre, fiabilité du processus de fabrication,
disponibilité de l'installation),
• la volonté de diminuer les coûts d'exploitation (était notamment évoquée la réduction du travail
posté),

[Link] Les besoins

En raison du caractère prospectif du projet DIAGPEV, le recueil des besoins n'était pas un impératif
absolu. Nous passons tout de même en revue les besoins recueillis au cours de différents entretiens.

Les besoins exprimés par la gestion financière ont davantage trait à la capitalisation des acquis en
matière d'exploitation du procédé de vitrification. ------

Les principaux besoins formulés par la gestion technique (les ingénieurs d^exploitation) sont :
• la synthèse des mesures issues des essais pour capitaliser et gérer l'archivage des données de
campagnes,
Le projet DIAGPEV et ses enseignements 103

• la maîtrise accrue des paramètres de fonctionnement pour garantir la qualité du verre produit.

Les opérateurs de conduite ont des besoins plus immédiats, en particulier une meilleure gestion des
alarmes, et la résolution des problèmes de perte temporaire de certaines mesures. Les opérateurs
supervisent le PEV en salle de contrôle et en local, où de nombreuses mesures (notamment les débits
d'eau de refroidissement) ne sont pas transmises au SNCC. La présence de l'opérateur est requise
pour effectuer les prises d'échantillons, surveiller le bon fonctionnement général des appareils, et
effectuer les tâches requises pendant la phase de coulée, qui est une phase transitoire du processus
(se référer en annexe II).

[Link] Les contraintes

Les contraintes de développement du système de diagnostic sont :

• le procédé est semi-continu (cycles d'alimentation et de coulée qui perturbent les paramètres de
fonctionnement de la vitrification),
• l'exploitation du processus dans de nombreuses configurations de marche,
• une évolution continue de l'instrumentation, au gré des besoins en recherche et
développement,
• des perturbations aléatoires mais bien connues, qui se traduisent par des pertes de mesure en
acquisition ; ce phénomène peut persister sur plusieurs périodes d'échantillonnage,
• la migration du système de contrôle-commande en cours de projet (remplacement du système
de contrôle-commande TDC 2000 par le TDC 3000 qui est plus récent et de coût de
maintenance très inférieur),
• la prise en compte des caractéristiques de l'installation de production de déchets réels en début
de projet de manière à faciliter la conception d'un système d'aide au diagnostic sur cette
seconde installation.

[Link] Les solutions proposées

Le Laboratoire d'Informatique Appliquée se propose de mettre en application les fonctionnalités de

détection, de filtrage et de diagnostic de dysfonctionnements, mises au point dans le cadre du
programme DIAPASON.

[Link] Les risques

Les risques sont multiples :

• l'installation n'est pas conçue pour recevoir un système de diagnostic ; un aménagement est
nécessaire pour "brancher" le futur système d'aide,
• les techniques mises en œuvre dans DIAPASON peuvent être mal adaptées au PEV (le caractère
semi-continu de la partie vitrification rend problématique l'emploi du modèle PROTEE, qui n'est
valide que dans une zone restreinte du domaine de fonctionnement du processus et surtout qui
est conçu comme un simulateur de systèmes continus),
• le programme de changement de système de contrôle-commande rend plus complexe la
gestion du projet (de nombreuses modifications sont prévues, notamment au niveau de
l'instrumentation) ; cela nécessite une collaboration étroite avec la maintenance et la gestion
technique, ainsi que des contraintes supplémentaires de délais de migration,
• le PEV fonctionne sur le même principexjue l'installation réelle à La Hague, mais dé nombreuses
particularités doivent être prises en compte. Il faut, en effet, considérer les spécificités de chaque
installation, non pas seulement sous l'angle des appareils, mais également de l'organisation du
104 Chapitre III : Propositions méthodologiques

travail au niveau de la production (conduite essentiellement sur écrans, répartition des rôles au
sein de l'équipe, etc.), les différences dans les modes d'exploitation (exploitation par campagnes
d'essais pour l'installation PEV),
• la part de recherche et développement impliquée est importante : la conception implique
notamment des études de faisabilité technique pour chacune des fonctions retenues,

Visiblement, les risques sont importants. Etant donné que ce projet doit évoluer dans un cadre de
recherche et développement, ces risques sont admis.

III.3.1.6 La gestion du projet

Le projet DIACPEV est organisé en quatre lots, qui correspondent à des catégories de tâches à
réaliser :
• étude du PEV et constitution d'un référentiel technique : il s'agit de répertorier les
connaissances disponibles, de construire une représentation regroupant les principales
caractéristiques fonctionnelles, structurelles (l'installation, son instrumentation, etc.), et
opérationnelles du PEV et de son exploitation (la gestion par les opérateurs), de manière à
constituer une base de connaissances de référence pour l'ensemble des intervenants du projet.
La modélisation du PEV selon la méthode SAGACE est retenue (se reporter au chapitre IV qui en
présente un descriptif) ; l'analyse des modes de défaillance et de leurs effets selon la méthode
AMDE est prévue, de même que l'analyse des tâches opérateur,
• définition de la structure d'accueil informatique : le choix de la structure informatique est fait
en fonction de l'installation de production réelle. Il s'agit de choisir un des deux environnements
industriels de supervision G2 ou RTWORKS, qui intégrera les modules PROTEE, MINOS et
METHYS ; il s'agit ensuite d'étudier la connexion d'une machine autonome sur le SNCC du PEV,
puis de concevoir l'interface homme-machine, d'intégrer les modules dans l'environnement et
d'établir fa connexion en ligne du système d'aide et du SNCC,
• réalisation à court terme d'un système de diagnostic : il s'agit de spécifier les besoins logiciels,
de réaliser les modules PROTEE, MINOS et METHYS sur une partie réduite de l'installation, de
mettre au point l'ensemble des modules, puis de former les opérateurs,
• réalisation complète du système de diagnostic : il s'agit ici de reprendre les jalons du lot
précédent et d'étendre le système de diagnostic à l'ensemble du PEV.

III.3.2 Enseignements
Le projet DIAGPEV a essentiellement un caractère exploratoire, c'est-à-dire que l'on cherche à évaluer
des fonctionnalités nouvelles de diagnostic en situation réelle, par le biais de la mise en application de
techniques directement issues de recherches sur une installation de taille modérée. C'est un projet qui
répond d'abord à des motivations de la gestion financière et pas nécessairement aux besoins
immédiats des activités de gestion technique, de production et de maintenance.

Si l'on se place dans une autre perspective, celle de la conception d'un système d'aide dans une
logique industrielle, il faut d'abord se demander si les caractéristiques du système de production s'y
prêtent :
• accès difficile à l'installation (délocalisation de la salle de contrôle et de l'installation, installation
dont l'accès est réglementé, comme dans le nucléaire),
• installation traitant de grandes quantités de matière,
• procédé comportant une part de risque (emballement de réaction, et plus généralement les
phénomènes à "évolution exponentielle" [REASON 93]), qui implique des dispositions
Le projet DIACPEV et ses enseignements 105

particulières de sécurité, des temps de réaction les plus courts possibles et la mise en place de
stratégies adaptées,
• exigences de qualité sévères (produits devant répondre à des spécifications précises, dont les
zones de tolérance admises sont étroites),
• installation fortement automatisée (exploite peu la dimension opératoire des opérateurs),

Un des inconvénients de l'analyse de besoins est de supposer à peu près cerné le produit qui devra
être réalisé (le besoin contient sa réponse attendue, en quelque sorte : le besoin de capitalisation des
mesures sur le PEV suppose la mise en place d'un système informatique dédié, restent à définir le
type de machine, le type de support de sauvegarde, le coût, etc.).

Quand doit-on introduire l'idée d'une aide à l'opérateur? Cette interrogation est en réalité cruciale
sur la manière d'aborder le problème de la justification de l'aide : on peut décréter qu'il faut une aide
puis la réaliser, en supposant que son utilité émergera en fin de projet; on peut également se
demander quels sont les besoins exprimés ou latents, et peuvent-ils être résolus par une aide en
particulier ou bien est-il plus pertinent de rechercher d'autres solutions ?

Nous privilégierons la seconde approche, qui est certes plus exigeante quant aux efforts qu'elle
suppose, mais ne fait aucune hypothèse a priori sur les solutions à envisager. L'ensemble des acteurs
de l'entreprise doit être impliqué, cela nécessite la hiérarchisation des besoins selon les acteurs
interrogés (gestion financière, gestion technique, production et maintenance).
106 Chapitre III : Propositions méthodologiques

111.4 DECOUPAGE DU PROJET

Nous insisterons plus particulièrement sur l'importance de nous assurer que les spécifications de l'aide
ont été correctement mises en évidence. C'est, selon nous, la phase critique dans un projet d'aide,
car en phase de développement, les étapes successives de prototypage ne servent qu'à ajuster les
caractéristiques de l'aide, c'est-à-dire rattraper les lacunes d'une spécification partielle (le cycle de
développement en spirale se prête bien à des prototypages successifs), mais c'est bel et bien la phase
de spécification qui donne l'orientation générale au projet : l'adoption d'un cycle de développement
en spirale ne dispense aucunement de correctement orienter le projet, au contraire ... Le prototypage
est presque une nécessité pour ces systèmes informatiques qui ont pour principale raison d'être de
fournir un support informationnel à l'opérateur. C'est généralement un moyen d'orienter, de manière
empirique, les options choisies et de les valider au travers du filtre que sont les opérateurs.

Bien entendu, le développement du système pose des problèmes de faisabilité technique, que nous
avons d'ailleurs évoqués dans le chapitre II, mais ce chapitre sera principalement centré sur les aspects
spécification et orientation préliminaire.

Le processus de conception sera envisagé au travers des phases suivantes :

• en phase 1 , la spécification des objectifs,
• en phase 2, la rédaction du cahier des charges fonctionnel au niveau duquel sont définies les
spécifications de l'aide,
• en phase 3, l'expression des solutions proposées en termes de choix des techniques et
d'environnement,
• en phase 4, l'étude de faisabilité des diverses solutions et conception préliminaire engagée
avec la construction du référentiel de connaissances correspondant,
• en phase 5, le développement des solutions, c'est-à-dire la réalisation des modules et
l'intégration dans l'environnement logiciel choisi,
• en phase 6, l'industrialisation du système, c'est-à-dire la mise en ligne du système d'aide.

Chacune de ces phases est abordée, dans les paragraphes suivants.

Spécification des objectifs 107

111.5 PHASE 1 : SPECIFICATION DES OBJECTIFS

Nous partons du principe que le choix du produit à concevoir n'est pas arrêté et qu'il s'agit, dans
cette phase, d'en définir les caractéristiques générales.

La démarche préconisée consiste à envisager l'ensemble des approches, y compris l'analyse

fonctionnelle de besoin, pouvant servir à mettre en lumière les objectifs. Utilisées de façon
complémentaires, ces approches doivent permettre de s'assurer que les caractéristiques du système à
concevoir seront correctement spécifiées.

Mis à part le recueil des motivations de la gestion financière, nous avons recensé cinq méthodes
d'analyse :
• spécification des aides à apporter relativement à des tâches confiées aux opérateurs, qualifiée
d'approche par les tâches,
• prise de contact avec la gestion technique pour essayer de tracer les contours du projet, c'est-à-
dire adopter une approche par les attentes,
• réponse à des erreurs humaines, c'est-à-dire adopter une approche par les problèmes,
• définition des améliorations à apporter pour la gestion technique, c'est-à-dire adopter une
approche par les besoins,
• spécification du type d'aide à concevoir, c'est-à-dire adopter une approche par les
fonctionnalités.

L'identification du projet revient alors à tracer les contours grâce aux attentes et aux tâches qu'ils
souhaiteraient voir assistées, à détailler par une analyse des besoins puis à vérifier par l'analyse des
problèmes posés aux opérateurs. Cela permet notamment de mettre en évidence les contradictions
avant le lancement effectif du projet.

Il 1.5.1 Recensement des motivations

Les acteurs de l'activité de gestion financière s'intéressent principalement aux aspects économiques et
stratégiques de l'entreprise. Ce sont eux qui décident des grandes orientations, des évolutions
mineures et majeures à apporter au niveau des activités de gestion technique, de production et de
maintenance. Recueillir leurs motivations est une étape initiale dans tout projet : il s'agit de
déterminer quels sont les objectifs généraux qui les intéressent plus particulièrement, quelles sont
leurs insatisfactions par rapport à leurs préoccupations principales - les coûts d'exploitation, les coûts
de maintenance, la valeur commerciale du produit fabriqué, la position stratégique de l'entreprise,
etc.

Il s'agit ainsi de placer le projet d'aide dans le contexte économique et stratégique de l'entreprise.

111.5.2 Approche par les tâches

Pour avoir une idée du profil de tâches les plus fréquemment effectuées, une approche peut consister
à faire l'analyse des tâches effectuées par les opérateurs (tâches de transition d'états, tâches de suivi,
tâches de diagnostic et tâches de compensation), et à indiquer celles qui impliquent plus
particulièrement l'exécution de certaines actions (dimension opératoire), celles qui nécessitent la
coordination entre opérateurs (dimension collective), et celles qui demandent l'élaboration d'une
décision (dimension cognitive).
108 Chapitre III : Propositions méthodologiques

La fréquence d'occurrence des types de tâches est une caractéristique du processus de fabrication tel
qu'il a été conçu (pour le PEV, les tâches de transition sont régulières), mais les dimensions
impliquées dans la réalisation de chacun des types de tâches sont caractéristiques des opérateurs. Ce
qui signifie que l'on peut ainsi espérer avoir une "empreinte" de l'interaction complexe entre
l'opérateur et le processus de fabrication. Cette étude doit servir à dégager des tendances sur la façon
dont les opérateurs gèrent le processus de fabrication et les dimensions de l'activité les plus
sollicitées.

Cette analyse permet d'indiquer où se concentre principalement l'activité de l'opérateur puisqu'une

tâche peut requérir les trois dimensions. Elle ne permet pas de privilégier une dimension vis-à-vis des
autres. C'est plus une analyse pour comprendre que pour spécifier une aide.

Cependant, l'analyse pourrait être menée en plaçant en salle de contrôle des observateurs chargés de
répertorier les comportements des opérateurs dans la grille décrite dans le tableau 111.1 Ce tableau de
correspondances entre types de tâches et dimensions de l'activité fournit une image des zones
d'activité les plus sollicitées par l'opérateur dans le cadre de ses tâches. Il nous semble que cette
analyse est faisable et qu'elle pourrait fournir de bons indicateurs de la répartition de l'attention de
l'opérateur, et de l'importance de la communication entre opérateurs.

Tâches de Tâches de Tâches de Tâches de

Dimensions
compensation diagnostic suivi transition

+++ +++ ++ +++ collective

++ +++ + + cognitive

+++ ++ +++ +++ opératoire

Tableau III.1 : Tableau de correspondances entre tâches et dimensions (tiré de l'étude du PEV).

Ce tableau est issu d'une analyse qualitative des tâches opérateur en salle de conduite du PEV. Ce
n'est qu'une première approche, mais qui fournit tout de même des indications intéressantes, elle
met notamment en évidence les dimensions de l'activité les plus sollicitées. Il est intéressant de
constater que la dimension collective, de même que la dimension opératoire, interviennent de
manière importante dans tous les types de tâches. En effet, ce prototype sert à effectuer des essais
technologiques par campagnes et il est soumis à de fréquents changements de régime de
fonctionnement (se reporter à l'annexe II). Une étude statistique (fréquence des interventions de
l'opérateur dans chacun des types de tâches et mise en œuvre de chacune des activités) devrait
permettre d'affiner cette répartition et en donner ainsi une image plus proche de la réalité de cette
répartition.

Une approche par les tâches revient à déterminer quels sont les types de tâches qui sollicitent le plus
une dimension de l'activité opérateur par rapport aux autres. Si cette cartographie s'avère
intéressante pour avoir une vue instantanée de la répartition des activités humaines selon les tâches,
Spécification des objectifs 109

celle-ci est susceptible de varier en fonction de l'expérience. Même s'il était possible de déterminer
quantitativement la contribution de chacune des dimensions pour chacun des types de tâches, il ne
nous parait pas souhaitable d'orienter le projet d'aide uniquement là-dessus.

111.5.3 Approche par les attentes

L'approche par les attentes consiste à envisager une aide privilégiant une ou plusieurs dimensions de
l'activité de l'opérateur :
• il peut être question de centrer le projet sur l'amélioration des conditions d'exécution des
procédures, ce qui intéresse spécifiquement la dimension opératoire,
• le projet peut être orienté vers des aides à la décision, qui correspondent à la dimension
cognitive,
• enfin, le projet peut être centré sur l'amélioration des conditions du travail collectif, qui relève
spécifiquement de la dimension collective.

Les résultats de l'analyse décrits dans le tableau 111.1 peuvent être exploités pour déterminer quelles
sont les dimensions les plus sollicitées. En partant de l'hypothèse selon laquelle la dimension la plus
sollicitée pour l'ensemble des types de tâches indique le "lieu" où la charge de travail est la plus
importante, il est légitime de s'orienter vers une aide à cette dimension.

Par exemple, dans les centrales nucléaires, l'activité des opérateurs est restée très opératoire de
manière à :
• éviter la complexification que l'automatisation à outrance aurait pu engendrer,
• maintenir le niveau de connaissances des opérateurs en leur évitant d'entrer dans la routine,
• éviter de placer l'opérateur dans une situation de décision qui risque de conduire à l'accident.

Ainsi, la dimension opératoire des opérateurs est particulièrement sollicitée ; on s'en rend compte par
le quantité de procédures existantes et régulièrement remises à jour. Les aides que l'on trouve le plus
souvent sont justement des aides à l'exécution de procédures (se référer au chapitre II).

Cette approche peut donc constituer un cadrage du projet ; elle est réalisée par des entretiens avec
les personnes qui ont initié le projet et également avec les exploitants.

111.5.4 Approche par les problèmes

Les problèmes exprimés par la gestion technique sont en général les révélateurs d'un mauvais
fonctionnement du processus : les incidents qui augmentent les coûts et réduisent le taux de
disponibilité de l'installation, un niveau de qualité des produits difficilement maintenu. Elles peuvent
avoir pour causes : des erreurs de conception, des erreurs humaines (des activités de production ou
de maintenance), des défaillances techniques, un mauvais encadrement, ainsi que des causes
externes au système de production (matières premières non conformes, par exemple) [MILL 92].

Nous avons choisi d'axer notre démarche en partant de l'étude des erreurs humaines, plus
particulièrement celles des opérateurs de conduite. La raison en est évidente : c'est un aspect saillant
qui Interpelle l'industriel car les erreurs humaines se traduisent en termes de performance et de sûreté
de fonctionnement, d'un autre côté, les erreurs sont le signe de difficultés ressenties par l'opérateur.
Notre hypothèse de travail est que l'aide doit se focaliser sur certains aspects du raisonnement et de
comportement de l'opérateur pour lesquels des faiblesses auront été repérées. L'erreur humaine
devient alors le révélateur à partir duquel sera engagé un dialogue avec les activités de gestion
110 Chapitre III : Propositions méthodologiques

technique et de production. L'objectif qui nous parait réaliste pour justifier et entamer une
spécification des objectifs de l'aide consiste donc à mettre en évidence les erreurs humaines afin d'en
prévenir les conséquences les plus néfastes pour la performance et/ou la sûreté.

L'analyse des problèmes en termes d'incidents n'est pas triviale car il s'agit d'évaluer la contribution
humaine à ces incidents. Une des premières étapes consistera donc à distinguer les défaillances des
appareils des défaillances humaines. Ensuite, au niveau des défaillances humaines, il faut distinguer ce
qui relève d'erreurs actives (associées à l'activité des opérateurs, et dont les effets se font ressentir
presque immédiatement) et les erreurs latentes, qui sont le fruit de l'activité des personnels de
maintenance, des concepteurs, décideurs, directeurs, etc. qui participent ou ont participé - de près ou
de loin - à la construction du processus et à son utilisation {REASON 93]. Les conséquences néfastes
des erreurs de conception peuvent demeurer longtemps en sommeil et se manifester par un concours
de circonstances mêlant défaillances physiques et erreurs des opérateurs.

Quelles sont les erreurs qui doivent nous intéresser plus particulièrement ? : les erreurs actives qui
sont difficilement corrigées par l'opérateur, c'est-à-dire celles qui peuvent induire des effets non
maîtrisés. En analysant les erreurs commises par l'opérateur (par exemple par la méthode de l'analyse
des protocoles, qui consiste à faire exprimer l'opérateur en situation de travail puis analyser les erreurs
qu'il commet), il doit être possible de déterminer les erreurs qui reviennent le plus souvent, et celles
qui surviennent plus particulièrement lors des postes de jour et celles qui surviennent lors des postes
de nuit. Une telle analyse n'a pas été menée, à notre connaissance. Pourtant, ce type d'analyse se
révélerait certainement fécond en enseignements : l'évaluation des taux d'erreurs en fonction des
rythmes biologiques des opérateurs, de sorte à leur proposer une aide adaptée non pas seulement à
leur activité, mais également à leurs capacités fonctionnelles. C'est, il est vrai, un point qui est
généralement peu soulevé, et qui pourtant est d'importance : les grands accidents industriels se sont
tous déclarés la nuit ! Quel type d'aide pour un travail posté de jour ? Quel type d'aide pour un travail
posté de nuit ?

L'analyse des incidents permet de se concentrer sur certains types d'erreurs, celles qui n'ont pas été
corrigées (événements humains et combinaison de défaillances physiques qui ont amené au
phénomène redouté). Fort heureusement, l'occurrence d'incidents est faible, ce qui signifie qu'un bon
nombre d'erreurs sont récupérées par l'opérateur ou sont "absorbées" par le processus. La difficulté
est que peu d'erreurs sont non récupérées. Il est donc difficilement envisageable de définir une aide
sur la base des erreurs ayant conduit à un incident. Il est toutefois possible de définir une aide à partir
d'une analyse des conséquences redoutées telle que la propose Neboit et al [NEBOI 90].

[Link] La démarche d'analyse de Neboit

La démarche proposée par Neboit et al. peut fournir des indicateurs pertinents quant au type d'aide
à apporter aux opérateurs. Elle consiste en l'analyse des incidents répertoriés au travers des
dysfonctionnements humains, en partant de l'analyse du processus de fabrication : erreurs de
perception, d'évaluation, de planification, d'exécution. C'est une démarche itérative utilisant
principalement les méthodes fiabilistes appliquées à l'opérateur : l'AMDE et les arbres de défaillances.

La méthode ÀMDE, pour Analyse des Modes de Défaillance et de leurs Effets, permet de recenser les
défaillances pouvant survenir sur chacun des appareils de l'installation, et d'en expliciter les causes.
C'est une méthode inductive car elle propose d'aller du local vers le global : il s'agit d'analyser les
comportements dysfonctionnels sur chacun des appareils puis d'en analyser les causes (l'appareil
Spécification des objectifs 111

subit la perturbation provenant des appareils amont) et les conséquences potentielles, c'est-à-dire les
effets induits sur les appareils avals, ainsi que sur l'ensemble du système. .

La méthode des arbres de défaillances met l'accent sur les enchaînements d'événements
dysfonctionnels et leurs combinaisons qui conduisent à des événements redoutés. La méthode
permet de structurer ces événements sous forme d'arborescences avec, au sommet, l'événement
redouté, et à la base les événements initiaux. C'est une méthode deductive car elle focalise
progressivement sur les événements élémentaires nécessaires - mais non suffisants s'ils surviennent
seuls - à l'apparition de l'événement redouté. L'ouvrage de Villemeur recense et décrit les principales
méthodes d'analyse de sûreté [VILLEM 88].

Elle est décrite au travers des cinq étapes suivantes :

• l'étape préliminaire vise à se forger une description du processus de fabrication, par analyse
fonctionnelle et structurelle, des fonctions automatisées et des tâches assignées aux
opérateurs ; Neboit et al. utilisent la méthode des diagrammes blocs (description du système
physique en termes de fonctions et de flux de matière et d'énergie) et les graphes de fluence
(description de la répartition des tâches décisionnelles en tâches humaines et tâches
automatisées) pour avoir une compréhension générale du processus ; d'autres méthodes
peuvent être employées (se référer au chapitre IV qui est consacré au recueil des connaissances,
et plus particulièrement aux méthodes d'analyse),
• la première étape vise l'analyse qualitative des dysfonctionnements, sans chercher à isoler les
défaillances des appareils ou des hommes ; elle consiste en l'analyse des modes de défaillance
(AMDE) et la construction de scenarii pouvant conduire à chaque dysfonctionnement retenu, à
l'aide de la méthode des arbres de défaillance (combinaison des événements techniques et
humains), et enfin sélection des dysfonctionnements critiques qui devront être plus finement
analysés, selon leur degré de gravité, leur fréquence d'occurrence et leur origine (seuls seront
dorénavant considérés les événements initiés par les opérateurs qui peuvent causer les
dysfonctionnements recensés). Cette combinaison AM DE et arbres de défaillance permet de
recenser les dysfonctionnements et de repérer les plus critiques, puis de considérer les
enchaînements d'événements qui participent à leur occurrence,
• l'analyse des dysfonctionnements des opérateurs est ensuite envisagée. Elle consiste à
sélectionner les événements humains qui ont conduit aux dysfonctionnements humains retenus,
puis à construire les scenarii qui peuvent expliquer ces dysfonctionnements (la méthode des
arbres de défaillances permet de décrire l'enchaînement des événements qui conduisent aux
dysfonctionnements). Cette étape d'analyse correspond à une étape d'affinage de l'arbre de
défaillance précédemment construit,
• la troisième étape reprend les résultats de la précédente et détaille les causes de
dysfonctionnement. Elle est basée sur l'analyse des erreurs de raisonnement qui ont abouti aux
dysfonctionnements (les erreurs commises par l'opérateur dans la prise d'information et
l'exécution de procédures),
• la synthèse des résultats débouche sur la proposition de solutions minimisant les risques de
dysfonctionnement du système de production en empêchant certains événements d'avoir lieu.

La figure 111.2 schématise les diverses étapes de ce processus.

112 Chapitre III : Propositions méthodologiques

Analyse du processus de fabrication

Tâches operateurs et tâches

automatisées I
Analyse globale des dysfonctionnements
I
Scénarii de
mauvais
fonctionnement

(Événements techniquèS)

Analyse ergonomique des

Hors champ d'étude
dysfonctionnements

Scenam
d'événements
humains

Analyse cognitive du travail

Scénarii "cognitifs" de
dysfonctionnement de
l'opérateur

I
Propositions d'améliorations
I

Figure 111.2 : Méthodologie d'analyse des dysfonctionnements des opérateurs.

C'est à l'issue d'une telle analyse que l'on peut discerner les erreurs commises par les opérateurs et
mettre en lumière celles sur lesquelles il convient de porter l'attention.

D'autres approches fiabilistes peuvent permettre de déboucher sur une évaluation quantitative des
erreurs humaines. Elles sont décrites dans le paragraphe qui suit.

Il [Link] Autres approches

Ces autres approches utilisent également des méthodes d'analyse fiabiliste mais elles ont un caractère
prévisionnel car Utilisées pour évaluer les risques d'une erreur de l'opérateur effectuant une tâche.
Spécification des objectifs 113

Les étapes d'une analyse prévisionnelle de la fiabilité humaine sont : la recherche des erreurs
humaines potentielles, la sélection des erreurs pertinentes, puis leur analyse détaillée, c'est-à-dire
l'étude probabiliste des erreurs. L'expérience accumulée sur les systèmes à haut degré de sûreté, en
particulier dans le nucléaire, peut être une base de recherche des erreurs humaines ; en effet, les
contraintes de sûreté sont telles que les événements anormaux sont soigneusement répertoriés et
analysés. Il existe donc une base sur laquelle une analyse objective peut être entamée. La sélection
des erreurs pertinentes se fera sur [VILLEM 88] :
• leurs conséquences : l'erreur mène-t-elle directement à l'événement indésirable ou bien doit-
elle être combinée avec des défaillances ou d'autres erreurs ?
• la probabilité des défaillances ou des autres erreurs avec lesquelles elle doit être combinée
pour aboutir à l'événement indésirable,
• la probabilité de l'erreur elle-même.

Il sera ainsi possible d'orienter le projet d'aide en se guidant de ces critères. Cette analyse constitue
un moyen de cadrer les problèmes et un moyen de mettre en évidence les priorités d'une
intervention.

De nombreuses méthodes d'analyse des risques humains sont actuellement employées. Ce sont, par
exemple, des méthodes comme THERP ou SHERPA d'analyse quantitative des erreurs humaines
[FADIER 90] [VILLEM 88] (une description de ces méthodes est proposée dans le chapitre IV). Ces
méthodes permettent d'évaluer la probabilité d'apparition d'erreurs humaines dans une tâche.

Ces méthodes nécessitent un découpage fin des tâches, ainsi que l'intervention de spécialistes en
fiabilité. C'est pourquoi leur utilisation, dans le cadre de la spécification des objectifs de l'aide à
l'opérateur, peut s'avérer longue et délicate.

il 1.5.5 Approche par les besoins

L'approche par les besoins vise à recueillir les insatisfactions exprimées et à envisager les
améliorations correspondantes. Ces dernières ont été classées, dans le second chapitre, en fonction
des dimensions de l'activité humaine et des types d'erreurs associés.

L'approche par les besoins peut fournir des indicateurs intéressants si elle est établie par des
personnes autres que les concepteurs (afin d'éviter les biais consistant à ne relever que les besoins
auxquels ils peuvent apporter une solution). Dans l'idéal, il faudrait demander à l'ensemble des
acteurs de l'entreprise d'indiquer les manques, les insatisfactions, ce qu'ils souhaiteraient voir
améliorer. S'il y a recouvrement avec les améliorations que peut apporter une aide, l'analyse pourra
alors être poussée plus avant. La méthode de recueil privilégiée est l'entretien.

Besoins de la gestion financière

Les besoins de la gestion financière sont relatifs à des coûts d'exploitation, des coûts de maintenance,
l'assurance que le produit fabriqué réponde au marché, etc. Le besoin peut être à caractère
stratégique : la capitalisation des connaissances, comme actif de l'entreprise.

Besoins de la gestion technique

L'activité de gestion technique se préoccupe davantage de la gestion des matières, dés incidents, etc.
Elle met en accord les décisions de la gestion financière en termes d'objectifs de production, de
gestion de la disponibilité de l'installation, etc.
114 Chapitre III : Propositions méthodologiques

Ses besoins s'expriment donc dans ce cadre : augmentation de la disponibilité du système de

production et de la sécurité, augmentation de la productivité et réduction des rejets, etc.

Besoins de la production

L'activité de production regroupe principalement les opérateurs de conduite. Leurs besoins

s'expriment en termes de gestion au quotidien du fonctionnement du processus de fabrication.

Besoins de la maintenance

Le personnel chargé de la maintenance intervient sur requête des opérateurs ou bien de façon
programmée pour assurer la disponibilité du processus de fabrication. Leurs préoccupations sont liées
aux problèmes de diagnostic des pannes et de réparation des appareils.

Tableau récapitulatif

Une grille faisant la synthèse de l'analyse des besoins doit ensuite être établie ; il s'agit de mettre en
regard l'ensemble des résultats, et de mettre en évidence une tendance. A titre d'exemple, le tableau
111.2 recense les besoins exprimés par l'ensemble des acteurs du PEV.

Gestion Gestion Production Maintenance

financière technique

Aide au travail • • • •
collectif

Aide à
• • • •
l'anticipation

Aide à
l'adaptation • • • •

Aide au Valeur ajoutée au

Assurance de la
diagnostic processus de
qualité du verre
• •
vitrification

Aide à la Interface plus

représentation • • conviviale •

Aide à l'exécution • •
de procédures • •

Capitalisation Synthèse des *

— des •
données d'essais
connaissances

Tableau 111.2 : Résultats d'une analyse de besoins (DIAGPEV).

III.5.6 Approche par les fonctionnalités

L'approche par fonctionnalités a jusqu'ici été la plus pratiquée. L'objectif du projet est spécifié par un
type d'aide à concevoir : ; . _
• soit le projet consiste à tester certaines techniques "pour voir", c'était le cas du projet DIAGPEV,
Spécification des objectifs 115

• soit les objectifs sont clairement identifiés, le projet consistera à préciser les caractéristiques du
système.

Le projet ALLIANCE a démarré en 1986 et regroupait plusieurs laboratoires et entreprises françaises

[LAPPA 89]. Les objectifs qui ont motivé ce projet ont été : le besoin de systèmes d'aide à la conduite
capables de fournir une analyse de la situation plus élaborée que les informations fournies jusqu'ici
par les systèmes de contrôle-commande et la nécessité de définir une interface de communication
adaptée à l'opérateur. Ce projet était fortement novateur en ce sens qu'il était un des premiers à
mettre en œuvre des techniques issues de la physique qualitative, de l'automatique et de nouvelles
approches d'interfaces homme machine. Le projet a donné lieu à un prototype simulant un
fonctionnement en ligne à l'aide de fichiers, de mesures enregistrées sur l'installation réelle.

III.5.7 Une classification

Les approches par les tâches, les attentes, les problèmes, les besoins et les fonctionnalités ont été
classées en fonction d'un degré de liberté de choix de type d'aide qu'elles autorisent. L'approche par
les tâches laisse une ouverture assez grande puisqu'elle peut nécessiter la mise en œuvre de
l'ensemble des dimensions de l'activité de l'opérateur (opératoire, individuelle, cognitive et
collective), donc l'ensemble des aides. L'approche par les attentes, quant à elle, met l'accent sur une
dimension particulière, et doit être affinée si le choix se porte vers une aide à la dimension cognitive.
L'approche par les problèmes et les besoins laisse peu de liberté au concepteur. L'approche par les
fonctionnalités vient évidemment en dernière position puisque les fonctionnalités sont alors imposées
(figure III.3).

Il ne s'agit pas de préférer une approche de spécification par rapport à une autre, en fonction du
degré de liberté qu'elle offre, il y a plutôt tout intérêt à contraindre le projet. Il nous semble que
toutes les approches doivent être explorées pour avoir le plus de chances de cerner correctement les
objectifs. La définition claire des objectifs est à ce prix.

L'interrogation du personnel de gestion financière permet de cerner ses motivations et ses besoins,
l'interrogation du personnel de gestion technique fournit des précisions sur ses attentes et ses
besoins, l'interrogation du personnel opérationnel permet de recueillir les insatisfactions, analyser les
tâches ainsi que les dimensions de l'activité impliquées, les difficultés et les problèmes qu'il rencontre,
sous l'angle de ces erreurs.
116 Chapitre III : Propositions méthodologiques

Type d'approche

par les tâches Tâches

Dimensions
par les attentes de l'activité

par les problèmes Erreurs

par lest Améliorations

I par les fonctionnalités Aides

informatisées

. Degrés de liberté

Figure III.3 : Identification du projet par focalisation.

Un point qui a son importance et que nous avons passé sous silence, est le suivant : le processus de
fabrication fonctionne-t-il au moment où est lancé le projet d'aide, ou bien est-il en cours de
conception ? Nous nous sommes jusqu'ici placé dans le premier cas, étant entendu que le recueil des
besoins des opérateurs et de la gestion technique, l'analyse des tâches et des erreurs humaines, ne
peuvent être effectués que sur la base de l'expérience des opérateurs et du personnel de gestion
technique. Qu'en est-il pour un processus de fabrication en cours de conception ? La spécification
d'une aide a priori ne parait pas réaliste, elle se limiterait de toute façon à bâtir un système à partir
des motivations de la gestion financière, et absolument pas sur l'expérience des opérationnels ; une
telle aide ne peut prétendre satisfaire ses futurs utilisateurs.

Par contre, ce que l'on peut faire de plus pertinent, dans le cas d'un processus de fabrication en
cours de conception, c'est préparer le terrain pour un futur projet d'aide en faisant l'acquisition des
connaissances et en prévoyant l'ajout de capteurs, etc. Ce sont autant d'éléments qui permettront de
réduire les temps de développement. En effet, une grosse part du projet est consacrée à la
compréhension du processus et à la constitution d'un référentiel technique pour les besoins du
projet; DIAGPEV n'échappe d'ailleurs pas à cette règle. Si l'on pouvait réduire les temps de
construction de ce référentiel, en démarrant le recueil depuis la conception du processus et en
poursuivant ensuite pendant l'exploitation, cela induirait des gains appréciables.

En définitive, concevoir une aide sur un processus existant est plus contraignant que de concevoir
une aide sur un processus lui-même en cours de conception, car il est alors possible de préparer le
processus à recevoir une aide, et les connaissances susceptibles d'intéresser le projet seraient
immédiatement disponibles.
Elaboration du cahier des charges fonctionnel 117

111.6 PHASE 2 : ELABORATION DU CAHIER DES CHARGES

FONCTIONNEL
La conception d'une aide est un processus long qui exige une étroite collaboration entre les
différents acteurs de l'entreprise ainsi que le concepteur. C'est pourquoi l'élaboration du cahier des
charges, en tant que référentiel contractuel dans lequel figure l'ensemble des spécifications, s'avère
cruciale.

Ce cahier des charges est fonctionnel car il décrit principalement les aspects coûts du projet, les
fonctionnalités techniques retenues, les aspects maintenance et les interactions avec le personnel de
l'activité de production.

Les normes1 de conception en vigueur permettent de définir le cadre général d'instanciation du

cahier des charges, que nous utiliserons pour spécifier les caractéristiques requises d'un système
d'aide à l'opérateur.

111.6.1 Définition du projet

La définition du projet permet de préciser son contexte, ainsi que les motivations des industriels.

[Link] L'aide à l'opérateur et son marché

La centralisation de la conduite a engendré une concentration des informations et des commandes

sur des écrans de visualisation en salle de contrôle, ce qui induit la complexification des tâches et
l'évolution du rôle de l'opérateur : la conduite de l'installation s'est progressivement transformée en
supervision. Elle est accompagnée d'une réduction des effectifs, et de l'augmentation de leur charge
de travail. La non performance de l'opérateur peut avoir des conséquences économiques importantes
voir conduire à des situations dangereuses.

Ainsi, l'aide à l'opérateur intéresse paradoxalement l'ensemble des installations fortement

automatisées. Il s'agit de proposer un système capable de fournir des informations plus élaborées que
celles fournies par les systèmes de contrôle-commande actuels. C'est donc un marché
potentiellement très important.

[Link] Le contexte du projet, les motivations

La description du contexte du projet impose à replacer le projet dans la stratégie de l'entreprise. Les
objectifs de l'aide peuvent être :
• le support aux opérateurs en situation normale et surtout dégradée, par l'introduction de
fonctionnalités d'aide dans l'environnement de conduite,
• l'amélioration des conditions de travail des équipes postées.

1
La démarche d'analyse fonctionnelle a fait l'objet de documents normatifs portant sur un guide d'élaboration
(Norme AFNOR NF X 50-151), un vocabulaire (NF X 50-150), qui tient lieu de norme de conception d'un cahier
des charges et diverses recommandations (NF X 50-153).
118 Chapitre III : Propositions méthodologiques

111.6.2 Description fonctionnelle

II s'agit de déterminer les aides à envisager en prenant pour base l'analyse croisée des besoins, des
attentes, des fonctions souhaitées ainsi que des problèmes rencontrés.

L'élaboration du cahier des charges nécessite de passer en revue les points suivants :
• l'énoncé des spécifications du système, qui définit l'exigence fondamentale du personnel de
gestion financière, les limites du projet, la finalité du système d'aide, les utilisateurs plus
particulièrement visés,
• l'environnement du système,
• les fonctions que le système doit remplir,
• les flexibilités, c'est-à-dire les niveaux d'exigence des fonctions souhaitées,
• les contraintes de fonctionnement du système d'aide, par exemple les réglementations, les
normes.

Il [Link] Enoncé des spécifications du système

Les spécifications représentent les limites de l'étude ainsi que les finalités du produit.

Les limites de l'étude portent sur le champ que le projet doit couvrir, c'est-à-dire ce sur quoi l'effort
doit être porté. En règle générale, le champ d'étude est restreint à une portion significative de
l'installation, c'est-à-dire celle qui pose le plus de difficultés aux opérateurs.

Les finalités recherchées peuvent être, par exemple :

• l'augmentation de la disponibilité et de la sûreté de fonctionnement en réduisant les risques liés
à la non performance des opérateurs,
• la réduction du nombre d'opérateurs sans nuire à la productivité et la disponibilité du processus,
• la compensation des insuffisances des systèmes de contrôle-commande en termes d'abstraction
des informations pour la supervision,
• la garantie d'une constance de la qualité des produits.

[Link] Cycle de vie

II s'agit ici de préciser les aspects conception, utilisation et arrêt du système. Sa description incite à
passer en revue les phases fondamentales d'un produit, à savoir : sa conception, son cycle
d'utilisation et son arrêt.

Le cycle d'utilisation de l'aide est l'ensemble des conditions d'emploi de l'aide : l'aide est-elle destinée
à fonctionner en régime établi ou bien doit-elle fournir un soutien dans les phases transitoires ? La
majorité des aides au diagnostic sont conçues pour fonctionner dans une zone de fonctionnement
nominal, cela est dû aux limites inhérentes au modèle.

