Search

L'introduction du concept d'autonomie dans le secteur ferroviaire pose de nombreux défis, notamment en termes de sécurité. En effet, la gestion des aspects sécuritaires liés à l'utilisation des systèmes d'Intelligence Artificielle (IA), et de manière générale, à l'utilisation des différents sous-systèmes d'un train autonome sont deux verrous scientifiques à traiter. Dans le premier cas, il n'existe pas dans les normes et règlements ferroviaires Européens actuels de moyens permettant d'appréhender la sécurité des systèmes d'apprentissage. Dans le deuxième cas, appliquer les méthodes et outils conventionnels d'assurance de sécurité pour élaborer l'argumentation de sécurité dans les Dossiers de Sécurité (DS) est défiant en raison de la complexité des systèmes autonomes. Ce papier se focalise sur le deuxième point en partant du constat que les formats textuels employés dans les DS freinent la mise en place d'une argumentation claire, précise et suffisante associée aux objectifs et preuves de sécurité. De nombreuses méthodes et outils graphiques ont été développés récemment pour présenter de manière plus formalisée les argumentaires de sécurité. La méthode « Goal Stucturing Notation » (GSN - Notation de structuration des objectifs) s'avère être la plus prometteuse pour répondre à cette problématique. Pour cette raison, après avoir expliqué les atouts de la GSN, nous proposons dans cette communication une approche d'assurance de sécurité pour le train autonome fondée sur cette méthode.

Lambda Mu 22, 22e Congrès de maîtrise des risques et de sûreté de fonctionnement. Les risques au coeur des transitions (e-congrès), Virtuel, FRANCE, 24-/11/2020 - 24/11/2020; A modular and parametric approach to evaluate the safety of GNSS-basedsystems in railway signallingis presented in this paper.The complex system is broken down into modules that areformally modelled. This work is part ofa generic safety method.; Ce papier présente une approche modulaire et paramétrique pour évaluer la sécurité des systèmes avec GNSS dans la signalisation ferroviaire. Le système complexe est décomposé en modules puis modélisé de façon formelle. Ce travail s'inscrit dans le cadre d'une méthode de sécurité générique.

*. Publications 2020*. Reviewer 2020*. Evaluation de projets en 2020 (Agence National de la Recherche: ANR ; Conseil de recherches en sciences naturelles et en génie du Canada: CRSNG)

En matière de règlementation de la sécurité ferroviaire, l’influence croisée des projets européens et de l’actualitémondiale, de plus en plus inquiétante sur le plan de la sécurité, ont contraint législateurs et gouvernement àrevoir les textes et à en combler les lacunes. On assiste donc aujourd’hui à une refonte de la réglementation. Conformément à cette nouvelle réglementation nationale et européenne en matière de sécurité ferroviaire, la recherche consiste à proposer des méthodes, des techniques et des outils d’aide à l’évaluation des analyses des risques d’accidents ferroviaires qui tiennent compte des usages, des travaux de recherches et de notre expérience dans ce domaine. L’objectif vise à rationaliser, harmoniser et homogénéiser le processus de gestion des risques technologiques et humains en vue de répondre aux exigences exprimées par la nouvelle réglementation nationale et Européenne et en particulier la nouvelle directive de 2016 sur la « sécurité ferroviaire ». Ces travaux sont actuellement regroupés dans un axe de recherche que nous avons baptisé “AMCER” (Acquisition, Modélisation, Capitalisation et Evaluation des Risques d’accidents ferroviaires) et s'articule autour de plusieurs projets complémentaires suivants : Analyse des risques au « niveau Système » : pour l’aide aux analyses préliminaires de risques (APR) ; Analyse des risques au « niveau Automatismes » : pour l’aide aux analyses fonctionnelles de la sécurité(AFS) ; Analyse des risques au « niveau Logiciel » : pour l’aide aux analyses des effets des erreurs du logiciel(AEEL) ; Analyse des risques au « niveau Humain » : pour l’intégration des facteurs humains dans les analyses de lasécurité ; Analyse des risques au « niveau Retour d’expérience » : pour l’aide aux enquêtes après accidents/incidentsferroviaire et par conséquent systématiser le processus du retour d’expérience ; Analyse au « niveau Règlementaire » : veille juridique et réglementaire (recueil, traitement, capitalisation, etexploitation des connaissances sur les accidents et incidents).

International audience

Safety is an emergent property of safety critical systems (SCS), including railway systems. This emergent aspect exacerbates their development process and requires a thorough reasoning to reduce hazards. This thesis proposes an ontological approach that integrates safety activities from the early design stages of SCS. This structured framework provides a semantic harmonization between the involved domains, such as safety engineering and Goal Oriented Requirements Engineering (GORE). The business logic integrated in this approach is validated by real rail accident scenarios and a remotely operated task. At first, we proposed a dysfunctional analysis ontology called DAO and based on the high-level ontology UFO. DAO considers the socio-technical and environmental aspects of SCS and integrates the different types of faults and cognitive properties that are respectively related to technical failures and human errors. The DAO conceptual model is expressed in OntoUML and formalized in OWL language in order to provide a reasoning support. Then, a semantic bridge is established between safety measures, safety goals and safety requirements through the development of a goal-oriented security management ontology, called GOSMO. The management of safety decisions is based on the reinterpretation of the Or-Bac access control model from a safety point of view. In order to ensure the overall consistency of requirements, GOSMO allows structuring the management of requirements changes and their traceability, La sécurité-innocuité est une propriété émergente des systèmes critiques de sécurité (SCS), notamment les systèmes ferroviaires. Cet aspect émergent complexifie leur processus du développement et nécessite un raisonnement judicieux permettant de diminuer les dangers. Cette thèse propose une approche ontologique qui intègre les activités de sécurité dès les premières phases de conception des SCS. Ce cadre structuré offre une harmonisation sémantique entre les domaines impliqués, tels que l'ingénierie de sécurité et l'Ingénierie des Exigences Dirigée par les Buts (IEDB). La logique métier intégrée dans cette approche est validée par des cas d'étude ferroviaires d'accidents réels et d'une mission télé-opérée. Dans un premier temps, nous avons proposé une ontologie d'analyse dysfonctionnelle appelée DAO et fondée sur l'ontologie de haut niveau UFO. DAO considère les aspects sociaux-techniques et environnementaux des SCS et intègre les différents types de fautes et de propriétés cognitives liés respectivement aux défaillances techniques et aux erreurs humaines. Le modèle conceptuel de DAO est exprimé en OntoUML et formalisé en langage OWL afin de fournir un support de raisonnement. Ensuite, un pont sémantique est établi entre les mesures de sécurité, les buts de sécurité et les exigences de sécurité par le développement d'une ontologie de gestion de sécurité orientée-but, appelée GOSMO. La gestion des décisions de sécurité s’appuie sur la réinterprétation du modèle de contrôle d'accès Or-Bac d'un point de vue sécurité-innocuité. Afin d'assurer la cohérence globale des exigences, GOSMO permet de structurer la gestion des évolutions des exigences et leur traçabilité.

