Sûreté de Fonctionnement & Health-Monitoring

La Boucle FDIR

1. Détection : La première étape est de constater qu'un problème existe. Méthodes courantes :
   • Vérification de limites (Limit Checking) : S'assurer que les valeurs des capteurs (tensions, températures, vibrations) restent dans une plage nominale.
   • Redondance Analytique : Utiliser un modèle mathématique du système pour prédire le comportement d'un capteur. Si la valeur mesurée s'écarte trop de la valeur prédite, une panne est suspectée. C'est comme avoir un "capteur virtuel".
   • Watchdogs : Des "chiens de garde" logiciels et matériels qui vérifient que les différents processus et cœurs de calcul répondent toujours dans les temps.
2. Identification / Isolation : Une fois une anomalie détectée, il faut en trouver la cause racine. Est-ce un capteur qui a dérivé ? Un moteur qui a perdu de la puissance ? Un bug logiciel ? On utilise pour cela des "signatures de pannes" ou des tests croisés entre capteurs redondants.
3. Recouvrement / Rétablissement : C'est la réponse à la panne. Selon sa criticité, la réponse peut aller de la simple reconfiguration (ignorer un capteur défaillant, basculer sur un backup) à l'activation d'un mode de sécurité (voir onglet "Modes Dégradés").

Le Processus FDIR

Les données des capteurs entrent dans la boucle. Les pannes sont détectées, identifiées, puis des actions de recouvrement sont entreprises, comme la reconfiguration du système ou l'activation d'un mode Failsafe.

Niveaux de Redondance

• Redondance Double (N+1) : Deux composants identiques. Si le primaire tombe en panne, le secondaire prend le relais (ex: deux GPS, deux magnétomètres).
• Redondance Modulaire Triple (TMR) : Trois composants identiques. Leurs sorties sont comparées par un "voteur". Si un composant est en désaccord avec les deux autres, il est considéré comme défaillant et sa sortie est ignorée. C'est le standard pour les calculateurs de vol (flight controllers) et les IMU critiques.

Types de Redondance

• Matérielle : Le plus évident. Avoir plusieurs IMU, calculateurs, batteries, bus de communication (CAN, Ethernet).
• Logicielle : Faire tourner plusieurs instances d'un même algorithme critique, ou utiliser des algorithmes différents qui calculent la même chose pour comparer leurs résultats.
• Temporelle : Répéter une transmission ou un calcul pour s'assurer qu'il n'a pas été corrompu par une erreur transitoire.

Comparaison d'Architectures

Haut : un système simplex (non redondant). Bas : un système TMR. Les données de trois capteurs entrent dans trois calculateurs. Un voteur compare les sorties et sélectionne la majorité, masquant ainsi la panne d'un des trois canaux.

Photo d'un contrôleur de vol moderne (ex: Cube Orange) montrant les multiples IMU et baromètres embarqués pour la redondance.

La Hiérarchie des Failsafes

La décision du mode à activer est prise par un "gestionnaire de mission" en fonction de la panne et de l'état du drone (altitude, batterie, position).

1. Hover (Vol stationnaire) : La réponse la plus simple. Le drone s'arrête et attend une intervention de l'opérateur. Utile pour des pannes temporaires (ex: perte de signal GPS momentanée).
2. Land (Atterrissage) : Le drone se pose immédiatement là où il est. Adapté en cas de panne critique à basse altitude et dans une zone sûre.
3. Return To Launch (RTL) : Le drone monte à une altitude de sécurité prédéfinie, revient à son point de départ en ligne droite, et atterrit. C'est le mode le plus courant et le plus sûr pour de nombreuses pannes (ex: perte de liaison radio, batterie faible).
4. Terminate (Arrêt d'urgence) : Le dernier recours. Les moteurs sont coupés immédiatement. Ce mode n'est activé qu'en cas de perte totale de contrôle pour éviter un "fly-away" dangereux, ou pour déployer un parachute.

Machine à États des Modes de Vol

Diagramme simplifié montrant les transitions entre l'état Normal, les états d'alerte (Caution, Warning) et les différents modes Failsafe, déclenchés par des événements comme "Perte GPS" ou "Batterie Critique".

Métriques Clés

• MTBF (Mean Time Between Failures) : Temps moyen de fonctionnement entre deux pannes consécutives. Un MTBF élevé signifie une grande fiabilité.
• MTTR (Mean Time To Repair) : Temps moyen nécessaire pour réparer un système après une panne.
• Disponibilité (Availability) : Le pourcentage de temps où le système est opérationnel. Se calcule par : $A = MTBF / (MTBF + MTTR)$.

Méthodes d'Analyse

• AMDEC (Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité) / FMEA : Une méthode systématique et inductive (bottom-up) qui consiste à lister tous les composants, leurs modes de pannes possibles, leurs effets sur le système, et leur criticité (Gravité x Occurrence x Détection).
• Arbre de Défaillance (Fault Tree Analysis - FTA) : Une approche déductive (top-down). On part d'un événement indésirable majeur (ex: "Crash du drone") et on remonte aux combinaisons de pannes de base qui pourraient le causer, en utilisant des portes logiques (ET, OU).

Exemple d'Arbre de Défaillance

Arbre de défaillance simple pour l'événement "Perte de Poussée". La perte survient si le Moteur 1 ET le Moteur 2 tombent en panne. Une panne moteur peut survenir à cause d'une panne de l'ESC OU du moteur lui-même.