Cela impose, de la part de la gestion financière :

• de préciser quelles sont les capacités d'évolution souhaitées,
• de replacer ce cycle de vie du système relativement à celui du processus, donc de préciser son
espérance de vie. ; _
Elaboration du cahier des charges fonctionnel 119

[Link] Environnement de l'aide

La spécification de l'environnement permet de définir les interactions au cours de son cycle

d'utilisation. Le système d'aide est certes destiné à être installé en salle de conduite centralisée. La
difficulté est de définir si le système va être implanté sur une machine à part, ou bien intégré dans le
système de contrôle-commande. A terme, il est effectivement question de l'intégrer dans le SNCC.

Son environnement sera, de toute façon, constitué par :

• le processus, qui inclut le procédé de fabrication, l'installation, l'instrumentation, les
automatismes, les moyens de communication entre opérateurs, ainsi que le système de contrôle-
commande. Les caractéristiques de chacune de ces composantes sont importantes à signaler car
elles permettront de définir les grandes lignes du système à concevoir. En effet, le type de
processus (continu, batch ...), la qualité de l'instrumentation ... auront une incidence importante
sur le choix des techniques envisageables,
• l'équipe postée, dont l'organisation est une donnée importante pour déterminer si l'aide doit
être ciblée sur un utilisateur particulier (chef de quart) ou être une aide consultable par
l'ensemble des opérateurs,
• la salle de conduite, qui inclut les panneaux de contrôle et le(s) poste(s) de conduite,
• l'environnement informatique, c'est-à-dire la machine sur laquelle l'aide sera installée, les
liaisons informatiques de communication avec le système de contrôle-commande.

MI.6.2.4 Les fonctions

La description fonctionnelle est la partie essentielle du cahier des charges fonctionnel. Elle constitue
la référence pour l'ensemble des intervenants du projet. Elle joue, en effet, un rôle dans la bonne
compréhension pour le concepteur de ce qui est souhaité par le demandeur. Sa structuration et sa
présentation sont ici déterminantes.

Deux types de fonctions sont classiquement considérées : les fonctions d'usage et les fonctions
d'estime. Les fonctions d'usage sont la réponse au désir fondamental ou à l'exigence principale
exprimée. Elles correspondent au service que l'on attend de la part de l'aide. Les fonctions d'estime
ne sont pas directement liées à la satisfaction du besoin fondamental mais apportent un plus.

La typologie des aides décrite dans les précédents chapitres définit en fait une typologie des
fonctionnalités d'aide qui peuvent être demandées par les exploitants : aide à l'exécution de
procédures, aide à la représentation mentale, aide au diagnostic, aide à l'adaptation, aide à
l'anticipation. Si, à l'issue des spécifications, plusieurs types d'aide sont souhaités, il faudra envisager
d'établir des priorités.

[Link] Critères et niveaux de flexibilité

Les critères d'appréciation permettent d'évaluer la qualité des aides proposées en regard des souhaits
exprimés par le personnel de gestion technique. Puisque le domaine de l'aide à l'opérateur est
encore récent, il n'existe pas suffisamment de retour d'expérience pour permettre de dégager des
critères suffisamment fins, sauf peut-être pour les aides à la représentation mentale et au diagnostic,
qui sont plus particulièrement étudiés. Nous distinguerons trois familles de critères : qualité
technique, qualité opérationnelle et qualité commerciale.

La qualité commerciale est commune à l'ensemble des fonctionnalités d'aide. Ce sont la :

120_ Chapitre HI : Propositions méthodologiques

• maintenance : elle exprime la faculté du système à être corrigé, modifié une fois réalisé,
• réutilisation : elle traduit la capacité d'employer l'aide réalisée pour d'autres installations,
• documentation du projet : elle représente le lien entre les différents intervenants et la trace du
projet,
• formation des utilisateurs,

Pour l'aide à la représentation mentale, les critères qui peuvent être invoqués sont :
• en qualité technique (d'après [COUTA 88]) :
* portabilité : "la portabilité placée au niveau du poste de travail signifie la définition d'un
système de fenêtrage standard. La portabilité au niveau des entités de dialogue cache la
diversité des systèmes de fenêtrage. Dans l'attente d'un système de fenêtrage 'officiel', il est
raisonnable de placer la frontière de portabilité au niveau des entités de dialogue",
* extensibilité : l'extensibilité permet au programmeur de définir les objets (graphiques)
adaptés à son domaine,
* personnalisation : exprime la possibilité, pour l'utilisateur, de modifier l'interface sans avoir à
programmer,
* interactivité : exprime la possibilité d'une réponse immédiate et la manipulation directe sur
l'interface.
• en qualité opérationnelle :
* ergonomie : exprime la notion d'adéquation entre les représentations et modes de
représentation de l'utilisateur et l'image fournie par l'interface (densité et structuration des
informations, nombre d'écrans, codage de l'information, etc. ; une synthèse de ces critères
est proposée par [KOLSKI 93]),
* non redondance : dans le cas où l'aide est destinée à être indépendante du système de
contrôle-commande, cette seconde interface doit être clairement différenciée,
* navigation : possibilité de changer de représentation du processus (dans le projet ALLIANCE,
l'interface présentait trois types de vue : "vue synoptique", "vue propagation" qui indique la
manière dont les dysfonctionnements se propagent dans l'installation, et une "vue courbe",
qui fournit une trace des évolutions de variables importantes),
* focalisation : elle exprime la possibilité de passer d'une vue générale de l'unité à une vue à
une vue locale sur un appareil.

Pour l'aide au diagnostic, les critères d'appréciation sont :

• en qualité technique :
* précocité, aptitude à détecter un dysfonctionnement dès son apparition et avant que les
systèmes d'alarmes n'entrent en jeu,
* robustesse, aptitude à distinguer les pannes des erreurs de modélisation et des bruits de
mesure,
* isolabilité, qui regroupe les concepts de discrimination, c'est-à-dire l'aptitude à discriminer
les fausses pannes de l'ensemble de pannes possibles, et d'exactitude, c'est-à-dire aptitude à
inclure la vraie panne dans l'ensemble des pannes possibles,
* sensibilité, qui est l'aptitude à détecter tous les défauts,
* fiabilité : le système de diagnostic ne devrait pas échouer de façon brutale mais voir dégrader
ses performances de manière progressive et toujours fournir des solutions,
• en qualité opérationnelle :
* pertinence : les informations présentées aux opérateurs doivent être suffisantes pour leur
permettre d'évaluer convenablement la situation,
Elaboration du cahier des charges fonctionnel 121

* justification des conclusions : les fonctionnalités d'aide doivent permettre à l'opérateur de

suivre le "raisonnement" effectué par le système,
* exactitude : exprime l'aptitude à fournir la vraie solution parmi un ensemble de solutions
proposées (le diagnostic fournit généralement un faisceau d'hypothèses de
dysfonctionnement),
* paramétrabilité : exprime la capacité d'adaptation à de nouvelles conditions d'utilisation.

La gestion technique peut indiquer quels sont les critères techniques qui le préoccupent le plus :
privilégier la sensibilité par rapport à la robustesse de la détection, préférer l'exactitude ou la
précision des informations fournies par le système de diagnostic. Mais ce sont les caractéristiques du
processus qui déterminent, pour une bonne part, ce qu'il est techniquement possible de réaliser.
Pour l'aspect qualité opérationnelle, sont réunis les critères d'acceptabilité par l'opérateur.

Pour les autres types d'aide, il nous manque encore beaucoup de données pour avoir une idée des
caractéristiques qui qualifient ces aides.

[Link] Les contraintes

Les contraintes sont les limitations à la liberté du concepteur, et servent à préciser les conditions de
réalisation du système. Les contraintes peuvent porter sur les méthodes et les outils à employer, le
respect d'une norme ou d'un règlement, les connaissances disponibles ou encore sur les
techniques à mettre en œuvre. Les connaissances disponibles ont été caractérisées, dans le chapitre
II, à travers les propriétés de résolution et de précision associées aux modèles de connaissances. Les
connaissances disponibles font l'objet du chapitre IV.
122 Chapitre HI : Propositions méthodologiques

111.7 PHASE 3 : EXPRESSION DES SOLUTIONS PROPOSEES

Les solutions exprimées représentent les fonctions techniques que le concepteur propose de
développer, en réponse au cahier des charges fonctionnel. Ces fonctions techniques sont internes au
produit et dépendent de celui-ci. Elles correspondent au rôle, à l'action d'un composant à l'intérieur
du système d'aide et ne contribuent pas explicitement à la satisfaction d'un besoin ou d'une
contrainte du point de vue des gestion financière et technique. Etant interne au produit, elles
résultent d'un choix technique de la part du concepteur. Plus le cahier des charges sera contraint et
plus la latitude d'action sera étroite.

Le choix de ces fonctions relève d'un processus de mise en correspondance des fonctions souhaitées
et contenues dans le cahier des charges, avec les fonctions techniques que le concepteur maîtrise. Ce
choix est le fruit d'une évaluation de ses capacités à garantir la qualité du système à construire, qui
s'exprime en termes de réutilisation, d'adaptabilité, de retour d'expérience, etc.

III.7.1 Les solutions

Pour une aide au diagnostic, les fonctions à implanter relèvent des traitements effectués sur les
données ainsi que de l'interface homme-machine qui sert de support de communication de ces
résultats vers l'opérateur.

[Link] Fonctions techniques

La proposition de fonctions techniques doit classiquement être effectuée après une analyse de la
valeur, côté concepteur. Cette étude a pour but de mettre en correspondance besoins et
propositions.

Les fonctions techniques d'un système de surveillance/diagnostic correspondent aux tâches

primitives d'interprétation, de prédiction, de décision et d'identification. Il est difficile d'attribuer des
critères d'appréciation à ces fonctions élémentaires, c'est pourquoi il nous semble préférable d'en
rester aux critères d'appréciation qui qualifient les étapes de détection et de localisation :
• pour l'étape de détection : la robustesse, la sensibilité, la précocité,
• pour l'étape de localisation : l'isolabilité des défauts, qui est fonction de la discrimination et de
l'exactitude.

[Link] Fonctions d'interface homme-machine

L'interface homme-machine est un maillon très important puisqu'elle représente la seule sortie du
système d'aide. Elle doit donc faire l'objet d'une attention toute particulière, d'autant plus que :
• si l'aide doit être utilisée parallèlement à l'interface proposée par le système de contrôle-
commande (c'est-à-dire s'insérer dans l'environnement de la salle de contrôle), la nouvelle
interface doit compléter l'interface existante et ne pas lui être redondante,
• l'acceptation psychologique et cognitive de l'aide en est fortement dépendante. Il est nécessaire
de penser l'interface en fonction des modes de raisonnement et de représentation des
opérateurs. _ ;

Dans l'idéal, les fonctions que doit pouvoir fournir une interface homme-machine sont :
Expression des solutions proposées 123

• la présentation de vues de synthèse (synoptique de l'installation sur lequel figurent les états de
marche ou des positions d'actionneurs),
• la présentation de vues spécifiques (décrivant les résultats de traitement des fonctionnalités de
diagnostic, d'adaptation et d'anticipation),
• la présentation de l'historique des événements passés sur un horizon temporel donné,
• la possibilité de fournir plusieurs représentations du processus de fabrication, selon différents
niveaux d'abstraction (se référer à l'annexe 1 qui décrit les niveaux d'abstraction tels
qu'envisagés par Rasmussen),
• la représentation des modes causal (les liens de cause-à-effet entre les variables mesurées),
logique (les plans d'actions relatifs à une situation donnée) et horloge (les contraintes de délai de
production).

III.7.2 Facteurs déterminants pour le concepteur

Le concepteur décide de répondre à un appel d'offre en fonction des perspectives d'évolution du
marché et surtout de ses capacités à garantir la réussite du projet. De nombreux critères
interviennent dans sa décision [VALAN 93]. Nous insisterons plus particulièrement sur les critères
généraux suivants :
• la réutilisation indique le niveau de généralité de la solution élaborée (le concept de tâche
générique abordé dans le chapitre II est un des aspects permettant d'aller vers cette généralité, la
distinction entre base de faits et règles d'inférence dans les systèmes experts est un autre moyen
d'aller vers la réutilisation),
• l'adaptabilité en cours d'étude,
• les possibilités de validation,
• l'expérience acquise en conception d'aides,
• les outils logiciels existants,
• les capacités d'évolution,
• le niveau de risque acceptable.

Le concepteur est généralement spécialiste de certaines techniques qu'il maîtrise bien. La conception
est encore trop spécifique à chaque projet pour qu'il soit possible de classer les techniques et outils
existants selon les critères évoqués précédemment (par exemple, le niveau de risque acceptable, qui
définit la part d'inconnu tolerable dans la réalisation du système, est encore mal maîtrisée car tout
projet comporte une forte composante de risque, ne serait-ce qu'en raison des spécificités de chaque
processus industriel. Nous noterons, cependant l'effort mené par certains en manière de recueil
d'expérience pour essayer de faciliter le transfert de compétences acquises sur un projet vers un
autre ; deux exemples permettent de se rendre compte de l'intérêt porté à cet aspect, le projet
ESPRIT 820, et la démarche DRE.

Le projet Esprit 820 vise à constituer une base de connaissance faite de l'expérience de projets d'aide
au diagnostic de processus, retranscrite sous forme de projets d'application génériques et devant
servir comme base méthodologique de conception de systèmes à base de connaissances [LEITC 92].

La démarche DRE (pour Design Requirements Embedding) se veut une approche d'explicitation des
décisions de conception, et se veut une aide permettant à l'utilisateur de comprendre les implications
des modifications de conception souhaitées [VANW 95]. Il s'agît d'un cadre de recueil de l'historique
de la conception d'un système qui intègre expficitement les aspects discussion, négociation, et les
compromis qui interviennent dans un projet.
124 Chapitre III : Propositions méthodologiques

L'expérience acquise au contact de projets d'aide permet de bénéficier du vécu dans la technique, ce
qui permettrait d'en réduire les délais de réalisation, d'améliorer la qualité en corrigeant les erreurs, et
de mieux répondre aux besoins. Le recueil des connaissances de conception est donc essentiel pour
bénéficier pleinement d'un retour d'expérience, surtout quand ces expériences sont peu nombreuses.

ll|.7.4 Facteurs déterminants pour les utilisateurs

II semble bien admis que les systèmes conçus en direction des opérateurs doivent l'être avec leur
participation active tout le long du projet. Pour l'aide au diagnostic, cette implication a plusieurs
avantages : elle privilégie la pertinence du système vis-à-vis des préoccupations des opérateurs, elle
doit permettre de faciliter l'introduction du système en salle de conduite, et enfin elle doit garantir
que l'aide répond effectivement à des critères d'acceptabilité psychologique.
Les phases suivantes 125

111.8 LES PHASES SUIVANTES

111.8.1 Phase 4 : Etude de faisabilité technique
L'étude de faisabilité technique des solutions proposées est une étape importante dans la sélection
des outils les mieux adaptés par rapport aux caractéristiques du processus. Elle consiste à évaluer la
possibilité technique de réalisation d'une aide. Cette étude de faisabilité a plus particulièrement été
envisagée dans le cadre de l'aide au diagnostic : il s'agit, pour le concepteur, de déterminer ce qu'il
est possible de faire, compte-tenu des caractéristiques de l'instrumentation.
Les caractéristiques de l'instrumentation de l'installation définissent la limite de diagnosticabilité du
système. Cette information est importante à connaître car elle permet au concepteur d'avoir une idée
assez précise de ce qu'il est possible de surveiller et ce qui ne peut l'être (en termes de paramètres
mesurés). Cassar et al. propose une méthodologie permettant, par une analyse structurelle de
l'installation, de déterminer quelles sont les mesures sur lesquelles pourra s'appuyer un diagnostic ;
elle autorise également l'étude de la distinguabilité et de la sensibilité des pannes les unes par
rapports aux autres. Cette méthodologie est actuellement implémentée dans l'outil D3 [CASSA 92].

Il 1.8.2 Phase 5 : Développement

Un cycle de développement est en réalité une stratégie de construction d'un système, qu'il soit
logiciel ou autre. On considère généralement que du choix de cette stratégie dépend la qualité du
produit obtenu à l'arrivée. Qu'en est-il en réalité ? Quel cycle de développement est le plus adapté
pour concevoir une aide ? (les figures correspondant aux cycles évoqués sont inspirées de [DUBRI
95]).
Un cycle de développement en cascade part du principe que chaque étape doit être validée avant
de passer à l'étape suivante (figure 111.4). Il est toutefois possible de revenir à l'étape précédente afin
de s'assurer que les résultats de l'étape courante correspondent bien à ce qui était prévu dans l'étape
précédente. Ce qui le caractérise, c'est sa rigidité car il impose une démarche séquentielle. Suivre ce
plan de développement suppose avoir bien cadré son projet.

alsabilité

Conception
détaillée "*~~|

I
Intégration

Implementation
lentatlon --*--.

' fc- Exploitation

F«[Link]

Figure III.4 : Cycle de développement en cascade.

126 Chapitre III : Propositions méthodologiques

Un cycle de développement en V reste fondamentalement une succession d'étapes comme le cycle

en cascade, même s'il comporte des étapes qui sont hors cycle de développement (figure 111.5). Il est
classiquement utilisé en génie logiciel.

Orientation Maintenance

\ Certification
Conception
préliminaire"*""

Conception
détaillée •*"•--•
Validation
— Intégration
I
ifîcation Validation
-Validation
fonctionnelle

\
Conception
é l i i i

Codage
Cycle de développement

Figure III.3 : Cycle de développement (inscrit dans le cycle de vie).

Le cycle de développement en spirale permet un retour sur les étapes initiales (figure 111.6). A partir
des objectifs, pas nécessairement parfaitement définis, ce cycle autorise une construction progressive
du système, et impose de vérifier, à chaque cycle, que les objectifs sont respectés, et que les
alternatives ont été passées en revue. Cela permet d'affiner au fur et à mesure du développement.

(4) Planification des étapes suivantes

Figuré 111.6 : Cycle de développement en spirale:

Les phases suivantes 127

C'est typiquement le type de cycle qui convient pour des projets imparfaitement cadrés, où une part
d'inconnu intervient ; il est d'ailleurs utilisé pour la conception des systèmes à base de connaissances,
car il laisse une certaine latitude d'ajustement au fur et à mesure que l'on progresse dans la
construction du système. En effet, la spécification du projet est particulière à un projet d'aide, mais
l'aspect développement l'est également : " les systèmes ouverts qui sont en interaction avec
l'utilisateur engendrent des niveaux de complexité tels qu'il est difficile de se convaincre que le
problème a été bien posé et que l'aide apportée est valable " [NOTTE 95]. Ermine invoque le fait que
ces systèmes d'aide, qui manipulent des connaissances sont trop complexes pour pouvoir être
spécifiés complètement avant leur réalisation [ERMINE 93] ; Levine et al. considèrent que le processus
de développement classiquement employé est trop rigide et lourd à mettre en oeuvre : "le principal
inconvénient de ces méthodes classiques est que tout le développement repose sur les concepteurs
qui effectuent un travail abstrait à partir de l'analyse de la situation existante, le résultat de ce travail
peut être très bon si le problème de départ est relativement peu complexe, bien structuré et peu
dépendant des individus. Lorsqu'au contraire la situation est fluctuante [par exemple les besoins sont
mal définis, ou encore les besoins évoluent dans le temps, ce qui est typique des systèmes d'aide], le
besoin d'interactivité est grand, on peut alors légitimement douter de la valeur du système qui
finalement sortira des mains des concepteurs" [LEVINE 89].
128 Chapitre III : Propositions méthodologiques

111.9 CONCLUSION
Une des difficultés actuelles en conception est la justification des aides en salle de conduite, au delà
de l'expression des motivations de l'activité de gestion financière qui s'avère insuffisante pour cerner
le bien-fondé d'un tel projet. Des moyens d'identification plus rigoureux des objectifs sont
nécessaires, afin de s'assurer que les besoins exprimés par les différents acteurs entrent bien dans le
champ des aides à la supervision. Il nous semble que la réussite de ce type de projet passe avant tout
par une phase d'analyse des objectifs pertinents, même s'il faut, pour y parvenir, mettre en œuvre
plusieurs méthodes de recoupement :
• le recensement des motivations du personnel de gestion financière, qui fixe les limites du
projet en termes de délais, de coûts, de retour sur investissement, etc.
• l'approche par les tâches, qui privilégie la conception d'une aide centrée sur un type de tâche
donné (quelles sont les tâches qui posent le plus de difficultés au personnel de production),
• l'approche par les attentes, qui met l'accent sur l'orientation souhaitée par le personnel de
gestion technique ; quelle dimension de l'activité des opérateurs faut-il assister : la dimension
opératoire (focaliser sur l'exécution des procédures), la dimension cognitive (proposer une aide
à la résolution de problèmes) ou la dimension collective (orienter l'aide vers une meilleure
coopération des opérateurs) ?
• l'approche par les problèmes, qui est basée sur l'analyse des dysfonctionnements du système de
production, afin de mettre en évidence la contribution de certains types d'erreurs humaines
dans l'occurrence d'incidents,
• l'approche par les besoins, qui privilégie l'expression des souhaits d'améliorations par
l'ensemble des acteurs de l'entreprise,
• l'approche par les fonctionnalités, qui permet d'interroger le personnel de gestion technique
sur le type d'aide qu'il souhaiterait voir réalisé.

Etant donné qu'une aide doit s'insérer dans un contexte organisationnel complexe, il est nécessaire
que l'ensemble des acteurs participent à la définition du projet. La spécification des objectifs est ainsi
effectuée en adoptant différents angles d'analyse, ce qui permet de garantir une certaine cohérence
dans les choix de conception, et surtout la pertinence du projet, même si l'on manque encore de
moyens objectifs d'évaluation.

La conception d'un système d'aide demande certes des investissements importants, mais il faut
plutôt raisonner en termes de valeur ajoutée pour l'entreprise : retour sur investissement pour la
gestion financière, gain en disponibilité et productivité pour la gestion technique, amélioration
notable des conditions de travail pour les opérateurs chargés de la production, ainsi que
l'amélioration du travail de maintenance (par la détection précoce des dysfonctionnements, par
exemple).

Il faut considérer le prototypage ou développement incrémental comme une manière d'ajuster les
caractéristiques du système pendant la réalisation, une fois les objectifs bien définis, plutôt que
comme une méthodologie de conception à part entière. Il nous semble, en effet, difficile de maîtriser
les coûts de réalisation si trop de modifications sont apportées à chaque cycle développement ->
évaluation, qui présente des similarités avec une démarche du type essai -> erreur. :

Le tableau III.3 présente une vue générale des concepts évoqués dans les précédents chapitres ainsi
que les approches de spécification des objectifs pouvant être évoquées. Ce tableau résume
l'ensemble des types de tâches, d'erreurs humaines, d'améliorations et de fonctionnalités d'aide. Il est
Conclusion 129

donc le cadre d'interrogation que nous nous définissons auprès des exploitants puisqu'il résume ces
approches et surtout met en évidence les passerelles entre les différentes approches d'identification.

Le tableau III. 4 présente les différents critères permettant de qualifier les fonctionnalités d'aide. Les
points d'interrogation indiquent que nous manquons d'informations pour les caractériser de façon
satisfaisante.
 ©
attentes ' C Approche par les roche par les
fonctionnalités

Dimensions de Niveaux de perception de

Typologie et origine des erreurs Améliorations pouvant être envisagées
l'actMté l'intervention humaine
Erreurs de coordination Renforcer le réseau conversationnel
Intervention en local sans avertir la salle de commande. Répartir les taches entre les agents homme-homme
Améliorer la résolution collective de problème Meilleure répartition des tâches entre opérateurs
Collective Oublis et délais de transmission d'informations.
g; S L'opérateur participe à un
objectif commun Facteurs psychologiques ou organisationnels.
Négocier les conflits Coopération homme-machine
Fournir un résumé des événements du dernier poste Répartition dynamique de tâches entre
c Impossibilité de joindre les personnes à contacter. nour la nouvelle énuine nmrée l'homme et les automatismes
erreurs de planification Faciliter la réalisation des plans d'action définis par
Mode horloge : mauvaise connaissance des contraintes l'opérateur et ensuite en proposer une optimisation
et des zones de flexibilité (butées temporelles). Améliorer la connaissance des opérateurs des
0) Mauvaise connaissance des effets des actions. contraintes fixes et des zones de flexibilité Proposition de plans d'action optimaux
L'opérateur anticipe Fournir des prédictions concernant les effets et
rt> Mauvaise évaluation de l'état temporel du système.
conséquences des événements et actions (anticipation
B) Erreurs dans la sélection de but, de cible ou de tâche. des effets de plans d'action)
Décisions non prises en temps voulu. Aider à la prédiction des états futurs
Erreurs d'Intégration
ai Créer des supports qui permettent le suivi dynamique MâtèPùd'aptatUat
Mauvaise adéquation entre actions de l'équipe et du système supervisé et pas seulement du procédé
•g. L'opérateur adapte contraintes temporelles. Conseiller l'opérateur de sorte à faire coïncider mode Conseil a l'opérateur (proposition de
ai causal Oiens temporels entre événements du processus plans d'action )
Non possibilité de suivre le processus selon un physique) et mode logique (actions de l'équipe)
mode causal, donc d'agir juste à temps.
Cognitive
Erreurs d'évaluation
Améliorer la confiance accordée aux informations
0) Erreur de filtrage : informations non prises en compte capteurs
( fixation sur des stéréotypes ou des détails considérés Alerter l'opérateur d'une dérive, un changement
•D
pertinents, raccourcis familllers). avant que les alarmes ne se déclenchent Surveillance/diagnostic

f
Sensibiliser les opérateurs à la notion de risque
Erreurs dues à une carence ergonomique.
Favoriser un apprentissage spécifique au
Incomplétude des systèmes d'information, mauvais
traitement des situations nouvelles
regroupement signaux erronés.
L'opérateur ajuste les Erreurs de mode : interprétation erronée d'événements. Fournir une information débarrassée des
paramètres de fonctionnement données non pertinentes
Interactions entre systèmes non anticipées.
Améliorer la perception, la représentation de
Traitement des informations d'entrée (occurrence et l'état temporel du système
observabilité des événements) : information non
Fournir la possibilité de naviguer à travers plusieures

1
reçue, mauvaise interprétation, imprécision. Interface Homme - Machine
représentations temporelles du système (phénomènes
o Mémoire : oubli d'actes isolés, alternatives erronées. causaux, actions pouvant être effectuées, délais de
Erreurs dues à une mauvaise évaluation du risque. production)
3
Alarmes outrepassées. Présenter des vues de synthèse
Erreurs d'exécution
Faciliter l'exécution des commandes
Actions mal adaptées ou mal dosées.
Non respect d'une procédure ou d'un règlement. Eliminer les comportements non sûrs
' Opératoire L'opérateur exécute des tâches irreur de procédure, erreur dans l'exécution d'une tâche Aide à la sélection, à l'exécution et à la
validation
Manque de procédures spécifiques d'urgence.
Guider l'application des modes opératoires
Utilisation de méthodes proscrites.

•5'
S
 ?
o
S
S*
3

.Critère qualité Technique Opérationnelle Commerciale

Type d'aide
eu
m Aide au travail collectif

S
Aide à l'anticipation
ï Pertinence
Maintenabilité

I Rapidité

Aide à l'adaptation
Validité Evolutivité

In Exactitude Exactitude
Robustesse
a.
o
eu Discriminabilité Précision Réutilisation
Aide au diagnostic Paramétrabilité
Fiabilité Sensibilité

Portabilité Ergonomie Expressivité

CL Modularité
Aide à la représentation Extensibilité Interactivité Navigation Focalisation
o" mentale
Personnalisation Non redondance Complétude

c
Aide à l'exécution de
procédures
132 Chapitre III : Propositions méthodologiques

Références
bibliographiques

[CASSA 92] J. P. Cassar, M. Staroswiecki, P. Declerck,

Structural decomposition of large scale systems for the design of failure
detection and identification procedures,
System Science XI, Wroclaw, Poland, September 22-25, 1992.

[COUTA 88] J. Coutaz,

De l'ergonome à l'informaticien : pour une méthode de conception et de
réalisation des systèmes interactifs,
Les apports de l'ergonomie et de l'informatique à la conception des systèmes
interactifs, ERGOIA'88, Biarritz, pp. 201-221, 4-6 Octobre 1988.

[DUBRI 95] M. Dubribeux-Cocquebert,

MODESTI : vers une méthodologie interactive de développement de systèmes à
base de connaissances,
Thèse de Doctorat de l'Université de Valenciennes et du Hainaut-Cambresis,
1995.

[ERMIN 93] j . L. Ermine,

Génie logiciel et génie cognitif pour les systèmes à base de Connaissances,
Vol. 1, Aspects méthodologiques, (eds) Technique et Documentation Lavoisier,
1993.

[FADIER90] E. Fadier,
Fiabilité humaine : méthodes d'analyse et domaines d'application,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, ouvrage collectif
sous la direction de ]. Leplat et G. de Terssac, editions OCTARES Entreprises, pp.
47-80, 1990.

[KOLSKI 93] C. Kolski,

Ingénierie des interfaces homme - machine, conception et évaluation,
Traité des Nouvelles Technologies, série Automatique, eds HERMES, 1993.

[LEVINE 89] P. Lévine et J.-C. Pomerol,

Systèmes d'aide à la décision et systèmes experts,
Traité des Nouvelles Technologies série Décision assistée par ordinateur, Hermès,
Paris, 1989.

[LEITC 92] R. Leitch and M. Callanti,

Task classification for knowledge-based systems in industrial automation,
IEEE trans. Syst, Man and Cyber., vol. 22, N° 1, January/February 1992.
:
[MILL 92] R. CMill,
Human Factors in Process Operations,
Institution of Chemical Enginners, Robert C. Mill Editor, 1992.
Références bibliographiques 133

[NEBOIT 90] M. Neboit, H. Guillermain et E. Fadier,

De l'analyse du système à l'analyse de l'interaction opérateur-tâche : proposition
méthodologique,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions OCTARES
Entreprise, pp. 241-265, 1990.

[NOTTE 95] D. Notte,

Pour une conception pluridisciplinaire des systèmes coopératifs homme
machine : mythes et réalités,
Journées d'Etude S3 (Sûreté, Surveillance, Supervision), Supervision et coopération
homme-machine, Ed. LAIL USTL, Paris, les 12-13 janvier 1995.

[REASON 93] j . Reason,

L'erreur humaine,
Traduit de l'anglais par }-M. Hoc, Le travail Humain, PUF, 1993.

[VALAN 93] J. Valancogne,

Problématique de l'ingénierie des systèmes complexes,
Nouvelles Avancées en Automatique et en Productique, Congrès AFCET, pp. 77-
88, Versailles, 8-10 Juin 1993.

[VANW 95] J. Vanwelkenuysen,

Using DRE to augment generic conceptual design,
IEEE Expert Intelligent Systems and their Applications, vol. 10, N°1, pp. 50-56,
February 1995.

[VILLEM 88] A. Villemeur,

Sûreté de fonctionnement des systèmes industriels, Fiabilité - Facteurs humains -
Informatisation,
Collection de la Direction des Etudes et Recherches d'Electricité de France, Editions
Eyrolles, 1988.
134 Chapitre III : Propositions méthodologiques

m
 135

CHAPITRE IV :
Acquisition des
connaissances pour
l'aide à la supervision

L'aspect recueil des connaissances évoqué précédemment, est développé ici.

Nous déclinons une classification des connaissances nécessaires à chacun des

types d'aide recensés ainsi que les méthodes d'analyse et de recueil les plus
couramment employées.

Nous décrivons également les principales caractéristiques de la méthode

SACACE, développée au CEA, ainsi qu'un exemple d'application au travers de la
modélisation du Prototype Evolutif de Vitrification. Nous décrivons ensuite un
cadre d'utilisation de SAGACE comme méthode de recueil pour l'aide au
diagnostic. L'accent sera mis sur les connaissances à acquérir en vue de la mise
en œuvre du système de diagnostic de défauts DIAPASON.

IV.1 Introduction 136

IV.2 Catégorisations des connaissances 137
IV.3 Une classification 142
IV.4 la méthode SAGACE 155
IV.5 Description d'une unité de production industrielle 163
IV.6 SAGACE comme méthode de recueil 168
IV.7 SAGACE comme référentiel pour le diagnostic 171
IV.8. Conclusion 1Z9

Références bibliographiques 180

136 Chapitre IV : Acquisition des connaissances

IV.1 INTRODUCTION
Ce chapitre forme un tout avec les chapitres précédents : nous avons dégagé les principaux éléments
qui composent le facteur humain en supervision de processus de fabrication, à travers une typologie
d'activités opératoire, cognitive et collective ; nous avons ensuite défini les contours d'une typologie
d'erreurs, qui nous a permis de décliner une typologie d'aides. Nous avons ensuite tracé les contours
d'une méthodologie de conception, en insistant plus particulièrement sur la nécessaire préparation
du projet. L'aspect acquisition des connaissances intervient, une fois les objectifs généraux définis,
c'est-à-dire dès que la phase de développement est lancée.

Quelle que soit l'aide que l'on envisage de concevoir, un travail conséquent devra être mené pour
rassembler les connaissances disponibles qui concernent le processus de fabrication. En effet, les
systèmes informatisés d'aide à l'opérateur manipulent indifféremment des données numériques et
des symboles, c'est-à-dire des connaissances. Notre objectif sera donc de dégager les éléments d'une
méthodologie d'acquisition des connaissances, adaptée à la conception d'aides à la supervision. La
difficulté est de déterminer celles susceptibles d'être utilisées, ainsi que les méthodes qui peuvent en
faciliter le recueil.

Ce chapitre propose de caractériser les connaissances nécessaires pour chacun des types d'aide, ainsi
que les méthodes de recueil et de formalisation proposées dans divers champs disciplinaires. Ce
chapitre décrit également l'utilisation de la méthode SAGACE de modélisation des systèmes
complexes. SAGACE est considérée sous l'angle de ses potentialités de recueil et de formalisation des
connaissances du processus modélisé. La revue des principales fonctionnalités de cette méthode est
illustrée par des exemples tirés de la modélisation du PEV. Ses apports, en termes de référentiel de
connaissances pour l'aide à la supervision, sont évalués par rapport aux connaissances utilisées en
surveillance/diagnostic, en particulier celles qu'utilisent les modules du système de diagnostic
DIAPASON.
Catégorisations des connaissances 137

IV.2 CATEGORISATIONS DES CONNAISSANCES

La première question que l'on se pose, en abordant le domaine du recueil de connaissances, est la
suivante : qu'est-ce-que la connaissance ? Cette question, somme toute naïve n'a, jusqu'ici, pas
trouvé de réponse satisfaisante. Elle est sans doute une des causes du "goulet d'étranglement" si
souvent évoqué par les ingénieurs de la connaissance, ou cogniticiens (knowledge engineer [JOHAN
91 ]). En effet, comment être sûr d'extraire convenablement cette connaissance quand celle-ci prend
des formes multiples et est étroitement liée aux mécanismes de raisonnement humain ? Notre propos
n'est pas de considérer la connaissance du point de vue psychologique ou bien du point de vue de
l'intelligence artificielle (IA), mais il nous semble que dans ces disciplines, le problème de la
caractérisation de la nature des connaissances se pose d'une manière particulièrement cruciale : la
première discipline cherche à découvrir les mécanismes cognitifs qui donnent corps à la
connaissance, pour la seconde on cherche à en concevoir des supports artificiels.

Nous essaierons cependant d'en avoir une idée au travers de ce que nous en dit Pitrat : "J'appelle
connaissances les faits qui ne servent pas à décrire la situation et qui n'ont pas été établis par le
système [expert] pour donner des propriétés de cette situation ; les connaissances servent à élaborer
des faits nouveaux ou à déterminer les actions qu'il faut entreprendre" (...) "la différence entre fait et
connaissance réside dans la mémorisation que nous en faisons et dans son utilisation : si cette
utilisation est active, comme avec une règle, nous avons tendance à parler de connaissance, alors que
si elle est passive, nous parlons de faits" [PITRA 90]. Toutefois, Pitrat nous ramène rapidement à la
réalité "(...) il n'y a pas de différence essentielle entre fait et connaissance ; simplement dans chaque
situation un sous-ensemble des faits a une certaine permanence qui lui vaut un traitement spécial et
de s'appeler 'connaissance' ".

Nous retiendrons que la connaissance traduit, en quelque sorte, le résultat de l'appropriation

cognitive de faits qui nous sont utiles pour raisonner (résoudre un problème), pour agir sur le monde
et pour construire d'autres faits. Nous emploierons le terme connaissance comme terme générique
désignant l'ensemble des faits, des informations qui se rapportent à une problématique donnée et qui
présentent la propriété d'être mobilisables en vue de la résolution d'un problème. Nous englobons
ainsi l'ensemble des supports de connaissances, depuis les documents techniques qui décrivent le
processus de fabrication, jusqu'à l'opérateur dont les cogniticiens cherchent à extraire l'expertise.

Puisque la connaissance recouvre un "univers de faits", leur regroupement selon des catégories de
connaissances est une démarche naturelle. Pour tenter d'en cerner la diversité, nous les avons
distinguées arbitrairement selon deux catégories principales : selon qu'elles visent l'homme (point de
vue des sciences cognitives) ou le processus de fabrication (point de vue des sciences de
l'ingénieur).

IV.2.1. Connaissances sur l'homme

Du point de vue de l'homme, les connaissances employées sont en étroite relation de dépendance
avec le type de situation [HOC 87]. Trois types de situations et donc trois types de connaissances
peuvent être rencontrées [HOC 91 ] :
• les connaissances qui se rapportent à une situation de transformation se scindent en recherche
à l'intérieur d'un espace d'états, pour une situation de transformation statique, et recherche à
travers les évolutions d'un processus continu, pour une situation de transformation
dynamique ; ces situations se caractérisent par des évolutions non prévues qui imposent des
contraintes temporelles fortes à l'opérateur qui doit réagir pour les contrebalancer,
138 Chapitre IV : Acquisition des connaissances

• les connaissances qui se rapportent à des situations de diagnostic et de décision, (dans le

chapitre II, nous avons vu que l'essence d'un système de diagnostic réside dans le type de
connaissances qu'il manipule : structure, comportement, description fonctionnelle, ou encore
l'association entre symptômes de dysfonctionnement et causes potentielles),
• les connaissances se rapportant à des situations de conception, qui indiquent que la résolution
de problème s'aide de l'élaboration de plans afin d'atteindre un but donné.

Ces trois types de situations se rencontrent souvent dans les activités humaines. Prenons l'exemple de
l'ingénieur procédé qui conçoit une installation : il est soumis à des situations de transformation
statique (la conception d'une installation est un processus à long délai de réponse, vis-à-vis d'autres
situations qui requièrent une réponse immédiate à un problème donné. L'évaluation du travail fourni
est d'ailleurs effectuée sur la base d'états d'avancement), de décision (il doit effectuer des choix de
matériel, il doit décider de la meilleure disposition des appareils dans l'espace, etc.) et bien
évidemment de conception (la conception d'une installation procède par étapes successives ; le plan
de l'installation constitue la réponse de l'ingénieur, il n'existe pas, a priori, mais il est le résultat de
tout un cheminement intellectuel). Dans le cas de l'opérateur qui supervise un processus industriel : il
est soumis à des situations de transformation dynamiques qui l'obligent à s'adapter aux évolutions du
processus (on lui demande de s'adapter à ces évolutions, d'anticiper les évolutions non optimales, et
de réagir dans les délais les plus brefs), à des situations de diagnostic et de décision (l'opérateur doit
diagnostiquer les défauts et décider d'actions de correction, tout en étant soumis à des contraintes
temporelles fortes), et de conception (si une situation n'a pas été expérimentée par l'opérateur, celui-
ci va être placé dans des conditions de résolution de problème impliquant une recherche parmi
l'ensemble des situations répertoriées, la recherche des situations analogues, etc., toujours sous
contrainte temporelle).

Bien qu'à chaque type de situation correspond une ou plusieurs représentations spécifiques, les
diverses catégorisations convergent vers les trois catégories suivantes :
• 1. les connaissances générales sur le domaine, elles ont un caractère déclaratif, c'est-à-dire
qu'elles ne sont pas directement transformables en actions mais servent à résoudre un problème
(le comportement basé sur les connaissances, ou KB selon Rasmussen),
• 2. les connaissances issues de l'expérience, ce sont des savoir-faire issus d'un processus
d'apprentissage [LE MOI 92] ; elles prennent la forme de règles, de normes, de procédures,
d'heuristiques (le comportement basé sur les règles, ou RB selon Rasmussen),
• 3. les connaissances expertes sont le fruit de la transformation de règles issues de l'expérience,
en savoirs [LE MOI.92] : "il n'est de savoir que dans l'action, il n'est d'action que dans le savoir".
Selon Le Moigne, nos savoirs sont des "métaconnaissances"1, c'est-à-dire des connaissances qui
permettent d'en construire de nouvelles et qui sont immédiatement utilisables ; par ailleurs,
"l'expert n'est pas celui qui démontre la convergence d'un bon algorithme. Mais celui qui, par
ruse raisonnée, dispose de larges collections d'heuristiques plausibles" [LE MOI 90] (le
comportement basé sur les automatismes ou SB selon Rasmussen).