En matière de règlementation de la sécurité ferroviaire, l’influence croisée des projets européens et de l’actualité mondiale, de plus en plus inquiétante sur le plan de la sécurité, ont contraint législateurs et gouvernement à revoir les textes et à en combler les lacunes. On assiste donc aujourd’hui à une refonte de la réglementation. Conformément à cette nouvelle réglementation nationale et européenne en matière de sécurité ferroviaire, la recherche consiste à propose des méthodes, des techniques et des outils d’aide à l’évaluation des analyses des risques d’accidents ferroviaires qui tiennent compte des usages, de la théorie et de notre expérience dans ce domaine. L’objectif vise à rationaliser, harmoniser et homogénéiser le processus de gestion des risques technologiques et humains en vue de répondre aux exigences exprimées par la nouvelle réglementation nationale et Européenne et en particulier la nouvelle directive de 2016 sur la sécurité ferroviaire. Ces travaux sont actuellement regroupés dans un axe de recherche que nous avons baptisé “AMCER” (Acquisition, Modélisation, Capitalisation et Evaluation des Risques d’accidents ferroviaires). L’axe de recherche “AMCER” s'articule autour de plusieurs projets complémentaires suivants :  Analyse des risques au niveau système : pour l’aide aux analyses préliminaires de risques (APR) ; Analyse des risques au niveau automatismes : pour l’aide aux analyses fonctionnelles de la sécurité (AFS) ; Analyse des risques au niveau logiciel : pour l’aide aux analyses des effets des erreurs du logiciel (AEEL) ; Analyse des risques au niveau Humain : pour l’intégration des facteurs humains dans les analyses de la sécurité ; Analyse des risques au niveau « Retour d’expérience » : pour l’aide aux enquêtes après accidents/incidents ferroviaire et par conséquent systématiser le processus du retour d’expérience ; Analyse au niveau règlementaire : veille juridique et réglementaire (recueil, traitement, capitalisation, diffusion).Ces analyses ont nécessité le recours à des compétences pluridisciplinaires (sciences de l'ingénieur, sciences cognitives, sciences humaines et sociales, informatique et Intelligence artificielle) indispensables pour analyser et évaluer la sécurité, capitaliser et pérenniser les connaissances (retour d’expérience), étudier la traçabilité des méthodes de sécurité, analyser et prévenir les risques d’accidents des systèmes de transports ferroviaires guidés avec des applications et des études de faisabilité à travers des maquettes et prototypes. Le projet de recherche “ AMCER ” a pour ambition d'améliorer l'élaboration et l'évaluation des différentes analyses de sécurité, en traquant l'erreur non seulement au niveau système, matériel et logiciel, mais aussi au niveau humain, selon deux axes d'investigation :1. Un axe méthodologique, en s'interrogeant sur les perfectionnements possibles des démarches usuelles d'analyse des risques et en proposant des méthodes et stratégies d'évaluation de ces analyses en termes de cohérence, de complétude, de traçabilité ;2. Un axe opérationnel, en développant des outils logiciels d'aide à la conception et à l'examen des analyses de risques qui intègrent notamment des systèmes d'acquisition, de modélisation, de capitalisation et d'évaluation de ces analyses.L’objectif de la recherche est triple :1. Capitaliser et pérenniser l'expertise en matière de gestion des risques qui se caractérise par sa rareté, sa vulnérabilité et sa répartition entre les mains de plusieurs acteurs ;2. Systématiser et unifier la démarche usuelle du retour d’expérience ;3. Aider les acteurs impliqués dans le développement, l’exploitation, la surveillance et le retour d’expérience des systèmes de transport ferroviaires et particulièrement les organismes de certification (CERTIFER), l’autorité nationale de sécurité (EPSF), l’organisme d’enquête sur les accidents (BEA-TT) et l’Agence européenne des chemins de fer dans leurs tâches cruciales d'évaluation des études de sécurité.

Lambda-Mu, 20ème Congrès de maîtrise des risques et de sûreté de fonctionneme, Saint-Malo, FRANCE, 11-/10/2016 - 13/10/2016; In the E.U, safety railway system design and operational terms are governed by directives, regulations, decrees, standards to ensure the safety of the global system. However, based on its own technical and operational concepts, each state member of the E.U. has developed its own safety rules. By the way, this situation results in divergent practices and develops a need to harmonize methods and rail safety targets through the adoption of Technical Specifications for Interoperability (TSI), the definition of Common Safety Targets (CST) and the definition of a Common Safety Method (CSM). Through a risk management process, the residual risk reduction implies to allocate safety targets for each various parts of the railway system with SIL (Safety Integrity Level). After identifying specific uses of SIL, the authors present some consultation results. These results are obtained from discussion with various rail stakeholders (like rail operators, rail manufacturers and notified bodies). The objective is to highlight shared points and divergent point of a SIL allocation and to propose an harmonized SIL allocation methodology in the railway domain. More detailed in [Ouedraogo et al. 2015], a methodology implementation in the form of a practical application guide will help rail stakeholders, involved in the SIL allocation (rail manufacturers, system integrators, etc.), to answer this particular problematic.; Les conditions de conception et d'exploitation des systèmes ferroviaires au sein de l'U.E sont régies par des directives, des règlements, des décrets, normes qui permettent, notamment, d'assurer la sécurité du système global de transport. Cependant, chaque état membre de l'U.E. a développé ses propres règles de sécurité en se basant sur ses propres concepts techniques et opérationnels. Les pratiques divergentes qui résultent de ce constat suscitent aujourd'hui une volonté d'harmoniser les méthodes et les objectifs de sécurité ferroviaire via l'adoption de Spécifications Techniques d'Interopérabilité (STI), la définition d'Objectifs de Sécurité Communs (OSC) et la définition d'une Méthode de Sécurité Commune (MSC). Ainsi, la maîtrise du risque résiduel du système ferroviaire implique, au travers d'un processus de gestion des risques, d'allouer des objectifs de sécurité aux différentes parties du système, dont certains sont liés à des niveaux de sécurité, les SIL (Safety Integrity Level - niveau d'intégrité de la sécurité). Après avoir identifié les particularités de l'utilisation des SIL, les auteurs présentent les résultats de discussions issus de consultations avec différents acteurs ferroviaires (exploitants, organismes notifiés et constructeurs) sur les pratiques d'allocation des SIL. L'objectif est de mettre en avant les points qui font consensus et ceux, au contraire, qui font débat et de proposer au final, une méthodologie homogène d'allocation de SIL pour le domaine ferroviaire. Détaillée dans [Ouedraogo et al. 2015], la mise en oeuvre de cette méthodologie sous la forme d'un guide d'application pratique permettra aux différents acteurs concernés par l'allocation des SIL (donneurs d'ordre, constructeurs, systémiers, etc.) de répondre à cette problématique.

The safety is a major issue in the development cycle of the critical systems, in particular in the rail transportation sector. This thesis aims at the modeling, the verification and at the validation of the railway operating rules with regard to the safety requirements. These rules intend to define the authorizations of trains movement on national railway lines equipped with the European Rail Traffic Management System (ERTMS). In a similar way, we find the concepts of authorizations in the description of access control policies of information systems. Consequently, our contributions concern the adaptation of an UML/B approach for the access control of information systems to model and validate the railway operating rules. At first, we adapted the Role Based Access Control (RBAC) model on a railway case study extracted from the operating rules applied on the LGV-Est-Européenne line in France. The B4MSecure platform enables the modeling of these rules by means of a UML profile of RBAC inspired by SecureUML. Then, these models are transformed into B specifications. which are enhanced by railway safety properties and formally verified and validated. In addition to the concepts of the RBAC model, the Organization Based Access Control (Or-Bac) model introduces the notion of organization, in the center of this model, and the notion of context. We have therefore proposed to use this model as extension of the RBAC model in the context of railway interoperability in ERTMS., La sécurité est un enjeu majeur dans le cycle de développement des systèmes critiques, notamment dans le secteur du transport ferroviaire. Cette thèse vise la modélisation, la vérification et la validation des règles d'exploitation ferroviaires au regard des exigences de sécurité. Ces règles ont pour but de définir les autorisations de déplacement des trains sur des lignes ferroviaires nationales équipées du système européen de gestion du trafic ferroviaire (ERTMS). De manière analogue, on trouve les concepts liés aux autorisations dans la description des politiques de contrôle d'accès des systèmes d'information. Par conséquent, nos contributions portent sur l'adaptation d'une approche UML/B pour le contrôle d'accès des systèmes d'information afin de modéliser et de valider les règles d'exploitation ferroviaires. Dans un premier temps, nous avons adapté le modèle Role Based Access Control (RBAC) sur une étude de cas ferroviaire extraite des règles d'exploitation appliquées sur la ligne à grande vitesse LGV Est-Européenne en France. La plate-forme B4MSecure nous a permis de modéliser ces règles à l'aide d'un profil UML de RBAC inspiré de SecureUML. Ensuite, ces modèles sont transformés en des spécifications B qui ont été enrichies par des propriétés de sécurité ferroviaire et soumises à des activités de vérification et de validation formelles. Aux concepts du modèle RBAC, le modèle Organization Based Access Control (Or-Bac) introduit la notion d'organisation, au centre de ce modèle, et la notion de contexte. Nous avons donc proposé d’utiliser ce modèle en tant qu’extension du modèle RBAC dans l’optique d’une interopérabilité ferroviaire en ERTMS.