La figure IV.1 propose une illustration de la manière dont sont imbriqués savoirs et savoir-faire.

1 Cette terminologie a initialement été introduite par [PITRA 90].

Catégorisations des connaissances 139

Connaissances et
Savoir métaconnaissances

Finalisation du
savoir
Processus de
transformation des 1t
règles en
connaissances Faire

Symbolisation,
apprentissage 1
1r

Savoir-faire . „ normes pour- j«ï

faire / *

Figure IV. 1 : Savoir-faire et savoir, expérience et expertise.

Rien n'interdit de supposer que ces trois types de connaissances puissent être mobilisés dans chacune
des situations typiques introduites par Hoc. Ce n'est qu'une hypothèse mais qui est fortement
corroborée par le fait qu'en situation de conception, on distingue plan procédural et plan déclaratif
[HOC 87]. De là, peut-on faire l'hypothèse de plans experts ? Qu'en est-il pour les autres situations ?
Une étude sur le sujet pourrait laisser entrevoir d'intéressantes perspectives, mais nous en resterons là,
pour ce qui est de notre problématique.

Une catégorisation classique en IA est celle qui distingue connaissances profondes (deep
knowledge) et connaissances de surface (shallow knowledge). Les connaissances profondes
présentent la caractéristique de n'être pas orientées problème à résoudre, mais sont utilisées comme
connaissances générales sur un domaine particulier. Ce sont, par exemple, les approches utilisant des
connaissances sur la structure, les comportements et le fonctionnement du processus. Les
connaissances de surface prennent la forme d'associations, par exemple entre symptômes et causes
physiques ; ce sont des connaissances finalisées. Nous rangerons donc les connaissances issues de
l'expérience et expertes dans ce groupe.

Les connaissances de l'expert, c'est-à-dire les trois catégories de connaissances qui viennent d'être
évoquées (à ne pas confondre avec les connaissances expertes), sont l'objet de nombreux travaux en
IA. Ces travaux se réfèrent à des catégorisations proposées dans d'autres disciplines, auxquelles l'IA a
donné un caractère plus opérationnel [AUSSE 89]. Les différentes catégorisations sont citées ici à titre
indicatif :
• du point de vue informatique, les connaissances sont classées selon des niveaux de
structuration (éléments de base, assertions, relations, théorèmes, algorithmes de résolution,
stratégies et heuristiques, métaconnaissances),
• d'un point de vue logique, l'intérêt est mis sur un degré de certitude d'une connaissance
donnée (connaissances de définition, évolutives, incertaines, vagues, typiques),:
• d'un point de vue linguistique, les connaissances sont classées en fonction de- niveaux
d'abstraction (connaissances du niveau domaine, inference, tâche, et stratégie),
• d'un point de vue psychologique, les connaissances sont classées selon leur forme (forme
déclarative, procédurale, spatiale, visuelle, etc.), ou encore selon leur degré de confidentialité
(connaissances publique, partagée, privée).
140 Chapitre IV : Acquisition des connaissances

IV.2.2. Connaissances sur le processus de fabrication

Une catégorisation des connaissances se rapportant au processus de fabrication et qui vient
immédiatement à l'esprit est celle qui distingue les connaissances selon les disciplines impliquées,
notamment: le génie des procédés, l'automatique, l'informatique, la mécanique, etc. Chaque
discipline a ses propres représentations du même système, c'est-à-dire le processus de fabrication ; la
différence réside principalement dans les théories privilégiées.

La catégorisation des connaissances sur les systèmes, en général, distingue deux courants de pensée :
le courant "analytique", largement majoritaire, et le courant systémique [LE MOI 90].

Dans le courant "analytique", on retrouve la grande majorité des théories utilisées en modélisation de
systèmes. Walliser a recensé l'ensemble des paradigmes de modélisation qui ont fondé les principales
théories scientifiques [WALL! 77] : la représentation d'un système est fonction de la manière dont est
isolé le système de son environnement, de la manière dont est décomposé le système en ses sous-
systèmes, et de la manière dont le temps est pris en compte ; par ailleurs, la manière d'aborder la
modélisation est fonction de la syntaxe choisie qui caractérise un niveau de formalisation du modèle
(distinction entre modèle qualitatif et modèle quantitatif), de la sémantique d'un modèle (l'auteur
considère notamment la coupure entre le sujet qui modélise et le système modélisé : si l'on compare
les démarches de la physique classique et de la mécanique quantique, pour l'une, le système est
déterminé par un comportement régi par des lois universelles, pour l'autre le système observé et
modélisé n'est pas isolable du sujet qui observe le système en vertu du principe d'incertitude
d'Heisenberg), et du caractère pragmatique qu'on a bien voulu lui conférer (part de subjectivité que
le modélisateur introduit).

Dans le courant "systémique", qui se fixe pour objectif de modéliser les systèmes en conservant leurs
caractéristiques complexes, Le Moigne propose une catégorisation des connaissances en neuf niveaux
d'organisation d'un système [LE MOI 90] :
• 1. le phénomène est identifiable, isolable de son milieu (les connaissances concernent ce
qu'est physiquement le système tel que nous le percevons),
• 2. le phénomène identifié est perçu par ce qu'il fait ou est présumé faire (le système physique
transforme des flux d'énergie (E), de matière (M) ou d'information (I) et retourne des flux E, M, I
vers l'environnement) ; à ce niveau est associée une finalité,
• 3. le phénomène est doté d'une certaine stabilité (on s'intéresse à des propriétés de régulation
des activités),
• 4. la régulation opère grâce à une circulation interne d'informations, "le phénomène s'informe
sur son propre comportement",
• 5. le système est capable de décider de son comportement (il se compose d'un niveau
opérant et d'un niveau décisionnel, dont les interactions conduisent à former une boucle de
régulation) ; le système évalue son comportement vis-à-vis de sa finalité,
• 6 . ce système est capable de mémoriser: il est donc articulé en trois sous-systèmes, les
systèmes Opérant, d'information/mémorisation et de Décision formant le "modèle canonique
O.I.D" et qui le rendent apte à reconnaître des formes mémorisées et de décider d'actions en
accord avec la forme reconnue,
• 7. le système est capable de coordonner ses décisions d'action. Ici le système est capable de:
planifier ses décisions d'action,
• 8. le système est capable d'élaborer de nouvelles actions, le système de décision est alors
constitué d'un système de coordination et d'un "système d'imagination". Il est possible
d'associer à un tel système la capacité de créer et simuler des actions nouvelles, c'est-à-dire
qu'il est capable d'adaptation,
Catégorisations des connaissances 141

• 9. le système est capable de refinalisation, caractéristique des systèmes intelligents ; le système

est autonome et se fixe ses propres objectifs.

Cette catégorisation en neuf niveaux de perception d'un système est celle qui a été adoptée dans la
méthode SAGACE, que nous envisagerons après avoir établi une classification des connaissances et
des méthodes d'acquisition utilisées dans le courant "analytique" (selon l'expression de Le Moigne),
par comparaison au courant "systémique".
142 Chapitre IV : Acquisition des connaissances

IV.3 UNE CLASSIFICATION

L'analyse et la formalisation des connaissances disponibles sur un système est une étape importante
dans un projet d'aide à l'opérateur. Un référentiel technique regroupe et fait le point des
connaissances disponibles (le processus de fabrication et connaissances sur l'homme) pour le projet.

Ce référentiel doit contenir l'ensemble des connaissances disponibles, c'est-à-dire les connaissances
relatives à l'installation, l'instrumentation, etc. Il ne doit pas seulement être constitué des
connaissances formalisées sous forme de livres de procédé, de sécurité, de modes opératoires, mais
également des connaissances acquises par expérience, ainsi que des connaissances expertes des
opérateurs. Nous retrouvons ici les trois catégories de connaissances de l'expert : les connaissances
générales, les savoir-faire et les savoirs. Cette catégorisation est équivalente à la catégorisation
envisagée en psychologie, qui distingue les connaissances publiques, partagées et privées.

Les connaissances publiques sont contenues dans les livres procédé et sont disponibles
immédiatement ; elles sont à caractère déclaratif. Les connaissances partagées sont communes à
un certain nombre d'individus travaillant dans le même domaine, c'est une mise en commun de
savoir-faire. Les connaissances privées portent sur l'expérience personnelle des experts, ce sont leurs
savoirs ; elles ne sont pas directement accessibles.

C'est cette catégorisation que nous proposons pour décrire et classer les connaissances auxquelles le
projet d'aide devra faire appel. Nous avons, par ailleurs, choisi de la croiser avec la typologie des
dimensions de l'activité humaine (donc des aides informatisées) que nous avons considérée comme
hypothèse de travail. Ce croisement implique un découpage plus fin des types de connaissances, en
fonction du niveau de confidentialité et du type d'activité.

Notre objectif n'est pas l'exhaustivité mais le guidage du modélisateur vers des méthodes
d'acquisition adaptées à ses besoins. La méthode par entretiens, très prisée en psychologie cognitive,
est en fait une méthode largement utilisée dans d'autres disciplines, et elle a donc un caractère
universel. Nous illustrerons notre propos à travers l'exemple du PEV.

IV.3.1. Connaissances publiques

Les documents techniques sont une première source de connaissances disponibles. Elles sont dites
générales car elles ne sont pas associées à une méthode de résolution particulière, elles expriment
plutôt des faits en dehors de tout contexte d'utilisation particulier. Une de leurs caractéristiques
principales est la stabilité.

IV.3.1.1 Dimension collective

Les connaissances relevant de cette dimension ont trait aux aspects organisationnels : quels sont les
moyens humains mis en œuvre pour assurer la supervision du processus ? Comment se répartissent
les rôles ? Quels sont les moyens matériels mis en œuvre pour que chacun remplisse sa mission ?
Comment sont organisées les équipes de conduite ?
Une classification 143

4;
Aides en ligne à Méthodes
Dimensions Connaissances publiques
fa supervision
Moyens humains
Moyens de communication
Méthodes de description des
Collective Aide au travail collectif Organisation du travail au sein de
acteurs et répartition des rôles
l'équipe de conduite
Définition des rôles et des tâches
Organisation entre équipes de conduite

i et équipe de maintenance

Tableau IV.1 : Dimension collective / connaissances publiques / méthodes.

Le PEV fonctionne ponctuellement (les essais s'étendent généralement sur une semaine) ; en dehors
de ces campagnes, les équipes de conduite sont chargées de piloter d'autres installations. Trois
équipes composées de 3 agents (un chef de quart, un adjoint et un opérateur) se relaient en 3*8 pour
superviser le PEV. Le chef de quart supervise les opérateurs et la production ; il est chargé de veiller à
la bonne marche de l'ensemble du processus de fabrication ; il doit noter, sur le cahier de quart, les
événements marquants (cela permettra à l'équipe suivante d'avoir un historique complet des
événements sur le poste précédent). Un opérateur est chargé du suivi de fonctionnement sur le
SNCC. Le troisième opérateur est chargé d'effectuer les rondes ; il a pour rôle de vérifier les
paramètres de fonctionnement qui ne sont pas transmis en salle, d'effectuer des opérations manuelles
de pose du conteneur, d'effectuer les prises d'échantillons requises.

IV.3.1.2 Dimension cognitive

Le premier niveau cognitif correspond aux aides au diagnostic et aide à la représentation mentale
(cf. chapitre II), dont les solutions sont la surveillance/diagnostic et l'IHM. Les connaissances à
recueillir ont trait aux informations de conception de l'installation : mission du système de
production, objectifs et contraintes fonctionnelles, processus de transformation envisagé
(comportement souhaité, traduction des fonctions en choix techniques, critères de performance du
fonctionnement, flux de matière, d'énergie et d'information entrant en jeu dans le processus),
organisation matérielle envisagée pour assurer la mission (propriétés fonctionnelles des appareils,
description des variables caractérisant les états fonctionnels des composants, liens entre appareils,
topologie, etc.), fonctions génériques (dynamique des phénomènes mis en jeu, fonctions standard
utilisées, du type transformations chimiques, électriques et mécaniques).

En psychologie cognitive, Rasmussen classe ces connaissances selon leur degré d'abstraction [RASMU
79]. En partant du niveau le plus abstrait, on distingue : les "objectifs" du processus de fabrication,
les "fonctions abstraites", les "fonctions génériques", le niveau "structure-fonction", puis le niveau
"anatomie". Rasmussen considère qu'en situation de résolution de problème, l'opérateur ou
l'ingénieur navigue à travers ces connaissances de façon montante (en abstraction) quand, un défaut
est détecté, l'opérateur cherche à en déterminer l'importance en remontant les niveaux pour
déterminer quelles sont les fonctions atteintes. Il emploie une approche descendante pour définir les
moyens d'action pour en contrebalancer les effets. Les caractéristiques principales de ces niveaux
d'abstraction sont résumées dans le tableau IV.2.
144 Chapitre IV : Acquisition des connaissances

f Niveau Description du niveau Exemples de connaissances

d'abstraction

Mission assignée, Spécification des objectifs, des

Objectifs
performances recherchées services et des contraintes

Comportement souhaité, choix des

Fonctions Procédé de
techniques et critères de
abstraites transformation performance du système

Modèle numérique décrivant les

Fonctions Organisation propriétés du processus, en
génériques fonctionnelle utilisant les principes premiers (les
ontologies)

Structure- Interdépendances
fonction
Organisation matérielle fonctionnelles entre appareils

Isolation des appareils

Schémas d'installation, plan de
Anatomie selon des critères
circulation des fluides
physiques

Tableau IV.2 : Les niveaux d'abstraction de Rasmussen. (résumé).

Le second niveau cognitif correspond à l'aide à l'adaptation. Dans le chapitre II, nous avions évoqué
l'hypothèse d'un plan schématique devant permettre à l'opérateur de se situer par rapport à son
objectif de manière analogue au plan de route en conduite automobile. Nous avions également émis
l'hypothèse que ce plan était construit à partir d'une mise en relation des configurations de marche
du processus. Bien entendu, il n'existe pas de méthode recensant ce type de connaissances. Elles sont
contenues dans les documents techniques, et doivent être recueillies par le biais d'entretiens avec les
ingénieurs de production et les équipes de supervision. (On s'intéresse ici au plan déclaratif de Hoc).

Le troisième niveau cognitif concerne l'aide à l'anticipation. De même que pour le niveau
adaptation, nous avions fait l'hypothèse de chemins privilégiés et fournis par le système d'aide, en
fonction de critères tels que la distance à parcourir, le délai supplémentaire, etc. Les connaissances
correspondantes concernent les stratégies d'exploitation, au sein desquelles les mesures visant
l'exploitation de l'installation sont représentées.

Ces connaissances sont d'abord utilisées pour concevoir l'IHM ainsi que l'aide au diagnostic.

Les méthodes employées pour formaliser ces connaissances sont essentiellement basées sur l'analyse
du système en fonctionnement normal (par exemple SADT, FAST, APTE). Les connaissances de
mauvais fonctionnement sont issues de l'expérience soit de cas similaires sur d'autres installations soit
sur l'installation elle-même. Donc les méthodes d'analyse en fonctionnement anormal sont rangées
parmi les méthodes d'acquisition des connaissances partagées.

Le tableau IV.3 en décrit une classification. Les points d'interrogation indiquent que nous ne
connaissons pas de méthode d'acquisition des connaissances pour les niveaux concernés.
Une classification 145

m. Dimensions
Aides m ligne à
la supervision
Connaissances publiques Méthodes

Stratégies d'exploitation
Aide à l'anticipation Contextes d'exploitation
Conditions de changement d'objectif de
production: mise en sécurité, en secours, en repli

Modes de fonctionnement
Domaines de fonctionnement prescrit, spécifié
Aide à l'adaptation
Configurations nominales, de repli, de sécurité
Scénarii de récupération prescrits
Mission : spécification fonctionnelle des
objectifs et des contraintes, services à remplir et
Cognitive interactions fonctionnelles
Aide au diagnostic Processus de transformation : comportement
souhaité, choix des techniques, cntères de
performance du système
Méthodes d'analyse de
Organisation fonctionnelle : objectif général systèmes en
et sous-objectifs, flux d'entrée/sortie. fonctionnement
Organisation matérielle : organisation des normal : SADT, FAST,
appareils principaux, propriétés fonctionnelles [Link], APTE
et appareils auxiliaires
Aide à la représentation Anatomie du système : identification des objets
mentale selon des critères qualitatifs
Interfaces de conduite : informations transmises,
synoptiques disponibles
Instrumentation : actionneurs (position, mode
de fonctionnement), caractéristiques des
mesures (plage de variation, étendue de
mesure, précision, biais minimum détectable)

Tableau IV.3 : Dimension cognitive / connaissances publiques / méthodes.

IV.3.1.3 Dimension opératoire

Les connaissances de la dimension opératoire correspondent aux aspects exécution des tâches, elles
ont donc un caractère fortement procédural.

Dans le cas du PEV, le procédé de fabrication du verre est semi-continu : la vitrification consiste en
des cycles d'alimentation puis de coulée, qui requièrent, de la part des opérateurs, de modifier la
configuration de marche du processus (passage d'une configuration d'alimentation seule, à une
configuration d'alimentation avec coulée). Une procédure décrit l'ordonnancement des étapes
correspondantes.

Les connaissances du niveau opératoire concernent la répartition des tâches humaines et des tâches
automatisées, le positionnement des actionneurs et des commandes ainsi que les interventions en
local (tableau IV.4). Les méthodes de description sont par exemple la méthode MAD proposée par
Scapin et Colbreich [SCAPI 89], et la méthode d'analyse et de modélisation utilisant le formalisme de
description SADT et les réseaux de Pétri [ABED 90]. SADT est utilisée comme description
fonctionnelle du système homme-machine; i l s'agit d'identifier les tâches relevant de la
responsabilité de l'homme, et celles relevant de la machine (le système de contrôle-commande), et
celles relevant des deux à la fois ; ainsi est construit un modèle selon une hiérarchie de niveaux de
détail, chaque niveau décrivant les éléments de tâche et leurs interactions (selon Abed, le
modélisateur décompose les "tâches composées" autant de fois que nécessaire pour parvenir, au
niveau de détail le plus fin, à des "tâches terminales"). Les réseaux de Pétri sont utilisés au niveau
des "tâches terminales" ; ils décrivent les séquences d'opérations élémentaires que l'opérateur doit
146 Chapitre IV: Acquisition des connaissances

effectuer, et les conditions de passage d'une place à l'autre. Chaque tâche terminale est décrite sous
ce formalisme de l'automatique.

Dimensions
Aides en ligne à
h supervision
Connaissances publiques Méthodes
•
M

OFM [MITCH 86] S

Tâches humaines prescrites : but et exigences ;
tâches courantes, périodiques (rapports Méthode MAD : modélisation des
M
m
Aide à l'application horaires, rondes, prises d'échantillons), interactions homme-ordinateur •
Opératoire des procédures exceptionnelles (reprise en manuel, réglage de
paramètres de fonctionnement en local), etc.
[SCAPI89]
Méthode de description des tâches
1
Ordonnancement des tâches dans le temps opérateur mêlant les méthodes
SADTet les réesaux de Pétri [Abed 90]
Commandes, moyens d'action sur le processus
Procédures d'urgence

Tableau IV.4 : Dimension opératoire / connaissances publiques / méthodes.

IV.3.2. Connaissances partagées

Nous appelons connaissances partagées les connaissances relevant de l'expérience des opérationnels,
et qui sont communes à un groupe d'individus ayant les mêmes préoccupations (les ingénieurs de
production, les équipes de supervision ou les équipes de maintenance). Ce sont des connaissances
qui portent sur l'installation (fréquence de pannes de certains appareils), sur les capteurs et
actionneurs (précision réelle), mais également sur les opérateurs (erreurs et besoins informationnels).
Comme dans les connaissances publiques, nous employons le découpage en dimension collective,
cognitive puis opératoire.

IV.3.2.1 Dimension collective

Les connaissances relatives aux aspects collectifs sont la répartition effective des tâches et les
échanges informationnels entre opérateurs (tableau IV.5). L'attention porte sur la manière dont les
opérateurs ont appris à travailler ensemble, sur la manière dont leurs activités respectives forment un
tout cohérent vis-à-vis de leurs objectifs (organisation réelle du travail au sein de l'équipe).

Dans le cas du PEV, les opérateurs font des rotations entre tâches de surveillance sur le SNCC et
tâches en local, de sorte qu'ils ont une vision d'ensemble du processus de vitrification, et cela permet
d'éviter le travail routinier. Il faut noter que ces rotations ne se font pas sur la durée d'un poste.

Les entretiens mise à part, nous ne connaissons pas de méthode spécifique de recueil.

Aides en ligne à Méthodes

Dimensions Connaissances partagées
la supervision
ô' Modes de communication les plus
employés au sein de l'équipe
9 Collective Aide au travail collectif 7
Coordination entre opérateurs

Répartition des tâches

Tableau IV. 5 : Dimension collective / connaissances partagées.

Une classification 147

IV.3.2.2 Dimension cognitive

Descriptif

Les connaissances du premier niveau cognitif (aide au diagnostic et aide à la représentation mentale)
sont liées aux comportements du processus en présence de perturbations et de dysfonctionnements,
ainsi que des solutions retenues pour y remédier (tableau IV.6). Ces connaissances ont principalement
trait aux représentations que se forgent les opérateurs quant aux interactions entre variables
importantes, c'est-à-dire à la dynamique du système, aux conditions optimales de fonctionnement,
etc.

Dans le cas du PEV, la solution contenue dans le bas de la colonne de dépoussiérage est maintenue à
environ 100 ° C ; si cette solution entre en ebullition, elle peut provoquer un reflux vers le calcinateur.
Cette perturbation est diagnostiquée grâce aux enregistreurs, qui gardent une trace graphique de
l'évolution des paramètres de calcination. C'est davantage la forme de l'évolution de ces paramètres
que leur valeur instantanée qui permet aux opérateurs d'identifier l'origine de ce comportement.

Deux types de connaissances peuvent être recueillis : les connaissances qui expriment les interactions
complexes entre appareils, qui n'étaient pas forcément perceptibles lors de la conception de
l'installation, et les connaissances qui relèvent des dysfonctionnements.

Les méthodes

La méthode des graphes de fluence décrit les liens de causalité entre variables du processus. Son
formalisme est très proche d'un graphe causal tel qu'employé dans DIAPASON (se reporter au
chapitre II) à ceci près que le modèle de fluence comporte une description explicite des moyens
d'action (les actionneurs) et des moyens d'information (les variables mesurées) dont disposent les
opérateurs. La démarche d'élaboration d'un graphe de fluence distingue deux étapes :
• 1. l'élaboration d'une matrice d'incidence entre les variables importantes pour la supervision du
processus de fabrication, et recensement des influences entre variables,
• 2. la description graphique des relations d'influence entre variables (débit d'entrée, débit de
sortie, puissance de chauffe fournie au réacteur chimique), des capteurs et actionneurs
(température surveillée, vanne commandant le refroidissement), ainsi que de l'objectif assigné à
l'opérateur (maintien de la température dans la zone acceptable).

L'application de cette méthode repose sur une très bonne connaissance du système physique, car
une analyse par graphes de fluence laisse une place importante à la subjectivité du modélisateur :
quelles règles formelles permettent de mettre en évidence les chemins de causalité ? Comment
valider la représentation ? Leyval a montré que la causalité est dépendante des objectifs de
modélisation [LEYVA 91] : "le graphe causal apparaît (...) comme un moyen convivial pour modéliser
causalement un procédé, selon l'observation physique des phénomènes ou l'interprétation choisie".
De nombreux travaux ont été centrés sur les moyens de retrouver la causalité dans un système, et
plus particulièrement De Kleer [DE KLEE 84] et Iwasaki et Simon [IWASA 86] : Iwaski et Simon
proposent une approche formelle de modélisation causale qui, à partir des équations du système,
propose d'organiser les paramètres selon l'ordre dans lequel ils sont déduits en simulation, c'est-à-
dire l'ordre dans lequel les paramètres du modèle sont calculés ; De Kleer et Brown proposent, quant
à eux, de modéliserla causalité en considérant la structure du système (les flux, les conduits et les
appareils), ainsi que les confluences (traduction qualitative des équations différentielles classiques),
qui régissent le comportement du système. La méthode des graphes de fluence est donc à employer
avec précaution.
148 Chapitre IV : Acquisition des connaissances

Les méthodes couramment employées pour recenser les dysfonctionnements sont les méthodes
AMDE et les arbres de défaillances. L'AMDE permet de recenser les défaillances pouvant survenir
sur chacun des appareils de l'installation, et d'en expliciter les causes. C'est une méthode inductive
car elle propose d'aller du local vers le global : il s'agit d'analyser les comportements dysfonctionnels
sur chacun des appareils puis d'en analyser les causes (l'appareil subit la perturbation provenant des
appareils amont) et les conséquences potentielles, c'est-à-dire les effets induits sur les appareils avals,
ainsi que sur l'ensemble du système. La méthode des arbres de défaillances met l'accent sur les
enchaînements d'événements dysfonctionnels et leurs combinaisons qui conduisent à des
événements redoutés. La méthode permet de structurer ces événements sous forme d'arborescences
avec, au sommet, l'événement redouté, et à la base les événements initiaux. C'est une méthode
deductive car elle prône une approche descendante de l'évolution redoutée vers les événements
élémentaires nécessaires - mais non suffisants s'ils surviennent seuls - à l'apparition de l'événement
redouté.

En règle générale, les résultats de ces analyses sont disponibles avec, certes, des degrés de
formalisation variés. Sur l'installation PEV, les études fiabilistes prennent principalement en compte les
événements susceptibles d'influer sur la qualité du verre.

Les connaissances typiques du niveau adaptation sont les modifications significatives apportées par
les opérateurs dans le séquencement des tâches. Cette modification peut être envisagée de deux
manières :
• modification par rapport à une prescription : l'enchaînement des tâches peut être adapté par
l'opérateur s'il l'estime nécessaire et si l'enchaînement des tâches n'est pas défini de manière
rigide (si l'enchaînement des étapes est contrôlé par le SNCC, par exemple en phase de
démarrage, les opérateurs sont contraints de suivre un ordre déterminé d'étapes et de les valider
au fur et à mesure de leur réalisation ; en marche nominale, les opérateurs organisent leurs
activités de surveillance sans ordre particulier),
• modification par rapport au contexte : l'opérateur peut être amené à modifier le plan prévu sur
apparition d'événements (l'arrêt de la rotation du calcinateur implique sa mise en position de
sécurité, c'est-à-dire l'arrêt de toutes les alimentations et le passage automatique sur moteur
auxiliaire).

Les connaissances du niveau anticipation concernent principalement les stratégies de récupération,

les alternatives privilégiées en fonction du contexte d'exploitation. La méthode des entretiens, ou
encore des questionnaires, semble ici la seule méthode utilisable.
Une classification 149

Aides en ligne à
Connaissances partagées Méthodes
la supervision

Stratégies de repli et de récupération

Aide à l'anticipation
Stratégies de mise en sécurité

Implications des défauts et défaillances

diagnostiqués sur les fonctions d'intérêt
(production, sûreté de fonctionnement)

Aide à l'adaptation Particularités de certaines phases transitoires

Délais de réaction aux dysfonctionnements

Mesures à prendre en cas de dysfonctionnement

Cognitive
Contextes de conduite

Aide au djagnostic Graphes de fluence

Comportement normal : description des
variables et de leurs interactions Diagramme-blocs
i-ï

Méthodes d'analyse de
systèmes en
Comportement du système sur apparition de fonctionnement dégradé :
défaut : variables sensibles, zones de AMDE,HAZOP, Arbres
Aide à la représentation fonctionnement des variables de contrôle (zone d'événements, Arbre de
mentale normale, hors tolérance, interdite), mesures de mise défaillances, diagrammes
en sécurité sur apparition de défaut, analyse causes/conséquences ,
cause/conséquences pour affiner l'analyse. Graphes de Markov
[VILLEM 88] [FADIER 90]

Tableau IV.6 : Dimension cognitive / connaissances partagées / méthodes.

IV.3.2.3 Dimension opératoire

Les connaissances du niveau opératoire correspondent à la manière dont les opérateurs mettent en
application les procédures prescrites2 (informations utilisées, séquencement des étapes, méthodes de
travail), les besoins informationnels tout le long de l'exécution d'une procédure, ainsi que les erreurs
commises dans la sélection et l'exécution (tableau IV.7).

Les connaissances relatives aux erreurs de sélection et d'exécution sont recueillies via des méthodes
fiabilistes, au sens ici de probabilités d'apparition d'une erreur dans la réalisation d'une tâche
manuelle. Les méthodes THERP et SHERPA sont parmi les méthodes les plus employées [VILLEM 88].

La méthode THERP (Technique for Human Error Rate Prediction), déroule un processus de recueil et
d'analyse en cinq étapes :
• recenser les défaillances du système (méthodes d'analyse de sûreté orientées erreurs humaines,
méthodes du type AMDE et Arbre de Défaillances,
• décrire et analyser les tâches réalisées par les opérateurs (décomposition des tâches en actions
élémentaires),
• évaluer les probabilités d'insuccès des tâches
a- l'enchaînement chronologique des différentes actions élémentaires est établi par

2
Nous avons vu, dans le chapitre I, que les tâches fixées par les concepteurs sont systématiquement traduites
sous forme opérationnelle par les opérateurs.
150 Chapitre IV : Acquisition des connaissances

construction d'un arbre de probabilités, les actions sont présentées dans l'ordre de leur
apparition dans la réalisation de la tâche,
b- les probabilités d'échec ou de réussite sont évaluées en faisant appel à des banques de
données générales répertoriant les probabilités d'échec3,
• estimation de l'effet des erreurs humaines sur le système à partir de banques de données
chiffrées,
• proposition d'améliorations en vue d'optimiser leur fiabilité (amélioration ergonomiques,
introduction de redondances).

La méthode SHERPA (Systematic Human Error Rate Prediction Analysis) se décline de la manière
suivante :
• identifier les tâches opérateurs,
• analyser ces tâches par description des buts et sous-buts, des procédures et des actions
élémentaires, de manière à relier à chaque sous-but les actions correspondantes, et d'associer les
informations nécessaires à leur réalisation et les entités impliquées (outils, interfaces),
• classer les erreurs selon le type de comportement de comportements SB, RB, et KB (cf.
Rasmussen),
• évaluer les probabilités d'apparition des erreurs, sur la base de jugement d'experts du système
sur lequel l'analyse fiabiliste est menée,
• proposer des solutions (aménagement ergonomique des postes et interfaces aménagement des
procédures, proposition de formations).

L'analyse de l'activité des opérateurs (commandes et actions, comportement gestuel et visuel, etc.)
permet d'analyser les écarts existant entre les tâches prescrites et la manière dont les tâches sont
réellement effectuées.

D'un point de vue psychologique, de Keyser propose de mettre en évidence les carences
informationnelles en utilisant une grille d'évaluation à appliquer pour chacune des tâches opérateur ;
elle comprend les objectifs et sous-objectifs, moyens d'action, supports techniques de l'information,
les informations dont les opérateurs ont, théoriquement, besoin pour réaliser correctement leur
tâche, ainsi que les informations effectivement disponibles (repris par [KOLSKI 93]). Cette méthode
permet de mettre en évidence les carences informationnelles que les opérateurs doivent compenser
par d'autres moyens ; de Keyser distingue, dans sa grille d'analyse, les stratégies palliatives mises en
oeuvre par l'opérateur si ces informations sont critiques pour sa tâche en cours (à titre d'exemple : le
recours à la communication verbale). Cette approche utilise notamment l'observation des opérateurs
en situation de travail et les échanges informationnels entre opérateurs.

La méthode des graphes de fluence est également employée pour décrire les paramètres sur
lesquels l'opérateur agit pour contrebalancer une dérive, ainsi que la chaîne causale des variables
influencées par la correction. La méthode permet-elle de recenser l'ensemble des chemins causaux et
des moyens d'action ? L'expérience du Prototype Evolutif de Vitrification nous incite à penser qu'il
n'existe pas une façon unique de régler un débit, comme c'est le cas pour l'alimentation en fritte de
verre, mais une variété (finie) de méthodes, propres à chaque opérateur. Encore une fois, cette
méthode doit être employée avec précaution.

Les valeurs ont été établies de manière empirique pour chacune des actions élémentaires.
Une classification 151

Aides en ligne à 1»
Dimensions Connaissances partagées Méthodes 1
la supervision
Réglages effectués par l'opérateur Graphes de fluence [FADIER90] mU
Méthode de De Keyser de mise en •
Lacunes de l'interface homme-machine évidence des carences informationnelles M
Aide à l'application
Opératoire des DFocèdures Méthodes d'analyse de la fiabilité I
Erreurs commises, fréquence et gravité
humaine : THERP, SHERPA, etc. H
[VILLEM 88] (§
Ecart entre tâche prescrite et tâche réelle Analyse du système homme-tâche : H
variations volontairement introduites m
par les opérateurs lors de la réalisation 1
Méthodes de travail des tâches [Poyet90] K

Tableau IV.7 : Dimension opératoire / connaissances partagées / méthodes.

IV.3.3. Connaissances privées

L'objectif de ce paragraphe est de recenser les connaissances relevant d'une expertise. C'est le
domaine spécifique de la psychologie cognitive, qui exploite les méthodes mises au point en
psychanalyse pour effectuer un recueil des savoirs. Elles concernent la dimension cognitive de
l'activité humaine.

Ces connaissances sont difficiles à recueillir et à formaliser puisque ce sont, avant tout, des
représentations internes aux opérateurs, que l'on peut assimiler à des connaissances compilées, des
raccourcis cognitifs qui permettent de raisonner rapidement sur l'état du système physique. Ces
raisonnements sont difficilement verbalisables car essentiellement intuitifs, et ils exigent l'intervention
de cogniticiens pour extraire et structurer cette connaissance.

Les concepts employés en acquisition des connaissances sont les suivants : objets, relation, situation
typique, inference, stratégie, procédure (habituelle et inhabituelle), coefficient de certitude,
hypothèse, heuristique, cas limite, analogie, règle, concepts déterminants, classes, relations entre
classes.

Les méthodes de recueil se basent sur le discours, les gestes effectués en situation, les questionnaires,
etc. Elles se distinguent par [AUSSE 89] :
• l'origine des données observables : les données sont obtenues de façon spontanée en situation
de travail ou bien de façon provoquée quand les informations sont recueillies hors du contexte
de travail,
• la caractérisation de la situation : on s'intéresse plus particulièrement aux interactions entre le
système ou l'environnement de travail et la tâche à exécuter par le sujet ; il est important de
savoir si le recueil de connaissances s'est effectué en situation habituelle (en salle de conduite
pendant le travail posté) ou bien en situation transformée (en salle de réunion),
• les modes d'accès aux connaissances : les modes d'accès aux connaissances distinguent deux
grandes catégories de méthodes :
a. les méthodes directes permettent de recueillir auprès de l'expert ce qu'il sait exprimer, par
exemple de manière verbale,
b. les méthodes indirectes qui permettent au cogniticien de déceler des indicateurs qu'il sait
interpréter.

Les méthodes directes proposent une démarche d'extraction et une manière de structurer les
connaissances délivrées par "l'expert". Elles regroupent principalement :
• les entretiens : l'entretien est la méthode de recueil la plus commune. On distingue
152 Chapitre IV : Acquisition des connaissances

classiquement l'entretien non directif et l'entretien directif; l'entretien non directif est employé
en début de recueil et permet de se familiariser avec les concepts employés par l'expert;
l'entretien directif est envisagé pour approfondir des points particuliers. Le but est de produire
des verbalisations sur les objets (les concepts du domaine), les relations, les règles, les faits et
les heuristiques4 manipulés par l'expert.
• l'analyse de protocoles : Le cogniticien observe et enregistre les comportements de l'expert en
situation de travail, de façon à saisir et étudier tout ce qu'il se dit au cours du traitement d'un
problème. Les connaissances recueillies concernent les objets manipulés, les relations entre
objets, et les procédures courantes. Cette méthode s'attache donc à recueillir les connaissances
du type procédures.
• le traitement de problèmes sous contrainte : II existe de nombreuses variantes de l'analyse de
protocoles, par exemple le traitement de problème sous contrainte. Il s'agit ici de mettre l'expert
dans des situations où il est contraint par le temps et par l'accessibilité des informations
(technique de l'information à la demande, ou encore énoncé avec informations manquantes).
Ces* méthodes permettent d'accéder aux objets, aux hypothèses, aux heuristiques, aux
inferences5, aux cas limites et analogies envisagées par l'expert lors de la résolution, ainsi qu'aux
procédures inhabituelles. Cette méthode est donc orientée mise en évidence des stratégies de
résolution de problème.
• le dessin de courbes fermées : Cette méthode permet de verbaliser la représentation spatiale
des objets par l'expert. L'expert entoure les objets qui vont ensemble sur une représentation
spatiale. Cela revient à effectuer une classification des objets conceptuellement proches sur un
schéma.
• l'analyse du mouvement des yeux : L'analyse des mouvements des yeux est considérée comme
un indicateur des processus cognitifs. Elle permet de mettre en évidence des indices des
processus mentaux, grâce à la trace spontanée, directe et mesurable des déplacements de
l'attention du sujet en action. Une analyse des mouvements des yeux peut distinguer deux types
de processus inférés : les séquences de prise d'information, et les séquences de traitement. Enfin,
elle est bien adaptée à la mise en évidence des procédures de raisonnement dans la résolution de
problème dans lesquels il y a obligatoirement une composante spatiale. Elle est plus
particulièrement utilisée dans le cas où l'expertise contient une forte composante visuelle, ou
plus généralement pour extraire les connaissances difficiles à exprimer.

Les méthodes indirectes sont plus orientées vers les modes de raisonnement de l'expert, les liens
privilégiés entre concepts, les stratégies de raisonnement, etc. C'est pourquoi il faut les considérer
davantage comme des méthodes complémentaires aux méthodes directes. Ce sont notamment :
• les grille-répertoires : La méthode des grille-répertoires permet de mettre en évidence les liens
entre objets, en demandant à l'expert de sélectionner un ensemble de 10 à 20 objets ou
éléments homogènes et représentatifs de l'expertise puis à demander, pour chacun des triplets
possibles d'objets, de citer une caractéristique qui en distingue un des deux autres et de citer la
caractéristique opposée. Une note allant de 1 à 5 est attribuée à chacun des trois objets. C'est
donc une matrice de distances qui est construite. Cette méthode est bien adaptée aux
problèmes de classification, par exemple de diagnostic, mais se révèle peu adaptée pour extraire
les connaissances causales, procédurales ou stratégiques.
• les tests de mémorisation : Les tests de mémorisation ont pour but de mettre en évidence

4
Heuristique : une heuristique a pour rôle d'aider à trouver une solution. C'est une façon typiquement humaine
de procéder, c'est-à-dire de façon pas toujours formalisée et sans justification parfaite [GENTH 89].
5
Inference : opération qui consiste à passer d'une expression vraie à une autre expression vraie [GENTH 89].
Une classification 153

l'organisation des connaissances en mémoire chez l'expert et de tester sa mémorisation d'une

liste d'objets typiques du domaine afin d'en déterminer les régularités.

Le tableau IV.8 propose un descriptif des connaissances expertes à acquérir pour chaque niveau
d'aide cognitive.

Aides en ligne à
Dimensions Connaissances privées Méthodes
la supervision

Aide à l'anticipation Stratégies Analyse du mouvement des

yeux

Procédures inhabituelles
Traitement de problèmes sous
Situations typiques contrainte
Cas limites
Aide à l'adaptation Procédures courantes
Analyse de protocoles
Plans
Expertise des situations anormales
Relations de cause à effet entre variables Questionnaires
Cognitive pertinentes
Analyse du flot inférentiel
t -
Hypothèses
Classification
Aide au diagnostic Coefficients de certitude
Test de mémorisation
Relations entre objets (relations
causales entre variables, relations de Dessins de courbes fermées
similitude entre objets)
Analyse du flot inférentiel
Objets (éléments appartenant au
domaine d'étude) Grille-répertoires
Aide à la représentation Concepts déterminants
Echelonnage multidimensionnel
mentale
Stratégies de prise d'information
Regroupement hiérarchique
Analogies de Johnson

Questionnaires
Similitudes entre objets

Tableau IV.8 : Connaissances expertes / méthodes d'acquisition.

Le problème d'exhaustivité se pose de manière forte puisqu'aucune méthode ne permet d'assurer la

complétude des connaissances recueillies [AUSSEN 89].

Ces méthodes de recueil proposent une large palette de moyens d'extraction des connaissances
expertes. Elles présentent quelques invariants d'une méthode à l'autre (elles utilisent toutes en
l'occurrence les notions d'objets et de relations), et elles possèdent des zones de recouvrement qu'il
est intéressant de considérer si l'on souhaite recueillir un type particulier de connaissances.

La figure IV.2 propose une vision des principaux concepts ainsi que les méthodes qui permettent de
les recueillir.
154 Chapitre IV : Acquisition des connaissances

O
TRAITEMENT DE
TESTS DE MEMORISATION
PROBLEMES SOUS CONTRAINTES
Organisation des Champ de l'expertise : connaissances
connaissanc4s\chez l'expert générales employées
Unite de validité de la démarche de
olution pour des cas complexes
s| de problèmes
r GRILLES REPERTOIRES A
A /de distance entre
REGROUPEMENTS entre
s ou critères
HIERARCHIQUES d'objets lel plus
DE JOHNSON
1 d'heuristiques
ENTRETIENS O
Nombre max de 8 de l'expert
deux objets en / a u domaine de l'expert
Faits 'S 0
ANALY
/ a b i t u e l l e s SE DE
PROTOCOLES ET
d-obieti VARIANTES

Ipns causales entre couples

Relations entre c
objets
caractéristiques d'objets
A o
CLASSIFICATION ANALYSE DU FLOT
(TRICWBIETSOU jets mam iules INFERENTIEL
(Connaissances profondes)
DETACHES)
H « . »!,;«., Ordre\ans leq lel les objets
desobiets JSn t r n ï ipulés

Stratégies àe f rise d'information

Figure IV.2 : Les méthodes de recueil d'expertise et leurs zones de recouvrement.

La méthode SAC ACE 155

IV.4 LA METHODE SAGACE

La méthode SAGACE se positionne dans le courant systémique comme une méthode de description
d'un système qui fait largement appel aux concepts de modélisation systémique proposés par Le
Moigne [LE MOI 90].

C'est une méthode générale de modélisation des systèmes, pouvant être appliquée à l'étude des
systèmes technologiques, en tous les cas à l'ensemble des systèmes finalisés [PENAL 94]. Elle utilise les
neuf niveaux de description d'un système tels que proposés par Le Moigne, et met en œuvre un
ensemble de concepts et un vocabulaire spécifiques à ce type de modélisation. Elle ne se substitue
pas aux méthodes, dites "analytiques", qui ont été présentées dans les paragraphes précédents, elle
vise plutôt à fournir un cadre méthodologique de description ainsi qu'un support graphique de
représentation, qui permet de répertorier les connaissances mises en évidence avec les méthodes
classiques d'analyse.

L'outil logiciel qui supporte la méthode permet de répertorier les connaissances selon trois catégories
de modèles : l'éditeur de systémogrammes permet de décrire l'organisation du système, l'éditeur de
graphes permet de répertorier les connaissances de fonctionnement, l'éditeur de taxinomies
recueille les connaissances qui se rapportent au domaine.

Avant d'aborder la description proprement dite de la méthode, les concepts fondamentaux de la

modélisation systémique sont évoqués.

IV.4.1. Les concepts fondamentaux de la modélisation systémique

"L'approche systémique cherche d'abord à définir un langage unitaire de représentation des systèmes
aussi bien naturels qu'artificiels (...) elle cherche aussi à définir une démarche rationnelle d'analyse et
de conception de systèmes aussi bien physiques que sociaux en se fondant sur l'existence de
principes communs de modélisation" [WALL 77].

Elle cherche avant tout à représenter un système sans en dénaturer la complexité. Le Moigne
considère que trois hypothèses fondent la modélisation systémique [LE MOI 92] :
• hypothèse phénoménologique : "nous ne percevons que des opérations, c'est-à-dire des
actes",
• hypothèse téléologique : "dès lors que l'observateur convient qu'il n'accède qu'à son
expérience de l'action, il doit reconnaître son propre projet d'accès à cette expérience" ; Le
Moigne souligne ici le rôle de l'intentionnalité dans la modélisation systémique,
• hypothèse de la procéduralité de la rationalité : "la modélisation systémique (...) ne se
caractérise pas que par son résultat, un modèle 6 fini, mais aussi par sa procédure : elle est à la
fois action de modéliser et modélisation de l'action".

L'approche systémique se voulant un courant de pensée radicalement différent du courant de pensée

classique, il est nécessaire qu'elle se démarque des méthodes de modélisation spécifiques des
différents domaines et qu'elle utilise son propre vocabulaire, "ses propres axiomes de modélisation"

*>Un modèle est pris ici au sens de schéma, c'est-à-dire une description mentale (intériorisée) ou figurée
(diagrammes, équations) qui, pour un champ de questions, est prise comme représentation abstraite d'une
classe de phénomènes, plus ou moins habilement dégagé de leur contexte par un observateur pour servir de
support à l'investigation et/ou la communication [AFCET 78].
156 Chapitre IV : Acquisition des connaissances

[LE MOI 92].

IV.4.2. Les systémogrammes

L'organisation du système est appréhendée au travers de ses trois propriétés essentielles : la fonction
(les transformations mises en jeu pour atteindre les performances), le fonctionnement (les activités
mises en œuvre pour assurer la stabilité du système) et l'évolution (adaptation structurelle pour
maintenir la cohésion du système en réponse à une situation dysfonctionnelle).

La vision fonctionnelle permet de représenter le comportement attendu du système au travers des

transformations de matière, des séquences de fonctionnement et de déroulement de la campagne.
La vision organique s'intéresse aux ressources opérationnelles mises en œuvre telles que les
machines, les appareils de contrôle commande et les moyens auxiliaires permettant des changements
de configuration (les circuits de secours, par exemple). La vision opérationnelle met en évidence les
processus décisionnels lors de la conduite en situation normale (le pilotage), la conduite en
fonctionnement perturbé (l'adaptation), et la conduite selon des stratégies déterminées qui permet
d'adapter le comportement global du système face à des situations redoutées (l'anticipation).

IV.4.2.1 La matrice de projection

Cette approche décrit donc une matrice de neuf points de vue issue du croisement entre propriétés
et visions d'un système (figure IV.3) :
• Vision fonctionnelle
* mission : ce point de vue prend en compte les services assurés par le système en vue
d'assurer les performances, et les choix technologiques effectués. Il peut s'agir d'une
description du procédé de transformation (ce point de vue relève de l'analyse fonctionnelle
tel qu'employé dans des méthodes comme FAST),
* programme : ce point de vue décrit ce que fait le processus de fabrication dans le temps ;
cela se traduit par un séquencement d'activités (par exemple opérations de mise en régime,
opérations effectuées en régime permanent, opérations de mise à l'arrêt),
* scénario : ce point de vue décrit ce que fait le processus de fabrication "sur une large échelle
de temps", et se concrétise par un enchaînement de modes de comportement (un mode de
comportement est défini comme une période du cycle de vie correspondant à un état
considéré stable, le processus ne peut donc être que dans un mode à la fois). Un scénario est
défini en fonction du contexte d'exploitation (par exemple contexte nominal, dégradé et
d'urgence),
• Vision organique
* réseau opérant : ce point de vue décrit les appareils mis en œuvre pour réaliser la mission
(on décrit ici plus particulièrement l'organisation des appareils qui sont le siège des
transformations),
* organisation logistique : ce point de vue décrit l'architecture en charge de la stabilité du
processus (automates et système de contrôle-commande),
* coordination: ce point de vue décrit la capacité d'action du système sur lui-même afin de
maintenir son intégrité structurelle ; cela se traduit par un enchaînement des configurations
matérielles en fonction du contexte d'exploitation (par exemple contexte nominal, dégradé,
d'urgence),
• Vision opérationnelle
* pilotage : ce point de vue décrit les décisions à prendre pour ajuster les performances du
système (ce sont les opérations de réglage des paramètres de fonctionnement),
La méthode SAGACE 157

* a d a p t a t i o n : ce point de vue décrit les décisions visant à adapter le f o n c t i o n n e m e n t de

l'installation en fonction de perturbations (ce sont les activités induites par le changement de
consignes de production, par exemple),
* anticipation : ce point de vue décrit les changements de contextes stratégiques ; ce sont les
tâches de supervision dévolues aux opérateurs.

I Fonction Fonctionnement Evolution

Vision MISSION PROGRAMME SCENARIO Ce que fait

FONCTIONNELLE le système
services activités modes

RESEAU ORGANISATION
Vision COORDINATION Ce qu'est
OPERANT LOGISTIQUE
ORGANIQUE le système
ressources dispositifs configurations

PILOTAGE ADAPTATION ANTICIPATION

Vision Ce que décide
OPERATIONNELLE ajustement des qestion du conduite de le système
performances fonctionnement révolution

Performance Stabilité Intégrité

Figure IV.3 : La matrice SAGACE et les neuf points de vue de description.

IV.4.2.2 Le vocabulaire de la méthode

Cette méthode permet de projeter, sur chacun des neuf points de vue du systémographe (c'est-à-dire
l'éditeur de systémogrammes de l'outil SAGACE, implanté sur station SUN), un modèle du système à
l'aide des outils du vocabulaire de modélisation, à savoir les processeurs (représentés par des boîtes),
les flux (représentés par des flèches et symbolisant le transfert de matière, d'énergie ou
d'information) et les observateurs (représentés par des ellipses et symbolisant les moyens de rendre
compte de la mission du processeur). Les processeurs sont le siège de la transformation, et sont
caractérisés par une mission (le rôle dans la transformation) et un processus (les opérations unitaires
réalisées).

Les observateurs permettent de rendre compte de l'état de fonctionnement d'un appareil : pour un
opérateur de conduite, la transformation est déterminée s'il peut prédire les caractéristiques d'un
élément à la sortie, connaissant ses caractéristiques à l'entrée. Un observateur traduit donc la capacité
d'appréhender une caractéristique de flux, à l'aide d'un dispositif physique (capteur), informatique
(calcul) ou au moyen d'un processus mental (estimation visuelle ou auditive).

Le formalisme adopté permet de décrire le système sous forme d'un réseau de processeurs de flux
(flux horizontaux de matière, d'énergie ou d'information) et de contraintes, de consignes et de
commandes provenant de l'environnement (flux verticaux entrants dans un processeur). En retour, ils
fournissent les informations nécessaires à leur pilotage (flux verticaux sortants de commande et
d'informations de représentation).

La figure IV.4 présente le schéma de base de description pour l'ensemble des neuf points de vue de la
matrice ; ils utilisent tous le même langage basé sur les processeurs, les flux et les observateurs. Les
158 Chapitre IV : Acquisition des connaissances

outils de représentation graphique des processeurs et des flux s'inspirent des outils de représentation
de la méthode SADT [MARCA 87], L'apport de SACACE est une sémantique plus riche, par exemple
les observateurs et les flux typés (Matière, Energie, Information), qui permettent son utilisation en
génie des procédés.

En effet, les flux de transaction sont caractérisés par un couple (Objet, [Support]) où l'objet désigne
l'élément qui subit le traitement et où le support indique la matrice ou le conditionnement qui
permet de véhiculer l'objet. Ainsi un flux d'uranium en solution acide sera décrit symboliquement
sous la forme: M (U, H+) ; un chauffage à la vapeur sera considéré comme un flux d'énergie véhiculé
par de la vapeur : E (Chaleur, Vapeur) ; M(sucre, Eau) indique un flux de sucre en solution aqueuse ;
M(Verre, Fritte) indique un flux de verre véhiculé sous forme de fritte.

Les conditions d'activation sont représentées par des flux d'informations particuliers, notés IC, et
sous-typées selon le point d'application de la condition. Une condition portant sur la Réalisation ou le
Réglage du processus sera notée ICR. Une condition portant sur le Pilotage de la mission sera notée
ICP. Une condition portant sur la Structure ou la Sélection de moyens opérationnels sera notée ICS.

Les indications rendant compte du comportement du processeur sont représentées également par
des flux d'informations particuliers, notés IR, et sous-typées selon le renseignement fourni : IRC pour
les informations de configuration du système, IRF en ce qui concerne le fonctionnement (bon
déroulement du processus), et IRP pour rendre compte des performances (réussite de la mission).

1
Figure IV.4 : Schéma de base de description selon la méthode SAGACE.

IV.4.2.3 Relations entre points de vue : la notion de phase

La complexité ne réside pas seulement dans les différents points de vue avec lesquels il est possible
d'aborder un système, mais aussi et surtout dans les relations que ces points de vue échangent entre
eux ; ce sont d'ailleurs ces dépendances qui structurent l'ensemble.

La notion de phase de fonctionnement est liée à la notion de scénario pour la vision fonctionnelle, de
situation en vision organique et de stratégie en vision opérationnelle, elle est assimilable à des règles
de comportement globales. :

En fait, le domaine de fonctionnement d'un système est défini comme une combinaison de scenarii,
de situations et de stratégies, puisque un changement de scénario (passage d'un scénario de routine
à un scénario de crise) nécessite un changement de situation (passage à une configuration de
secours) et détermine une stratégie de conduite adaptée (passage à un contexte de crise). Cette
La méthode SACACE 159

combinaison de règles constitue ce qui, dans la méthode SACACE, est appelé la norme du système,
qui décrit l'ensemble des comportements pertinents d'un système.

Deux types de relations sont possibles : les relations qui unissent les trois visions d'une même
propriété, par exemple les visions fonctionnelle, organique et opérationnelle de la propriété
"Fonction", et les relations qui unissent trois points de vue d'une même vision, par exemple les
réseau opérant, réseau logistique et réseau auxiliaire de la vision organique.

IV.[Link] Points de vue d'une même propriété

Les trois visions d'une même propriété définissent des relations de mise en œuvre (figure IV.5). En
effet, la description du niveau fonctionnel et des contraintes de conception induit des choix
techniques à effectuer pour satisfaire ces contraintes. Ces choix se traduisent au niveau organique par
des appareils particuliers ; les objectifs de production définissent la latitude d'action des opérateurs de
conduite, ainsi que les consignes d'exploitation qu'ils doivent appliquer (elles apparaissent à cet effet
sous forme de commandes dans la représentation).

BUTS j | PRINCIPES DE CONCEPTION

Latitude d'action,
consignes d'exploitation

>*•"">/• y

Figure IV.5 : Relations entre points de vue d'une propriété.

Les relations entre points de vue d'une même vision exploitent la notion de phase du système, qui
est définie par toute période dans le cycle de vie du système pendant laquelle celui-ci maintient
constant un processus identifié. : .

IV.4.23.2 Points de vue d'une même vision

Cette notion de phase est utilisée pour donner un éclairage particulier aux points de vue d'une même
vision. Cet éclairage peut correspondre à la notion de scénario de fonctionnement, de situation
160 Chapitre IV : Acquisition des connaissances

structurelle ou bien de stratégie :

• un scénario est une logique de fonctionnement se traduisant par un agencement de modes de
comportement pertinents vis-à-vis de la mission,
• une situation est définie comme une logique de changement de configuration,
• une stratégie est considérée comme une logique de décision exprimée par un agencement de
contextes décisionnels, sachant qu'un contexte est un ensemble de tâches qui visent à conserver
certaines caractéristiques du système, i.e. son intégrité.

En vision fonctionnelle, la notion de phase est utilisée pour spécifier quelles sont les fonctions, les
activités et les modes de fonctionnement qui sont valides pour un scénario donné ; en vision
organique, elle permet de préciser quels sont les appareils, les organes logistiques et les organes de
secours activables pour une situation donnée ; de même, il est possible de filtrer les trois points de
vue de la vision opérationnelle en indiquant quelles tâches sont activables pour une stratégie donnée
(figure IV.6).

Fonctionnement Evolution

• Séqùencemerit des '

activités dans un Scénario de marche '
Vision fonctionnelle
I scénario de marche normale (états de
S normale • ; l'installation) ... .;

Tâches prises en charge

-.; ,\\'Synoptique çfe. par les automatismes en 3e marché''"
Vision organique - l'installation dans î situation de marche normale (configurations
normale atteïgnabfes) -

rN\tâehes d'ajustement • Tâches d'adaptation

Vision opérationnelle * «bri* une stratégie <te Ida ris une stratégie de
, s- - • marche normale . I marche normale

Figure IV.6 : Relations entre points de vue de même vision.

IV.4.3. Les Graphes

L'éditeur de graphes permet d'associer un quelconque graphe à tout objet du systémogramme. Il
permet de mettre en relation des caractéristiques d'objets, initialement définies dans le
systémogramme ou bien dans l'éditeur de taxinomies. Il peut mettre en relation un processeur et des
flux d'entrée et de sortie, comme il peut mettre en relation des caractéristiques d'un objet les unes
avec les autres. Ces caractéristiques d'objets peuvent prendre la forme de défauts et de défaillances.
L'exemple de la figure IV.7 montre un graphe issu d'une analyse de modes de défaillances d'un
appareil du procédé. Les causes possibles sont liées à des défauts de flux d'entrée et dont les effets se
propagent sur les flux 3 et 4.
La méthode SACACE 161

Processeur
2

Graphe associé au processeur 1

Processeur 1

'|Mode de défaillance

' | Mode de défaillance 21

^|lMode de défaillance 3 |

Figure IV.7 : Structure d'un graphe, exemple d'un graphe défaut-défaillance.

Ces graphes font référence aux objets du systémogramme à partir desquels ils sont conçus ; ils sont
donc spécifiques à un processeur donné.

Tout type de graphe peut être envisagé, en effet, l'éditeur de graphes SAGACE est conçu de sorte à
laisser à l'utilisateur le soin de définir le type de relation à établir - relation causale ou bien
sémantique. Pour ce qui concerne les relations causales, qui sont particulièrement intéressantes en
supervision de processus, il est possible de décrire des graphes reliant des défauts et leur(s) cause(s)
potentielle (s) et donc d'exprimer des liens qui associent des dysfonctionnements d'appareils à des
défauts de flux, ou bien des relations d'influence causale entre variables.

IV.4.4. Les taxinomies

Une taxinomie est une classification hiérarchisée basée sur le regroupement d'attributs
caractéristiques des objets à classer. Le but de cette classification est d'intégrer les connaissances des
spécialistes du domaine.

Elle décrit des liens du type "est-un" ou "est-un-type-de" et s'applique indistinctement aux
processeurs, aux flux ou bien aux observateurs. Par exemple, dans le domaine du génie chimique,
une taxinomie permet de distinguer différents types de réacteurs : réacteur agité, réacteur tubulaire,
cuve agitée, colonne, etc., et selon le nombre et les caractéristiques des flux qui les traversent.

Les taxinomies offrent la possibilité de formaliser des connaissances générales du domaine de

162 Chapitre IV : Acquisition des connaissances

modélisation et s'adressent davantage au spécialiste qui peut classer de manière hiérarchisée les
objets qu'il manipule. Elles sont utilisées pour faire hériter à un processeur, dans l'éditeur de
systemogrammes, les caractéristiques d'un processeur générique défini dans la taxinomie.

La figure IV.8 propose un exemple de hiérarchie d'extracteurs employés dans l'industrie chimique.

Solide - Liquide I Liquide-Liquide I

I
I

Figure IV.8 : Taxinomie d'appareils d'extraction.

Nous avons exploré la possibilité d'utiliser SAGACE pour modéliser une installation industrielle
particulière, le Prototype Evolutif de Vitrification.
Description d'une unité de production industrielle 163

IV.5 DESCRIPTION D'UNE UNITE DE PRODUCTION INDUSTRIELLE

Nous considérons ici la manière dont SAGACE a été utilisée pour décrire un processus industriel : le
Prototype Evolutif de Vitrification (PEV).

Le champ que cette méthode se propose de couvrir est très vaste, mais elle privilégie la pertinence
plutôt que l'exhaustivité des informations répertoriées. C'est pourquoi la formalisation est
essentiellement graphique, et met l'accent sur la mise en relation d'objets conceptuels.

Nous proposons ici de considérer quelques exemples de systémogrammes.

IV.5.1. L'installation à modéliser

Le prototype de vitrification de déchets haute activité PEV est un procédé en deux étapes qui
comprend la calcination de la solution de produits de fission simulés (Pf) et l'incorporation de ces
produits de fission dans une matrice de verre en fusion. Ces deux opérations sont réalisées à l'aide
d'un calcinateur rotatif alimenté en continu par la solution à traiter et qui effectue l'évaporation, le
séchage et la calcination partielle du résidu sec, ainsi que d'un four de fusion qui fond le mélange
calcinât et verre primaire pour produire le verre de formule choisie; celui-ci est coulé à intervalles
réguliers dans un conteneur métallique, qui lui même sera stocké dans les meilleurs conditions de
sûreté pour des déchets réels de haute activité. Un appareillage de traitement des gaz issus de la
calcination et de la vitrification est associé à cet équipement (figure IV.9).

L'annexe II rassemble les connaissances que nous avons recueillies principalement par entretiens et
analyse documentaire. Les neuf points de vue permettent de classer les connaissances recueillies.

La représentation SAGACE de ce processus fait apparaître les points suivants : le modèle fonctionnel
met en évidence les contraintes et les choix technologiques qui ont guidé la conception ; le modèle
organique traduit le schéma de flux ; le modèle décisionnel permet de représenter les tâches de
l'opérateur d'exploitation.

Fritte

Colonne Imoqe
Four d« lusion

VtraoontMwurdtvMi»

Figure IV.9 : Schéma du prototype évolutif de vitrification.

164 Chapitre IV: Acquisition des connaissances

IV.5.2. Systémographie
L'étape initiale de la modélisation nous permet de préciser le cadre dans lequel intervient l'installation
PEV (figure IV. 10) : il s'agit d'expliciter les raisons qui ont conduit les exploitants à envisager une telle
installation. Le PEV intervient dans le cadre d'actions de recherche et développement avec pour
objectif d'aider à la détermination d'une formule de verre adaptée à une solution de produits de
fission donnée. Cette activité est mise en œuvre au moyens d'essais technologiques, qui fournissent
une base de données d'exploitation qu'il faudra ensuite interpréter, ainsi que des échantillons de
verre pour analyse chimique. Les résultats attendus sont par exemple la validation des choix de
procédé.

Le prototype de vitrification peut être représenté dans chacun des neuf points de vue du
systémographe. Nous proposons des exemples de description relatives aux visions fonctionnelle,
organique et opérationnelle.

composition on

• Cetera la determination d'une formule cte ^

yerre adaptée aune solution de Pf donnée Ç)ja
/ Rechercher te* condition» optimales { :i

Produire des verres inactif»

:
représentatifs tfe ceux de La Hague <">

RECHERCHÉ Éf ÏHÈVÊÏO P P É M E N T COHCSRNAHtiiî WTRtFtCATIQN Base de ctomée3 d'exploitation (' )

AUDR00/SC1VQTV
^••••i- ••• " E 3 ! a ) s : t K h n b k j g i q u « ^ > - -

SchantUom pour ana^se chimique (")

Définition des car&ctériatiques

d\jn verre stoctrabte en sic profond (*)
des choix da ptoeâdS potr COGEMAf)
Y •'-

en pour des sotutior» Pf contenant des fines {Ifl)

i= :"éo«*tibm de fonctionnement " ~^- : Ï de verre prêt a couler (") j
l& corrosion du pot <*) : :

Figure IV. 10 : Les objectifs associés au PEV.

IV.5.2.1 Vision fonctionnelle

Le point de vue "Mission" permet de décrire les services définis par les exploitants et que doit fournir
le processus. Dans le cadre de la gestion des déchets nucléaires à vie longue, quatre services
principaux sont attendus : enfermer les sources de radiation dans une matrice solide, conditionner le
produit, épurer et évacuer les sous-produits (gaz et solutions aqueuses). L'accent est principalement
mis sur le confinement du processus pour des raisons de sécurité (voir figure IV.l 1 ).

Cette description présente de manière purement fonctionnelle les activités qui doivent être réalisées,
en se gardant de décrire la manière dont ces activités sont mises en œuvre, puisqu'elles figurent
spécifiquement dans le point de vue organique.
Description d'une unité de production industrielle 165

APPORTÉ» 14$
p
SPU86B I T EVACUES
ffiACTIf S ; LES 3 0U3-PRODUITS

«S* Chaleurs fournir pour

Detfts do solution!. (IR) tatouer tes solution» (IC>

Chaleur « fournir
jxwr fondre te v«rr» (IC>
Debits de solutions (IF))

Debit de fritte de verrs(IR)

""Aotffledes solutions (IB)
ÏNFEKMÊB LES SOURCES DE RADIATIONS
>^.jMB OAHS UNEMATfBCS SOUDE
û
"Rapport fritte (Verre

I constant (IR)
Debit de gaz produits (IK)
Traitement des NOx avant
n-elet atmosphenque (IC)

Condtiorrw I» verre produtt

-HD- fos la quantité requise atteinte (I C )

Masse de verre a
l'état fondu (IR)

Nombre de conteneurs
rempïs{m)

Figure IV.11 : Les fonctions à envisager pour conditionner les déchets haute activité.

IV.5.2.2 Vision organique

Le "Réseau opérant" décrit les appareils procédé mis en œuvre pour assurer les services spécifiés dans
le point de vue "Mission".

L'exemple de la figure IV.12 montre le processus d'alimentation en fritte de verre. Il décrit le

cheminement de la fritte de verre depuis la trémie n°2 jusqu'au sas d'introduction. La trémie n°1 et le
tapis de chargement ne servent que de manière ponctuelle pour alimenter la trémie n°2, chaque fois
que sa masse atteint un seuil minimal fixé (boucle d'action décrite par l'intermédiaire de l'observateur
"masse" sur la trémie 2, et de la commande de marche du tapis de chargement). Le vibreur, placé en
aval de la trémie n°2, sert à doser la quantité de fritte versée ; il est commandé par un automate en
temps d'activation. La fritte versée parvient à un godet puis au sas d'introduction, qui est constitué
d'une série de vannes et soupapes, devant assurer le confinement du processus.
166 Chapitre IV: Acquisition des connaissances

ït»teï fit* «îtaa en atat'[Link]*

Le tapis de chargement est
acfive aulofnatfqusmenl dw
que la masse de la tremte 2
est interim™ a 20 kg Le
fempbss&ge s arrêta des que
gO kg sont atteints ,
Crrlrt de mise en marche (fCa)

Figure IV.12 : Alimentation en fritte de verre.

IV.5.2.3 Vision opérationnelle

L'"Anticipation" décrit les stratégies mises en œuvre pour exploiter l'installation. Une stratégie se
décompose en contextes ainsi que des décisions de passage d'un contexte à l'autre. L'exemple de la
figure IV.13 montre l'exemple d'une stratégie de déroulement normal de la campagne d'essais qui
prend en compte les contextes de démarrage, de production (régime établi) et enfin d'arrêt. Les
transitions entre contextes sont symbolisées par les flux : condition de sortie du contexte de
démarrage (les conditions nominales sont atteintes), contrepartie attendue (démarrer l'essai). La
"boîte" placée entre condition et contrepartie symbolise les processus décisionnels impliqués.

_£
Contexte de démarrage Hefancer «ne «rnpaiyie <!Ç)

Str. deroui. normal caffpacr» ** Str. de repli au démarrage ;[Link])ue>

Condition* nominates de
fonctiomerwni atteintes <IR)
m • • •
Contexte 4» pfi-dtjclton

Str, demi, normal campagne

* Ï $tr,«fflnag* * Sit degrade* >*Tfft chauffa pot de fusion (1C)
•*> [Link] pdt campacpie ; Sit crrtique, at. dsgr&tiee

Dernière coufee effectuée (fft)""

4*arrtl

hstaftaiton prête
artclemaiTer(lR}

t .m-
Str. repS au démarrage,
Str. repfi pdt c
S l

Figure IV.13 : Stratégie de fonctionnement normal.

Description d'une unité de production industrielle 167

IV.5.3. Réalisation de graphes

Pour chacun des processeurs du point de vue "réseau opérant" est associé un graphe décrivant les
modes de défaillance du processeur ainsi que les défauts pouvant en être la cause, ainsi que les
défauts pouvant en résulter. La causalité des défauts et défaillance est décrite, dans SAGACE, de
manière locale à chaque processeur.

Ces graphes sont issus de l'interprétation d'une analyse des modes de défaillance réalisée de manière
classique, c'est-à-dire à partir des tableaux d'AMDE [VILLEM 88]. Ils permettent de fournir une
description plus lisible des tableaux d'AMDE, car centrée sur la description graphique des liens de
causalité, qui peut se révéler une alternative intéressante pour rendre plus lisible un tableau AMDE. Il
faut donc considérer AMDE et graphe comme deux descriptions complémentaires. Le graphe peut
également intégrer les résultats d'une analyse du type MCPR (méthode des combinaisons des pannes
résumées), qui distinguent des modes de défaillances externes des modes de défaillances internes :
un mode de défaillance externe résulte de la propagation d'une défaillance sur un appareil en
amont; un mode de défaillance interne résulte d'un dysfonctionnement propre à l'appareil lui-même
(rupture mécanique, fuite, etc.).

La figure IV.14 propose un exemple de diagramme défaut-défaillance issu de la modélisation du PEV

(le calcinateur). Sont distingués les modes de défaillance ayant pour cause les défauts apparaissant
sur les flux d'entrée (appelés modes de défaillance externes), et les modes de défaillance ayant pour
cause un dysfonctionnement de l'appareil lui-même (modes de défaillance internes).

Figure IV.14 : Graphe défaut-défaillance de l'éditeur SAGACE.

Par exemple, une entrée d'air au niveau du calcinateur entraîne une perturbation de la perte de
charge au niveau de la colonne de dépoussiérage. Un mode de défaillance externe est par exemple le
moteur de rotation qui n'entraîne plus le tube de calcination, ce qui entraîne l'arrêt des galets.
168 Chapitre IV : Acquisition des connaissances

IV.6 SAGACE COMME METHODE DE RECUEIL

L'objet de ce paragraphe est de replacer SACACE et ses apports en tant que méthode de
modélisation des systèmes par rapport aux connaissances pouvant être employées dans le cadre d'un
projet d'aide à l'opérateur, ce qui constituera une base de comparaison avec les méthodes
couramment employées. Il faut garder en mémoire que cette méthode ne se substitue pas aux
méthodes classiques d'analyse, mais qu'elle doit plutôt être vue comme une méthode de description
globale, et fédératrice au sens où elle permet de rassembler des connaissances qui étaient abordées
jusqu'ici par de nombreuses méthodes. Elle sert donc à cadrer l'investigation à mener sur le système.
C'est un des enseignements que nous avons tiré de la modélisation du PEV.

Dans le paragraphe IV.2, nous avions proposé un découpage des connaissances en connaissances
publiques, connaissances partagées et connaissances privées. C'est ce découpage que nous utilisons
pour décrire la manière dont la méthode SAGACE peut être utilisée pour formaliser les connaissances
considérées utiles à la conception d'une aide à l'opérateur.

IV.6.1. Connaissances publiques

Les connaissances publiques sont prises en compte au niveau du systémographe (la matrice des neuf
points de vue). Elles sont donc formalisées sous forme de réseaux de processeurs et de flux sur
l'ensemble des neuf points de vue.

Les connaissances du niveau opératoire concernent les tâches à réaliser et les diverses interventions
programmées que les opérateurs devront effectuer sur l'installation, et relatives aux modes de
fonctionnement de l'installation. Ces connaissances peuvent être décrites dans les points de vue
"Pilotage" pour les tâches humaines, ainsi que ('"organisation logistique" pour les tâches
automatisées. Le point de vue "programme" peut permettre d'indiquer à quel moment ces tâches
sont sollicitées.

Dans le premier niveau cognitif, qui correspond à l'aide à la représentation mentale et au diagnostic,
il est nécessaire de décrire les aspects fonctionnels et structurels de l'installation à travers
l'organisation fonctionnelle dans le point de vue "Mission" (les services, les contraintes techniques,
les contraintes de performances, etc.), et l'organisation matérielle dans le point de vue "Réseau
opérant" (les appareils importants, les mesures les plus significatives du fonctionnement du processus
de fabrication, les caractéristiques de l'instrumentation). Par ailleurs, un système de diagnostic
fonctionne généralement dans un domaine bien défini ; décrire dans quel contexte celui-ci va
intervenir demande de recenser les modes de comportement, les "scénario", ainsi que les
configurations de marche, c'est-à-dire le point de vue "coordination".

Nous avons décrit les connaissances du second niveau cognitif dans le point de vue "coordination",
qui traite des configurations de marche de l'installation ; les mesures qu'il convient de prendre sont
fonction des domaines de fonctionnement et figurent dans le point de vue "Adaptation" ; le point de
vue "Scénario" décrit les enchaînements de modes de fonctionnement dans un domaine de
fonctionnement donné. Puisque l'aide à l'adaptation utilise le précédent niveau cognitif, il exploite
également les connaissances de ce niveau (points de vue "mission" et réseau opérant").

Les stratégies d'exploitation figurent dans le point de vue "Anticipation". Elles sont décrites comme
des enchaînements de contextes d'exploitation, fonctions d'événements attendus ou incidentels.

La description de la répartition des rôles entre opérateurs n'appartient pas spécifiquement à un point
SACACE comme méthode de recueil 169

de vue de la matrice SACACE. Elle relève plus de connaissances de fonctionnement.

IV.6.2. Connaissances partagées

Les connaissances de fonctionnement concernent les connaissances acquises par les exploitants au
cours de la production. Elles sont spécifiquement représentées sous forme de graphes dans une
démarche SACACE.

Les connaissances liées à l'exécution de procédures de conduite correspondent aux méthodes de

travail employées par les opérateurs, aux erreurs qu'ils peuvent commettre. SACACE peut intervenir
pour représenter les informations mises en évidence par des méthodes particulières (analyse fiabiliste,
ou analyse mixte ergonomie/fiabilité, ou encore analyse psychologique de l'activité de l'opérateur),
mais n'intervient pas comme méthode d'acquisition.

Dans le premier niveau cognitif, les connaissances acquises pendant le fonctionnement de

l'installation concernent les comportements non prévus en conception. Ce type de connaissance
peut être représenté dans les graphes du réseau opérant, du type : graphe de défaut-défaillance,
graphe défaut-défaut, etc. Ces graphes sont issus d'une analyse des modes de défaillance et de leurs
effets (AMDE), SACACE répertoriant ces connaissances sous forme graphique.

Pour le second niveau, les connaissances acquises peuvent être les délais approximatifs entre le
moment où un événement est détecté et le moment où cet événement provoque la dégradation des
performances et/ou remet en cause la sécurité. Diverses mesures peuvent avoir été prises pour
résoudre ces problèmes. Elles figurent dans ce cas au niveau du point de vue "anticipation" (dans la
modélisation du PEV, nous n'avons pas abordé cet aspect).

Dans l'hypothèse où un système ne peut coopérer que s'il est en mesure de fournir des "chemins"
privilégiés à l'opérateur (solution qui nous semble la plus raisonnable à l'heure actuelle, cf. chapitre
II), il faudrait alors tenir compte, dans la description de ces connaissances, des chemins privilégiés par
les experts ou bien par les concepteurs du processus de fabrication en donnant, par exemple, des
poids à chacune des options pouvant être envisagées par les opérateurs en fonction du contexte.

Les connaissances qui peuvent être collectées à ce niveau correspondent à l'organisation du travail
collectif : répartition des rôles et coordination entre opérateurs. Elles peuvent être mises sous forme
de diagrammes décrivant l'intervention des acteurs dans chacune des activités valides pour un mode
de fonctionnement donné. Ces connaissances sont donc liées aux systémogrammes des trois points
de vue de la vision opérationnelle.

IV.6.3. Connaissances privées

Les connaissances expertes concernent plus particulièrement les savoir-faire acquis par les opérateurs
ou les experts du procédé. Si la méthode SAGACE peut constituer un cadre dans lequel il semble, a
priori, possible de répertorier les connaissances expertes (sous forme de graphes, par exemple), elle
ne propose pas de démarche particulière permettant d'investiguer ce champ de connaissances. Elle
est, en effet, destinée à modéliser les caractéristiques "de surface" des opérateurs, alors que le recueil
de l'expertise s'attache spécifiquement aux mécanismes de raisonnement, qui relèvent du domaine
de la psychologie cognitive.

Il semble que si le recueil de l'expertise s'impose, la méthode SAGACE peut utilement intervenir en
tant que méthode de cadrage de l'environnement de l'expert, avant de démarrer l'acquisition
proprement dite.
170 Chapitre IV : Acquisition des connaissances

IV.6.4. Conclusion
Les potentialités de la méthode SACACE ne sont pas encore totalement mises à jour, tant au niveau
des systemogrammes pour lesquels tous les points de vue ne sont pas encore figés, qu'au niveau des
graphes, pour lesquels seuls les graphes correspondant aux aides au diagnostic sont bien maîtrisés.

Cependant, le contenu des diverses représentations est bien perçu (se reporter en annexe II, qui
détaille chacun des points de vue en utilisant les données concernant le PEV), c'est pourquoi il semble
d'ores et déjà possible de répartir les représentations en fonction des connaissances mises en œuvre
pour réaliser les différentes aides à la supervision. Le tableau IV.9 décrit donc la manière dont peuvent
être répartis les points de vue du systémographe ainsi que les graphes dans la typologie des aides en
ligne.

Aides en Bgneà Connaissances

Dimensions Connaissances publiques Connais rtagée
la supervision privées

Graphes vision opérationnelle (logigrammes)

Aide au travail collectif : répartition des activités entre acteurs et flux
Collective
de communication.
Valable pour l'ensemble des trois visions
opérationnelles

Aldebl'antidnatkm Graphe de décision de changement de

stratégie

Anticipation

Aide à Vadaatatian Graphe de décision de changement de

mode de marche

Cognitive Adaptation

Aide au dlaanostlc
Graphe défaut / défaillance
Scénario
Mission
Coordination

Rfcrau nnérant
Aide à la représentation
Graphe de causalité entre
variables du procédé

Programme Graphe de défaillance humaine

Aide à l'application des Organisation Graphe de tâches

Opératoire
logistique
Pilotage Graphe de distribution des tâches
humaines et tâches automatisées

Tableau IV.9 : Champ de modélisation de la méthode SAGACE pour les processus industriels.
SACACE comme référentiel pour l'aide au diagnostic 171

IV.7 SAGACE COMME REFERENTIEL POUR LE DIAGNOSTIC

Au delà de la description d'un processus industriel, en particulier des aspects fonctionnel et structurel
qui permettent d'avoir une description synthétique du processus étudié, il nous faut définir la manière
dont SAGACE peut servir à recueillir les informations utiles pour concevoir un système de diagnostic.

Dans le chapitre II, nous avions évoqué l'intérêt d'un graphe de causalité dans le cadre du
raisonnement de diagnostic, et comme moyen d'expliquer l'évolution observée. Nous décrivons plus
particulièrement les moyens de construire une structure de graphe causal (graphe ne comportant
que les variables importantes et les relations orientées de cause-à-effet) de manière à disposer
rapidement d'un réseau de causalité entre variables importantes du processus de fabrication.
L'analyse structurelle et fonctionnelle du processus peut permettre d'obtenir une structure causale
comme étape initiale de construction d'un graphe de causalité.

IV.7.1. Les connaissances mises en œuvre dans DIAPASON

Les modules PROTEE (simulation), et MINOS (détection et diagnostic de défauts) du système
DIAPASON emploient un graphe de causalité qui lie les variables du procédé les unes aux autres. Ce
graphe est utilisé comme structure de modèle dont les liens - ou les arcs - sont évalués en analysant
les comportements du processus industriel (le simulateur PROTEE utilise des notions d'Automatique
du type temps de réponse, gain et retard pur). Le module METHYS est un système expert qui
fonctionne sur la base d'une description des défaillances et des pannes d'appareils.

Le graphe de causalité revêt une importance particulière puisqu'il est employé comme représentation
conceptuelle des influences dynamiques entre grandeurs surveillées du processus. C'est autour de
cette représentation qu'un modèle de simulation est construit : un arc symbolise une relation
d'influence entre deux variables mesurées ou estimées, qui peut être évaluée au moyen de méthodes
d'identification classiques en automatique. Le graphe de causalité fournit à MINOS, par ailleurs, les
moyens d'expliquer un défaut par parcours inverse des relations d'influence entre grandeurs
surveillées.

Différentes approches ont été proposées pour construire la structure d'un graphe causal ; les travaux
les plus célèbres sont ceux de De Kleer et Brown, ainsi que ceux d'Iwasaki et Simon [DE KLEE 84]
[IWASA 86]. Ces deux approches proposent de retrouver la causalité contenue implicitement dans le
jeu d'équations décrivant les comportements d'un processus.

Les principaux reproches qui peuvent leur être fait sont les suivant :
• leur mise en œuvre dépend de manière trop étroite des équations disponibles pour pouvoir être
exploitables à l'échelle industrielle : le système doit être décrit par un jeu d'équations complet
qui, s'il n'est pas déjà disponible, impliquera une mobilisation conséquente en temps et en
hommes, ne serait-ce qu'en raison de la taille de l'installation à modéliser,
• la manière dont les équations sont écrites influe pour beaucoup sur le résultat obtenu : T c =To est
formellement équivalent à Tn=Tc mais les approches d'Iwasaki et De Kleer supposent une
écriture sous forme de système d'équations ordonnées qui oblige quelque peu à organiser son
problème pour en déduire une chaîne causale; ici la forme T c =To n'est donc pas bonne (se
reporter à l'annexe III pour plus de détails).