European Rail Traffic Management System (ERTMS) is the standard control/command and signaling system implementing European railway operating rules. This standard aims to harmonize signaling and ensure interoperability in Europe using standard specification documents. The main issue is to model these rules and conduct formal verification and validation activities (V\&V) to tackle the complexity and criticality of these systems. Indeed, these specifications contain safety aspects based on permissions granted to roles to perform actions. Our approach is to model scenarios with role based formalisms, especially RBAC and Or-Bac and to transform them into B formal specifications in order to validate railway safety properties.; Le système européen de gestion du trafic ferroviaire (ERTMS) est un standard de contrôle/commande et de signalisation ferroviaire mettant en \oe{}uvre des règles européennes d'exploitation ferroviaires. Ce standard vise à harmoniser la signalisation et à assurer l'interopérabilité en Europe au moyen de documents standard de spécifications. La question principale que nous abordons est de pouvoir modéliser ces règles et de mener rigoureusement des activités de vérification et de validation formelles (V\&V) afin de faire face à la complexité et à la criticité de ces systèmes. En effet, ces spécifications contiennent des aspects de sécurité basés sur des autorisations accordées aux rôles pour effectuer des actions. Notre approche consiste à modéliser des scénarios avec des formalismes basés sur les rôles, notamment RBAC et Or-Bac et de les transformer en spécifications formelles B afin de valider les propriétés de sécurité ferroviaire.

This PhD thesis deals with fault diagnosis of DES in both untimed and timed contexts using Petri net models. Some on-the-fly and incremental techniques are developed to reduce the state explosion problem while analyzing diagnosability. In the untimed context, an algebraic representation for labeled Petri net (LPN) is developed to feature the system behavior. The diagnosability of LPN models is tackled by analyzing a series of K-diagnosability problems, where K is increased progressively. Two models called respectively FM-graph and FM-set tree are developed and built on the fly to record the necessary information for diagnosability analysis and online diagnosis. Finally, a diagnoser is derived from the FM-set tree for online diagnosis. In the timed context, time interval splitting techniques are developed in order to generate a state representation of labeled time Petri net models, for which techniques from the untimed context can be used to analyze diagnosability and perform online diagnosis. Based on this, necessary and sufficient conditions for the diagnosability of LTPN models are determined. Moreover, we provide the solution for the minimum delay that ensures diagnosability. From a practical point of view, diagnosability analysis is performed on the basis of on-the-fly building of a structure that we call ASG and which holds fault information about the LTPN states. Generally, using on-the-fly analysis and incremental techniques makes it possible to build and investigate only a part of the state space. Analysis results obtained on some chosen benchmarks show the efficiency in terms of time and memory compared with the traditional approaches based on state enumeration., Cette thèse s'intéresse à l'étude des problèmes de diagnostic des fautes sur les systèmes à événements discrets dans des contextes atemporel et temporel sur la base de modèles réseau de Petri. Des techniques d'exploration incrémentale et à-la-volée sont développées pour combattre le problème de l'explosion de l'espace d'état. Dans le contexte atemporel, une représentation algébrique pour les réseaux de Petri labellisés (RdP-L) a été développée pour caractériser le comportement du système. La diagnosticabilité de modèles RdP-L est ensuite abordée par l'analyse d'une série de problèmes d'analyse de K -diagnosticabilité, où K peut être augmenté progressivement. Concrètement, l'analyse de la diagnosticabilité est effectuée sur la base de deux modèles nommés respectivement FM-graph et FM-set tree qui sont développés à-la-volée et qui contiennent les informations relatives aux fautes. Un diagnostiqueur peut facilement être dérivé à partir du FM-set tree pour le diagnostic en ligne. Dans le contexte temporel, une technique de fractionnement des intervalles de temps a été élaborée pour développer une représentation de l'espace d'état des réseaux de Petri labellisés et temporels (RdP-LT) pour laquelle des techniques d'analyse de la diagnosticabilité du contexte atemporel, peuvent être exploitées. Sur cette base, les conditions nécessaires et suffisantes pour la diagnosticabilité de RdP-LT ont été déterminées, et nous présentons la solution pour le délai minimum qui assure la diagnosticabilité. En pratique, l'analyse de la diagnosticabilité est effectuée sur la base de la construction à-la-volée d'une structure que l'on appelle ASG et qui contient des informations relatives à l'occurrence de fautes sur les états du RdP-LT. D'une manière générale, l'analyse effectuée sur la base des techniques à-la-volée et incrémentale permet de construire et explorer seulement une partie de l'espace d'état. Les résultats des analyses effectuées sur certains benchmarks montrent l'efficacité des techniques que nous avons développées en termes de temps et de mémoire par rapport aux approches traditionnelles basées sur l'énumération des états.

dir. : L. Peru-Pirotte, B. Dupont-Legrand, C. Landsweerdt; International audience; Au cours du printemps 2010, une réforme réglementaire est parue dans une relative indifférence. Par un décret n° 2010-404 du 27 avril 2010, est institué un régime de la durée du travail du personnel de certaines entreprises de transport ferroviaire. Or cette évolution est en réalité marquante car le droit social des transports ferroviaires était avant tout, et depuis fort longtemps, le droit d'une entreprise : la SNCF. Mais s'agit-il de l'émergence d'un droit sectoriel ou plutôt d'une résurgence ? Car, en effet, les chemins de fer ne sont pas apparus en 1938, date à laquelle la SNCF se substitua aux grands réseaux que furent le Paris-Lyon-Méditerranée, le Paris-Orléans, le réseau du Nord, etc.

International audience; Ce papier présente une recherche visant le développement d'un système d'aide à l'évaluation et à la génération de scénarios d'accident pour l'analyse de sécurité des Systèmes de Transport Terrestre Automatisés (S.T.T.A.). L'objectif est de mettre en œuvre une évaluation poussée de la complétude et de la cohérence des scénarios d'accident proposés par les constructeurs susceptible de parfaire l'exhaustivité de l'analyse de sécurité menée par les experts de l'INRETS. Pour atteindre cet objectif, nous avons envisagé une approche "Système à Base de Connaissances" couplée à des techniques d'apprentissage automatique. L'étude approfondie de la notion de scénario d'accident a révélé des incohérences et des manques dans les formes de description de scénarios et surtout une sorte de non adéquation entre l'aspect statique et dynamique de description. La recherche de liens sémantiques directs entre les deux formes de description de scénario a motivé la mise en place d'une ontologie de concepts permettant d 'une part de pallier à cette inadéquation et d 'autre part à renforcer l 'analyse de sécurité.