Un modèle causal est une interprétation du comportement d'un système, et les possibilités
d'interprétations sont multiples; la figure IV.15 donne deux interprétations possibles de la causalité
sur l'exemple d'une cuve dont sont mesurés les débits d'entrée et de sortie liquide ainsi que le niveau
172 Chapitre IV: Acquisition des connaissances

[LEYVA91].

N
i

Figure IV.15 : Interprétations de la causalité.

La causalité exprime, en définitive, la manière dont l'observateur se représente les phénomènes sous-
jacents, c'est un modèle de comportement qui satisfait à la fois aux modes de raisonnement de
l'observateur et aux lois élémentaires de la physique.

Leyval a émis l'hypothèse qu'une approche basée sur l'analyse fonctionnelle du processus pouvait
permettre de déduire une structure de graphe causal pour les systèmes industriels. C'est cette voie
que nous avons choisie d'emprunter.

IV.7.2. Construction d'une structure de graphe causal

La démarche qui est proposée ici diffère de celles d'Iwasaki et de De Kleer dans la mesure où elle ne
requiert pas la connaissance préliminaire d'un modèle de comportement ou de connaissance du
système étudié. Elle se veut une manière de rechercher la causalité au travers d'une analyse
fonctionnelle du système physique ; elle se rapproche ainsi de la conception de la causalité selon De
Kleer, puisqu'elle laisse une place importante à l'interprétation, ce qui rend nécessaire l'emploi d'une
démarche d'analyse la plus rigoureuse possible. En la matière, il n'existe pas de méthode spécifique.
Aussi nous envisagerons l'étude des perturbations et leur propagation à travers le processus.
L'approche SAGACE peut alors fournir un cadre systématique de description de ces relations de
causalité. Il reste à déterminer les règles qui en guideront la construction.

L'analyse dysfonctionnelle d'un processus industriel permet d'expliciter des relations de cause à effet
entre appareils. Ce type de relation est matérialisé à travers les flux de matière et d'énergie, de
manière intuitive, il existe un rapport entre les relations causales en situation normale et des relations
causales en situation dégradée, en prenant le soin de préciser que l'on ne s'intéresse ici qu'aux
dysfonctionnements qui suivent les chemins de flux du processus. L'hypothèse sous-jacente est que le
modèle de comportement anormal porte, en soi, le modèle de comportement normal. Selon Weld,
SACACE comme référentiel pour l'aide au diagnostic 173

ce postulat n'est vrai que dans le domaine de fonctionnement auquel peut être associé un
comportement monotone, en l'occurrence pour nous la zone de fonctionnement nominal plus ou
moins un epsilon [WELD 90]. C'est l'hypothèse que nous admettrons dorénavant.

Quand nous parlons de dysfonctionnement ou de défaut, il faut entendre une perturbation

suffisamment importante pour mettre la variable hors de sa zone nominale, mais la structure du
processus est inchangée, ce qui signifie que les paramètres de fonctionnement peuvent être
perturbés mais que le modèle nominal reste valide.

IV.7.2.1 Une première approche

Une première approche peut consister à décrire le processus sous forme de systémogrammes puis à
expliciter, pour chacune des feuilles de l'arborescence, en l'occurrence les appareils, les graphes
défaut-défaillance issus de l'interprétation de l'AMDE du processus. C'est à partir de l'analyse des
influences entre flux que l'on peut émettre l'hypothèse d'une relation de causalité entre grandeurs
portées par les flux respectifs. Il s'agira, ultérieurement, de déterminer si la relation ainsi posée est
pertinente ou non, c'est-à-dire si elle intervient de façon notable dans les conditions normales de
fonctionnement.

A l'intérieur de la matrice SAGACE, le processus industriel est décrit dans le réseau opérant du
systémographe ; ce sera donc le seul point de vue, parmi les neuf, qui sera considéré. L'éditeur de
graphes permet d'établir des liens entre caractéristiques de flux ; il est donc susceptible de répertorier
les liens de causalité entre flux. On s'intéressera principalement à mettre en évidence les relations de
causalité entre grandeurs surveillées dont les influences suivent les chemins de flux physiques.

Les étapes de la démarche sont décrites en figure IV.16.

174 Chapitre IV : Acquisition des connaissances

iE (Puissance de chauffe) • - M (Calcinât)

M (Alimentations liquides)
Systémographie Calcinateur
:;E (Mouvement de rotation) '

IH (Perte de charge) m (Puissance dissipée)

I
•I Défaillances Conséquences Effets sur le PEV Moyens de détection

Défaillance La caldnation va se Températures du four

Chine* Plus de chauffe
électrique poursuivre dans le
caldnateur Puissance du four
pot de fusion

Arrêt des Alarme sur la

Electriques ou
Risque de alimentations et de rotation de la
mécaniques sur
déformation la chauffe du roue dentée
moteur
Irréversible
(fentrataement caldnateur
Alarme sur les galets
AMDE
Mauvais
rapport
Pf/adjuvant
Mauvaise
calcination
Puissance dissipée
par la chauffe du
caldntteu,
9
-vSes-}
g?

Causes de défaillance fffefs sur k système

(Mouvement tMBen
de rotation)

Graphe défaut-défaillance
E (Puissance Arrêt
de chauffe)

I M
(Alimentations
liquides)
_ _ Mauvais
rapport
Pf/ad|uvan

I
Graphe défaut-défaut

Figure IV.16 : Obtention d'une structure de graphe causal à partir d'une AMDE via SAGACE.

Les résultats de l'analyse AMDE peuvent servir à formuler les règles de diagnostic pour le module
METHYS, comme le montre l'exemple de la figure IV.17.
5ACACE comme référentiel pour l'aide au diagnostic 175

SI Puissance dissipée < seuil ALORS "Puissance sous-nominale"

SI "Puissance sous-nominale" SUPPOSER

Chute de température calcinateur AVEC Puissance
fournie sous-nominale

SINON SUPPOSER
Rétention de calcinât

Figure IV.17 : Exemple de règle METHYS associée au calcinateur.

IV.7.2.2 Une approche utilisant la méthode d'analyse de Finch et Kramer

Une seconde approche, basée sur l'analyse dysfonctionnelle de groupes d'appareils participant à
une fonction du processus, est envisagée.

Analyse de dépendances

Finch et Kramer emploient la modélisation des dépendances conditionnelles comme stratégie de

diagnostic fondée sur un modèle logique de propagation de dysfonctionnements [FINCH 88]. Le
parcours de ce graphe permet de prédire les effets possibles d'un dysfonctionnement sur un nœud,
ou de remonter à la source d'un défaut observé : à chaque nœud du graphe est associée une fonction
qui remplit un objectif donné, et qui peut être évaluée par au moins une variable mesurée. Le
diagnostic vise alors à déterminer la fonction (le nœud) effectivement en défaut.

De manière générale, une fonction est assurée par un ensemble d'appareillages qui poursuivent
chacun un objectif particulier (ces objectifs peuvent ne pas être évalués individuellement, mais plutôt
collectivement au travers d'une variable globale). Le cas où un même nœud comporterait plusieurs
variables n'est pas souhaitable, puisqu'il n'y aurait pas de relation explicite liant ces variables entre
elles ; cela constituerait en fait une limite pour le diagnostic, puisqu'il faudrait alors passer en revue
plusieurs hypothèses de pannes, introduire la notion de probabilité d'occurrence, ou bien faire appel
à une autre technique de diagnostic local.

La figure IV.18 montre le graphe tel que déduit par analyse des dépendances (L r , T i , S i i , etc.
représentent les variables mesurées). La méthode d'obtention est décrite en annexe IV.
176 Chapitre IV : Acquisition des connaissances

ystème de regulation
température réacteur

Système de
régulation débit
recyclage

Système de
régulation débit de
réfrigérant

Figure IV.18 : Le réseau de dépendances entre groupes fonctionnels d'appareils.

Comparaison Graphe de causalité et réseau de dépendance

Le graphe de causalité de ce même réacteur est décrit en figure IV.19, qui est issu de travaux
antérieurs [FINCH 87]. Les variables cerclées sont celles qui sont mesurées.

;L-':L :/-' L . I l ; i'y. r.O~. ly.y^ylyylyl'l^yl^yly'y ;'v;r; ; X-.-;°" ;>;-• -•-OI,';^-';';. >:-'£:;" ! y " I I ; " ; ] ^ I . .''-IX " ^ X . .'.^ , n^. 1 ^ 1 .. n.-^ ' ^ '^ ^ ^ '.l^^^^^f^^^\7

-L-X-^1 : r •••:•, : •••vMo:o:°:o:o:o:o:v.•:':•:•:•••.- • ••• • •:• •':•.•:•:-'•>:•' • '>'L :•'. :•:•'•: *•'•:•;-: >:•: : I'M'I-M I'M-' J :-:-: '-<--.---- l''.-:-,ïyi-.''-'-;-•.;';.;.•.; \-\^J J . y_~y;y-'.', - v - - ^ ^ ^ H

>^ LÇ-SL: ^W

Figure IV.19 : Le graphe de causalité du réacteur.

Pour pouvoir comparer ces deux représentations, nous avons supprimé les variables non mesurées. En
SACACE comme référentiel pour l'aide au diagnostic 177

vertu du fait qu'un tel graphe constitue une interprétation du comportement d'une installation, il est
parfaitement légitime de faire abstraction d'un certain nombre de nœuds à condition que les relations
entre nœuds restants soient préservées. La procédure de réduction du graphe de causalité est décrite
en annexe V.

Le résultat de cette réduction est le suivant (figure IV.20)

Figure IV.20 : Graphe causal obtenu après réduction.

L'analyse comparée du graphe causal (figure IV.19) et du modèle de dépendances (figure IV.18)
permet de vérifier que la structure des deux réseaux est sensiblement la même (figure IV.20), à
quelques différences près :
• dans le modèle de dépendances, les deux variables L r et F-| i sont incluses dans un seul et même
système, le système de régulation du niveau du réacteur. Il eut été préférable de les séparer au
sein de deux systèmes distincts, cela aurait certainement permis de retrouver les relations de
causalité existant entre les variables Fi i et F5,
• il n'y a pas de relation directe entre le système de régulation de niveau et le système de
régulation de température, comme le laissait supposer l'arc reliant Lr à T r dans le graphe causal.
N'ayant aucune information sur la façon dont le graphe causal a été obtenu, on ne peut écarter
l'hypothèse d'un arc redondant.

En définitive, bien que ces deux modèles correspondent à des visions a priori distinctes - l'une aborde
la modélisation de la propagation de dysfonctionnements, et l'autre la modélisation des influences
entre variables du processus -, elles se basent toutes-deux sur l'interprétation des interactions entre
entités (d'un côté les systèmes et de l'autres les variables) en termes de causalité.

Généralisation et application de la méthode au PEV

Nous proposons d'étendre l'utilisation de cette démarche aux systèmes de grande taille. Pour ce
faire, nous proposons de considérer le processus sous forme d'une hiérarchie de niveau de
décomposition. Cet aspect est évoqué en annexe VI. Cette démarche a été employée sur l'ensemble
de l'installation PEV (se reporter en annexe VII).
178 Chapitre IV : Acquisition des connaissances

IV.7.3. Conclusion
L'analyse des dépendances se positionne comme une approche d'analyse, certes moins fine qu'une
AMDE, mais qui permet d'aboutir plus rapidement à l'établissement des dépendances au sein du
processus et, ce faisant, d'en déduire une structure causale entre variables mesurées. L'application de
cette approche nécessite une décomposition particulière du processus : l'installation est décomposée
selon des critères fonctionnels. Ici, les composants élémentaires de l'analyse sont les groupes
d'appareils réalisant chacun une fonction élémentaire, par opposition à l'approche par AMDE qui
nécessite de pousser la décomposition jusqu'au niveau des appareils.

Ainsi, la condition principale pour réaliser un modèle fonctionnel de dépendance est le suivant : dans
la mesure où un processus quelconque peut se mettre sous la forme de systèmes fonctionnels régulés
n'ayant qu'une variable régulée (et une variable manipulée), de systèmes fonctionnels passifs n'ayant
qu'une seule sortie mesurée, alors l'application de cette méthode de décomposition fonctionnelle à
un système quelconque permet d'aboutir rapidement au modèle de dépendance recherché. Dans le
cas contraire, il s'agira, pour le modélisateur, et dans la mesure du possible, de se ramener à une telle
décomposition, en choisissant un niveau de décomposition tel que, pour chacun des sous-systèmes
isolés, corresponde une seule variable qui caractérise son fonctionnement.

En somme, l'approche proposée par Finch et Kramer permet de définir un cadre d'analyse suffisant
pour concevoir la structure d'un graphe causal décrivant les dépendances entre variables principales.
Cette approche constitue une analyse préliminaire d'un système qui peut ensuite déboucher sur une
analyse de sûreté faisant appel aux outils et méthodes tels que l'analyse des risques, l'AMDE et son
extension l'AMDEC, l'analyse des causes insidieuses, les diagrammes de fiabilité, les arbres de
défaillance, etc.

Cette approche est compatible avec les concepts de la méthode SACACE. Un de ses intérêts est de
fournir des règles de décomposition du processus. Un autre intérêt est la possibilité d'analyser les
dépendances entre groupes d'appareils, par un processus de focalisation : une relation orientée entre
deux ensembles d'appareils s'exprime, au niveau de décomposition supérieur, en au moins une
relation de dépendance.
Conclusion 179

IV.8 CONCLUSION
La typologie proposée au chapitre I est, de nouveau, employée pour classer les connaissances et les
méthodes de recueil associées. Ceci est une manière de spécifier, dès l'analyse des besoins, les
connaissances qui devront être recueillies. Les grilles ainsi définies n'ont pas la prétention d'être
exhaustives, elles ont pour fonction de replacer les méthodes les plus couramment rencontrées dans
le contexte des aides à l'opérateur. Elles établissent, par ailleurs, un lien entre les méthodes d'analyse
technique et les méthodes de recueil d'expertise.

SACACE peut être qualifiée de méthode "à large spectre" puisqu'elle propose de modéliser une
installation industrielle en neuf points de vue prenant chacun en compte un aspect particulier.
L'intérêt d'une telle approche, selon nous, est la possibilité qu'elle offre d'avoir une vue
compartimentée d'un système complexe, son fort pouvoir descriptif et structurant.

L'expérience de la modélisation du PEV dans le cadre de la méthode SAGACE nous amène à penser
que la représentation d'un système n'est pertinente que par rapport aux objectifs qui ont motivé la
modélisation. Il ne s'agit pas de tout représenter d'un système, au contraire, l'approche SAGACE
permet : le choix d'une limite de résolution définissant les composants considérés, cela fixe le niveau
de détail de l'analyse ; le choix des limites extérieures du système et de son environnement proche.

Par ailleurs, cette méthode ne vise pas à se substituer aux méthodes courantes d'analyse, elle vise
plutôt à fournir un cadre à partir duquel peuvent s'articuler les connaissances acquises par le biais de
ces méthodes. SAGACE est donc avant tout une méthode de structuration de l'ensemble de la
démarche de modélisation des connaissances.

Enfin, la représentation graphique permet une validation plus aisée et conduit à un référentiel
commun pour l'ensemble des intervenants du projet (décideurs, exploitants, ingénieurs procédé,
opérateurs et équipe de supervision).

En ce qui concerne les connaissances utilisables en conception de systèmes d'aide à l'opérateur,

SAGACE prend en compte l'ensemble des connaissances descriptives ainsi que les connaissances de
fonctionnement (hormis pour le niveau individuel, qui concerne plus spécifiquement les domaines de
l'ergonomie et la psychologie du travail), et pas du tout les connaissances liées à l'expertise.

La méthode nous a offert les moyens de représenter les aspects comportementaux (au sens classique
du terme) à l'aide de graphes sémantiques particuliers : les graphes causaux. Pour les besoins de
DIAPASON, les connaissances formalisées dans l'outil SAGACE sont essentiellement sous forme de
graphes de causalité et de graphes défauts/défaillances. L'intérêt d'une telle approche est la
possibilité de modéliser les comportements de manière locale à chaque appareil procédé, ce qui
permet de valider localement les relations d'influence.
180 Chapitre IV : Acquisition des connaissances

Références
bibliographiques

[ABED 90] M. Abed, J.M. Bernard, J.C. Angue,

Task analysis and modelization by using SADT and PETRI networks,
1Oth European Annual Conference on Human Decision Making and Manual Control,
Liège, Belgium, 11-13 November 1991.

[AUSSE 89] N. Aussenac,

Conception d'une méthodologie et d'un outil d'acquisition de connaissances
expertes,
Thèse de doctorat de l'Université Paul Sabatier, Toulouse, France, 1989.

[DE KLE 84] J. De Kleer, j . S. Brown,

A qualitative physics based on confluences
Artificial Intelligence journal, vol. 24, pp. 7-83, 1984.

[FADIER 90] E. Fadier,

Fiabilité humaine : méthodes d'analyse et domaines d'application,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions OCTARES
Entreprises, pp. 47-80, 1990.

[FINCH 87] F.E. Finch, M.A. Kramer,

A rule-based approach to fault diagnosis unsing the signed directed graph,
AlChE journal, vol.33, n°7, July 1987.

[FINCH 88] F.E. Finch, M.A. Kramer,

Narrowing diagnostic focus using functional decomposition,
AlChE journal, vol. 34, n°1, January 1988.

[GENTH 89] P. Genthon,

Dictionnaire de l'intelligence artificielle,
Traité des Nouvelles Technologies série Intelligence Artificielle, HERMES, Paris, 1989.

[HOC 87] J. M. Hoc,

Psychologie cognitive de la planification,
Sciences et Technologies de la Connaissance, PUG, 1987.

[HOC 91] J.M. Hoc,

L'ergonomie cognitive : un champ pluri-disciplinaire dans les sciences cognitives,
Les sciences cognitives en débat, Editions du CNRS, Paris, 1991.

[IWASA 86] Y. Iwasaki, H.A. Simon,

Causality in device behavior,
Artificial Intelligence, 29, pp. 3-32, 1986.

[JOHAN91] G. Johannsen, J. L. Alty,

Knowledge engineering for industrial expert systems,
Automatica, vol. 27, N°1, pp. 97-114, 1991.
Références bibliographiques 181

[KOLSKI 93] C. Kolski,

Ingénierie des interfaces homme - machine, conception et évaluation,
Traité des Nouvelles Technologies, série Automatique, eds HERMES, 1993.

[LE MOI 90] J. L. Le M oigne,

La modélisation des systèmes complexes,
Afcet Systèmes, eds. Dunod, 1990.

[LE MOI 92] j . L Le Moigne,

Gestion des actifs intangibles. Sur l'ingénierie de la connaissance
organisationnelle. Symboliser, Mémoriser, Finaliser,
journée I.I.I.A., Berne, 13 février 1992.

[LEYVA91] L Leyval,
Raisonnement causal pour la simulation de procédés industriels continus,
Thèse de doctorat de l'Institut Polytechnique de Grenoble, 1991.

[MARCA 87] D.A. Marca, C. L McCowan

SADT. Structured Analysis and Design Technique,
McGraw-Hill, 1987.

[MITCH 86] C M . Mitchell, R.A. Miller,

A discrete control model of operator function : a methodology for information
display design,
IEEE Transactions on Man and Cybernetics, Vol. SMC 16, pp 343-357, 1986.

[PITRA 90] J. Pitrat,

Métaconnaissance, le futur de l'intelligence artificielle,
Hermès, Paris, 1990.

[PENAL 94] J.M. Penalva, E. Page,

SAGACE. La modélisation des systèmes dont la maîtrise est complexe,
ILCE'94, Montpellier, les 7-11 février 1994.

[POYET 90] C. Poyet,

L'homme, agent de fiabilité dans les systèmes automatisés,
Les Facteurs Humains de la Fiabilité dans les Systèmes Complexes, editions OCTARES
Entreprises, pp. 223 - 240, 1990.

[RASMU 79] J. Rasmussen,

On the structure of knowledge - a morphology of mental models in a man-
machine system context,
RIS0-M-2192, UDC 007.51.62-5: 65.015.12, Rise National Laboratory, DK-4000
Rokslide, Denmark, 1979.

[SCAPI 89] D. Scapin, C. Pierret-Golbreich,

MAD : une méthode analytique de description des tâches,
Actes du colloque sur l'ingénierie d'interfaces homme-machine, Sophia-Antipolis, 24-
26 Mai 1989.

[VILLEM88] A. Villemeur,
Sûreté de fonctionnement des systèmes industriels, Fiabilité - Facteurs humains -
Informatisation,
Collection de la Direction des Etudes et Recherches d'Electricité de France, Editions
Eyrolles, 1988.

[WALL 77] [Link],

Systèmes et modèles, introduction critique à l'analyse des systèmes,
Eds. Seuil, Paris, 1977.
 Chapitre IV : Acquisition des connaissances

[WELD 90] D. Weld,

Exagération,
Artificial Intelligence, n°43, vol. 2, 1990.
 183
Conclusion

CONCLUSION

De nombreux "mythes" sont encore associés aux systèmes informatiques qui exploitent des
techniques issues de travaux en intelligence artificielle. L'objectif que nous nous étions fixés visait
justement à poser les bases nécessaires pour aborder convenablement un projet d'aide à l'activité
humaine de supervision de processus de fabrication.

Un des problèmes les plus saillants auquel nous avons eu à faire face, en conception d'aides à la
supervision, encore appelées aides à l'opérateur, n'était pas tant de résoudre des problèmes
techniques que de donner du sens à ces aides : comprendre pourquoi la présence de l'opérateur est
nécessaire à la bonne marche d'un processus de fabrication, en quoi une aide peut lui être utile et
prendre en compte l'environnement complexe dans lequel intervient l'opérateur, apparaissent
comme autant de conditions nécessaires à la réussite d'un tel projet. Si les acteurs qui interviennent
dans la problématique des aides s'accordent sur l'importance de ces points, il n'en reste pas moins
que les solutions proposées sont encore peu satisfaisantes.

Le présent travail constituait donc une première étape vers la définition d'une méthodologie de
conception d'aides à l'opérateur. Pour ce faire, nous avons choisi de placer l'homme au centre de
notre problématique, et porté notre attention sur les objectifs suivants : disposer d'une
représentation des principaux facteurs influant sur la performance de l'opérateur, incidemment sur la
performance du processus de fabrication ; disposer d'une description structurée de l'offre en matière
de fonctionnalités d'aide à l'opérateur; orienter et justifier le choix d'une aide; préparer le
développement du système proprement dit.

UN CADRE DE DESCRIPTION DE L'OPÉRATEUR

Une aide à la supervision s'adresse directement à l'opérateur; il nous paraissait donc important
d'effectuer une synthèse des principales caractéristiques humaines participant à la performance
globale du processus de fabrication. Cela a permis la mise en évidence de concepts fondamentaux
liés à la performance de l'opérateur. Nous avons ainsi choisi d'explorer le champ de l'erreur humaine
comme moyen de détection et de diagnostic des dysfonctionnements de l'opérateur. En effet, si
l'opérateur est un facteur d'adaptation et de fiabilité, il est également un facteur de risque : ses
performances sont susceptibles d'importantes variations, qui peuvent avoir une incidence néfaste sur
le processus de fabrication et dont les conséquences s'évaluent à travers des données économiques
telles que des coûts de production, des coûts de maintenance ou, à l'extrême, par des accidents.

De nombreux auteurs ont étudié l'erreur humaine et en ont dressé une liste, une typologie, chacune
insistant sur certains aspects de l'activité humaine. Dans une optique méthodologique, une typologie
générale capable d'inclure l'ensemble des activités humaines nous paraissait plus indiquée ; c'est
pourquoi nous avons construit une nouvelle typologie d'erreurs sur la base des travaux de Nicolet,
de Keyser et Reason.

Ce faisant, nous nous sommes dotés d'un modèle de l'opérateur fondé sur la mise en
correspondance des erreurs et des dimensions de l'activité humaine impliquées en supervision.
184
Conclusion

LES AIDES A L'OPERATEUR

De nombreuses disciplines des sciences de l'ingénieur et des sciences humaines sont impliquées dans
un projet d'aide à la supervision. Pour le concepteur, il devient très difficile d'avoir une vision
d'ensemble des solutions disponibles en raison de leur variété et de leur diversité. Une classification
des aides est très utile pour structurer et organiser le domaine des aides à l'activité humaine. Son
obtention constitue donc un jalon important vers la définition d'une démarche méthodologique.

C'est pourquoi nous avons introduit une grille de lecture des solutions existantes en utilisant le
modèle de l'opérateur défini précédemment : à chacun des types d'erreurs correspond au moins un
type d'aide à l'opérateur. Six types d'aide sont déclinés, parmi lesquels l'aide à l'application des
tâches pour la dimension opératoire et l'aide au travail collectif pour la dimension collective. En ce
qui concerne la dimension cognitive, quatre types d'aide sont mis en évidence : l'aide à la
représentation mentale, l'aide au diagnostic, l'aide à l'adaptation et l'aide à l'anticipation. Ces
aides visent, globalement à aider l'opérateur dans la prise de décision.

Avec l'aide à la représentation mentale, qui regroupe les travaux menés dans le domaine des
interfaces homme-machine, l'aide au diagnostic représente l'aide la plus investiguée, sans doute
parce qu'elle fait très largement appel aux sciences de l'ingénieur (informatique, automatique, génie
chimique, etc.). La difficulté est qu'il existe de nombreuses manières d'envisager le diagnostic. Pour
aider le concepteur, nous avons proposé de regrouper les approches employées en automatique et
les approches employées en intelligence artificielle au sein d'une représentation unique et inspirée des
travaux de Leitch, qui décrit un processus de diagnostic comme un processus de traitements
informationnels élémentaires, encore appelés tâches primitives, et considérés comme les
constituants de base d'un système de diagnostic. Quatre tâches primitives permettent de décrire un
tel processus : les tâches d'interprétation, de prédiction, de décision et d'identification. Le travail du
concepteur revient alors à choisir, pour chacune des tâches primitives, la technique qu'il convient
d'employer, en fonction notamment des connaissances disponibles et des caractéristiques de
l'instrumentation.

Notre classification des aides fait apparaître deux autres types d'aide de la dimension cognitive :
l'adaptation et l'anticipation. A notre connaissance, ces deux niveaux d'aide n'ont pas donné lieu à
des travaux spécifiques au même titre que le diagnostic, mais il est vraisemblable que ces aides sont
respectivement associées aux notions de conseil à l'opérateur et d'aide au changement de
stratégie de conduite.

UNE DÉMARCHE DE CONCEPTION

La difficulté majeure à laquelle nous avons été confrontés, dans le projet DIAGPEV qui visait la mise en
application du système de diagnostic DIAPASON sur l'installation PEV, n'était pas tant l'aspect
technique du projet que sa justification auprès de l'ensemble des acteurs de l'entreprise : les apports
potentiels d'une aide étaient mal perçus, principalement par manque de critères d'évaluation. Par
conséquent, orienter le projet sur la base des motivations du personnel de gestion financière ou sur
le choix des fonctionnalités à implanter se sont avérés insuffisants pour cerner le bien-fondé de ce
type de projet. Par ailleurs, la nouveauté de ces systèmes d'aide ne permettait pas une analyse
fonctionnelle des besoins, en raison du peu de données associant insatisfactions à des solutions
techniques relevant d'une aide à la supervision.

Les éléments de réponse proposés ici exploitent le modèle de l'opérateur basé sur les erreurs ainsi que
la classification des aides définie précédemment. L'idée avancée est qu'un projet d'aide doit être
Conclusion 185

envisagé en prenant en compte le système complexe que constitue l'entreprise. Aucune approche ne
permet, à elle seule, de définir convenablement les orientations du projet, il convient donc d'aborder
la définition des objectifs par une démarche méthodologique qui combine plusieurs approches, de
façon à se donner les moyens d'un recoupement entre motivations, attentes, besoins ou problèmes
des différents acteurs de l'entreprise :
• en considérant les aspects purement techniques, c'est-à-dire en adoptant le point de vue des
fonctionnalités de l'aide (approche employée jusqu'ici),
• en considérant les améliorations que souhaitent les opérateurs et le personnel de gestion
technique, c'est-à-dire en adoptant une approche par les besoins (approche classique de
l'analyse de la valeur),
• en considérant les erreurs des opérateurs, c'est-à-dire en adoptant le point de vue des
problèmes (approche fiabiliste),
• en considérant les dimensions de l'activité qui devront être privilégiées, c'est-à-dire en adoptant
le point de vue des attentes.

L'approche par les attentes permet de tenir compte des choix stratégiques de l'entreprise en ce qui
concerne la manière dont le processus de fabrication doit être conduit. Dans le domaine du nucléaire,
la stratégie consiste à privilégier la dimension opératoire de l'opérateur ; l'idéal serait qu'à toute
situation puisse correspondre une procédure de récupération que l'opérateur n'aurait plus qu'à
appliquer. Pour l'exploitant, l'objectif est de limiter le plus possible l'occurrence de situations pouvant
faire appel à la dimension cognitive, considérée comme une source importante d'erreurs.

L'ACQUISITION DES CONNAISSANCES

Une caractéristique des aides à l'opérateur est qu'ils manipulent des connaissances. Leur acquisition
est donc un préalable au développement proprement dit du système d'aide, mais elle pose
d'importants problèmes aux concepteurs, principalement en raison de leur diversité.

Il était donc utile de mettre en regard, pour chacun des types d'aide évoqués précédemment, les
connaissances participant à leur mise en œuvre. Une classification des connaissances a donc été
proposée, et les méthodes d'analyse couramment employées intégrées dans cette classification.
L'objectif était de permettre au concepteur de sélectionner rapidement les méthodes utiles pour le
projet.

Par ailleurs, avant de démarrer l'acquisition proprement dite des connaissances, il est important de
disposer d'une représentation du système sur lequel le concepteur se propose d'intervenir. L'objectif
est de construire une représentation qui permette de :
• délimiter le champ d'étude,
• disposer d'une représentation partagée, d'un référentiel commun à l'ensemble des intervenants
du projet (décideurs, ingénieurs procédé, opérateurs et concepteur du système d'aide),
• préparer l'acquisition des connaissances.

La méthode SAGACE de modélisation des systèmes complexes a été utilisée dans cette optique et
appliquée au Prototype Evolutif de Vitrification de Marcoule. La particularité de cette méthode est
qu'elle ne cherche pas à se substituer aux méthodes classiques d'analyse, elle propose plutôt un cadre
descriptif à partir duquel peuvent s'articuler les connaissances acquises par le biais de ces méthodes.
SAGACE est également intéressante en ce sens qu'elle permet de répertorier et d'organiser les
connaissances liées, notamment, aux modes de fonctionnement et aux configurations de marche du
processus de fabrication ; cela constitue une avancée importante par rapport aux approches
classiques d'analyse. Ainsi, le cadre de modélisation que propose la méthode SAGACE permet
186 Conclusion

d'entrevoir la possibilité d'exploiter cette connaissance, et pourquoi pas, de proposer aux opérateurs
ce type d'information au sein d'une interface de supervision.

PERSPECTIVES

Pour aller dans le sens de la mise en place d'une méthodologie de conception, il sera nécessaire de
lever certaines interrogations que nous considérons fondamentales, notamment :
• s'agit-il de changer la façon dont les opérateurs conduisent ?
• s'agit-il d'accroître la confiance des opérateurs envers les systèmes informatisés ?
• s'agit-il de réduire les erreurs humaines ?
• l'introduction d'une aide modifie-t-elle l'organisation du travail au sein de l'équipe de conduite ?

En ce sens, les éléments de réponse contenus dans ce mémoire constituent une base pertinente de
réflexion .

Par ailleurs, la démarche méthodologique proposée dans cette thèse était orientée vers la réduction,
voire la prévention des risques liés aux dysfonctionnements de l'opérateur, au sein d'un processus de
fabrication existant ou en voie d'être construit. A plus longue échéance, il ne s'agira plus seulement
d'apporter une aide à l'opérateur (logique de correction) mais d'adapter le processus de fabrication
au fonctionnement humain et ce, dès la conception de l'installation (logique "écologique"). Cela
suppose une évolution profonde de la manière dont les industriels conçoivent le rôle de l'opérateur
de conduite.
Modèles de l'opérateur 187

ANNEXE I : Modèles de
l'opérateur

Une préoccupation de plus en plus importante de l'ergonomie et de la psychologie cognitive est de

concevoir des modèles de compréhension de l'activité humaine. Cela devrait permettre de
modéliser les aspects propres à la représentation et au raisonnement, afin de comprendre les
mécanismes ou les causes qui conduisent à la non performance. La distinction entre modèles de
représentation et modèles de raisonnement est une hypothèse de travail généralement admise ;
nous conservons cette distinction pour décliner quelques modèles.

Les références citées sont communes à celles contenues dans le chapitre I, sauf pour certaines qui
sont indiquées en note de bas de page.

A.1.1 MODÈLES DE REPRÉSENTATION

Les représentations mentales que l'opérateur élabore sont essentiellement orientées vers l'action
[OCHAN 71J1 [GOODST 82] [RASMU 79]. Deux approches sont envisagées : celle de de Keyser, en
psychologie du travail, qui porte principalement son attention sur les aspects temporels de la
perception du processus par l'opérateur, et celle de Rasmussen, en psychologie cognitive, qui porte
son attention sur les représentations qu'il décrit au travers d'une hiérarchie de modèles, prenant
chacun en compte un des aspects suivants : les évolutions du processus, les jalons et délais de
production, la fonction des appareils, leur rôle dans le processus, la position des capteurs et
actionneurs.

A.1.1.1 Modèle de De Keyser

Les études menées en psychologie du travail par de Keyser nous fournissent des indices quant à
l'activité des opérateurs face à un processus qui évolue dans le temps [DE KEYS 90b]. Selon l'auteur,
l'opérateur se fonde sur des aspects temporels pour se bâtir une représentation du comportement
global lui permettant d'effectuer un suivi en temps réel du processus.

Quatre modes de perception de la dynamique du processus sont introduits: intériorisation des

phénomènes selon leur fréquence d'occurrence, mode logique, mode causal, et mode de
l'horloge.

Le premier mode de perception implique l'intériorisation des phénomènes qui surviennent avec
régularité. En effet, l'opérateur est capable d'appréhender des rythmes, d'estimer des durées qui

1 D.A. Ochanine, L'homme dans les systèmes automatisés, Sciences du Comportement, Dunod, 1971.
188 Annexe I

surviennent de façon régulière, ou des schemes2 d'actions qui s'enchaînent dans un ordre identique.
L'opérateur fait confiance à cette intériorisation, même s'il doute régulièrement de la fiabilité de
l'instrumentation et des machines. Il semble que l'opérateur accorde un grand crédit aux rythmes
qu'il a pu déceler. L'intériorisation permet une économie du comportement puisque la prise
d'information sur le monde extérieur est réduite, l'anticipation est possible et l'incertitude, source de
stress, diminue.

En mode logique, le temps est estimé au travers de la mise en relation d'événements du processus
ou d'actions de l'équipe. L'opérateur se fonde ici sur la notion de repère temporel, de détail
pertinent qui lui permet de savoir s'il y a passage d'un état de fonctionnement à un autre. Ces repères
correspondent aux propriétés des événements qui jalonnent les phases d'exploitation : relations entre
événements (ordre et durée des tâches), occurrence (fréquence, régularité) et observabilité, selon
qu'ils sont observables directement sur le procédé ou par visualisation sur un écran de contrôle.

"Il semble donc bien que, à condition d'avoir une richesse informationnelle suffisante dans
l'environnement et une bonne expérience du système, l'opérateur puisse, à travers ce mécanisme de
mise en relation d'événements, non seulement établir des successions ou des durées, mais également
saisir des moments très précis du système - non pas au sens de l'horloge, mais très précis par rapport
à un ensemble de conditions devant être remplies pour qu'un événement se produise et que, par
exemple, une action soit déclenchée" [DE KEYS 87] 3 .

En mode causal, l'opérateur se fonde sur une mise en relation d'événements physiques basée sur
la causalité pour évaluer la dynamique des phénomènes au sein du processus. C'est une façon de
percevoir le temps.

En mode horloge, le temps est perçu comme une contrainte extérieure à l'opérateur, extérieure à
l'action, qui peut servir tantôt de mesure, tantôt de repère. Elle s'exprime en termes de délais à
respecter, de butées temporelles et peut influencer les stratégies de conduite : obligation de tenir
les délais, de commencer et de finir à des heures fixes, etc.

Ces butées forment un cadre temporel rigide à l'intérieur duquel l'opérateur doit faire tenir tous les
événements du système. L'opérateur doit, en effet, déterminer l'état présent du système du point de
vue de l'avancement des phases du processus et du déroulement des actions de l'équipe, estimer ce
qu'il reste à accomplir avant la butée temporelle (cela suppose la mémorisation des séquences
d'événements et de leur durée habituelle en temps d'horloge). Enfin, il a pour charge de comparer le
temps théoriquement nécessaire et le temps restant avant la butée.

A.l.1.2 La hiérarchie d'abstraction de Rasmussen

Afin de s'assurer la maîtrise de la complexité, l'opérateur se représente le système selon différents
niveaux d'abstraction [GOODST 82] [RASMU 79, 8 1 , 83, 84] [VICEN 92]. Il est capable de
sélectionner la représentation qui convient le mieux pour le problème à résoudre.

^Scheme d'action : ensemble structuré des caractères généralisables d'une action, c'est-à-dire ceux qui
permettent de répéter la même action ou de l'appliquer à de nouveaux contenus [HOC 87].
3
V. de Keyser, La communication hommes-machines dans les systèmes complexes, Action FAST, Programmation
de la Politique Scientifique, Bruxelles, 1987.
Modèles de l'opérateur 189

Rasmussen envisage les modèles de représentation de l'opérateur en introduisant deux hypothèses

fondamentales :
• (1 ) l'homme se conçoit le monde environnant au travers de modèles de représentation. Dans le
cadre de la conduite de processus, l'opérateur se fonde sur une représentation des aspects
fonctionnels et comportementaux de l'installation afin de détecter des écarts par rapport à un
état de référence (l'état normal), de leur associer une cause probable et un niveau d'urgence, et
d'anticiper l'évolution du système,
• (2) l'homme s'assure la maîtrise des systèmes complexes en naviguant dans une hiérarchie de
modèles (abstraction hierarchy) construite au travers de modèles décrivant chacun les objectifs,
les fonctions, le procédé ou son comportement, et enfin l'installation et ses composantes
physiques.

Le processus peut être perçu selon divers niveaux d'abstraction, c'est-à-dire par un modèle décrivant
les fonctions générales qu'il est censé assurer (les services) ou bien par un modèle décrivant les
éléments techniques qui assurent des fonctions spécifiés. Hoc assimile cette hiérarchie d'abstraction à
une hiérarchie de mise en œuvre selon la relation de décomposition d'un tout en ses parties [HOC
87].

Par exemple, la fonction Chauffer un réacteur chimique peut être matériellement prise en charge par
une résistance électrique, une chaudière à gaz ou par un four à induction, etc. C'est donc une
description qui ne fait pas d'hypothèse, a priori, sur les appareils qui assureront la fonction.

Le processus peut également être perçu selon divers niveaux de raffinement, c'est-à-dire qu'il peut
être perçu en termes de sous-systèmes, d'unités ou d'appareils, selon le grossissement désiré ; cela est
vrai quel que soit le niveau d'abstraction.

Pour donner une idée du contenu de ces modèles, Rasmussen propose des exemples de modèles
habituellement employés pour décrire un système : ce sont par exemple les schémas d'installation ou
les plans de fonctionnement, les modèles décrivant les liens de cause à effet entre les fonctions du
système et entre les variables. Il faut noter que ces modèles n'ont qu'un caractère descriptif et qu'ils
ne doivent pas être confondus avec des modèles de représentation (les modèles mentaux), qui ont
un caractère implicite et sont, par conséquent, non accessibles.

Rasmussen a, par ailleurs, établi une classification de modèles de description des aspects
fonctionnels et structurels relatifs aux systèmes industriels qui distingue le niveau anatomie (physical
form), le niveau structuro-fonctionnel (physical function), le niveau des fonctions génériques
(generic function), le niveau des fonctions abstraites (abstract function) et enfin le niveau objectif
(functional purpose) [RASMU 79].

La hiérarchie d'abstraction est décrite en partant des modèles de plus bas niveau pour aboutir aux
modèles abstraits.

Le premier type de modèle décrit l'anatomie du système, c'est-à-dire la manière dont peut être
perçue l'installation. Au premier abord, l'installation est décrite par ses dimensions ou sa forme et, de
manière générale par les informations que nous fournissent nos sens (vision, audition, toucher). Une
vision plus structurée décrit l'installation selon ses composantes caractéristiques. C'est une description
évidemment partielle mais qui est orientée sur les préoccupations de l'observateur. En l'occurrence,
l'opérateur de conduite a besoin de connaître l'emplacement et les moyens d'accès aux appareils
dans la mesure où il lui sera nécessaire d'effectuer certaines opérations sur l'installation. C'est
également une description finalisée qui privilégie la prise en compte de certains appareils au
détriment d'autres (vannes, pompes, etc.), considérés comme moins vitaux. Pour l'ingénierie ou la
190 Annexe I

maintenance, l'installation peut être décrite au travers de cartes, de plans, de schémas, également
partiels mais suffisants pour l'objectif visé. Dans le domaine du génie chimique, la description des flux
et appareils principaux est privilégiée, sans que soient nécessairement pris en compte les servitudes et
les composants redondants.

Un modèle structuro-fonctionnel est intermédiaire entre une description purement fonctionnelle et

une autre purement structurelle. C'est une vision qui prend en compte les notions de fonction et de
composante physique associée. Nous distinguons deux façons complémentaires de décrire ce niveau.

Une première description fait intervenir le couple variables/relations, qui associe à chacune des
variables mesurables une évaluation quantitative de l'état du procédé ; pour l'ingénieur, ce niveau
correspond à la modélisation du comportement des appareils, c'est-à-dire à des équations, des règles
de calcul permettant de qualifier l'état du système par estimation ; pour l'opérateur, cela correspond
à des règles qualitatives d'influence entre variables, acquises par expérience.

Le second type de description prend en compte les objets physiques (appareils ou sous-ensembles
d'appareils) et leur associe des propriétés du type fonction assurée, critères qualitatifs d'évaluation de
l'état global ou de l'occurrence d'un événement, et règles d'interactions entre objets ou avec
l'environnement. C'est une description qualitative du comportement du système qui semble adaptée
au raisonnement de l'opérateur de conduite.

Un modèle décrivant les fonctions génériques fait abstraction des objets physiques et décrit
spécifiquement les grandes fonctions du système, c'est-à-dire une "boucle de régulation", un "circuit
de refroidissement", etc. La prise en compte de ces fonctions et de leurs interactions constitue un
modèle de comportement basé sur l'expression des propriétés physiques des composants
(électriques, chimiques et mécaniques). Comme pour le niveau structuro-fonctionnel, nous
distinguons deux descriptions.

La première description met en jeu les variables physiques et des lois de comportement, la seconde
décrit les fonctions élémentaires (génériques) et leurs interactions. Un modèle utilisant le premier type
de description est issu de l'analyse technique, d'une modélisation numérique. Il représente, pour
l'ingénieur, une description des phénomènes physico-chimiques impliqués.

Un modèle utilisant le second type de description est issu d'une analyse fonctionnelle fine, dont un
intérêt est de décrire les moyens de rendre compte du niveau de réalisation de chacune des fonctions
impliquées. C'est typiquement le point de vue de l'automaticien (une boucle de régulation peut être
représentée au moyen de schémas blocs). Pour l'opérateur de conduite, ce modèle décrit les critères
de performance fonction par fonction.

Un modèle décrivant les fonctions abstraites décrit le fonctionnement souhaité du système sous
forme de processus de transformation de matière, d'énergie ou d'information. Il permet, pour
l'ingénieur, de décrire les choix techniques sous forme de fonctions dont le système est (ou sera)
doté, et de déterminer les critères de performance relatifs à chaque fonction. Pour l'opérateur, ce
niveau indique les critères généraux de performance.

Un dernier modèle permet de décrire les objectifs du système de production. Il correspond pour
l'ingénieur aux caractéristiques du produit attendu, qui se traduisent en termes de spécifications
quantitatives et qualitatives de production, ainsi qu'en termes de spécifications de sûreté. L'analyse
fonctionnelle de besoins permet de définir et d'organiser les fonctions qu'il faudra intégrer au futur
système. Pour l'opérateur, ce niveau peut correspondre à la description des objectifs de production
Modèles de l'opérateur 191

traduites sous une forme plus opérationnelle : cadence de production, délais, impératifs opératoires
(consignes).

Est présentée, dans les tableaux A.1.1 et A.1.2, une interprétation issue de deux articles de Rasmussen :
[RASMU 79] et [RASMU 84]. Nous avons fait en sorte de distinguer les connaissances utiles en étude,
conception et maintenance (contexte faiblement contraint par le temps) des connaissances utiles en
conduite (contexte fortement contraint).

L'opérateur utilise ses modèles d'abstraction pour raisonner sur le processus : il explore de façon
ascendante ses niveaux d'abstraction afin de répondre au pourquoi (ou raisonnement montant qui
permet d'expliquer pourquoi la fonction n'est plus correctement remplie, en partant d'observations
du monde physique). Une fois le diagnostic effectué, l'opérateur effectue alors une exploration
descendante des niveaux, ce qui lui permet de répondre au comment (raisonnement descendant
permettant d'expliquer comment la fonction peut être correctement remplie, c'est-à-dire en quels
termes une décision de correction peut se traduire au niveau des composants).
192 Annexe I

Niveau d'abstraction Descriptif du niveau Modèles d'étude, de conception, de Descriptions utiles en conduite
maintenance

• Définition des objectifs et • Partie operative : spécifications

Objectifs performances recherchées. fonctionnelles et techniques ;
contraintes de production, de
• Spécification des propriétés performance, et contraintes portant
fonctionnelles du système et sur les énergies nécessaires et les • Objectifs et consignes de
contraintes environnementales matières d'entrée et sous-produits production.
(liens entre variables ou états et rejetés ; contraintes relatives aux
événements extérieurs, ses bornes, spécifications du produit à réaliser, • Valeur requise des variables et
les contraintes externes et effets) contraintes de sûreté. paramètres du système.

• Spécification des bonnes du • Consignes opératoires liées à

• Partie commande : Objectifs du
système. des critères de qualité du produit
système de contrôle-commande, attendu et de sûreté de
consignes, tables de décision. fonctionnement.
• Description du fonctionnement
désiré et les plages de variation
acceptables des principales
variables.

• Partie operative : transactions de

Fonctions • Définition du comportement
souhaité. matière et d'énergie vues, par
abstraites • Traduction des fonctions du
exemple, sous l'angle de schémas de
transformation du type botte noire; de
• Description qualitative des
transformations.
système en choix techniques. graphes de causalité faisant intervenir
des flux de matière et d'énergie. Lois • Relations de cause à effet entre
• Description des critères de de conservation de matière et variables pertinentes.
performance du système, relatifs d'énergie. Constantes de
aux choix techniques (les moyens transformation physique. • Entrées et sorties principales.
de juger des performances du
système). • Partie commande : Réseau de flux
d'information ; opérations utilisant la • Fonctions principales.
• Relations symboliques entre
logique booléenne (tables de vérité).
variables.
• Critères globaux de
• Description des flux de matière, performance.
énergie et information entrant en
jeu dans le processus.

Fonctions • Principes sur lesquels sont

fondées les transformations ;
• Partie operative + (Modèles
variables/relations ): règles, lois ou
génériques fonctions génériques. propriétés générales du domaine liant
les variables entre elles. Ces modèles
• Description des connaissances caractérisent les propriétés physiques,
liées à la dynamique des chimiques, électriques du système, et
phénomènes mis en jeu, au • Courbes d'étalonnage des
font appel à des tables physico-
travers des variables et de leurs chimiques, des lois physiques appareils.
interactions, des fonctions et des générales (ontologies : Bemouilli,
événements qui déterminent le • Plage de fonctionnement
Newton, Ohm, etc.) ou encore des
niveau de performance atteint. nominal des variables principales.
relations empiriques.
• Événements caractéristiques du
• Partie commande : modèles procédé.
d'automatique : schémas blocs (ces
schémas décrivent des objets auxquels • Règles permettant de
on attribue une fonction, des caractériser les états normaux et
propriétés et des capacités à interagir). dégradés du système.
• Description de fonctions
standard, indépendamment de • Les modèles variables/relations • Fonctions mises en jeu dans le
leur implementation physique. résultent d'une analyse technique ou processus et moyens de
d'une modélisation mathématique. déterminer si elles s'effectuent
• Les fonctions sont exprimées en normalement.
termes de transformations
chimiques, électriques, ou • Modèle fonctions/propriétés : les • Critères de performance,
mécaniques ; les propriétés fonctions sont considérées comme fonction par fonction.
respectives de ces fonctions, sont objets du modèle, et ont la propriété
exprimées sous forme d'interagir.
d'interactions.

Tableau A.I.1 : Niveaux d'abstraction des connaissances.

Modèles de l'opérateur 193

Niveau d'abstraction Descriptif du niveau) Modèles d'étude, de conception, de Modèles utiles en conduite
maintenance

• Description des connaissances • Partie operative : modèles décrivant • Modèle variables / relations :
Structure- liées à la dynamique des les variables du système et les lois qui représentation quantitative de
fonction phénomènes. régissent leurs interactions (règles de l'état du système au travers de
calcul, équations différentielles ou variables se référant à des objets.
• Description des variables qui courbes de réponse) Un tel modèle décrit un réseau
caractérisent les états fonctionnels de relations d'influence
des composants (propriétés • Caractéristiques physiques des qualitatives entre variables.
physiques). appareils.
• Plage de variation des
• Modélisation des • Partie commande : variables variables mesurables.
comportements du système sous mesurées, plages de fonctionnement
forme de transitions d'états autorisées ; règles de production et • Caractéristiques des appareils
dynamiques. graphes d'événements. pertinents pour la conduite.

• Partie operative : Description des

propriétés des composants au travers représentation du système par
• Organisation des appareils des variables qualitatives
de modèles de comportement (arbres
assurant les fonctions spécifiées globales - état du système,
de conséquences, arbres des causes)
événements, et actions associées
• Description des propriétés
(corrections, ajustements).
fonctionnelles des appareils,
représentées par des corrélations • Ces modèles sont constitués
• Partie commande : Grafcet. Réseaux
en temps et espace des par des règles empiriques, des
changements survenant dans de Pétri.
associations issues de
l'environnement (interactions l'expérience (elles constituent
objet/objet ou ainsi le niveau privilégié du
objet/environnement). raisonnement causal en langage
naturel).

• Plans d'organisation des objets

du système pour l'action
(appareils clés, commandes,
mesures).

• Organisation de la partie
operative et propriétés des
composants clés.

• Identification des objets selon • Plans d'installation (schémas • Perception visuelle, tactile et
Anatomie des critères physiques directement Flowsheet), noms et codes employés, auditive de l'installation.
observables : forme, dimension, situation géographique, etc.
relations entre objets, • Noms, labels et localisation
identification de familles d'objets • Famille d'appareils, taxinomie des appareils.
(vanne, jonction, cuve,etc). d'objets génériques ainsi que de leur
mission associée, (la vanne a pour
mission le réglage d'un débit, la
jonction de faire transiter un fluide, la
• Agencement spatial. cuve de stocker de la matière).

• Photos, localisation des

équipements.

Tableau A.I.2 : Niveaux d'abstraction des connaissances (suite).

Les propriétés de cette classification sont les suivantes :

• chaque modèle représente un point de vue du même système,
• chaque modèle (ou strate) contient son propre ensemble de termes, de concepts et de
principes (autrement dit, chaque modèle représente une classe spécifique de contraintes),
• l'opérateur choisit le modèle qui lui convient pour appréhender le processus; ce niveau est
fonction de son domaine de compétences et de ses objectifs,
• les exigences de fonctionnement, définies à un niveau d'abstraction quelconque, se traduisent
sous forme de contraintes de réalisation aux niveaux inférieurs ; à l'inverse, l'évolution de l'état
du système est déterminée par l'effet des niveaux inférieurs sur les niveaux supérieurs,
194 Annexe I

• l'organisation en degrés d'abstraction permet d'améliorer la compréhension du système : le

parcours ascendant des modèles d'abstraction permet de mieux appréhender les objectifs
assignés au système, alors qu'un cheminement descendant permet de comprendre comment
ces objectifs peuvent être atteints.

A.1.2 MODÈLES DE RAISONNEMENT

Les modèles de raisonnement caractérisent les traitements effectués par l'opérateur pour résoudre
une situation. Deux modèles sont décrits ici : le modèle proposé par Rasmussen (1983), qui constitue,
à ce jour, le modèle de référence pour ergonomes, psychologues et automaticiens ; et le modèle
proposé par Rouse (1983), moins connu mais qui présente quelques similitudes intéressantes.

A.l.2.1 Le modèle SRK de Rasmussen

Rasmussen introduit l'hypothèse selon laquelle l'opérateur adopte des comportements qui dépendent
de trois situations-types : familière, répertoriée et inconnue. Les situations familières correspondent
pour l'opérateur à des comportements de routine, les situations répertoriées caractérisent des
comportements fondés sur des règles, et les situations inconnues à des comportements typiques de
résolution de problème, encore appelés comportements basés sur les connaissances.

Le comportement routinier (Skill-Based Behavior ou SBB) correspond aux actions réalisées de manière
réflexe, de façon non consciente, automatique.

Le comportement basé sur des règles (Rule-Based Behavior ou RBB) caractérise quant à lui une
situation connue, pas nécessairement familière mais répertoriée par les concepteurs de l'installation
comme situation prototype, et pour laquelle des procédures ont été mémorisées.

Enfin, le comportement basé sur les connaissances (Knowledge Based Behavior ou KBB) traduit un
comportement de résolution de problème fondé sur les connaissances du système surveillé. Il est
activé lorsque le sujet est face à une situation nouvelle, c'est-à-dire non familière et non anticipée,
pour laquelle il ne possède ni savoir-faire ni règles déjà construites. La situation demande alors
l'élaboration d'un plan d'action, en fonction des buts poursuivis. Cette élaboration nécessite le
recours à un modèle mental (une représentation) du système contrôlé, qui permet notamment une
estimation des effets du plan élaboré, et donc son évaluation [RASMU 83] [FALZON 89] 4 .

La figure A.1.1 reproduit le processus de résolution proposé par Rasmussen, dans lequel l'activité de
décision est considérée comme un traitement séquentiel d'informations [RASMU 84]. L'auteur
distingue un chemin "montant" (observation, identification, interprétation et évaluation des
priorités) et un chemin descendant (choix de l'état cible, formulation d'un plan d'action et
exécution).

Ce modèle décrit l'ensemble des chemins cognitifs possibles qui conduisent à des actions sur le
procédé. Les comportements basés sur des stéréotypes sont décrits par des passages directs entre
observation et sélection des tâches à effectuer. Pour les comportements basés sur des règles, il y a
sélection des procédures à mettre en œuvre puis identification des tâches à appliquer. Le
comportement basé sur des connaissances requiert l'évaluation de la situation en considérant des
critères de performance, par exemple, et la définition d'une stratégie opératoire. Ce schéma indique

4
P. Falzon, Assister l'activité, AVIGNON 1989, vol. n°1, pp. 383-391.
Modèles de l'opérateur 195

qu'il n'y a pas de distinction nette entre classes de comportements. En réalité, plus le chemin
observation - action comporte d'étapes, plus il aura tendance à être associé à un comportement basé
sur les connaissances.

EVALUER
Définition d'une stratégie en fonction
de critères de performance à atteindre

INTERPRETER
Conséquences pour la tache en COUR
en termes de sûreté, d'efficacité, etc.

DEFINIR LA TACHE
Sélection des modifications à apporter
au processus

OBSERVER FORMULER UNE PROCEDURE

Traitement préliminaire des Planifier la séquence d'actions a
informations et des données exécuter

ACTIVATION
Détection d'un besoin de traitement
de données

En traits gras : Comportement basé sur les connaissances (KBB)

&
Comportement basé sur les règles ( R M )

Comportement basé sur les automatismes (SBB)

m
Figure A.1.1 : Le processus de raisonnement proposé par Rasmussen.

Le comportement basé sur les connaissances et les modèles d'abstraction sont en fait
interdépendants. En effet, le système décisionnel (décision programmée pour le SNCC et décision
"vraie" pour l'opérateur) a pour tâche de s'assurer, par des actions appropriées sur l'installation, que
l'état du système est en accord avec l'objectif spécifié. Il est possible d'associer intuitivement un degré
d'importance des fonctions qui figurent dans la hiérarchie de modèles d'abstraction, sachant que plus
la fonction est "abstraite", plus une défaillance à son niveau peut remettre en cause l'objectif global
du système. Ainsi, dès qu'un défaut est décelé, il s'agit de déterminer le degré de priorité de la
situation en se référant au niveau d'abstraction qui voit un de ses éléments perturbé. On attribue, en
général, le degré de priorité le plus fort au niveau d'abstraction le plus élevé. L'opérateur doit ensuite
effectuer un balayage du type "top-down" en trois temps. En premier lieu, il y a évaluation des
conséquences du défaut en regard de l'objectif et de la sécurité, de façon à déterminer si un état de
repli doit être envisagé. En second lieu, l'opérateur évalue de la possibilité de reconfigurer
l'installation en faisant appel à des fonctions et ressources de secours (disponibilité et capacité de
traitement). Enfin, la cause matérielle du défaut est recherchée. L'ordre de ces opérations dépend
évidemment de l'urgence.
196 Annexe I

En situation de résolution de problème, l'opérateur explore de façon ascendante ses niveaux

d'abstraction afin de répondre à la question du "Pourquoi" (ou raisonnement "bottom-up" qui
permet d'expliquer pourquoi la fonction n'est plus correctement remplie, en partant d'observations
du monde physique) ; ayant déterminé la source de la perturbation, l'opérateur effectue alors une
exploration descendante des niveaux, ce qui lui permet de répondre au "Comment" (raisonnement
"top-down" permettant d'expliquer comment la fonction peut être correctement remplie, c'est-à-
dire en quels termes une décision de correction peut se traduire au niveau des composants).

Pour évaluer la situation, l'opérateur a besoin d'informations du niveau considéré (structure

fonctionnelle et état du processus), en même temps que d'informations du niveau supérieur (utilité
de la fonction considérée) et du niveau inférieur (comment appliquer la décision).

A.l.2.2 Modèle de Rouse

Le modèle proposé par Rouse distingue trois niveaux généraux de résolution de problème : 1 )
reconnaissance et classification (identification du problème), 2) planification (processus à partir
duquel la démarche de résolution de problème est élaborée) et 3) exécution et contrôle (mise en
œuvre de la solution élaborée et vérification de son effet) [ROUSE 83].

Le premier niveau concerne la reconnaissance et la classification de la situation. L'auteur indique

qu'il existe deux modalités de perception d'un processus, selon le type de problème auquel
l'opérateur a à faire face :
• au travers des caractéristiques d'une situation donnée : l'opérateur a reconnu une situation
par analogie avec des situations déjà vécues, c'est-à-dire grâce à la perception des
caractéristiques de surface de cette situation.
• au travers de la structure du système : la situation est inconnue de l'opérateur et il est contraint
d'effectuer une analyse du problème, c'est-à-dire rechercher la cause de dysfonctionnement en
menant un raisonnement basé sur ses connaissances générales du processus (une forme de
connaissances générales est l'organisation physique de l'installation, par exemple).

La planification traduit le processus à partir duquel la démarche de résolution de problème est

élaborée. Dans le cas des situations familières, l'opérateur décide des tâches, du script et des
procédures à mettre en œuvre (réponse orientée état).

Si la situation n'a pas de précédent, l'opérateur doit se servir des informations structurelles
(schémas de flux) afin d'envisager des alternatives, prévoir et évaluer les conséquences (réponse
orientée structure).

Enfin, l'étape d'exécution et contrôle voit l'application de deux types de règles, selon que la
situation est familière ou non. Elles sont appelées règles symptomatiques (S-règles), dans le cas de
situations familières, et des règles topographiques (T-règlesJ dans les autres cas, c'est-à-dire quand il
s'agit d'effectuer une recherche des causes de dysfonctionnement par étapes en raisonnant sur la
structure du processus (à noter que Rasmussen faisait déjà état de ces deux modes de raisonnement
en1978[RASMU78]).

En situation familière, les S-règles élaborées permettent le passage direct de la reconnaissance à la

formulation d'actions. L'opérateur met en œuvre la solution élaborée et en vérifie les effets. Dans les
autres cas, il met en œuvre les T-règles pour rechercher les causes d'un dysfonctionnement.
Modèles de l'opérateur 197

Face à un problème, l'attitude d'un sujet ne se réduit pas à parcourir les trois niveaux de façon
purement montante (bottom-up) ou descendante (top-down) ; l'opérateur navigue, en fait, à tous les
niveaux à la fois (ou presque).

Le modèle précédemment décrit tient compte de ce constat, si l'on considère que les trois décisions
peuvent être, à tout moment, réévaluées : selon le modèle, l'opérateur pourrait, par exemple, mettre
en œuvre des règles faisant appel à la structure du système (ou T-règles) et soudain abandonner cette
voie de recherche car la situation vient d'être reconnue (les S-règles sont alors applicables).

Des conflits peuvent survenir si les trois décisions sont constamment réévaluées ; il s'agit alors de
définir un ordre de precedence : cette situation laisse une place importante à la subjectivité de
l'opérateur, qui peut choisir de décider si la solution est familière, ou bien décider d'une alternative
qui maintienne l'orientation de résolution déjà choisie.
Aspects fonctionnels, organiques et opérationnels concernant le PEV 199

ANNEXE II : Aspects
fonctionnels, organiques
et opérationnels
concernant le PEV
Dans le cadre du projet DIAGPEV, un recueil de connaissances concernant le Prototype Evolutif de
Vitrification (P.E.V.) a été effectué. Il s'agissait de répertorier les diverses informations susceptibles
d'intéresser le projet. Est décrite ici une partie des informations collectées avant leur mise au format
SAGACE. Nous avons conservé le découpage d'un système selon les neuf points de vue de la
méthode afin de mieux faire percevoir ce que peut être le contenu de chacun des neuf points de vue,
qui sont, tout compte fait, assez bien différenciés. Seront successivement passés en revue les trois
points de vue de la "vision fonctionnelle", de la "vision organique", puis de la "vision opérationnelle".
La majeure partie de ce travail de recueil a été réalisée en participant au travail d'équipes postées
d'exploitation, et sur la base d'entretiens avec l'ingénieur procédé, un chef de quart et un opérateur.

11.1. VISION FONCTIONNELLE

La vision fonctionnelle, selon SAGACE, permet de répertorier les connaissances concernant le
procédé, les phases de fonctionnement et les états de fonctionnement de l'installation PEV.

11.1.1 Le procédé

Le procédé de confinement des déchets de haute activité (c'est-à-dire les produits de fission, ou Pf)
issus du retraitement du combustible utilisé dans les réacteurs à eau pressurisée, consiste à enfermer
ces déchets à l'intérieur d'une matrice de verre. Cette forme de piégeage est, en effet, considérée
comme la plus sûre, et elle permet de réduire sensiblement le volume de déchets à stocker.

Les services demandés sont essentiellement : préparer les déchets à la calcination et les vitrifier, tout
en garantissant l'absence d'éléments nocifs (acides et radioéléments) dans l'environnement.

Préparer les déchets

Ce service revient à mettre les déchets, qui se trouvent initialement en solution ou en suspension dans
une solution aqueuse, sous une forme adaptée à leur vitrification. Dans la pratique, on calcine la
solution de manière à obtenir une poudre, qui sera ensuite mis en présence de verre en fusion.

Vitrifier

II s'agit de mettre en contact les déchets à l'intérieur d'une matrice de verre en fusion. C'est la partie
du procédé qui pose le plus de problèmes technologiques ; la fusion du verre impose des moyens de
chauffe particuliers, ainsi que des matériaux dimensionnés pour résister aux températures élevées. Par
ailleurs, la qualité du verre qui sortira est, pour une part importante, dépendante des paramètres de
200 Annexe II

fonctionnement choisis, du dimensionnement et de la conformation du pot de fusion.

Garantir l'absence de rejet nocif

L'absence de rejet est une contrainte forte imposée aux exploitants. Il s'agit de mettre en œuvre les
moyens permettant de garantir que les déchets ne puissent s'échapper sous forme de gaz (rejets
atmosphériques), ou de rejets liquides. Il s'avère donc nécessaire d'adjoindre une unité chargée de
traiter les gaz produits et d'éliminer les déchets des rejets liquides ; les recyclages permettent de
récupérer les éléments et de les réintroduire en amont du processus.

La solution de Pf étant fortement acide, il est également nécessaire de traiter les gaz de façon à piéger
ces acides dans la phase aqueuse, qu'il faudra ultérieurement traiter.

Enfin, malgré toutes les étapes de traitement, il est possible que certains déchets ne soient pas piégés.
Pour parer ce risque, des filtres sont mis en place en fin de chaîne.

11.1.2 Les activités

Le fonctionnement du PEV est décrit par un séquencement de phases de fonctionnement enchaînées

dans le temps telles que : démarrer, élaborer et arrêter.

Démarrer

Le démarrage fait passer l'installation par une succession de d'activités qui conduisent au régime de
fonctionnement souhaité :
• mise en état du système de contrôle,
• mise en service de la chauffe du four de fusion,
• mise en service du circuit de traitement des gaz,
• Remplissage des cuves d'alimentation et de la trémie 1,
• initialisation des volumes, débits et paramètres de fonctionnement,
• mise en chauffe du four de fusion,
• vérification de l'automatisme de secours rotation calcinateur,
• mise en marche des alimentations,
• test de passage à l'eau.

Une fois le préchauffage effectué, l'installation est ensuite progressivement amenée au régime
nominal. Ce programme de montée en régime peut subir des modifications en fonction des essais.

Elaborer

L'activité "élaborer" consiste à alimenter le pot de fusion en Pf et en fritte de verre, en énergie, de

manière à inclure les éléments de Pf dans la matrice de verre. Le pot de fusion est considéré ici
comme un stockeur de matière.

Cette phase de fonctionnement voit alternativement des activités d'alimentation en Pf et fritte de

verre, puis de coulée du verre élaboré.
Aspects fonctionnels, organiques et opérationnels concernant le PEV 201

Arrêter

Une fois la campagne terminée, les alimentations sont arrêtées et le passage en eau automatiquement
établi. Un programme de refroidissement est alors mis en œuvre : le tube de calcination est refroidi
progressivement en adaptant le débit d'eau.

11.1.3 Les modes de comportement

Ce point de vue répertorie les modes de comportement, qui sont liés à des états fonctionnels jugés
suffisamment stables. On distinguera donc des modes de comportement tels que : nominal,
d'attente, de repli critique, ou encore d'arrêt. Ils correspondent chacun à un ensemble de flux de
matière et d'énergie en entrée et en sortie spécifiques.

Mode nominal

Le mode nominal correspond à l'alimentation en Pf, fritte, adjuvant, et en énergie, c'est-à-dire que
l'ensemble des alimentions est activé et que du verre s'élabore.

Mode d'attente

Cet état caractérise la mise en attente du processus : l'alimentation en (Pf+adjuvant+fritte) est

remplacée par une alimentation en eau, tout en maintenant les entrées telles que la chauffe des
calcinateur et four de fusion.

On ne fait ici aucune hypothèse sur les conditions qui amènent à ce mode ; il peut être activé quand
le verre ne remplit pas l'ensemble des critères de qualité, c'est-à-dire par l'opérateur, ou bien
automatiquement sur détection d'un défaut de dilatation sur le calcinateur.

Mode de repli critique

Ce mode caractérise un défaut de rotation du tube de calcination : il y a arrêt des alimentations sans
passage en alimentation en eau. Cette mesure est prise pour éviter une déformation irréversible du
tube.

Mode d'arrêt

Ce mode caractérise le processus PEV quand il n'y a plus d'entrée et de sortie de matière et d'énergie.

11.2. VISION ORGANIQUE

11.2.1 L'installation

La vitrification est un procédé en deux étapes qui comprend la calcination de la solution et la fusion
202 Annexe II

du verre. Ces deux opérations sont réalisées par l'intermédiaire d'une installation qui comporte
essentiellement :
• un calcinateur rotatif alimenté en continu par la solution à traiter qui effectue l'évaporation, le
séchage et la calcination partielle du résidu sec,
• un four de fusion qui fond le mélange calcinât et verre primaire pour produire le verre de
formule choisie; celui-ci est coulé à intervalles réguliers dans un conteneur métallique.

Un appareillage de traitement des gaz est associé à cet équipement. Il comprend un système de
dépoussiérage qui permet de recycler dans le calcinateur la majeure partie des poussières entraînées
et un ensemble de dispositifs pour la condensation, la recombinaison des vapeurs nitreuses, le lavage
final des gaz et leur filtration.

Alimentations

Alimentation en Pf simulés

A partir de la cuve d'alimentation agitée mécaniquement, la solution est acheminée vers le calcinateur
par :
• un air-lift à double étage,
• une roue doseuse,
• un ensemble garde hydraulique-confluent.

La solution de Pf simulés est d'abord relevée par un air-lift sous vide, elle redescend dans un pot à
niveau constant d'où elle est reprise par un air-lift à submergence naturelle, pour alimenter la roue
doseuse. Le trop plein de cette roue doseuse se déverse dans la cuve.

Le débit d'alimentation est réglé sur la roue doseuse. Il correspond au régime nominal et la solution
est ensuite introduite dans le calcinateur par l'intermédiaire d'une garde hydraulique et du confluent.
La garde hydraulique reçoit en plus la solution de recyclage du dépoussiéreur et c'est le confluent qui
reçoit l'adjuvant de calcination. Des alimentations en eau sont prévues sur la garde hydraulique et sur
le confluent. La première est utilisée pour le rinçage, la seconde pour le maintien en alimentation du
calcinateur en cas d'incident ou pendant la phase d'arrêt de l'installation. L'envoi d'eau vers le
confluent se fait au débit de la roue doseuse par l'utilisation d'une vanne suiveuse.

La cuve Pf est brassée mécaniquement afin de garantir une alimentation à composition constante,
mais aucun contrôle de la solution n'est effectué en ligne (vérification éventuelle par prise
d'échantillon ).

Depuis peu, le relevage primaire par air-lift sous vide est remplacé par une pompe, en raison d'un
problème de désamorçage de Pair-lift dès que le volume de solution dans la cuve atteint le seuil
minimal. L'usage de la pompe permet ainsi d'éviter qu'il reste systématiquement un certain volume
de solution de Pf simulés inutilisés en fin de campagne. Cet air-lift reste tout de même opérationnel,
c'est pourquoi il peut être considéré :
• soit comme alternative laissée aux exploitants en phase de conception d'essai,
• soit comme un système auxiliaire .

Alimentation en adjuvant

L'envoi de solution d'adjuvant de calcination se fait à l'aide d'une pompe doseuse via une garde
hydraulique. Son brassage est assuré par circulation via une pompe, et une pompe doseuse alimente
à faible débit le calcinateur.
Aspects fonctionnels, organiques et opérationnels concernant le PEV 203

Alimentations en nitrate d'aluminium et en fines

Ces unités ne sont plus utilisées sur le PEV car les deux réactifs sont directement ajoutés à la solution
de Pf simulés. Mais elles peuvent toujours être sollicitées, le cas échéant.

Alimentation en eau

L'alimentation en eau est employée en remplacement des alimentations en solution Pf, adjuvant et
recyclage. Elle est assurée par un système d'alimentation externe au PEV.

Alimentation en fritte de verre

La fritte de verre est distribuée à l'aide d'un équipement qui comprend :

• une trémie de stockage et un tapis de chargement,
• une trémie d'alimentation contrôlée par pesage,
• une alimentation par godet taré basculant,
• un sas d'étanchéité comprenant plusieurs vannes à passage direct et des soupapes.

La fritte de verre est chargée manuellement sur la trémie de stockage, ou trémie 1, de manière
périodique.

Unité de calcination

Elle comprend principalement :

• le tube de calcination et son système d'entraînement,
• l'embout supérieur du calcinateur,
• l'embout inférieur,
• le four de calcination.

Le tube de calcination est en acier forgé. Il repose incliné sur des galets et est entraîné par
l'intermédiaire d'une couronne dentée située à son extrémité supérieure. Le mouvement de rotation
est transmis à cette couronne par un pignon à partir d'un moteur électrique. Ce moteur est doublé,
en cas de défaillance, par un second moteur électrique (reprise secours de rotation tube).

Une barre folle et une grille situées à l'intérieur du tube permettent l'obtention d'un calcinât de
granulométrie déterminée. Le calcinât sort au niveau de l'embout inférieur. Il tombe ensuite par
gravité avec la fritte de verre dans le pot de fusion.

L'embout supérieur permet d'assurer l'étanchéité du tube et d'absorber son déplacement du fait de la
dilatation.

C'est au niveau de l'embout supérieur que se situent le départ vers l'unité de traitement des gaz et
l'entrée de l'alimentation en solution. L'embout inférieur est relié au pot de fusion par une buse
cylindrique verticale et mobile qui repose sur la collerette supérieure du pot. Ce dispositif permet
d'accepter les déplacements qui résultent de la dilatation du pot et de réaliser une liaison étanche et
démontable avec le pot par l'intermédiaire d'un joint de verre, fusible à basse température.

Le four de calcination comporte plusieurs zones de chauffe indépendantes formées chacune de deux
demi-coquilles. Les premières zones sont destinées à l'évaporation et au séchage de la solution, et les
autres zones sont dédiées à sa calcination.

Les manchettes inférieure et supérieure du calcinateur sont balayées par un flux d'air qui est mélangé
204 Annexe II

au gaz procédé. Cela permet d'assurer l'étanchéité du calcinateur.

Unité de vitrification

Cette unité comprend :

• le pot de fusion,
• le four de fusion,
• l'appareillage électrique de chauffage,
• le refroidissement des inducteurs.

Le four de fusion est constitué par :

• un empilement d'inducteurs bétonnés qui reposent sur une dalle de béton; cette dernière
supporte également le pot de fusion et comprend les deux inducteurs de coulée,
• une assiette de maintien,
• un moufle qui joue le rôle d'écran thermique entre le pot de fusion et les inducteurs.

Les inducteurs sont constitués par du tube de cuivre refroidi par eau et noyé dans le béton.

La conception du four est à dalle amovible, le four et ses connexions restant fixes. Après descente de
la dalle qui supporte le pot, on réalise une translation qui permet le remplacement de ce dernier.

De nombreux thermocouples, internes et externes, permettent d'effectuer le suivi de la vitrification.

Un jeu de cannes de brassage, plongeant dans le pot de fusion, permet d'obtenir un verre

homogène.

Unité de traitement des gaz

Les unités qui assurent le traitement des gaz sont :

• unité de dépoussiérage, qui est chargée de piéger et recycler les poussières,
• unité de condensation, qui élimine l'eau des gaz issus du dépoussiérage,
• unité de recombinaison, qui piège les vapeurs nitreuses,
• unité de lavage, qui assure un lavage de sécurité.
Unité de dépoussiérage

La colonne de dépoussiérage se compose :

• d'une colonne à chicanes à contre-courant,
• d'un corps inférieur avec double enveloppe chauffée à la vapeur, destiné à la rétention du liquide
chargé à partir duquel se fait l'arrosage des plateaux et le recyclage en amont du calcinateur,
• d'une zone intermédiaire comportant la tuyauterie d'entrée des gaz et les différents piquages
nécessaires au contrôle de l'appareil.

Elle a récemment été modifiée. On distingue à présent : un corps de colonne, un pied de colonne et
un bouilleur. Le brassage dans le pied de colonne est assuré par thermosiphon.

La solution contenue dans le pied de colonne est recyclée dans le calcinateur afin de ramener les
poussières entraînées. Cette solution est débitée au moyen d'une roue doseuse. Ce débit est
déterminé par rapport au débit d'air de propulsion de l'air-lift (déterminé par étalonnage).

Unité de condensation
Aspects fonctionnels, organiques et opérationnels concernant le PEV 205

Cette unité est chargée de condenser la vapeur issue de l'évaporation des solutions de Pf simulés,
d'adjuvant et de recyclage.

Elle est constituée d'une colonne à chicanes et à double enveloppe pour le refroidissement des gaz.
Un échangeur thermique permet de refroidir les condensats avant d'être renvoyés en tête de colonne.

Les condensats sont recueillis dans une cuve, qui est ensuite évacué dès que le niveau maximal de la
cuve est atteint.

Unité de recombinaison

La colonne de recombinaison est une colonne à plateaux arrosée par de l'eau et par un recyclage de
l'effluent de recombinaison, qui s'évacue par trop-plein à partir de la cuve de recette. L'arrosage de la
colonne se fait à l'aide d'une pompe.

Unité de lavage

La colonne de lavage reçoit les gaz provenant de l'éjecteur à air et de l'unité de recombinaison. Elle
est constituée de plateaux perforés, arrosés par de l'eau et par l'effluent de lavage (recyclage par air-
lift). Cette solution est recueillie dans une cuve de recette, d'où elle s'écoule par trop-plein vers l'égout
suspect.

Unité de filtration

Un ensemble de filtres servent à faire barrière aux dernières poussières pouvant encore être contenues
dans les gaz traités.

Unité de dépression de l'installation

La pompe à anneau liquide assure l'extraction finale des gaz. Elle est régulée en fonction de la
pression mesurée à la sortie de la colonne de lavage.

11.2.2 Les dispositifs logistiques

Les dispositifs logistiques sont les appareils qui assurent le déroulement du programme de
fonctionnement. Ce sont donc les automates, les régulateurs et le TDC. Quelques exemples sont
proposés ci-dessous.

Sur l'alimentation en fritte

L'alimentation en fritte est commandée par un automate : la masse du godet de fritte est fixe et la
fréquence de basculement est réglée au débit désiré avant essai sur l'automate ; une période sur 8
peut être modifiée par le système de contrôle et de commande (en l'occurrence le TDC 2000
d'HONEYWELL) pour corriger le débit réel selon la valeur désirée. Ce débit est de plus susceptible
d'être ajusté par l'opérateur en cas de prises d'échantillon du calcinât, puisque dans ce cas, l'arrivée de
fritte est temporairement coupée ; cette action n'est jamais effectuée en situation de production
normale.
206 Annexe II

Sur l'alimentation en eau

Le passage en eau est commandé par le TDC. Il s'agit de stopper les différentes alimentations et
d'activer l'alimentation en eau. Le débit d'alimentation en eau est réglé avant essai (il doit être
équivalent au débit total des solutions d'alimentation) ; la commande de la vanne d'alimentation en
eau est de type tout ou rien.

Au niveau du calcinateur

La régulation des températures du four de calcination s'effectue au moyen de régulateurs

indépendants.

Sur le pot de fusion

Le pot de fusion est chauffé sur plusieurs zones, chacune étant prise en charge par un régulateur
indépendant. La régulation agit sur la tension d'alimentation de chaque inducteur, par scrutation de
la température la plus haute de la zone. Pour chacune des zones de chauffe, un comparateur (externe
au TDC) sélectionne la température la plus élevée de la zone et la transmet au TDC, qui est chargé de
la régulation de la puissance de chauffe.

Sur l'unité de dépoussiérage

La chauffe est commandée manuellement par réglage du débit de vapeur usine. La température dans
le pied de colonne varie en fonction du débit d'évaporation choisi.

Une régulation maintient un niveau constant dans le pied de colonne par commande tout ou rien de
la vanne d'appoint d'eau.

11.2.3 Les configurations

Une configuration caractérise un ensemble d'appareils actifs. Cela permet de tenir compte des
appareils auxiliaires. Le PEV comporte peu d'appareils de secours, étant entendu que l'on ne
s'intéresse qu'aux appareils dont la mise en route ne nécessite pas l'arrêt préalable de l'installation.
Pour l'exploitation du PEV, seule la rotation du calcinateur, considérée comme vitale, est secourue.

Configuration d'alimentation sans coulée

Les appareils assurant les alimentations en solutions, en fritte, et en énergie sont actifs. C'est une
configuration qui permet de remplir le pot de fusion, donc d'élaborer le verre.

C'est la configuration de marche normale, où toutes les alimentations sont assurées.

Configuration de coulée avec alimentation

Cette configuration correspond à l'activation de la buse de coulée et au maintien des alimentations

en calcinât de Pf et de fritte dans le pot de fusion.

L'opération de coulée du verre est suffisamment longue pour pouvoir considérer une configuration de
Aspects fonctionnels, organiques et opérationnels concernant le PEV 207

ce type.

Configuration de coulée sans alimentation

Cette configuration correspond à l'activation de la buse de coulée et à l'arrêt des alimentations de

calcinât de Pf et de fritte dans le pot de fusion.

Elle peut être effective après affinage du verre.

Configuration d'attente

Cette configuration correspond à la désactivation des alimentations en Pf, adjuvant et fritte, à

l'activation de l'alimentation en eau et sans coulée.

Plusieurs conditions peuvent y conduire : la configuration d'attente est considérée comme une
position de repli qui permet de protéger le calcinateur en cas de dépassement de seuil de dilatation ;
cette configuration permet également de mettre l'installation dans des conditions d'attente, ou
d'affinage qui offre la possibilité de laisser au verre en élaboration un délai supplémentaire avant de
couler. Il est alors possible d'arrêter les alimentations et de se laisser un délai supplémentaire avant de
couler.

La dilatation du tube de calcination est une variable très surveillée. La configuration de repli
correspond au remplacement des alimentations en Pf et adjuvant par une alimentation en eau. Celle-
ci remplace l'alimentation en solution afin de maintenir la dilatation à sa valeur de consigne. Si la
cause de la dilatation est due à un débit liquide insuffisant, le passage en eau constitue la solution la
plus indiquée pour maintenir le calcinateur dans les conditions nominales de fonctionnement, et cela
permet aux opérateurs de localiser le défaut et d'y remédier.