The introduction of new European standards for railway safety, coupled with an increasing use of software technology changes the method of development of critical railway systems. Indeed, new systems have to be at least as good as the previous ones. Therefore the appropriate safety level of critical systems has to be proved in order to obtain the necessary approval from the authorities. Accordingly a high level of reliability and correctness must be reached by the use of mathematical proofs and then formal methods. We focus on the treatment of the temporal requirements in the level crossing case study which is modelled with p-time Petri nets, and on the translation of this model in a more formal way by using the B method. This paper introduces a methodology to analyse the safety of timed discrete event systems. First, our goal is to take out the forbidden state highlighted by a p-time Petri net modelling. This model deals with the requirements of the considered system and has to contain all the constraints that have to be respected. Then we aim at describing a process identified as a solution of the system functioning. This method consists in exploring all the possible behaviours of the system by means of the construction of state classes. Finally, we check if the proposed process corresponds to the requirements model previously built.Our case-study is the level crossing, a critical component for the safety of railway systems; Le but de ce rapport est de présenter une méthode globale de développement à partir de spécifications informelles, depuis la modélisation graphique des exigences temporelles d'un système ferroviaire critique jusqu'à une implantation systématique au moyen de méthodes formelles. Nous proposons d'utiliser ici les réseaux de Petri temporels pour décrire le comportement attendu du logiciel de contrôle-commande à construire.Tout d'abord nous construisons un modèle des exigences p-temporel prenant en compte toutes les contraintes que doit vérifier le système. Nous proposons des outils et des méthodes capables de valider et de vérifier ce modèle. Ensuite, il s'agit de construire un modèle de processus solution en réseau de Petri t-temporel. Ce modèle illustre des exigences techniques relatives à un choix technologique ou architectural. L'objectif est double : tout d'abord il est nécessaire de vérifier la traçabilité des exigences ; ensuite, il faut vérifier que l'ensemble des exigences sources sont bien implémentées dans la solution préconisée et dans sa mise en oeuvre. Enfin, nous proposons une approche visant à transformer de façon systématique le modèle de processus en machine abstraite B afin de poursuivre une procédure formelle B classique. Finalement, le cas d'étude du passage à niveau, composant critique dans le domaine de la sécurité ferroviaire est décrit

International audience; L'analyse préliminaire des risques (APR) est une méthode qualitative de la sûreté de fonctionnement. Elle est essentiellement utilisée au stade préliminaire de la conception du système pour mieux le connaître de manière à déterminer les scénarios d'accidents potentiels, évaluer leurs probabilités d'occurrence ainsi que la gravité des conséquences résultants et proposer des solutions (mesures préventives et/ou de protection) afin de réduire le niveau de risque en terme de gravité/occurrence. L'APR a été largement utilisée dans plusieurs domaines industriels (aéronautique, militaire, chimique, ferroviaire,...) afin d'étudier la sécurité des systèmes. D'un domaine à l'autre, d'un expert à l'autre de nombreuses démarches et méthodes extrêmement différentes sont utilisées pour effectuer cette analyse. En outre, les formats représentant les résultats de l'APR sont souvent variés ainsi que la terminologie et les concepts liés aux APR. L'objectif de ce travail, réalisé dans le cadre du projet ANRPREDIT-SECUGUIDE[1], est de proposer une démarche et un contenu type pour une APR dans le contexte des systèmes ferroviaires en prenant en compte l'utilisation des Nouvelles Technologies de l'Information et de la Communication (NTIC). [1] Le projet ANR-PREDIT-SECUGUIDE est un projet financé par l'ANR (www.anr.fr) qui a débuté en janvier 2006 pour une durée de 3 ans. Le projet a pour objectif d'étudié l'impact de l'introduction des NTIC dans les systèmes ferroviaires sur la sécurité-innocuité.

International audience; Malgré l’avènement des automatismes, l’opérateur humain reste l’élément clef du système de transport et demeure indispensable. Parfois, son action est la seule défense pour éviter qu’une défaillance ou panne des automatismes ne devienne un accident. L’OH est un élément paradoxal : en situation de stress ou de fatigue, il peut être un élément de la perte de la fiabilité d’un système. Cependant, dans certaines situations critiques d’insécurité, il peut être un facteur de fiabilité, en rétablissant le bon fonctionnement du système, parfois par des actions non prévues par le règlement de sécurité de l’exploitation, mais, liées à sa connaissance, son expérience et son savoir-faire. Il faut donc optimiser la place de l'homme dans le système de transport en pleine connaissance de ses capacités mais aussi de ses limites. Inspiré des travaux de Reason, Rasmussen, Van Eslande et soutenue par quelques exemples d’application issus du domaine de la sécurité ferroviaire, l’approche d’analyse de l’erreur humaine proposée pour améliorer le niveau de sécurité des systèmes de transports ferroviaires, fait intervenir trois niveaux complémentaires : 1. Le premier niveau d’analyse contextuelle (avant l’accident) permet d’étudier les différents facteurs favorisant la production de l’erreur humaine à l’origine de l’accident.2. Le deuxième niveau cognitive (pendant l’accident) vise à identifier les erreurs relatives au processus cognitif humain mis en jeu face à une situation d’insécurité donnée. 3. Le troisième niveau d’analyse comportementale (après l’accident) s’attache à évaluer les conséquences d’une action erronée en termes de dommage sur l’homme, sur l’environnement et sur le système. Cette approche méthodologique permet d’identifier, à chaque niveau d’analyse, une liste d’erreurs humaines potentielles qui contribuent à l’occurrence des accidents ferroviaires et qu’il faut prendre en considération dès les phases de spécification et de conception d’un nouveau système de transport

International audience; While Europe is commiting itself to operating its railway network more freely, the United States have been living since the beginning under competition in that branch. This situation grought about the development of hard working conditions for its employees at first. Yet, since the companies were compelled to operate on a high security level as well as to imperiously allow anybody to have acess to this service, they where quickly subdued to stingent control restricting the way they where working and granting social advantages far beyond the rights of the employment law to thei railroadmen.; Alors que l'Europe s'est engagée dans la libéralisation de son secteur du transport ferroviaire, les Etats-Unis se trouve dans cette situation depuis les origines. Cela a engendré au départ de dures conditions de travail pour les cheminots américains. Mais la nécessité d'assurer une bonne sécurité ferroviaire tout comme la volonté de permettre l'accès à tous des services ferroviaires a entraîné un contrôle sévère des instances publiques à son endroit et permis d'améliorer les conditions de travail. Cet ensemble de règles fut mis en place par une agence fédérale particulière, l'Interstates Commerce Commission, ainsi qu'au travers une loi spécifique, le Railway Labor Act.

International audience; La survenue de nouveaux accidents malgré la maîtrise du risque technologique est à la base de l'intérêt renouvelé à l'étude des facteurs humains dans l'analyse de la sécurité. Cependant, quoique la prise en compte des facteurs humains dans le processus du Retour d’expérience (Rex) ferroviaire tend à devenir une nouvelle priorité, les procédures sont loin d’êtres systématiques et les méthodologies demeurent incertaines. Afin de répondre aux exigences exprimées par la nouvelle réglementation nationale et européenne en matière de sécurité ferroviaire, l’INRETS, s’est proposé de poursuivre et d’approfondir ses recherches sur le thème facteur humain afin de l’intégrer dans le processus du Retour d’expérience. En effet, les organismes nationaux, les gestionnaires d’infrastructure, les professionnels du secteur ferroviaire et tous les acteurs qui prennent part à l'élaboration du dossier de sécurité doivent désormais disposer d’une démarche méthodologique du Rex centrée sur les facteurs humains. Inspirée des travaux de Reason, de Rasmussen et de Van Eslande, l’approche d’analyse de l’erreur humaine proposée fait intervenir trois niveaux complémentaires : Le premier niveau d’analyse contextuelle (avant l’accident) permet d’étudier les différents facteurs favorisant la production de l’erreur humaine à l’origine de l’accident. Le deuxième niveau d’analyse cognitive (pendant l’accident) vise à identifier les erreurs humaines relatives au processus cognitif humain mis en jeu face à une situation d’insécurité donnée. Le troisième niveau d’analyse comportementale (après l’accident) s’attache à évaluer les conséquences d’une action erronée en termes de dommage sur l’homme, sur l’environnement et sur le système.