Configuration de secours

Cette configuration correspond à l'activation du moteur auxiliaire, afin de maintenir la rotation du

calcinateur, sur détection d'un problème au niveau du moteur principal.

L'arrêt de la rotation du tube de calcination peut entraîner, à terme, la déformation irréversible du

tube. Pour prévenir ce risque, il est prévu dans ce cas, l'arrêt automatique des alimentations et
l'interdiction de passer en eau, tant que la rotation du tube n'aura pas repris.

Cette configuration est rendue effective par détection d'un problème de rotation au niveau des galets
sur lesquels repose le tube du calcinateur.

Configuration de vidange

La vidange du pot est prise en charge par une seconde buse, appelée buse de vidange. Elle est
activée en fin de campagne.

Configuration d'arrêt

Cette configuration correspond à l'arrêt de toutes les alimentations liquide et solide, ainsi qu'à l'arrêt
de la chauffe des calcinateur et pot de fusion.
208 Annexe II

11.3. VISION OPÉRATIONNELLE

Ici est considérée l'activité des opérateurs en fonction des contextes de fonctionnement.

11.3.1 L'équipe de conduite

PEV fonctionne ponctuellement (les essais effectués durent généralement une semaine) ; en dehors
de ces campagnes, les équipes de conduite sont chargées de piloter d'autres installations.

Trois équipes composées de 3 agents (un chef de quart, un adjoint et un opérateur) se relaient en 3*8
pour conduire le PEV.

Au sein de l'équipe de conduite, les tâches sont réparties en fonction de la charge de travail des
opérateurs, et non en fonction de tâches assignées préalablement (surveillance sur écran de contrôle,
surveillance des informations fournies sur l'armoire de contrôle, intervention en local). Chaque
opérateur est susceptible d'intervenir sur chaque tâche.

11.3.2 Les performances

Les performances principalement surveillées par les opérateurs sont liées à des critères de qualité du
verre à produire : les températures internes du pot de fusion, le débit et la température de coulée.

En ce qui concerne PEV, les tâches de pilotage proprement dites consistent grossièrement à prédire la
qualité du verre pendant le remplissage du pot de fusion et à décider, une fois le pot rempli, l'affinage
ou la coulée du verre.

Un opérateur effectue une ronde toutes les heures environ pour vérifier ce qui ne peut l'être que
localement (circuits d'eau et d'air de refroidissement, niveau de fritte dans la trémie 1, non
débordement de la cuve Pf dû à des mousses, etc.).

Les défauts à détection lente n'entraînent pas de passage en position de repli. Ce sont des défauts
que l'opérateur doit compenser pour assurer que les quantités de Pf et de fritte désirées sont bien
dans la fourchette de tolérance.

Pilotage des alimentations

Alimentation en solution Pf

Surveillance : surveillance des débits horaires et calcul du rapport fritte/Pf (voir paragraphe
concernant l'alimentation en fritte).

Maintien des paramètres nominaux : il n'y a pas de réglage particulier à effectuer, sauf
éventuellement une correction de compensation si le débit pendant l'heure précédente était trop
incorrect.

Le débit d'alimentation est estimé à travers la mesure de vitesse de rotation de la roue doseuse. Cette
mesure est vérifiée par la mesure du débit des condensats, au niveau du traitement des gaz.
Aspects fonctionnels, organiques et opérationnels concernant le PEV 209

Pilotage avec des défauts

II est possible de détecter une dérive de débit des alimentations en Pf par suivi de l'enregistrement de
la dilatation du tube, des puissances dissipées par le four de calcination, et des bilans sur la cuve Pf et
condensats.

Le cas qui pourrait se produire est le bouchage partiel des godets de la roue doseuse. La détection
d'un tel défaut peut mettre une à deux heures, dans le cas d'un bouchage important, ou bien
plusieurs jours si la diminution de débit est faible et progressive.

Alimentation en adjuvant

La solution d'adjuvant est préparée manuellement dans une cuve particulière, puis transférée de la
cuve de préparation vers la cuve d'alimentation au moyen d'une vanne manuelle. Habituellement,
une seule charge suffit mais une campagne peut requérir une seconde charge d'adjuvant, donc
l'intervention d'un opérateur en local.

L'opérateur vérifie que les débits horaires d'adjuvant sont dans la fourchette admissible. Deux moyens
permettent de le calculer : le débit en sortie de pompe et la pesée de la cuve d'alimentation.
L'expérience montre que la pesée fournit des valeurs plus proches de la réalité.

Pilotage avec des défauts

L'absence momentanée d'adjuvant, ou une simple dérive de débit, n'a pas d'incidence sur la qualité
du calcinât, donc du verre. Il a un effet notable sur le traitement des gaz, et sur la digestibilité du
calcinât (mauvaise calcination), et aucun sur la composition du verre. Dans le cas d'une interruption
prolongée de son alimentation (c'est-à-dire plusieurs heures), cela peut conduire à des bouchages.

Alimentation en fritte

Le débit de fritte est contrôlé par bilan massique sur la trémie d'alimentation (respect du rapport
fritte/verre).

Le passage effectif de chacune des charges est suivi au moyen de la mesure de la perte de charge
dans le conduit menant au calcinateur.

L'opérateur peut avoir un synoptique du fonctionnement du sas à fritte sur TDC, mais cette
fonctionnalité est très peu utilisée.

Le TDC informe les opérateurs que la trémie 2 a atteint son seuil minimum et qu'il commande
l'alimentation de la trémie 2 via la trémie 1. De même, la fin de son remplissage est signalée.

Par contre, la trémie 1 n'est pas instrumentée ; l'opérateur doit surveiller visuellement son niveau de
remplissage pour déterminer le moment où il faudra la remplir. En moyenne, le remplissage s'effectue
une fois par poste.

Maintien des paramètres nominaux :

• l'ajustage du débit de fritte intervient quand le rapport fritte/verre n'est plus vérifié. L'opérateur
joue alors sur le débit de fritte pour revenir à une valeur satisfaisante. Les écarts observés (par
bilan horaire) sont généralement faibles, ils sont corrigés en modifiant le débit de fritte en
conséquence, par l'intermédiaire de la masse pesée sur le godet (le nouveau débit est maintenu
jusqu'au bilan horaire suivant).
210 Annexe II

• le TDC effectue une régulation des débits de fritte. Les opérateurs ont d'ailleurs observé que ces
corrections n'étaient, la plupart du temps, pas justifiées. Il semblerait donc que le TDC
contraigne les opérateurs à prendre en compte ses limites de correction, puisqu'ils doivent en
corriger les effets : ils ajustent le débit de fritte de telle sorte que le TDC n'ait pas de correction à
effectuer (ajustage de la masse du godet de sorte à forcer le TDC à effectuer une correction dans
le sens d'une augmentation du temps de cycle uniquement).

Pilotage avec des défauts

Les opérateurs peuvent avoir à effectuer des envois manuels dans le cas d'un blocage du sas
d'alimentation en fritte.

Pilotage de la calcination

Les paramètres de la calcination définis pour une campagne sont :

• la vitesse de rotation du tube de calcination,
• les températures des zones de chauffe du four de calcination,
• le débit de recyclage,
• le débit de la solution Pf,
• le débit de l'adjuvant de calcination ( concentration fixe ).

Les opérateurs ne peuvent avoir d'informations directes sur le calcinât. Cependant, les paramètres
opératoires tels que : température des différentes zones du four, rotation des galets et débit
d'adjuvant correct, permettent d'effectuer le suivi de la calcination (de même : mesures électriques
pour les résistances du four de calcination, dilatation du tube, mesures électriques relatives au moteur
d'entraînement du tube et la perte de charge dans le calcinateur).

L'air de balayage est réglé localement dès le démarrage de l'installation. Il n'y a pas de report en salle
de contrôle.

La vitesse de rotation du tube est contrôlée au chronomètre environ toutes les semaines.

Pilotage avec des défauts

Le colmatage du tube de calcination est détecté par analyse des variations de puissances sur le four
de calcination. Le phénomène est progressif et lent.

Un des paramètres les plus surveillés est la dilatation du tube, qui dépend à la fois des débits
d'alimentation et de la chauffe du calcinateur. En régime nominal, la dilatation du tube est
pratiquement constante ; c'est un signe de "bon" fonctionnement. Cependant, une variation de cette
valeur est le signe d'un défaut (alimentations en solutions ou chauffe du tube). L'opérateur veille
également à prévenir l'encrassement de la manchette située entre le calcinateur et le dépoussiéreur.
En effet, il peut se produire une amorce de bouchage de la liaison calcinateur-dépoussiéreur, détectée
par augmentation de la perte de charge du calcinateur.

Un moyen utilisé par les opérateurs pour enrayer ce phénomène est de provoquer l'engorgement de
la solution contenue dans le pied de colonne du dépoussiéreur (en augmentant le débit de vapeur de
chauffe) pour provoquer le reflux de solution vers le calcinateur. Cette action a déjà montré son
efficacité.

Le moyen le plus courant consiste à rincer la manchette à l'eau, par l'intermédiaire de deux buses
Aspects fonctionnels, organiques et opérationnels concernant le PEV 211

réservées à cet effet. La quantité d'eau injectée est prise en compte dans les calculs de bilans.

Pilotage de la vitrification

Les températures externes et internes du pot de fusion sont des paramètres les plus surveillés (le
synoptique du pot apparaît quasi constamment sur l'écran du TDC 2000).

Lorsque la quantité de verre requise pour la coulée est atteinte, et si la température n'est pas
suffisante, le verre est affiné (correspond au passage en eau du calcinateur ; alimentations coupées,
maintien des consignes de chauffe du pot ).

Le suivi du fonctionnement du pot de fusion consiste à vérifier que les températures externes restent
comprises dans les fourchettes de régulation, à surveiller l'évolution des températures internes au
cours du remplissage. Ces températures sont les principales données qui permettent de juger
l'homogénéité du bain de verre en élaboration ( un écart de températures internes faible en 4 points
du pot indique que le verre en fusion est homogène).

Un opérateur est spécifiquement chargé de s'assurer du bon fonctionnement du four de fusion. Il

surveille :
• les températures externes et internes au pot de fusion (sur le TDC : valeurs instantanées ; sur le
micro-ordinateur : courbes d'évolution),
• le déphasage courant-tension à chaque changement de plot effectué par les régulateurs (toutes
les dix minutes), détecté de façon auditive,
• le brassage du pot de fusion en local (rotamètres).
• les températures et débits d'eau de refroidissement du générateur MF,
• les mesures électriques au niveau des inducteurs et du générateur MF (puissance, intensité,
tension, déphasage),

Quelques coulées intempestives ont été, par le passé, recensées. Elles ne portent pas à conséquence
car le phénomène est rare et bref. Aucune intervention ni correction n'est ici possible.

Vieillissement du pot de fusion :

La déformation du pot de fusion, due à son vieillissement, impose à l'opérateur une surveillance des
températures externes, qui peut l'amener à ajuster la puissance délivrée sur le four ( la régulation
s'effectue uniquement sur les températures externes ). L'ajustage de la puissance est une intervention
manuelle sur le jeu de barres et les capacités permettant de modifier les plages de tensions
applicables par les régulateurs.

Ajustages :
• réglage de la phase des inducteurs (sur l'armoire de contrôle en salle de conduite),
• modification des barres de tension : la décision est prise par le chef de quart, et la mise en œuvre
est réalisée par un électricien.
• pendant l'affinage, l'opérateur peut baisser la tension générale appliquée aux inducteurs de
chauffe, ce qui permet de diminuer la chauffe du pot sans dérégler d'autres paramètres.

Panne de certains thermocouples du pot de fusion :

Même si quelques thermocouples tombent en panne, il est possible d'extrapoler les valeurs de
température correspondantes d'après l'expérience acquise pendant leur bon fonctionnement
( cartographie thermique du pot de fusion, paramètres électriques de conduite ). Il faut surtout
212 Annexe H

connaître :
• les variations de puissance consommée entre deux coulées pour chaque zone de chauffe,
• les points chauds du pot de fusion afin de ne pas les surchauffer en cas de défaillance du
thermocouple correspondant.

Dans le cas d'une insuffisance d'informations de recoupement des paramètres manquants, il faudra
envisager le changement des thermocouples défaillants, voire le remplacement du pot.

Pilotage de la coulée

La coulée est effectuée périodiquement lorsque les critères suivants sont respectés :
• la quantité de verre nécessaire a été introduite,
• la température moyenne minimale est atteinte.

Avant coulée, un opérateur vérifie qu'un conteneur a été préalablement placé sous le pot de fusion.
Le conteneur est pesé en continu et permet le calcul des débits de verre. Cette mesure permet de
vérifier les bilans sur les entrées/sorties de matière, afin de contrôler les éventuels phénomènes de
rétention dans le calcinateur. La coulée est commandée par mise en service de l'inducteur de coulée
( sur l'armoire de contrôle en salle de conduite ). Le temps d'amorçage de la coulée correspond au
temps entre la mise sous tension de la buse et le début effectif de la coulée.

Pendant la coulée, l'opérateur qui se trouve devant l'écran de contrôle vérifie que le TDC a détecté la
mise sous tension de la buse de coulée en vérifiant la remise à zéro des bilans matières. En local, un
opérateur effectue la mesure de la température du verre en sortie de pot, et les prises d'échantillon
demandées dans le cahier de définition d'essai.

Pilotage du traitement des gaz

La stabilisation du fonctionnement du dépoussiéreur requiert de la part de l'opérateur l'ajustement de

la température du pied de colonne (en jouant, en local, sur la pression de vapeur d'eau) afin de
garantir un taux d'évaporation suffisant tout en évitant l'engorgement de la colonne (retour de
solution vers le calcinateur, donc entraîne certaines perturbations). Auquel cas un ajustage de la
chauffe, en local, peut s'avérer nécessaire.

Les bilans d'alimentation en solutions injectées en entrée du calcinateur sont régulièrement calculés
par les opérateurs. Plusieurs méthodes permettent de s'assurer des bilans, par exemple : calcul à partir
des vitesses de rotation des roues doseuses et calcul à partir des cuves d'alimentation. Le bilan calculé
sur la cuve de condensats permet de vérifier les bilans globaux.

Pilotage avec des défauts

Le traitement des gaz est sans doute la partie du procédé la moins surveillée par les opérateurs.
Malgré tout, un paramètre permet de qualifier le bon fonctionnement du traitement des gaz : le
débit des gaz rejetés, mesuré en continu par le Venturi.

La diagnostic d'une entrée d'air, au niveau du traitement des gaz, est délicat car les informations
disponibles (débit venturi, course de la vanne de régulation) sont suffisantes pour détecter une entrée
d'air mais ne permettent pas de la localiser précisément.

Comptes-rendus d'exploitation

Les divers comptes-rendus émis par les équipes de conduite permettent à l'exploitant de vérifier le
Aspects fonctionnels, organiques et opérationnels concernant le PEV 213

bon déroulement de la campagne. Trois supports sont utilisés :

• le cahier de quart, dans lequel sont recensés les rapports bilans et ainsi que les journaux
récapitulatifs quotidiens édités par le TDC,
• les rapports d'exploitation :
• émis toutes les heures,
• émis toutes les 8 heures,
• quotidien à 12h 30, qui répertorie les données concernant le fonctionnement du pot de
fusion, du calcinateur et du dépoussiéreur,
• les fiches d'état de l'installation recensent le nombre d'heures de fonctionnement, les
interventions et les modifications réalisées par les opérateurs.

11.3.3 La gestion du fonctionnement

Sont répertoriés ici les contextes qui conduisent l'équipe de conduite à adapter le programme de
fonctionnement du PEV face à de nouvelles consignes et pendant la montée en régime de
l'installation, ainsi qu'à la détection de dérives normales et inévitables (c'est-à-dire les limites de
variation acceptables qui permettent de garantir l'élaboration d'un verre dont les caractéristiques sont
considérées satisfaisantes).

Il ne s'agit pas de répertorier les diverses tâches effectuées par les opérateurs, mais plutôt de
répertorier les contextes caractéristiques qui motivent la réalisation de ces tâches.

Gestion des alimentations

Puisque le PEV a pour mission de tester diverses conditions d'exploitation du procédé de vitrification,
chacune des campagnes est caractérisée par un programme de fonctionnement particulier. Une des
caractéristiques du PEV est donc sa faculté à s'adapter à des conditions nouvelles ; ces conditions
changent pendant la campagne, puisque les exploitants testent, pour chaque conteneur à remplir, de
nouveaux paramètres de fonctionnement et/ou de nouvelles concentrations en éléments dans la
solution de Pf, ou encore divers types de fritte de verre.

Chaque programme spécifie la montée en régime, les temps d'alimentation, les coulées à effectuer, le
nombre de coulées, les conditions d'élaboration propres à chaque coulée, etc.

Pendant la montée en régime de l'installation, les débits d'alimentation sont progressivement

augmentés jusqu'à atteindre leur valeur nominale. La gestion du démarrage est, en majeure partie,
laissée à la charge des opérateurs, donc très peu automatisée ; elle est définie par l'ingénieur procédé,
en fonction des objectifs de la campagne.

Gestion de l'alimentation en Pf

Montée en régime :
• Le débit est réglé par tâtonnements : une fois que l'opérateur a déterminé la cylindrée de la roue
doseuse, celle-ci est intégrée dans le TDC et utilisée pour calculer le débit instantané de la roue
doseuse. Ce débit est ensuite ajusté par l'opérateur en jouant sur la vitesse de rotation de l'arbre
rapide sur le TDC (la cylindrée est préalablement mesurée avant chaque essai),
214 Annexe II

• Cette vitesse est progressivement augmentée jusqu'à atteindre le débit nominal de solution Pf.

Adaptation : la solution de Pf comporte un grand nombre de composants et dont les exploitants

essaient de déterminer la contribution sur les caractéristiques du verre. Les exploitants jouent sur la
composition de la solution Pf en ajoutant par exemple un ou plusieurs éléments dans la cuve
d'alimentation. Cet ajout s'effectue en local, directement sur la cuve d'alimentation en Pf.

Gestion de l'alimentation en adjuvant

Montée en régime : le débit d'adjuvant est réglé localement en modifiant la course du piston de la
pompe doseuse et par lecture du débit instantané sur TDC.

Adaptation : les exploitants peuvent faire varier la concentration en adjuvant afin d'en étudier la
contribution.

Gestion du recyclage

Montée en régime : le débit de recyclage est progressivement augmenté (comme pour la montée en
régime du débit de la solution Pf, sauf que la cylindrée des godets n'est pas mesurée préalablement).

Le recyclage du dépoussiérage n'est pas un paramètre sur lequel interviennent les exploitants.

Gestion de l'alimentation en fritte

Le débit de fritte est progressivement augmenté en jouant sur la masse de godet et le temps de cycle
de l'automate (tous deux sur l'armoire de contrôle). La montée en régime semble délicate, de l'avis
des opérateurs.

Il est possible, en cours de campagne, d'alimenter le PEV avec une fritte de verre ayant des
caractéristiques différentes.

Gestion du calcinateur

Montée en régime : l'accord de chauffe est donné par le TDC. L'opérateur intervient sur chacun des
quatre régulateurs pour entrer la consigne de température à atteindre, conformément à la procédure
de montée en régime calcinateur.

Les paramètres de fonctionnement du calcinateur ne sont généralement pas modifiés (température,

vitesse de rotation).

Gestion du pot de fusion

La préchauffe du pot de fusion s'effectue plusieurs heures avant le lancement de la chauffe du

calcinateur ( ce délai correspond au temps de préchauffe du pot ). De même que pour le calcinateur,
la montée en température est commandée manuellement.

Les premières heures correspondant à la phase de démarrage servent à la montée en régime de

l'installation et à la constitution du hold-up du pot de fusion ; ce hold-up ne sera coulé qu'en fin de
campagne.

L'arrêt de l'installation est possible sans la vidange ; cela peut se produire dans le cas d'une rétention
dans le pot de fusion. Le rinçage s'effectuera ultérieurement avec de la fritte fusible.
Aspects fonctionnels, organiques et opérationnels concernant le PEV 215

L'expérience a montré que plus le temps de séjour dans le pot de fusion est long, meilleure est la
qualité du verre obtenu. Pour des essais particuliers, il est possible d'affiner le verre dans le pot de
fusion en maintenant la chauffe sans alimenter, avant de couler.

Le brassage du verre dans le pot de fusion, est un paramètre au niveau duquel les opérateurs peuvent
avoir à intervenir :
• brassage ou non du bain de verre pendant la coulée,
• modification de la répartition des brassages pendant l'affinage et la coulée.

Gestion du traitement des gaz

Les paramètres de fonctionnement du traitement des gaz sont définis une fois pour toutes, et ne
sont pas modifiés en cours de campagne, ni entre les campagnes.

11.3.4 La conduite de l'évolution

La conduite de l'évolution correspond à l'exploitation de l'installation dans l'ensemble de ses aspects.

Il s'agit de piloter le PEV, d'adapter le fonctionnement en fonction de conditions particulières
d'élaboration du verre, et de faire face aux comportements dangereux, en envisageant des positions
de repli ou de sécurité.

On répertorie ici les différents contextes auxquels l'opérateur a à faire face ; à chacun de ces
contextes peuvent être associées des activités d'adaptation, ainsi que des activités de pilotage.

Contexte d'élaboration du verre de référence

Dans ce contexte, l'élaboration du verre est bien connue et ne pose pas de difficulté particulière au
niveau de l'exploitation du PEV. Le programme de fonctionnement se déroule sans qu'il y ait besoin
d'affiner le verre.

Contexte d'élaboration d'un verre hors norme

L'objet du PEV est de tester des caractéristiques de verre différentes. Les équipes de conduite y sont
très fréquemment soumises, ce qui suppose de leur part une surveillance accrue des paramètres de
fonctionnement du calcinateur (risques de bouchage), des températures au niveau du pot de fusion,
des prises d'échantillons régulières à divers endroits de l'installation. Le programme de
fonctionnement peut subir des aménagements dans la mesure où le verre élaboré ne satisfait pas aux
critères de qualité : en accord avec l'ingénieur procédé, les équipes de conduite peuvent être
amenées à affiner le verre.

Les conditions dans lesquelles sont effectuées les campagnes peuvent provoquer des problèmes de
bouchage ou d'augmentation du taux de poussières dans les gaz de calcination. Cela implique donc
une vigilance des opérateurs focalisée sur ces aspects.

Contexte de repli sécuritaire

Les opérateurs sont placés dans ce contexte sur apparition d'un défaut grave sur le calcinateur. Le
repli est activé automatiquement, ce qui impose aux opérateurs de vérifier les paramètres les plus
216 Annexe II

sensibles, au niveau des calcinateur et pot de fusion, de vérifier que la mise en repli a permis de
stabiliser l'état de l'installation, et d'en rechercher la cause.

Il s'agit principalement de s'assurer du bon fonctionnement du calcinateur (rotation tube et

températures) et du four de fusion pour, le cas échéant, intervenir pour stopper l'évolution
dangereuse.
Retrouver la causalité chez De Kleer/Brown et Iwasaki/Simon 217

ANNEXE III : Retrouver

la causalité chez De
Kleer/Brown et
Iwasaki/Simon

Le raisonnement causal est un domaine de la physique qualitative, discipline qui se préoccupe de

décrire les phénomènes physiques en conciliant une perception du monde proche de l'homme (qui
raisonne volontiers de manière intuitive) et une certaine dose de quantitatif. Il se base sur le caractère
déterminisme des phénomènes physiques qui, une fois mis en évidence, permettent d'expliquer les
évolutions observées sur un système physique donné.

Les approches de De Kleer/Brown et Iwasaki/Simon permettent d'exprimer la causalité par un

traitement sur les équations qui décrivent le comportement du système (les références sont indiquées
en fin de chapitre IV) ; ce sont des confluences pour De Kleer et Brown, et les équations classiques
pour Iwasaki et Simon. A l'inverse de l'approche d'Iwasaki et Simon, qui vise à retrouver la causalité
au travers d'un système d'équations, l'approche de De Kleer et Brown s'intéresse davantage à la façon
dont est perçu le procédé ; sa modélisation se rapprochant, en effet, davantage d'une interprétation
du procédé.

111.1 MÉTHODE D'IWASAKI / SIMON

Iwasaki et Simon proposent une approche formelle de la modélisation causale : partant des équations
du système, il s'agit d'organiser les variables en fonction de l'ordre dans lequel les variables sont
calculées.

Considérons l'exemple de l'évaporateur proposé par Iwasaki, et dont le schéma de principe est
présenté en figure [Link].1.
218 Annexe III

Chambre de réfrigération

Liquide
réfrigérant

Vanne
-V d'expansion

Les variables :
H : Chaleur récupérée par le réfrigérant
G : Rapport entre vapeur et masse de réfrigérant sortant sous forme liquide (le

I
phénomène de vaporisation par expansion n'est pas total)
Q : Débit de réfrigérant
Tj : Température d'entrée du réfrigérant
T Q : Température de sortie du réfrigérant
T w : Température de l'air dans la chambre de réfrigération
T c : Température de condensation du réfrigérant
' . P : Pression du réfrigérant dans la chambre
4-,'vtes constantes :
spj : chaleur spécifique du réfrigérant en phase liquide
' I : chaleur latente du réfrigérant
k : coefficient de conduction du tube
•s. :

Figure [Link].1 : Chambre de réfrigération d'un système de production de froid.

Soient Q, Tj, To, G, H, P, T c , et T w les variables (mesurées ou non) du système ; avec s p i , I et k

comme constantes. Les équations régissant le comportement de ce système sont :

H = k*(T w -T c ) 0)
H = G*Q*l-(T i -T 0 )*Q*sp 1 (2)
T c =f,(P) (3)
T O =T C (4)
T i =t i (5)
Q=q (6)
P=p (7)
T =t (8)

Les équations (5) à (8) expriment les relations existant entre les variables Q, Tj P, T w et leurs valeurs
respectives, mesurées via des capteurs (les valeurs tj, q, p, et tw)- Elles ont été ajoutées afin qu'il y ait
autant d'équations que d'inconnues, le système est alors dit complet. Les variables Q, Tj P, T w sont
considérées comme des variables exogènes du système.

Il s'agit maintenant de déterminer l'ordre de calcul des variables, les unes par rapport aux autres. Pour
ce faire, une représentation matricielle est employée. Par convention, les valeurs "1 " symbolisent la
présence de la variable dans l'équation considérée. Le système d'équations s'écrit donc :
Retrouver la causalité chez De Kleer/Brown et Iwasaki/Simon 219

H G Q ri ro rw rc p

(1) 1 1 1
(2) 1 1 1 i 1
(3) i i
(4) i i

(5) i
(6) 1
(7) i
(8) 1

Soit S l'ensemble des huit équations qui définissent complètement le système. Dans un premier
temps, il faut extraire le plus grand sous-système So complet pour lequel toutes les équations peuvent
être immédiatement résolues. Dans notre cas, ce système So sera composé des équations (5) à (8),
puisqu'en effet, les variables Tj, Q, P et T w sont exogènes, donc définies de manière externe par
rapport au système considéré.

Une fois le système So isolé, les variables à calculer ultérieurement sont représentées dans le système
S-SQ suivant :
H G ro rc
0) 1 i

(2) 1 1 i

(3) i

(4) i i

Une fois que les variables correspondant au système So ont été calculées, la variable T c est déterminée
par l'équation (3). Cette dernière constitue donc l'élément unique du système S i . Le système
résultant est à rechercher parmi les variables suivantes :

•\ G ro
1) i
2) i 1 î
;4) 1

Les variables H et To peuvent maintenant être calculées de façon indépendante l'une de l'autre,
respectivement par les équations (1 ) et (4).

A présent la variable G peut être calculée:

L'ordre des calculs à effectuer pour résoudre le système d'équations est à présent explicité. L'ordre de
calcul des variables est donc le suivant :
220 Annexe III

P Te T0 G
Tw
-51 CD H
Q
Ti

Les relations de causalité entre variables sont déduites des équations (1) à (8) grâce à cet
ordonnancement : T c est, par exemple, calculé par (3) connaissant P ; To est déterminé une fois que
T c a été calculé. Il existe donc une relation d'ordre qui se traduit, pour l'ensemble des variables, par le
graphe de la figure [Link].2.

O>

Figure [Link].2 : Graphe causal obtenu par la méthode d'Iwasaki et Simon.

Les principales caractéristiques de l'approche proposée par Iwasaki et Simon sont donc les suivantes :
• la méthode est basée sur une vision statique du système, c'est-à-dire qu'il suffit d'avoir un
système d'équations représentatif pour déterminer par résolution l'ensemble des chemins de
propagation,
• les chemins de propagation sont déduits par ordonnancement des variables d'un système selon
l'étape de calcul qui a conduit à la détermination de leur valeur. Le graphe correspondant décrit
donc la calculabilité des variables d'un système,
• la méthode accepte une description qualitative des comportements (équation (3)),
• elle met en œuvre une algèbre classique.

111.2 MÉTHODE DE DE KLEER /BROWN

De Kleer et Brown [DE KLE 84] proposent de modeliser la causalité au sein d'un système physique en
partant de sa structure. La structure s'exprime en termes de matériaux, de conduits (qui ne font que
transporter des matériaux) et de composants interreliés, et le comportement des composants peut
être décrit par un ensemble d'équations différentielles qualitatives, les confluences. Les composants
sont considérés n'entrer en interaction qu'avec leurs voisins directs, d'où la notion de causalité locale
qui permet une approche modulaire du système analysé.

La modélisation qualitative introduit les notions de variable qualitative x (dont la valeur est notée
[x]), de tendance (en fait la dérivée en fonction du temps de la variable considérée, et de
confluence.

Une confluence décrit le comportement d'un composant. Elle peut être déduite des équations
quantitatives en remplaçant la variable x par sa valeur qualitative [x], qui peut prendre des valeurs
comprises dans l'ensemble {-, 0, +}, de sorte que pour x<0, [x]= -, pour x=0, [x]= 0 et pour x>0, [x]=
+. De même, la tendance d'une variable x prend ses valeurs dans l'ensemble {-, 0, +} et est interprétée
de la façon suivante : à la dérivée dx/dt correspond, dans le référentiel qualitatif, une dérivée 3x telle
Retrouver la causalité chez De Kleer/Brown et Iwasaki/Simon 221

que 3x =+ si et seulement si la variable x augmente, 3x =- si et seulement si x diminue, 3x =0 si x est

stable. Les confluences sont donc des équations qualitatives reliant des variables qualitatives par des
opérateurs d'addition et de multiplication, auxquels sont associés des lois de combinaison qui sont
exprimées sous forme de tables (tableau [Link].1). La valeur qualitative "?" a été ajoutée comme valeur
possible de façon à ce que les opérations soient internes dans l'ensemble {-, 0, +, ?} [LEYVA 91 ] .

- 0 + ? # - 0 + ?
_ _ _ ? ? m
+ 0 _ ?
0 _ 0 + ? 0 0 0 0 0
+ ? + + ? + 0 + ?
? ? 0 ? ?
Tableau [Link].1 : Tables d'addition et multiplication qualitatives.

.2.1 Déduction d'une relation de confluence

Le cas d'un fluide dont le débit est réglé par une vanne de réglage est pris comme exemple [LEYVA
91].

L'équation qui régit le fonctionnement de cette vanne est donné par :

|2*P
= C*A*. P>0

Q désigne le débit de fluide, C un coefficient positif constant relatif à la vanne, A l'aire de la vanne
sur laquelle s'exerce la pression du fluide, P la perte de charge entre entrée et sortie de la vanne et p
la densité du fluide. Sachant que les variables sont nécessairement positives, il est alors possible
d'écrire :

Le comportement de la variable qualitative [ Q ] est fourni par la différenciation de l'équation de

départ, puis par une transposition dans le référentiel qualitatif :

et enfin

dA + dP-dQ =
222 Annexe III

Le même traitement est à effectuer pour l'ensemble des composants du système. L'intérêt de cette
approche est de ne pas nécessiter l'expression quantitative exacte puisque celle-ci serait de toute
façon réduite à une forme qualitative.

III.2.2 Exemple de l'évaporateur

La causalité est déduite des équations de confluence en considérant une perturbation initiale et en la
propageant à travers tout le système. La propagation est stoppée si plus d'une variable inconnue est
présente dans une équation. Il faut alors émettre une hypothèse pour pouvoir continuer à propager
sur l'ensemble des variables.

Soit l'exemple de l'évaporateur, considéré par Iwasaki et Simon. Sachant que G (quantité de vapeur
restante en sortie de chambre rapportée à la masse totale de réfrigérant), que la chaleur H absorbée
par le réfrigérant pendant son passage dans l'évaporateur, et que le coefficient de conduction k sont
positifs, que f| est une fonction monotone croissante, alors le système de confluences issu des
équations (1) à (4) s'écrit:

dH-dT w +dT c =0 (T)

3H-9G-aQ + 3T i -aT o =O (2')

dT c -9P = 0 (3')

dT 0 -dT c =0 (4')
Supposons l'existence d'une perturbation sur la variable P, considérée comme une entrée du système.
Envisageons sa propagation sur l'ensemble des autres variables.

Soit 3P =+ une perturbation initiale sur P. Les confluences (3') et (4') fournissent les perturbations
propagées sur les variables T c puis T o : 3TC = +, 3T0 = +.

La relation de precedence s'écrit donc :

P->TC->TO. (a)

Le système de confluences s'écrit alors :

8H-dTw=- (5')

dT o =0 (6')

Mais cela n'est pas suffisant pour déterminer le chemin de propagation sur les autres variables,
puisqu'il y a plus d'inconnues que d'équations. Pour ce faire, De Kleer introduit la notion de causalité
mythique, fondée sur trois heuristiques :
1. les relations topologiques entre composants déterminent des chemins de propagation des
perturbations ("conduit heuristic"),
2. si l'on agit sur un composant donné, et que l'on ne sache rien sur d'autres contributions qui
peuvent affecter son comportement, alors il faut considérer qu'il réagit comme si les autres
contributions étaient nulles ("component heuristic"),
3. si certaines variables d'une confluence sont inconnues, il faut propager la perturbation comme
si toutes sauf une des variables inconnues étaient nulles ("confluence heuristic").
Retrouver la causalité chez De Kleer/Brown et Iwasaki/Simon 223

La connaissance de la topologie du système permet de distinguer les variables internes et les variables
externes ou exogènes, c'est-à-dire des variables susceptibles d'être perturbées par l'environnement, et
non par le système en question. En vertu du "conduit heuristic", les chemins de propagation établis
devront prendre en compte le fait que des variables exogènes soient les entrées du graphe. Les deux
autres heuristiques permettent de lever l'indétermination liée au nombre d'inconnues restant au sein
d'une confluence. Elles sont appliquées une première fois au niveau de la confluence (1 ') : sachant
que la valeur quantitative de la variable T w est très supérieure à celle de T o il est légitime de supposer
qu'une petite perturbation sur T c aura peu d'influence sur T w . En d'autres termes, sachant que 3TC
est connue, supposons que 3T W soit négligeable et déterminons les effets de la perturbation sur H :

3H = -
Ainsi, la variable H est déterminée après calcul de T c :

TC->H (b)

On définit ainsi un chemin de propagation privilégié entre T c et H. Cela ne signifie nullement que la
variable T w ne soit pas causalement liée à H, au contraire, l'équation de confluence qui lie H, T c et T w
prouve que ces trois variables sont bel et bien liées. Etant donné que l'on ne peut avoir plus
d'informations sur T W / cette variable sera considérée comme exogène, selon le "component
heuristic".

Il reste à déterminer les chemins de propagation sur les variables inconnues contenues dans la
confluence (6'). Selon la première heuristique, les variables Q et Tj sont exogènes au système, ce qui
revient à supposer qu'elles ne sont pas affectées par une perturbation provoquée sur P, donc que 3Q
et 3Tj sont négligeables (pas de chemin de propagation entre P, Q et Tj). Par ailleurs, avec les
données dont nous disposons sur les variables Q et Ti, nous ne pouvons envisager de chemin de
propagation entre elles et H. Nous supposerons alors que Q et Tj ne sont pas causalement liés à H, en
vertu du "component heuristic". La résolution de la confluence (6') conduit à :

(-)-dG-0 + 0-(+) =
-3G = +

Ainsi, la perturbation est propagée jusqu'à la variable G par le biais de H et T o . Mais il ne faut pas
perdre de vue le fait qu'une perturbation 3Q ou 3Tj peut se répercuter sur G (la confluence (6') le
confirme), il existe donc un lien de causalité entre ces variables, qui s'exprime par :

H->G
T 0 ->G
(c)
1\->G
Q->G

Les perturbations supposées négligeables se rapportent aux variables T w , Q et Tj, considérées avec P
comme des variables d'entrée du système. En réunissant l'ensemble des relations de precedence (a),
(b) et (c), on obtient le réseau suivant, identique à celui obtenu dans le cas d'un traitement effectué
selon Iwasaki (figure [Link].3).
224 Annexe III

Figure [Link].3 : Graphe obtenu par la méthode de De Kleer/Brown

Les principales caractéristiques de l'approche de De Kleer et Brown sont les suivantes :

• la méthode est fondée sur l'expression qualitative des équations d'évolution d'un système,
• elle permet l'analyse des effets de la propagation de perturbations sur les variables du système,
• l'approche est intéressante quand les équations quantitatives sont non disponibles ou non
linéaires,
• la méthode accepte les équations logiques, quantitatives, des règles, etc., puisqu'elles seront
toutes traduites sous forme de confluences,
• elle utilise le raisonnement qualitatif,
• l'analyse est plus ambiguë, ou plus intuitive, que celle d'Iwasaki, bien que le choix des équations
de ce dernier soit emprunt d'une part de subjectivité (la manière dont les équations doivent être
écrites n'est pas arbitraire).

L'exemple de l'évaporateur montre que les deux approches permettent d'aboutir à des résultats
similaires pour l'exemple considéré. D'un autre côté, l'analyse de la causalité selon De Kleer, s'appuie
fortement sur la manière dont est perçu le procédé. Il faut s'attendre alors à des différences, surtout
quand interviennent des phénomènes de feed-back (équilibres ou boucles de régulation).
Analyse des dépendances selon Finch et Kramer 225

ANNEXE IV: Analyse de

dépendances selon la
méthode de Finch et
Kramer

La construction d'un système de diagnostic suppose l'analyse préalable du processus. Finch et Kramer
proposent une démarche permettant de déterminer les liens de dépendance entre appareils, de
manière à définir le jeu de règles de diagnostic le plus complet possible. Cette démarche est basée sur
la décomposition structuro-fonctionnelle du processus.

Dans un premier temps, est considéré l'exemple du réacteur régulé qui a servi d'application aux
auteurs. Une généralisation aux systèmes de grande taille est ensuite envisagé. L'exemple de
l'installation industrielle PEV servira ensuite à en valider les concepts.

IV.1. LA DÉCOMPOSITION STRUCTURO-FONCTIONNELLE

La décomposition structuro-fonctionnelle est le processus d'identification des différents systèmes et
unités qui assurent l'ensemble des fonctions au sein d'un procédé. Elle se base sur la description de
trois types de systèmes : les systèmes régulés, les systèmes passifs et les systèmes externes. Les
systèmes régulés correspondent aux boucles de régulation existant au sein du système, ce sont les
systèmes les plus facilement repérables. Les systèmes passifs représentent, en fait, l'ensemble des
systèmes qui produisent des sorties mesurées mais non directement impliquées dans une boucle de
régulation ; ces systèmes sont particulièrement sensibles aux perturbations. Les systèmes externes se
situent en périphérie du champ d'étude et correspondent aux entrées et sorties du système considéré.

Un système est décrit comme étant un groupe d'unités fonctionnelles qui agissent de façon
concomitante pour remplir l'objectif global ou une fonction intervenant dans l'accomplissement de
cet objectif. Un système est constitué par l'ensemble d'unités fonctionnelles qui remplissent
ensembles la fonction objectif.

L'unité fonctionnelle est à distinguer de l'unité physique (ou composant), en ce sens que cette
dernière peut remplir plusieurs fonctions, contrairement à l'unité fonctionnelle : à une unité
fonctionnelle est associée une et une seule fonction qui correspond alors à la fonction d'un organe
élémentaire, au niveau de décomposition le plus bas envisagé par l'analyste.
226 Annexe IV

IV.2. ANALYSE DES DEPENDANCES ENTRE SYSTÈMES ET UNITÉS

IV.2.1. Exemple d'un réacteur chimique
Finch et Kramer [FINCH 88] (référence donnée dans le chapitre IV) proposent l'exemple d'un réacteur
agité, alimenté par un unique flux de matière, et lieu d'une réaction exothermique. Les paramètres
régulés sont : le niveau, la température, et le débit de recyclage.

Il s'agit de réaliser une réaction exothermique dans un réacteur agité en fonctionnement continu. Afin
d'éviter les élévations de température dans le réacteur, le milieu réactionnel est refroidi par circulation
au travers d'un échangeur de chaleur.