International audience; L'analyse des rythmes de la vigilance chez l'homme montre que des épisodes d'hypovigilance apparaissent à des horaires prévisibles de la journée. La baisse de la vigilance de l'opérateur humain est parmi les principales causes d'accidents. L'aspect chrono-biologique de la vigilance n'a jamais été abordé dans le domaine de la sécurité des transports ferroviaires et pourtant, le régime de rotation des horaires du travail des opérateurs humains, dans ce domaine, pose le même problème que le travail posté. La prise en compte des données chrono-biologiques peut améliorer la sécurité en proposant des solutions d'adaptation des horaires du travail aux variations circadiennes des capacités fonctionnelles de l'opérateur humain. Cet ouvrage développe une approche méthodologique d'application des concepts liés à la chronobiologie de la vigilance en vue d'améliorer la sécurité des systèmes de transports ferroviaires guidés.

International audience; Généralement, le processus de construction de la sécurité d'un système, comporte plusieurs analyses de sécurité hiérarchisées. Dans ce processus, l'une des difficultés consiste à s'assurer de l'exhaustivité et de la cohérence des différentes analyses par la recherche des situations contraires à la sécurité non prises en compte lors de l'élaboration du dossier de sécurité. Afin de mieux appréhender ces lacunes nous avons défini un axe de recherche baptisé « AVIS » (Acquisition et Validation des connaissances de Sécurité) qui a pour ambition d'améliorer l'élaboration et l'évaluation des différentes analyses de sécurité, en traquant l'erreur non seulement au niveau système, matériel et logiciel, mais aussi au niveau humain. L'approche suivie pour concevoir et mettre en œuvre l'axe de recherche « AVIS » est centrée sur l'emploi des techniques d'intelligence artificielle (méthodes d'acquisition, de représentation et de validation de connaissances, l'apprentissage symbolique automatique et les systèmes à base de connaissances) et des facteurs humains. Cette étude porte plus précisément sur les thèmes suivants :• Modélisation, capitalisation et validation des connaissances ;• Méthodes et stratégies d’évaluation des études de sécurité au niveau système, matériel et logiciel,• Intégration des facteurs humains et de l’ergonomie dans le processus d’analyse de sécurité et de développement des systèmes de transports guidés.L’ensemble de ces thèmes est actuellement regroupé dans un axe de recherche baptisé « AVIS » qui comporte sept projets de recherche complémentaires :1. Projet SAPRISTI : système expert d’aide à l’analyse préliminaire de risques (APR) ;2. Projet ACASYA : système d'aide à la capitalisation, à la classification, à l'évaluation et à la génération des scénarios d'accidents, basé sur des techniques d’apprentissage automatique ;3. Projet SAUTREL : système d’aide aux analyses des effets des erreurs de logiciels (AEEL) de sécurité basé sur le raisonnement à partir de cas ;4. Projet SASEM : système à base de connaissances pour l'aide à l'analyse des modes de défaillance, de leurs effets et de leur criticité (AMDEC) des équipements matériels ;5. Projet FACTHUS : méthode d'intégration des facteurs humains dans l'analyse de sécurité et le développement des systèmes;6. Projet SPECIALS : méthode de spécification et d'aide à l'évaluation des logiciels critiques de sécurité basée sur l'utilisation des graphes conceptuels de SOWA;7. Projet VALIDE : méthode de validation des connaissances de sécurité.Conformément au processus de construction de la sécurité, ces projets visent l’amélioration des méthodes conventionnelles d’élaboration et d’évaluation de la sécurité au niveau système, matériel et logiciel. L’on remarque dans la figure 1 l’introduction dans ce processus d’un autre niveau d’analyse essentiel pour améliorer la sécurité du système : le niveau humain (Projet FACTHUS). Cette composante liée aux facteurs humains n’est pas encore prise en compte de manière formelle par les industriels dans les activités d’analyse de sécurité et de développement des systèmes de transports guidés. A ce jour, il convient de constater que cette prise en compte des facteurs humains dès la phase de spécification du projet est très rare. Les concepteurs de systèmes ont souvent tendance à penser que l’opérateur humain est le maillon faible de ces systèmes. Cette vision conduit, sinon à l’exclusion de l’opérateur humain, au moins à une restriction de ses marges de manœuvre, par des contraintes procédurales ou par une automatisation poussée. Nos travaux de recherche s’écartent clairement de cette perspective : l’opérateur y est considéré sur ces deux aspects, facteur d’infiabilité mais également de fiabilité. Il faut donc optimiser la place de l’homme dans le système de transport en pleine connaissance de ses capacités mais aussi de ses limites. En somme, il faut intégrer les facteurs humains dès la spécification des besoins et dès la conception du système et enfin concevoir des systèmes qui s’adaptent à l’opérateur humain et non le contraire. Notre contribution à l'amélioration des méthodes usuelles d'analyse et d'évaluation de la sécurité des systèmes de transport guidés, s'est concrétisée par l'élaboration de plusieurs approches et outils d'aide à la modélisation, à la capitalisation et à l'évaluation des connaissances de sécurité. Les outils logiciels développés ont deux principales vocations : d'une part archiver et pérenniser l'expérience en matière d'analyse de sécurité et d'autre part aider les acteurs impliqués dans le développement et la certification des systèmes de transport, dans leurs tâche difficile d'évaluation des études de sécurité. A ce jour, ces outils sont au stade de maquettes dont la première validation montre l'intérêt des approches proposées. Ils requièrent certaines améliorations et extensions afin de pouvoir être non seulement exploitables en milieu industriel, mais aussi adaptables à d'autres domaines où le problème d'examen de la sécurité se pose.

International audience; Le but de ce papier est de présenter le concept de scénario en général et de l’appliquer à l’analyse de la sécurité des systèmes de transport guidés. Nous définissons un scénario comme une succession d’étapes, un concours de circonstances qui décrit une réalisation possible dans l’espace et dans le temps. L’utilité du concept de scénario réside surtout dans son caractère dynamique qui traduit une évolution d’une situation de départ vers une situation finale caractérisant son achèvement.La méthodologie proposée doit être dans un premier temps étayée en rendant plus explicite ses différentes phases. Dans un deuxième temps, cette méthodologie devraient être confortée. Pour cela, une étude ciblée sur les domaines autre que l’analyse de sécurité des systèmes de transport ferroviaire doit être menée. La tâche de vérification et de test ou la tâche de diagnostic pourraient être des champs d’application de la méthodologie de capitalisation. Cette étude permettrait de mieux situer le concept de scénario : de valider le modèle de représentation de scénario proposé et de vérifier sa généralité. Elle permettrait aussi de valider la méthodologie proposée et son applicabilité à plusieurs secteurs d’activité.

International audience; Cet article présente une description générale d'un axe de recherche baptisé "AVIS" qui est en cours de développement. AVIS a pour but d'aider les principaux acteurs impliqués dans le processus de mise en sécurité des automatismes des systèmes de transport terrestre guidés dans leur tâche cruciale d'évaluation des études de sécurité. Ces travaux de recherche reposent en grande partie sur l'emploi des techniques d'intelligence artificielle et notamment sur l'utilisation des méthodes d'acquisition et de modélisation de connaissances, des systèmes à base de connaissances et des méthodes d'apprentissage symbolique automatique.

International audience; L'étude s'inscrit dans le cadre du projet ASCOT-PREDIT et vise le développement d'un système à base de connaissances d'aide à l'examen de la cohérence et de la complétude d'une analyse préliminaire de risques (APR). Cette étude doit permettre de suggérer des risques non pris en compte lors de l'élaboration d'un dossier de sécurité, d'aider à la recherche des mesures préventives les plus adéquates pour se prémunir contre un risque particulier et enfin de proposer une base de risques à partir des systèmes déjà certifiés ou homologués (VAL, MAGGALY, …). Les solutions retenues pour concevoir et mettre en oeuvre cet outil impliquent trois principales étapes : recueil et formalisation des connaissances, constitution d'une base de connaissances et exploitation de cette base par des techniques d'intelligence artificielle pour aider à évaluer l'exhaustivité de l'APR d'un nouveau système. A ce jour, seule la première étape a débouché sur l'élaboration d'un modèle de représentation des APR qui fait l'objet du présent article. Deux grandes parties seront présentées : la première rappelle le but, le principe et la place de l'APR dans le processus de mise en sécurité d'un système de transport guidé. La deuxième partie détaille le formalisme élaboré pour caractériser une APR. Ce formalisme s'articule autour de six paramètres : contexte général d'apparition d'un risque, risques envisagés, éléments dangereux, causes du risque, gravité des conséquences, moyens pour s'en prémunir.

International audience

International audience

This PhD thesis presents a contribution to the improvement of the usual methods of safety analysis used within the framework of the certification of automated transport systems (ATS). The mission of the certification experts consists in assessing the safety character of a new ATSby evaluating the completeness of the accident scenarios envisaged in the manufacturer's safety study. The certification assistance methodology developed is based on the joint and complementary use of knowledge acquisition and machine learning. The method of knowledge acquisition chosen has proved effective in extracting and formalizing historical knowledge from safety analysis but insufficient to acquire in detail the expert certification approach which is highly intuitive and scalable. To fill this gap, our study focused on the use of machine learning techniques. The difficulty of defining and choosing a learning system adapted to the requirements of an industrial application led us to propose a characterization of the learning process. ACASYA is the software environment developed to support the certification assistance methodology. It is made up of two main modules: CLASCA and EVALSCA, respectively dedicated to the classification and evaluation of accident scenarios. CLASCA which we have entirely designed is a symbolic-digital, inductive, incremental, non-monotonous and interactive learning system. EVALSCA, developed around the CHARADE rules learning system, aims to suggest to certification experts possible failures not considered by the manufacturer and likely to jeopardize the safety of a new ATS. To date, ACASYA has proven the interest of the methodology to formalize, exploit and perpetuate the know-how of the certification expert, in order to tend towards the exhaustiveness of the security analysis. In contrast to diagnostic assistance systems, ACASYA can be seen as a tool to help prevent breakdowns, located downstream of conventional forecasting methods of safety analysis., Ce mémoire de thèse de Doctorat présente une contribution à l'amélioration des méthodes usuelles d'analyse de sécurité employées dans le cadre de la certification des systèmes de transport automatisés (STA). La mission des experts de certification consiste à apprécier le caractère sécuritaire d'un nouveau STA en évaluant la complétude des scénarios d'accidents envisagés dans l'étude de sécurité du constructeur. La méthodologie d'aide à la certification développée repose sur l'utilisation conjointe et complémentaire de l'acquisition des connaissances et de l'apprentissage automatique. La méthode d'acquisition de connaissances choisie s'est révélée efficace pour extraire et formaliser les connaissances historiques d'analyse de sécurité mais insuffisante pour acquérir en détail la démarche experte de certification qui est fortement intuitive et évolutive. Pour pallier cette lacune, notre étude s'est orientée vers l'utilisation des techniques d'apprentissage automatique. La difficulté de définir et choisir un système d'apprentissage adapté aux exigences d'une application industrielle nous a conduits à proposer une caractérisation du processus d'apprentissage. ACASYA est l'environnement logiciel développé pour supporter la méthodologie d'aide à la certification. Il est composé de deux modules principaux: CLASCA et EVALSCA, respectivement dédiés à la classification et à l'évaluation des scénarios d'accidents. CLASCA que nous avons entièrement conçu est un système d'apprentissage symbolique-numérique, inductif, incrémental, non monotone et interactif. EVALSCA, développé autour du système d'apprentissage de règles CHARADE, a pour objectif de suggérer aux experts de certification d'éventuelles pannes non considérées par le constructeur et susceptibles de mettre en défaut la sécurité d'un nouveau STA. A ce jour, ACASYA a prouvé l'intérêt de la méthodologie pour formaliser, exploiter et pérenniser le savoir faire de l'expert de certification, en vue de tendre vers l'exhaustivité de l'analyse de sécurité. Par opposition aux systèmes d'aide au diagnostic, ACASYA peut être perçu comme un outil d'aide à la prévention des pannes, situé en aval des méthodes prévisionnelles classiques d'analyse de sécurité.

The article presents the different phases of research intended for the development of a software tool to aid in safety analysis and the certification of Automated Transport Systems (ATS) in order to assess the suitability protective equipment offered. The objective of this tool is, on the one hand, to evaluate the consistency of the accident scenarios proposed by the manufacturers and on the other hand to generate new scenarios likely to help the INRETS-CRESTA certification experts. which must conclude on the degree of safety of a new "STA". Our contribution to the understanding of these objectives made it possible, on the one hand, to define a generic model for the representation of these scenarios and, on the other hand, to develop a methodology for assisting security analysis based on interactive employment knowledge acquisition techniques, symbolic machine learning and knowledge-based systems., L'article présente les différentes phases d'une recherche destiné au développement d'un outil logiciel d'aide à l'analyse de la sécurité ainsi qu'à la certification des Systèmes de Transport Automatisés (STA) afin d'apprécier l'adéquation des équipements de protection proposés. L'objectif de cet outil est, d'une part d'évaluer la consistance des scénarios d’accidents proposés par les constructeurs et d'autre part de générer de nouveaux scénarios susceptibles d'aider les experts de certification de l'INRETS-CRESTA qui doivent conclure sur le degré de sécurité d'un nouveau "STA". Notre contribution à l'appréhension de ces objectifs a permis d'une part de définir un modèle générique de représentation de ces scénarios et d'autre part d'élaborer une méthodologie d'aide à l'analyse de sécurité fondée sur l'emploi interactif des techniques d'acquisition des connaissances, d'apprentissage symbolique automatique et des systèmes à base de connaissances.