A chacun des systèmes fonctionnels répertoriés est associée une et une seule variable permettant de
rendre compte de son état de fonctionnement. Dans le cas d'une boucle de régulation du niveau d'un
réacteur (figure [Link].1 ), le système fonctionnel correspondant contient l'ensemble des composants qui
participent à la fonction de régulation, cette fonction étant vérifiée par le suivi du niveau via un
capteur spécifique. Dans le cas de la figure 2, le système de régulation du niveau du réacteur
comporte : une pompe, le réacteur, le capteur de niveau "Lr", le régulateur de niveau "[LRC]", la
vanne de régulation "[vanne 1 ] " , ainsi que les divers conduits de fluide.

.•=-c~l / r

pio» 1 '

j | VAU3 I j !_

Figure [Link].1 : Schéma PI&D du réacteur régulé.

La fonction d'un système peut être remise en cause par la défaillance d'une de ses unités (la pompe
est en panne, par exemple) ou par la défaillance d'un système qui lui est fonctionnellement relié (la
pompe n'alimente plus parce qu'elle est désamorcée ou parce que la cuve de prélèvement est vide).
Un défaut se réfère à quelque dégradation physique survenant au niveau d'une unité, qui peut
affecter le procédé en réduisant, voire en annulant la capacité de l'unité physique (ou d'un ensemble
d'unités) à réaliser la (les) fonction (s) vitale (s) attendue (s).
Analyse des dépendances selon Finch et Kramer 227

IV.2.2. Décomposition du réacteur

Dans un premier temps sont listés l'ensemble des composants participant au procédé, ainsi que la
(les) fonction (s) qu'ils assurent. Dans l'exemple ci-dessus, le réacteur, l'échangeur thermique, les
vannes, les régulateurs, les capteurs et les conduits de fluide sont répertoriés. Leurs fonctions sont
indiquées dans le tableau [Link].1 suivant :

; APPAREIL FONCTION SYSTEME

Echanqeur Lieu du transfert thermique
Régulateur de température Maintien température
réartpnr [TRC 1] r&irtpi ir Système de régulation
Capteur température réacteur Tr Mesure température réacteur
règle le débit d'eau de
Vanne 2
refroidissement
Vanne de régulation [vanne 2] Règle le débit d'entrée
Capteur de débit F7 Mesure du débit aqueux Système de régulation 1
débit réfrigérant f
Régulateur [FRC 2] Maintien débit constant

Réacteur Stockage de fluide

Capteur de niveau LIT Mesure

Régulateur niveau réacteur [LRC] Maintien niveau constant Système de régulation

niveau réacteur
Vanne 1 Règle le niveau réacteur

Pompe Propulsion

• Vanne 1

Capteur de débit m
Règle le débit de sortie vers
l'extérieur

Mesure le débit de sortie

liquide
Système d'évacuation du
produit

Pompe Propulsion
Echangeur Stockage transitoire de
fluide Système de
Réglage du recyclage régulation du débit
Vanne 3
vers le réacteur recyclage
Mesure du débit retour
Capteur de débit F5 r&wtw ir
Régulateur [FRC 1] Maintien débit constant

Réacteur Siège de la réaction

Système de réaction
Mesure concentration chimique
Capteur de concentration S11
en sortie

Système de refroidissement
Capteur de température 7 7 Mesure température
(externe)

Mesure débit solution Système d'alimentation

Capteur F I
d'entrée réacteur (externe)

wt Mesure température
Système de mise en
température du réactif
Capteur T l
solution d'entrée (externe)

Système de préparation
Mesure concentration solution d'alimantation
Capteur SI solution d'entrée (externe)

Tableau [Link].1 : Décomposition du réacteur chimique.

Ensuite, les divers systèmes fonctionnels sont mis en évidence : les systèmes de régulation (régulation
de la température du réacteur, du débit de réfrigérant, du niveau dans le réacteur, ainsi que du taux
de recyclage), les systèmes passifs (la réaction chimique proprement dite), et enfin les systèmes
externes (alimentations en eau de refroidissement et en réactif, par exemple).

Les composants sont ensuite classés dans les divers systèmes précédemment explicités. Il s'agit de
ranger, dans chacun des systèmes, l'ensemble des composants nécessaires pour atteindre chaque
objectif. Par exemple, le système de régulation de température du réacteur comporte les composants
suivants : l'échangeur de chaleur, le capteur ainsi que le régulateur. Pour des éléments physiques
228 Annexe IV

comme l'échangeur qui assurent plusieurs fonctions, une fonction lui sera associée pour chaque
système considéré.

IV.2.3. Règles de construction du modèle de dépendances

L'analyse structuro-fonctionnelle sert de base pour la construction du réseau de dépendances entre les
fonctions recensées. Les règles correspondantes sont les suivantes :
• Au sein d'un système donné, les diverses unités fonctionnelles sont liées par des liens de
dépendance. Un dysfonctionnement de l'une peut remettre en cause l'objectif du système
auquel elle appartient,
• Deux systèmes, qui n'ont pas d'unité fonctionnelle en commun, sont en relation de dépendance
si le dysfonctionnement de l'un entraîne le dysfonctionnement du second (l'objectif de l'un est
compromis par une défaillance de l'autre),
• Ces relations de dépendance sont orientées,
• Les dépendances fonctionnelles caractérisent des chemins de propagation de perturbations.

Ainsi, l'établissement d'un modèle de dépendances est guidé par renonciation de règles de causalité
conditionnelles " si... se trouve perturbé, alors cela induira probablement la perturbation de ...".

IV.2.4. Modèle obtenu

Les phénomènes de propagation de dysfonctionnement peuvent être représentés sous forme de liens
de dépendances conditionnelles (les arcs) entre les divers systèmes (les nœuds du graphe), dont un
exemple est indiqué en figure [Link].2. Une flèche double entre deux systèmes indique qu'un même
composant participe à la réalisation de deux fonctions ; ainsi, le fonctionnement perturbé de l'un est
lié au mauvais fonctionnement du second, les deux dysfonctionnements pouvant être simultanés.

ystème d'alimentation)
réartpiir ^

Système de
réaction chimiqu

Système de
Système de mise préparation solution
en température d'alimentation
réa Système de r
température

Systè
froidissemen

Système de
régulation débit de
réfrigérant

Figure [Link].2 : Graphe de dépendance entre systèmes.

Analyse des dépendances selon Finch et Kramer 229

II s'agit ici de déterminer le modèle logique de comportement du procédé, en considérant les liens
d'interdépendance entre systèmes. Ces dépendances forment, en fait, un réseau de propagation de
défauts potentiels, pris ici au sens d'écart par rapport à une norme (valeur nominale plu ou moins un
epsilon donné). L'exemple du réacteur chimique montre de telles relations, établies à partir des règles
simples : le système de maintien de température du réacteur est fortement influencé par les
alimentations en réactifs, le débit d'alimentation en eau de refroidissement, etc.

Le modèle de dépendances conditionnelles obtenu à partir de l'ensemble des systèmes considérés

dans le tableau [Link].1 est donné en figure [Link].2. Dans leur article de 1988, Finch et Kramer n'ont pas
distingué les systèmes de régulation du niveau du réacteur et d'évacuation du produit. Pour rester
cohérent avec leur modèle, nous avons choisi de les distinguer à l'intérieur d'un "pseudo-système" les
englobant.
Liens entre graphe causal et réseau de dépendances de Finch et Kramer 231

ANNEXE V : Liens entre

graphe causal et réseau
de dépendances de
Finch et Kramer

Un réseau de dépendances structuro-fonctionnel exprime des liens de causalité entre unités

élémentaires et systèmes. Il est alors intéressant de mettre en lumière le rapport qui existe avec un
réseau qui lie causalement les variables importantes du processus, tel qu'envisagé en automatique, et
plus particulièrement dans le module PROTEE de simulation causale.

Modèle de dépendances fonctionnelles ainsi que graphe causal définissent tous deux des modèles
"entité-relation" basés sur l'expression de relations de causalité : l'un est orienté description du
mauvais fonctionnement d'un système, l'autre propose un modèle de comportement normal des
variables pertinentes de ce même système. Un tel modèle permet de déterminer l'évolution de
l'ensemble des variables, soumises par exemple à l'influence d'une perturbation externe.

L'analyse comparative que nous allons à présent mener se base sur les travaux de Finch et Kramer de
1988 précédemment relatés, ainsi que sur ceux de 1987 des mêmes auteurs, où un graphe causal du
réacteur était proposé (les références se trouvent en fin de chapitre IV). Ce graphe présente toutefois
un certain nombre de différences avec le modèle fonctionnel, principalement parce qu'il comporte
des variables qui ne figurent pas dans le modèle de dépendances.

Une première étape consiste alors à extraire du graphe causal toutes les variables qui ne sont pas
associées à des capteurs de mesure (positions de vanne et intensité des signaux de commande des
régulateurs ne sont pas pris en compte). Mais cette suppresion doit s'accompagner de certaines
précautions afin de préserver l'ensemble des relations de dépendance qu'entretiennent les diverses
variables mesurées les unes avec les autres. Il faut en effet s'assurer que le graphe causal obtenu par
réduction du graphe initial décrit toujours le même système. Une telle réduction est légitime si l'on
considère que le principe de causalité permet d'établir des relations particulières entre variables.
Puisqu'un tel graphe constitue une interprétation du comportement d'une installation, il est
parfaitement légitime de faire abstraction d'un certain nombre de nœuds à condition que les relations
entre nœuds restants soient préservées.

La figure A.V.1 présente le schéma du graphe causal initial tel que proposé par Finch et Kramer, qui
contient l'ensemble des variables procédé. Pour plus de clareté, les signes portés par les arcs ont été
omis. Les variables cerclées sont les seules à être mesurées, toutes les autres doivent par conséquent
être supprimées du graphe. Cette réduction peut être effectuée de façon purement qualitative, en
considérant successivement les nœuds à éliminer et en conservant les chemins de propagation entre
variables mesurées.
232 Annexe V

Figure A.V.1 : Structure du graphe causal selon Finch et Kramer.

Trois types de nœuds sont distingués : les nœuds terminaux ou périphériques (T W o, CBS/ TRS, CAS,
CAOS» U e t T O S ) / 'es nœuds internes correspondant à des mesures (T7, F7, F5, Fi 1, T | , T r , S i , S u ,
F i , Lr) et les nœuds internes non mesurés (Ls, CL, V|_, PT, F, Pp, PB, FRS, CR, VR, TR, T S , C J , Vf). Nous
nous proposons d'éliminer les nœuds non mesurés.

Elimination de Pj, F, Pp, et PB

Les variables intermédiaires Pj, F, PB et Pp doivent être éliminées du graphe :

- le chemin de propagation F5 - P j - Fi 1, symbolisant l'influence mutuelle des variables Fi 1 et F5,
sera naturellement remplacé par un chemin direct entre F5 et F n ,
- le chemin "F5 - P j - F - Lr" schématise l'influence de F5 sur Lr, or il existe un chemin direct F5 ->
Lr. L'élimination de P j et F doit être effectuée en ajoutant un arc Lr -> F5 pour indiquer
l'influence de Lr sur F5 via PB,
- le même traitement est effectué entre Lr et F11 : le chemin "Lr - PB - F - P j -Fi 1 " est réduit à un
arc liant directement Lr à Fi 1. De même, le chemin " F n - Py- F - L r " est réduit à un arc direct
entre Fi 1 et Lr (figure A.V.2).
Liens entre graphe causal et réseau de dépendances de Finch et Kramer 233

Figure A.V.2 : Résultat de l'élimination de P j , F, Pp et PB-

Elimination de Ls, Q et V/.

Le chemin "Lr - Ls - Q. - V|_ - Fi i " schématise la régulation du niveau du réacteur. Il est aisé de le
remplacer par un chemin unidirectionnel entre Lr et F n . Puisqu'un tel chemin a déjà été tracé, nous
n'en ajouterons pas d'autre.

Elimination de TR

La variable T7 n'est reliée qu'à la variable Tr, via TR. En éliminant TR, ce chemin sera remplacé par un
arc direct de T7 à T r . Le chemin "F7 - TR - Tr" peut, de même que pour T7, être remplacé par un
chemin direct entre F7 et Tr. F5 n'est reliée à T r que de façon unidirectionnelle, donc il n'y a pas d'arc
à ajouter entre ces deux variables, sachant qu'il existe déjà un arc les reliant (figure A.V.3).

i-—©

Figure A.V.3 : Elimination de TR.

Elimination de Ts, Cj, Vf

De même que pour les variables Ls, C L et V|_, les variables Ts, Cy, V j sont des variables entrant dans
la boucle de régulation de la température du réacteur via le débit d'eau de refroidissement. Il implique
un chemin orienté partant de la variable Tr vers la variable F7 (figure A.V.4).
234 Annexe V

Figure A.V.4 : Elimination des variables de régulation.

Elimination de FRS, Q> VR

Ces variables peuvent être considérées comme des variables internes à la variable mesurée F5. Elles
n'apparaîtront donc pas dans le graphe causal final (figure A.V.5).

I
I

Figure A.V.5 : Graphe causal final.

Liens entre graphe causal et réseau de dépendances de Finch et Kramer 235

Système d'évacuation
ystème d'alimentation)
du produit réacteur _ - " " ^

Système de
régulation niveau
Système de
réacteur réaction chimiqu

Système de
Système de mise préparation solution
en température d'alimentation
réac Système de régulati
température réacteur

Système d eau de
refroidissemen

Système de
régulation débit
recyclage

Système de
régulation débit de
réfrigérant

Figure A.V.6 : Réseau de dépendance pour le réacteur chimique.

L'analyse comparée du graphe causal (figure A.V.5) et du modèle de dépendances (figure A.V.6)
permet de vérifier que la structure des deux réseaux est sensiblement la même, à quelques différences
près :
- dans le modèle de dépendances, les deux variables Lr et Fi i sont incluses dans un seul et même
système, le système de régulation du niveau du réacteur. Il eut été préférable de les séparer au
sein de deux systèmes distincts, cela aurait certainement permis de retrouver les relations de
causalité existant entre les variables Fi i et F5 (figure A.V.5),
- il n'y a pas de relation directe entre le système de régulation de niveau et le système de
régulation de température, comme le laissait supposer l'arc reliant Lr à T r dans le graphe causal.
N'ayant aucune information sur la façon dont le graphe causal a été obtenu, on ne peut écarter
l'hypothèse d'un arc redondant.

En définitive, bien que ces deux modèles correspondent à des visions à priori distinctes - l'une aborde
la modélisation de la propagation de dysfonctionnements, et l'autre la modélisation des influences
entre variables du processus en fonctionnement normal -, elles se basent toutes-deux sur
l'interprétation des interactions entre entités (d'un côté les systèmes et de l'autres les variables) en
termes de causalité.
Généralisation de l'analyse des dépendances structuro-fonctionnelles 237

ANNEXE VI :
Généralisation de
l'analyse des
dépendances structure*
fonctionnelles

L'exemple du réacteur chimique (annexe V) a permis de décrire la démarche de description des

relations de dépendances dans un système de petite taille. Pour les installations industrielles, l'analyse
devient très vite difficile, car il faut gérer un grand nombre de systèmes fonctionnels. Pour remédier à
cette difficulté, la hiérarchisation en niveaux d'agrégation semble plus satisfaisante, encore faut-il
suivre un certain nombre de règles. C'est ce que nous décrivons ici.

VI.1. MAÎTRISER LA COMPLEXITÉ PAR LA HIÉRARCHISATION

La décomposition est réalisée de la manière suivante :

1. L'objectif global du système à analyser est explicité,
2. Les contours du système sont définis,
3. Tous les composants sont répertoriés : appareils (les conduits ne seront pas pris en compte dans
cette étude), instrumentation,
4. La (les) fonction (s) de chacun est (sont) précisée (s),
5. Le regroupement de plusieurs organes qui participent à la même fonction élémentaire et à
laquelle est associée une variable mesurée constituera l'unité fonctionnelle, qui représente la
limite de décomposition,
6. Chacun des organes recensés est associé à au moins une unité fonctionnelle,
7. Ces unités fonctionnelles sont ensuite regroupées au sein de trois types de systèmes : les
systèmes régulés, externes puis le reste,
8. Ces systèmes sont ensuite regroupés au sein de systèmes de plus haut niveau, jusqu'à parvenir
au système qui décrit le procédé dans sa totalité. Ainsi, le système global peut être décrit au
travers d'une arborescence de sous-systèmes, chaque strate décrivant un niveau de description
particulier (figure [Link].1),
238 Annexe VI

Figure [Link].1 : Exemple d'arbre fonctionnel.

La construction d'un modèle s'effectue en deux phases : (1 ) description exhaustive des fonctions,
processus, moyens de contrôle mis en œuvre pour réaliser l'objectif global, ainsi que les composants
participant à chacune des fonctions ; (2) détermination des relations d'influence entre fonctions du
système (un système est défini comme l'ensemble d'unités fonctionnelles qui interagissent pour
remplir un objectif particulier).

La démarche employée pour décomposer le système s'inspire de la méthode d'analyse fonctionnelle

proposée par Finch et Kramer. Cette méthode a été adaptée à l'analyse des systèmes industriels : elle
consiste en une description fonctionnelle élaborée selon une hiérarchie de niveaux de raffinement. Le
procédé est ainsi décomposé en systèmes fonctionnels remplissant chacun une mission particulière
pour remplir l'objectif global. Ces systèmes peuvent, à leur tour, être décomposés en sous-systèmes
décomposables, et unités fonctionnelles élémentaires.

L'état de fonctionnement du procédé dépend des unités fonctionnelles qui le composent, mais aussi
des relations de dépendance fonctionnelle qui le lient aux autres systèmes. Cette démarche permet de
percevoir initialement le système selon un niveau global, puis d'affiner progressivement ce modèle
global en sous-modèles fonctionnels.

La seconde phase consiste en l'établissement des relations de dépendances pour chacun des niveaux
de la décomposition. Sachant qu'un système, pour assurer la fonction dont il a la charge, nécessite
que tous les systèmes qui l'influencent et que chacun des sous-systèmes qui le composent
fonctionnent correctement (respectivement dépendance externe et interne), l'analyse se traduira par
l'établissement des chemins de propagation des effets de défaillances potentielles à l'ensemble du
procédé, et pour chacun des niveaux de la hiérarchie.

VI.2. ETABLISSEMENT DES RELATIONS DE DÉPENDANCE

VI.2.1. Règles de décomposition
L'analyse d'un système complexe est effectuée de façon hiérarchisée : à partir du système initial, il
s'agit de décrire les principales fonctions qui permettent d'atteindre l'objectif principal, puis d'affiner
le modèle en considérant les sous-systèmes qui le composent. Cette décomposition doit tenir compte
des "règles" suivantes :
• A chaque sous-système est associé un objectif clairement spécifié,
• Chaque sous-système peut, à son tour, être décomposé en sous-systèmes et unités
fonctionnelles, correspondant à la description des fonctions des composants élémentaires,
• Toute unité fonctionnelle remplit un objectif et un seul,
• L'état d'un système peut être évalué, en continu, au moyen des valeurs fournies par les capteurs
ou estimateurs qui renseignent sur son état de fonctionnement,
Généralisation de l'analyse des dépendances structuro-fonctionnelles 239

• A chaque unité fonctionnelle est associée une caractéristique observable qui qualifie son état de
fonctionnement,
• Si une unité fonctionnelle est partagée par deux systèmes, son dysfonctionnement peut entraîner
deux défaillances simultanées,
• le modèle de représentation obtenu est hiérarchisé.

Penchons-nous sur le problème de la limite de décomposition (jusqu'où aller dans la décomposition) :

le niveau de décomposition le plus bas doit comporter l'ensemble des unités fonctionnelles
élémentaires (unité de relevage, de réglage du débit de fluide, et correspondant, au niveau physique,
à la fonction d'une pompe ou d'une vanne), à chacune desquelles est associée une caractéristique
observable (mesure de débit de relevage, mesure d'ouverture de vanne).

VI.2.2. Règles de parcours de l'arborescence

Une fois l'arborescence établie, il s'agit de définir les relations de dépendance entre systèmes
fonctionnels. Cette seconde phase d'analyse s'appuie sur la décomposition fonctionnelle hiérarchisée
décrite précédemment.

D'un point de vue purement opératoire, plusieurs approches pourraient être envisagées pour en
effectuer une analyse exhaustive. La première consisterait à ne considérer que le niveau le plus bas de
la décomposition, et dans ce cas considérer chacune des paires possibles de systèmes. Cela conduirait
alors à analyser une quantité rapidement trop importante de combinaisons dans le cas d'installations
de taille moyenne voire de grande taille.

Une seconde approche consisterait à ne considérer que le niveau le plus bas mais à effectuer le
regroupement des unités fonctionnelles en groupes d'unités sœurs. L'analyse reviendrait ici à passer
en revue l'ensemble des paires possibles à l'intérieur de chacun des groupes formés. Une fois cette
étape réalisée, il s'agirait de rassembler les groupes frères, de mettre en évidence les relations de
dépendance entre unités fonctionnelles appartenant à des regroupements différents, ainsi de suite
jusqu'à parvenir à un unique groupe d'unités fonctionnelles qui compose le procédé dans sa globalité.
Si cette approche est plus structurée que la première, elle ne met toutefois pas à l'abri d'oublis. C'est
pourquoi une troisième approche, hiérarchique cette fois, lui sera préférée.

L'approche hiérarchisée consiste à décrire les relations d'influence à tous les niveaux d'abstraction. Elle
permet de procéder par phases successives, d'affiner progressivement la description des relations de
dépendance entre systèmes hiérarchisés. Deux démarches sont envisagées : l'approche descendante,
qui, partant du système global, permet de décrire, pour chaque niveau d'abstraction, les relations de
dépendance existant entre systèmes ; l'approche ascendante qui consiste à décrire les relations entre
unités fonctionnelles, puis à remonter d'un niveau et à en déduire les relations de dépendance
existant pour les niveaux supérieurs.

La démarche proposée est ici descendante. Elle permet d'établir les relations entre systèmes de haut
niveau, puis d'affiner ces mêmes relations dans les niveaux inférieurs (voir les figures [Link].3, [Link].4 et
[Link].5). Notons que plus on descend dans la hiérarchie, plus les relations sont nombreuses. Ainsi, à
une relation exprimée dans un niveau (i), peuvent correspondre plusieurs relations au niveau (i+1).

Pour un système qui se décompose en une arborescence à quatre niveaux, la démarche proposée est
décrite à travers les étapes 1 et 2.
240 Annexe VI

Etape 1

Partant du niveau le plus haut de la décomposition, il s'agit d'établir les relations de dépendance
fonctionnelle entre systèmes frères, et ce, pour chacun des niveaux. Opérer de la sorte jusqu'à
parvenir au niveau le plus bas.

Cette étape est schématisée en figure [Link].2.

Etablissement des relations de dépendance entre sous-systèmes frères i - •* > * - " , <

Figure [Link].2 : Première étape d'analyse.

Dans cet exemple, les relations entre les nœuds S11 et SI 2 issus d'un même nœud père SI sont
analysées. De même pour les nœuds S111, S112 et S113 qui proviennent de la décomposition du
nœud S11.

Reprendre au niveau le plus haut de la décomposition. Considérer les relations entre S11 et SI 2 et
reporter les influences ainsi établies au niveau directement inférieur. Cela facilite grandement l'analyse
des dépendances entre les groupes formés d'une part par S111, SU 2 et S113, et les systèmes S121 et
S122 d'autre part. De même, pour établir les relations entre les nœuds S111 i et S113j, il suffit de
reporter les relations établies au niveau des nœuds pères S111 à S113 (idem pour les relations entre
nœuds SI 21 i et SI 22j, qui héritent des relations définies au niveau des nœuds S121 et SI 22). Ceci est
schématisée en figure [Link].3.
Généralisation de l'analyse des dépendances structuro-fonctionnelles 241

Les relations établies entre SU et SI2 servent de support

pour relier les sous-systèmes de ce niveau

sy
A

^z \
\

Les relations entre S111 avec SI 12, S112

avec S113 servent de support pour établir
les dépendances entre les sous-systèmes 1

Figure [Link].3 : Seconde étape d'analyse.

Le report des influences définies en étape 1 vers les niveaux inférieurs se poursuit jusqu'à définir les
influences liant les nœuds du niveau le plus bas de décomposition à partir des relations d'influence
définies au niveau des nœuds S11 et S12. Il s'agit, en somme, d'effectuer des cycles d'analyse
descendants, qui consistent à préciser à des niveaux de décomposition de plus en plus détaillés, les
liens de dépendance établis en première phase.

Après avoir effectué l'analyse des relations entre les nœuds S111, SU 2 et SU 3 d'une part, et SI 21 et
SI 22 d'autre part, l'étape ultérieure consistera à reporter ces relations au niveau directement inférieur,
c'est-à-dire le niveau le plus bas de l'arbre (figure [Link].4). L'analyse des dépendances se termine une
fois que toutes les relations à ce niveau ont été établies.

Les dépendances explicitées entre les sous-systèmes S111, SU2, SU 3, SI 21 et SI 22

servent à exprimer les relations dans ce niveau

Figure [Link].4 ^Troisième étape d'analyse.

L'approche descendante envisagée ici permet de partir du niveau le plus global, et ainsi d'exprimer
des influences globales entre systèmes, puis d'affiner de manière progressive ces relations au fur et à
mesure que l'on descend dans la description des sous-systèmes. Elle permet, en cela, d'avoir à chaque
phase un cadre d'analyse, une référence à laquelle il est possible de se reporter.
242 Annexe VI

Vl.2.3. Règles de description des relations

Une fois la décomposition du processus effectuée, il est maintenant possible de mettre en évidence les
relations de dépendance entre systèmes fonctionnels. Mais il faut toutefois suivre certaines règles,
dont la plus importante est : ne considérer que les influences de proximité et éviter de décrire des
relations qui ne correspondent pas à des liens physiques directs entre systèmes fonctionnels ; cela
permet de réduire la complexité du graphe en éliminant les chemins redondants.

VI.2.4. Exemple
Les figures [Link].5, [Link].6 et [Link].7 illustrent cette démarche par l'analyse fonctionnelle d'un procédé
réel : le Prototype Evolutif de Vitrification.
 Q

I
S-
i
3 "S"
TO

In

"8
I
S.
Système de
conditionnemen
f
o
Q.
ft
I
n
T3
Système de
traitement des ga
!
m
S1
D. 3
D)
3
n
ft |
VI Système de maintiei
ft dépression

Système de traitement des ga2||j|Système de maintien dépression Système de calcinatiot

Les relations établies à chacun des niveaux de détail indiqueront les relations qu'il faudra mettre en évidence dans l'étape suivante
w
3

0\

i?
TJ

I
n
3°
o
Système de
traitement des gaz

eu
cr.
o

Système de traitement des gaz ((Système de maintien dépression ^Système d'alimentationsiHPysteme de calcination

T3

Les [Link] établies à chacun des niveaux de détail indiqueront les relations qu'il faudra mettre en évidence dans l'étape suivante
m%$ & v — — -c——— I
S
c

<
"si

"S

sr
I
Système de
a traitement des gaz
8
3.
Système de maintien
dépression

Système de traitement des qaîfflïiSvstèmo de maintien déDressio KTOicgirogiranuran

Les relations étiihhes à chacun des niveaux de détail indiqueront les relations qu'il faudra mettre en évidence dans l'étape suivante
246 Annexe VI

Ainsi, il est possible de décrire les relations de dépendance entre systèmes en procédant de proche en
proche, et ce, de façon descendante. L'algorithme correspondant pourrait s'écrire, en considérant une
arborescence comportant " n " niveaux, et "x" un niveau quelconque :

***Relations entre nœuds frères***

Pourx=1 an, faire:
Etablir les relations entre nœuds frères :
Fin
•"«Reports des relations entre frères dans les niveaux inférieurs***
Tant que les relations établies au niveau 1 n'ont pas été reportées jusqu'au niveau n, faire :
Pourx=1 an, faire:
Reporter les relations déjà établies au niveau i vers le niveau directement inférieur, sauf les
relations qui viennent d'être établies au niveau supérieur:
Fin
Fin
Application à une installation industrielle complète 247

ANNEXE VII: Analyse de

dépendances sur une
installation industrielle

L'étude des dépendances structuro-fonctionnelles a été menée sur le Prototype Evolutif de

Vitrification. La présente annexe vise principalement la démonstration de faisabilité de la démarche
d'analyse de dépendances. L'installation PEV est suffisamment importante pour permettre de juger de
l'intérêt de la hiérarchisation du modèle structuro-fonctionnel.

Cette analyse est un prolongement de l'étude que nous avons menée sur le PEV dans le cadre du
projet DIAGPEV. L'essentiel des connaissances a été collecté par entretiens auprès des opérateurs de
conduite et des ingénieurs d'exploitation.

VII.1. DÉCOMPOSITION DU PEV

Les fonctions associées au PEV sont répertoriées dans les tableaux [Link].1 à 5. Elles ont été regroupées,
pour plus de lisibilité, en systèmes externes, passifs et régulés.

L'analyse qui est faite de cette installation est limitée aux appareillages et à l'instrumentation. Les
conduits de transfert de matière et d'énergie pourront être ultérieurement pris en compte.
248 Annexe VII

1 APPAREIL FONCTION VARIABLE MESURÉE UNITE SYSTEME ENGLOBANT

*
l *
Vanne Réglage débit pompe % ouverture Unité de réglage pression

Système de régulation
Pompe

Capteur
Extraire les gaz

Mesure de pression PR 330.80.1

Unité déprimogène

Unité de régulation pression

dépression colonne lavage
É
Régulateur Maintenir une col. lavage
[TDC PID n°2] pression constante
1
m
Vanne

Ejecteur
Réglage du débit
ejecteur

Propulser les gaz

% ouverture Unité de réglage

Système de régulation
1
1
H
Unité de propulsion des gaz
|§| Venturi Mesure Débit gaz dépression dépoussièreur

Capteur Mesure PR 330.10.2

Unité de régulation pression
Régulateur Maintien d'une
[TDCPIDnM] pression constante
à
Régulateurs Maintenir la température
dans les bornes autorisées Unité de régulation de la Système de régulation
chauffe chauffe calcinateur
Capteurs Mesure TE 320.13.5 à 8

Résistances
chauffantes
Fournir la puissance
de chauffe
WE 320.13.1 à 4 Unité de chauffe
i
Régulateurs Maintenir la température Consignes
Unité de régulation de
Mesure Températures
Capteurs la chauffe
externes Système de régulation
Transforme ('induction en Unité d'induction chauffe pot de fusion
inducteurs
chaleur
WE 320.21.1 à 5
•
Sélecteurs de tension

Bouilleur
Régler la puissance
fournie

Chauffer le pied
UE 320.21.1 à S

TE 330.11.1
Unité de distribution de tension

Unité de chauffe
1
Pied Stockage intermédiaire Unité de stockage intermédiaire
Système de régulation
Régulateur (TDC) Maintien niveau pied niveau dépoussièreur
Unité de régulation niveau
Capteur de niveau Mesure NE 330.11.2

Vanne Commande appoint en eai Unité de réglage volume appoint eau

Trémie n°2 Stocker BE 309.33 Unité de distribution

Fréquence vibreur
Vibreur Alimenter fixée en local Unité d'alim. fritte

Godet doser Compteur 309.37.2 Unité de dosage

Système d'alimentation en
fritte
I
Sas

Automate
Confiner

Piloter
DPE 309.40 Unité de confinement

Unité de pilotage
1
1
Tableau [Link].1 : Les systèmes régulés du PEV.
Application à une installation industrielle complète 249

APPAREIL FONCTION VARIABLE MESURÉE UNITÉ SYSTÈME ENGLOBANT

Vanne Réglage débit pompe % ouverture Unité de réglage pression

Pompe Unité déprimogène Système de régulation

Extraire les gaz

Capteur Mesure de pression PR 330.80.1

Unité de régulation pression
dépression colonne lavage
1
Régulateur Maintenir une col. lavage
[TOC PID n°2] pression constante

Vanne Réglage du débit Unité de réglage

électeur % ouverture

Ejecteur Propulser les gaz

Unité de propulsion des gaz Système de régulation
Venturi Mesure Débit gaz dépression dépoussièreur

Capteur Mesure PR 330.10.2

Unité de régulation pression
Régulateur Maintien d'une
CTOC PID n«l] pression constante

Maintenir la température
Régulateurs
dans les bornes autorisées Unité de régulation de la Système de régulation
chauffe chauffe calcinateur
Capteurs Mesure TE 320.13.5 à 8

Résistances Fournir la puissance WE 320.13.1 à 4 Unité de chauffe

chauffantes de chauffe

Régulateurs Maintenir la température Consignes

Unité de régulation de
Mesure Températures
Capteurs externes la chauffe
Système de régulation
Transforme l'induction en Unité d'induction chauffe pot de fusion
Inducteurs WE 320.21.1 à S
chaleur
Régler la puissance Unité de distribution de tension
Sélecteurs de tension UE 320.21.1 à 5
fournie

Bouilleur Chauffer le pied TE 330.11.1 Unité de chauffe

Pied Stockage Intermédiaire Unité de stockage intermédiaire

Système de régulation
Régulateur (TDQ Maintien niveau pied niveau dépoussièreur
Unité de régulation niveau
Capteur de niveau Mesure NE 330.11.2

Vanne Commande appoint en eau Unité de réglage volume appoint eau

Trémie n°2 Stocker BE 309.33 Unité de distribution

Fréquence vibreur
Vibreur Alimenter fixée en local Unité d'alim. fritte

Système d'alimentation en
Godet doser Compteur 309.37.2 Unité de dosage fritte

Sas Confiner DPE 309.40 Unité de confinement

Automate Piloter Unité de pilotage

Tableau [Link].2 : Les systèmes passifs du PEV.

250 Annexe VII

FONCTION VARIABLE MESURÉE UNITÉ SYSTÈME ENGLOBANT

APPAREIL
CuvePf 310.10 Stocker VE 310.10.1 Unité de stockage Pf

Moteur de brassage Brasser la cuve Pf Intensité Unité de brassage

Pompe Relevage primaire Débit fixé localement Unité de relevage primaire

Système d'alimentation Pf
Pot tampon Alimente l'air-lift 310.10.3 Unité tampon

Air-lift 310.10.3 Relevage secondaire Débit air local Unité de relevage secondaire

Roue doseuse Dosage Pf VE 310.30.5 Unité de dosage des Pf

*

Cuve sucre Stocker BE 309.20 Unité de stockage

Pompe 309.20.2 Relevage Débit réglé en local Unité de relevage

Système d'alimentation
Pot tampon Alimente la pompe doseuse Unité tampon en sucre

Pompe doseuse Dosage du sucre QE 309.20 Unité de dosage

Carde hydraulique Mélanger Pf et recyclage Unité de mélange Pf et recyclage

Système de mélange
Confluent Unité de confluence

Barrière liquide entre gaz Système d'isolation alimentations

Carde hydraulique NE 310.40 Unité de garde hydraulique
procédé et alimentations et cœur du procédé
Barrière liquide entre gaz Système d'isolation gaz
Cuve intermédiaire procédé et sortie condensate Unité tampon
procédé et sortie condensate
Constituer une masse de
Pot de fusion verre suffisante pour Masse de verre Système de fusion
autoriser la coulée
Gaine de Eviter la chauffe exessive Températures Système de refroidissement
refroidissement des inducteurs inducteurs
inditrtmrt d'entrée/sortie eau

Tableau [Link].3 : Les systèmes passifs du PEV (suite).

APPAREIL FONCTION VARIABLE MESURÉE UNITÉ SYSTÈME ENGLOBANT

Chauffer la solution en Pression de vapeur
Alimentation en vapeur pied de colonne Système d'alimentation en vapeur
en local
Alimentation en eau Maintenir le niveau
l'appoint dépoussièreur Débit calculé Système d'alimentation en eau
constant
Alimentation en eau
Récupérer les oxydes Unité d'alimentation en eau
d'appoint Débit fixé en local
recombinaison d'azote restante recombinaison Système d'alimentation en eau
permutée
Alimentation en eau Récupérer les oxydes Unité d'alimentation en
d'appoint du lavage Débit fixé en local eau de lavage
d'azote restants

Rejets condenseur Evacuer les condensate Débit calculé Unité de rejet condensate

Evacuer les solutions Unité de rejet des solutions

Rejets recombinaison Trop plein de recombinaison Système de rejet liquide
acides
Evacuer la solution de Unité de rejet des
Rejets lavage Trop plein
lavage solutions de lavage

Alimentation en air des Relever les solutions

Air-lifts et Ejecteur Débit d'air fixé en local Système d'alimentation en air

Alimentation en eau
Refroidir les gaz dans le Système d'alimentation en eau
de refroidissement Débit fixé en local de refroidissement condenseur
condenseur condenseur

Alimentation eau de
refroidissement Débit fixé en local Système d'alimentation; en eau
Refroidir les inducteurs
de refroidissement inducteurs
inducteurs

Alimentation en Alimenter les appareils Système d'alimentation

électricité électriques général en électricité

Fournir la puissance Système de production de

Groupe tournant Unité d'induction l'induction
d'induction

Alimentation en argon Brasser le pot de fusion Débit d'argon en local Système d'alimentation en argon

Air manchettes Empêcher une fuite de Système de confinement

poussières par le catcinateur Débit air local tube de calcination

Air balayage sas Empêcher une fuite de Système de balayage sas à

poussières par le sas à fritte Débit air local
fritte

°^. ~ ; < . -.-

Tableau [Link].4 : Les systèmes externes du PEV.

Application à une installation industrielle complète 251

SOUS-SYSTEMES SYSTEMES FONCTIONS OBJECTIFS FONCTION SYSTEME

Système de régulation niveau

dépoussièreur

Système de dépoussiérage

Système <fdmenation en
vapeur
Piéger les poussières
Système de recombinaison d'oxydes (actinides et
produits de fission)
Système de véhiculées par les gaz
Système de condensation
traitement des gaz

Système de lavage
Piéger les oxydes d'azote
Système d'alimentation en eau
permutée dans la phase aqueuse
Confiner
l'installation
Système de rejet liquide

S7\leme d'alimentation en eau

de refroidissement condenseur

Système d'alimentation en air

Système de régulation dépression

colonne lavage
Système de régulation dépression
dépoussièreur
S>«eme de dépression installation Forcer le cheminement
Système de maintien des gaz issus de la
Système de confinement tube de en dépression de calcination vers le
calcination l'installation système de traitement
« v ^ i i e d'isolation alimentations des gaz
et cœur du procédé
Système d'isolation gaz procédé et
sortie condensats SERVIR DE BANC DE
TEST DES CHOIX DE
Système de balayage sas à fritte PROCÉDÉ PEV

Système de régulation chauffe

calcinateur

Préparer les oxydes de Pf

Système de préparation du calcinât Système de calcination pour les incorporer dans
la matrice de verre

Système de dilatation tube

Système de régulation chauffe pot

de fusion

Système de coulée
Système d'incorporation fritte-
calcinât Vitrifier les
Produits de
système de production de
Fission
4 l'induction
Système de brassage à l'argon
Système de fusion
Incorporer le calcinât
dans le verre en fusion

Système de stockage final

Système de refroidissement
inducteurs
Système d'alimentation en
eau de refroidissement
Système d'alimentation en fritte

Système d'alimentation en sucre

Système de dosage du recyclage Système Fournir au calcinateur

d'alimentations les éléments
Système d'alimentation Pf constitutifs du verre

Système de mélange

Tableau [Link].5 : Classification des systèmes.

VII.2. RELATIONS DE DEPENDANCES ET GRAPHE DE CAUSALITE

Les relations de dépendance sont établies conformément à la démarche descendante décrite jusqu'ici.
Pour que cette description soit complète, il faut ajouter un niveau de détail au modèle, dans lequel
sont représentées les unités fonctionnelles.
252 Annexe VII

L'analyse des dépendances s'effectue en quatre étapes. Elle exploite les relations d'influence qui ont
été déterminées dans les niveaux de raffinement supérieurs. L'étape 1 permet de déterminer
l'ensemble des influences entre unités sœurs (figure [Link].1). Les étapes 2, 3 et 4 permettent de relier
les diverses unités de sous-systèmes différents, mais appartenant à un même système (figures [Link].2,
[Link].3 et [Link].4). Nous ne présentons ici que le niveau de décomposition du PEV le plus bas, c'est-à-
dire celui qui regroupe l'ensemble des unités structuro-fonctionnelles.

La structure causale résultante est déduite du réseau de dépendances global (figure [Link].5). Dans ce
modèle, les nœuds correspondent aux paramètres procédé, et les arcs les relations d'influence qui les
relient. Les variables grisées sont visualisées en local, elles ne sont donc pas transmises en salle de
contrôle.
3

"8
a>

a
n

3
 8

i
>
s;

8
O
Q.

"8
Q.

01

Q.

s
Q.
•8Q.s
n
8
c

3k

1
 f
I
<»
B"
I
I
I
1
•5"
S
•a
m
a.
nT
1

<1H

1a.
a>
n
3

g
a
fD'

I
sr
•a
q.

a.
n>
t/i

a
I
a.

i
Application à une installation industrielle complète 257

Figure [Link].5 : Structure causale résultante.