International audience; L'exploitation d'un nouveau Système de Transport Terrestre Automatisé (STA) tel que le VAL d'Orly, pose le problème de l'évaluation de son degré de sécurité. Cette tâche est menée actuellement par des spécialistes de l'INRETS appelés "Experts certifieurs". Ceux-ci s'attachent à vérifier la conformité sur le plan de la sécurité d'un nouveau STA. La certification repose sur une analyse profonde des risques d'accidents révélés par des scénarios d'insécurité. Afin d'aider les experts "certifieurs" à apprécier l'adéquation des équipements de protection proposés par les constructeurs, un système logiciel d'aide à l'analyse et l'évaluation de la sécurité des STA a été développé. Cet outil met à contribution deux mécanismes d'apprentissage : CHARADE et CLASCA, en vue de dégager un savoir-faire en certification, à partir des connaissances historiques d'analyse de sécurité détenues par les experts et les constructeurs sur les STA déjà certifiés. CLASCA est un système d'apprentissage inductif, incrémental et interactif permettant la classification des scénarios d'insécurité. Il s'inscrit dans le cadre de l'approche Symbolique/Numérique. Les exemples (scénarios) manipulés sont de nature symbolique. Un exemple est décrit, par une conjonction de paires (Attribut/valeur). Un attribut peut être de type énuméré, continu, multivalué ou ne prendre aucune valeur. La connaissance statique du domaine est décrite par une taxonomie d'accidents impliqués dans les STA. Les connaissances apprises sont des descriptions caractéristiques en "intension" de classes d'exemples qui en constituent l'"extension". La composante numérique est apparue indispensable pour traiter non seulement des connaissances incomplètes et non représentatives du domaine, mais aussi pour améliorer l'efficacité de l'apprentissage. En effet plusieurs critères et fonctions mathématiques sont utilisés pour : (1) rechercher la classe la plus similaire au nouvel exemple selon un critère d'adéquation, (2) assurer l'incrémentalité de l'algorithme par l'ajustement des poids (fréquences) associés à chaque descripteur, (3) garantir la convergence et la stabilité des connaissances apprises, compte tenu du caractère non monotone de CLASCA, (4) éviter tout chevauchement des classes construites (discrimination) et (5) favoriser l'explicabilité des classements obtenus. CLASCA construit incrémentalement des descriptions de classes d'exemples à partir : (1) d'un langage de description contenant un ensemble de descripteurs recensés lors de la phase d'extraction des connaissances auprès des experts certifieurs, (2) d'un ensemble d' exemples d'apprentissage non exhaustif et décrit dans ce même langage, (3) d'une partition de ces exemples en classes préétablies par l'expert, par l'application d'une technique de tri voisine du tri conceptuel. Chaque groupe d'exemples décrit implicitement un problème de sécurité particulier que l'expert chercheà identifier et (4) d'un choix des paramètres d'apprentissage permettant de régler le couple rapidité de convergence/qualité de la description obtenue. CLASCA repose sur les classes préétablies et induit pour chaque classe une description qui d'une part caractérise la partition effectuée par l'expert et d'autre part permet de déduire la classe d'appartenance d'un nouvel exemple. Chaque description est décrite par une conjonction de Triplets : (< Attribut> < Valeur> ). Les principales caractéristiques de CLASCA sont : 1 - l'apprentissage incrémental non monotone tel que l'intégration d'un nouvel exemple au sein d'une classe permet d'en faire évoluer de façon non monotone la description. Les problèmes de convergence et stabilité des connaissances apprises sont assurées moyennant quelques hypothèses. 2 - La coopération avec l'expert du domaine pour : (1) contrôler et valider les connaissances apprises, (2) compléter le langage de description ou la description des exemples, (3) proposer des solutions lorsque CLASCA échoue dans ses tentatives de classification, (4) différer les décisions de CLASCA, (5) maintenir la vigilance de l'expert et améliorer son aptitude à mieux formaliser et structurer ses connaissances. L'évaluation d'un scénario constructeur est réalisée en ayant recours au mécanisme d'apprentissage CHARADE ainsi qu'au générateur de systèmes experts IS2. CHARADE est un système d'apprentissage qui procède par détection de régularité sur un ensemble de scénarios contenant le paramètre "Panne" dans leur description et engendre un système de règles structuré traduisant les fonctions de reconnaissance des pannes. Cette base de connaissances d'évaluation exploitée par le moteur d'inférence d'IS2 fonctionnant en chaînage avant, permet de déduire les pannes envisageables dans le scénario constructeur. Par comparaison avec les pannes qu'il contient réellement, on déduit des pannes susceptibles de mettre en cause la sécurité du système de transport et par conséquent on favorise la génération des situations d'insécurité non prévues par le constructeur. En résumé, CLASCA permet de repérer la classe d'un nouvel exemple de scénario qui après évaluation au sein de cette même classe par CHARADE, IS2 et l'expert, peut devenir un exemple d'apprentissage pour enrichir la base d'apprentissage.

International audience; Cet article expose les différentes phases d'une recherche destiné à la conception d'un outil d'aide ê la certification des Systèmes de Transport Automatisés(STA) afin d'apprécier l'adéquation des équipements de protection proposés. L'objectif visé à travers cet outil est d'une part d'évaluer la consistance des scénarios d'insécurité proposés par les constructeurs et d'autre part de générer de nouveaux scénarios susceptibles d'aider les experts de certification de l'INRETS-CRESTA qui doivent conclure sur le caractère sécuritaire d'un nouveau "STA". Notre contribution à l'appréhension de ces deux objectifs a permis d'une part de définir un modèle de représentation de ces scénarios et d'autre part d'élaborer une méthodologie d'aide ê la certification fondée sur des techniques d'apprentissage symbolique automatique. Un système d'apprentissage inductif conçu à cet effet vise ê rechercher les scénarios similaires issus des "STA" déjà certifiés en les confrontant avec les scénarios proposés par le constructeur pour un nouveau système de transport ou une nouvelle configuration de la ligne. Il s'agit d'un algorithme d'apprentissage par recherche de procédures de classification, qui permet de construire incrémentalement les descriptions des classes de scénarios. Cet algorithme repose sur la définition d'un critère d'adéquation qui permet d'intégrer un nouveau scénario dans une classe existante tout en restructurant cette dernière. NB: Les travaux de recherche présentés dans le cadre de cet article résultant d'une collaboration entre l'INRETS et le LAIH, sont en partie financés par l'INRETS et le Conseil Régional du Nord-Pas de Calais.

International audience; Cet article est consacré à l’étude du retour d’expérience dans le domaine des transports ferroviaires. Il aborde dans sa première partie, après une brève définition du concept du retour d’expérience (souvent appelé Rex), le déroulement du Rex à la SNCF et à la RATP. Dans la deuxième partie et conformément aux recommandations de la Loi du 03 janvier 2002 et du projet de directive européenne du 23 janvier 2002 (concernant la sécurité des chemins de fer), on détaillera les principes et les modalités du déroulement d’une enquête technique après incident ou accident ferroviaire. La troisième partie présente les principales limites du Rex en mettant l’accent notamment sur les difficultés liées à la réalisation de l’enquête technique, à l’organisation générale de l’entreprise ferroviaire, au déroulement du processus global du Rex et à l’intégration des facteurs humains dans le Rex.

International audience; Le travail présenté dans cet article s'inscrit dans le cadre de l'analyse de la sécurité des logiciels critiques dans les transports guidés. Il porte plus précisément sur l'apport du raisonnement à partir de cas à la méthode d'Analyse des Effets des Erreurs du Logiciel (A.E.E.L.). Le principe du raisonnement à partir de cas (Case-Based Reasoning: CBR) consiste à traiter un nouveau problème en se remémorant des expériences passées voisines. L'objectif de cette étude est d'exploiter des A.E.E.L. historiques, menées sur des logiciels déjà certifiés, en vue d'expliquer ou d'évaluer l'exhaustivité, la cohérence et la pertinence de l'A.E.E.L. d'un nouveau logiciel. A ce jour, notre contribution dans le cadre de cette étude a permis : - d'élaborer un modèle de représentation des A.E.E.L.,- de constituer une base de cas (exemples historiques d'A.E.E.L.) à partir de deux systèmes de transport guidés : MAGGALY (métro automatique de Lyon) et TVM-430 (TGV Nord),- de justifier l'intérêt du raisonnement à partir de cas à la méthode d'A.E.E.L.,- et enfin, de proposer une architecture de la maquette (en cours de développement) basée sur le C.B.R., pour aider à la capitalisation et à l'évaluation des A.E.E.L.

International audience; Inspiré des travaux de Reason, Rasmussen, Van Eslande et soutenue par quelques exemples d’application issus du domaine de la sécurité ferroviaire, l’approche d’analyse de l’erreur humaine proposée pour améliorer le processus du retour d’expérience des systèmes de transports ferroviaires, fait intervenir trois niveaux complémentaires : - Le premier niveau d’analyse contextuelle (avant l’accident) permet d’étudier les différents facteurs favorisant la production de l’erreur humaine à l’origine de l’accident. Ces facteurs sont relatifs à l’opérateur humain, à son environnement de travail, au système ainsi qu’aux diverses interactions de l’homme avec le système et l’environnement ;- Le deuxième niveau d’analyse cognitive (pendant l’accident) vise à identifier les erreurs humaines relatives au processus cognitif humain mis en jeu face à une situation d’insécurité donnée ;- Le troisième niveau d’analyse comportementale (après l’accident) s’attache à évaluer les conséquences d’une action erronée en termes de dommage sur l’homme, sur l’environnement et sur le système.

International audience; La méthode d’analyse préliminaire des risques (APR) est très différemment développée et demeure mal définie. Les documents préconisés sont peu précis et s’écartent parfois des usages. Plus particulièrement, le vocabulaire, la démarche d’élaboration et le format de représentation ne sont pas consolidés. Afin d’appréhender ces insuffisances, nous avons développé une nouvelle méthode d’analyse préliminaire de risques dont l’ambition est de consolider et rénover les démarches conventionnelles. En effet, le recours à un vocabulaire normalisé et à une démarche d’analyse rigoureuse et admise par tous les acteurs qui prennent part à l’élaboration d’un dossier de sécurité s’impose. Conformément à la nouvelle réglementation nationale et européenne en matière de sécurité et notamment la directive européenne n° 2004/49/CE relative à la sécurité des chemins de fer communautaire, cet article propose une méthode générique d’analyse préliminaire des risques qui tienne compte des usages, de la théorie et de notre expérience dans ce domaine.

International audience

International audience; Diverses recherches en intelligence artificielle (IA) sont menées pour appréhender le problème de transfert d'expertise. On perçoit aujourd'hui deux grandes activités de recherche indépendantes : l'acquisition de connaissances dont le but est de définir des méthodes inspirées notamment du génie logiciel et de la psychologie cognitive pour mieux cerner le transfert d'expertise et l'apprentissage automatique qui propose la mise en œuvre de techniques inductives, déductives, abductives ou par analogie permettant de doter le système de capacités d'apprentissage. Le développement d'un système à base de connaissances « ACASYA » d'aide à l’analyse de la sécurité des systèmes de transport guidés nous a incité à utiliser de façon conjointe et complémentaire ces deux approches. L'objectif de cet outil est, d'une part d'évaluer la complétude et la cohérence des scénarios d'accidents et d'autre part de contribuer à la génération de nouveaux scénarios susceptibles d'aider les experts qui doivent conclure sur le caractère sécuritaire d'un nouveau système. « ACASYA » est composé de trois modules d’apprentissage : CLASCA, EVALSCA et GENESCA, respectivement dédiés à la classification, à l'évaluation et à la génération des scénarios d'accidents.

International audience; The preliminary hazard Analysis (PHA) of a project needs first of all the stacking of a potential accidents list. Up to now, experts’ knowledge and field data feedback (FDF) is the essential base of the assembling of this list. Despite that it is fundamental on safety construction process; the PHA suffers from the absence of an iterative methodology which merges, on systematic way, the results descending from FDF. This article proposes a methodology allowing exploiting, systematically, FDF to develop PHA’s method and to consider potential accidents since the specification phase of project.; L’analyse préliminaire des risques (APR) d’un projet nécessite en premier lieu le recueil d’une liste des accidents potentiels. A ce jour, le savoir faire des experts et le retour d’expérience (REX) sont la base essentielle d’acquisition de cette liste. Bien que primordiale dans le processus de construction de la sécurité, l’APR souffre encore de l’absence d’une méthodologie itérative qui intègre d’une manière explicite et systématique les résultats issus de REX. Cet article propose une méthodologie en « spirale » permettant d’exploiter systématiquement le REX en vue d’une part d’élaborer la méthode d’APR et d’autre part de prendre en considération les accidents potentiels dès la phase de spécification du projet.

This dissertation presents a contribution to the improvement of the usual methods of safety analysis used within the framework of the certification of automated transport systems (ATS). The mission of the certification experts consists in assessing the safety character of a new ATS by evaluating the completeness of the accident scenarios envisaged in the manufacturer's safety study. The certification assistance methodology developed is based on the joint and complementary use of knowledge acquisition and machine learning. The method of knowledge acquisition chosen has proved effective in extracting and formalizing historical knowledge from safety analysis but insufficient to acquire in detail the expert certification approach which is highly intuitive and scalable. To fill this gap, our study focused on the use of machine learning techniques. The difficulty of defining and choosing a learning system adapted to the requirements of an industrial application led us to propose a characterization of the learning process.ACASYA is the software environment developed to support the certification assistance methodology. It is made up of two main modules: CLASCA and EVALSCA, respectively dedicated to the classification and evaluation of accident scenarios. CLASCA which we have entirely designed is a symbolic-digital, inductive, incremental, non-monotonous and interactive learning system. EVALSCA, developed around the CHARADE rules learning system, aims to suggest to certification experts possible failures not considered by the manufacturer and likely to jeopardize the safety of a new ATS. To date, ACASYA has proven the interest of the methodology to formalize, exploit and perpetuate the know-how of the certification expert, in order to tend towards the exhaustiveness of the security analysis. In contrast to diagnostic assistance systems, ACASYA can be seen as a tool to help prevent breakdowns, located downstream of conventional forecasting methods of safety analysis.; Ce mémoire présente une contribution à l'amélioration des méthodes usuelles d'analyse de sécurité employées dans le cadre de la certification des systèmes de transport automatisés (STA). La mission des experts de certification consiste à apprécier le caractère sécuritaire d'un nouveau STA en évaluant la complétude des scénarios d'accidents envisagés dans l'étude de sécurité du constructeur. La méthodologie d'aide à la certification développée repose sur l'utilisation conjointe et complémentaire de l'acquisition des connaissances et de l'apprentissage automatique. La méthode d'acquisition de connaissances choisie s'est révélée efficace pour extraire et formaliser les connaissances historiques d'analyse de sécurité mais insuffisante pour acquérir en détail la démarche experte de certification qui est fortement intuitive et évolutive. Pour pallier cette lacune, notre étude s'est orientée vers l'utilisation des techniques d'apprentissage automatique. La difficulté de définir et choisir un système d'apprentissage adapté aux exigences d'une application industrielle nous a conduits à proposer une caractérisation du processus d'apprentissage.ACASYA est l'environnement logiciel développé pour supporter la méthodologie d'aide à la certification. Il est composé de deux modules principaux: CLASCA et EVALSCA, respectivement dédiés à la classification et à l'évaluation des scénarios d'accidents. CLASCA que nous avons entièrement conçu est un système d'apprentissage symbolique-numérique, inductif, incrémental, non monotone et interactif. EVALSCA, développé autour du système d'apprentissage de règles CHARADE, a pour objectif de suggérer aux experts de certification d'éventuelles pannes non considérées par le constructeur et susceptibles de mettre en défaut la sécurité d'un nouveau STA. A ce jour, ACASYA a prouvé l'intérêt de la méthodologie pour formaliser, exploiter et pérenniser le savoir faire de l'expert de certification, en vue de tendre vers l'exhaustivité de l'analyse de sécurité. Par opposition aux systèmes d'aide au diagnostic, ACASYA peut être perçu comme un outil d'aide à la prévention des pannes, situé en aval des méthodes prévisionnelles classiques d'analyse de sécurité.

International audience

International audience; L'opérateur humain est un élément paradoxal : en situation de stress ou de fatigue, il peut être un élément de la perte de la fiabilité d'un système. Cependant, dans certaines situations critiques d'insécurité, il peut être un facteur de fiabilité, en rétablissant le bon fonctionnement du système, parfois par des actions non prévues par le règlement de sécurité de l'exploitation, mais, liées à sa connaissance, son expérience et son savoir-faire. Il faut donc optimiser la place de l'homme dans le système de transport en pleine connaissance de ses capacités mais aussi de ses limites. Inspiré des travaux de Reason, Rasmussen, Van Eslande et soutenue par quelques exemples d'application issus du domaine de la sécurité ferroviaire, l'approche proposée d'analyse et de modélisation de l'activité de l'homme dans l'analyse des scénarios d'accidents en vue améliorer le niveau de sécurité des systèmes de transports ferroviaires, fait intervenir trois niveaux complémentaires. Le premier niveau d'analyse contextuelle (avant l'accident) permet d'étudier les différents facteurs favorisant la production de l'erreur humaine à l'origine de l'accident. Ces facteurs sont relatifs à l'opérateur humain, à son environnement de travail, au système ainsi qu'aux diverses interactions de l'homme avec le système et l'environnement. Le deuxième niveau d'analyse cognitive (pendant l'accident) vise à identifier les erreurs humaines relatives au processus cognitif humain mis en jeu face à une situation d'insécurité donnée. Le troisième niveau d'analyse comportementale (après l'accident) s'attache à évaluer les conséquences d'une action erronée en termes de dommage sur l'homme, sur l'environnement et sur le système.

International audience