⚡ electrical engineering

A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

Cet article propose un nouveau cadre Choquet–Sugeno intégré à un protocole AHP piloté par l'IA pour quantifier la variabilité non additive de la méthode d'analyse de résonance fonctionnelle (FRAM), démontrant, à travers une étude de cas de sécurité aérienne, que cette approche capture des risques systémiques invisibles pour les modèles additifs traditionnels.

Auteurs originaux : Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Publié 2026-08-04

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous essayez de comprendre pourquoi une machine complexe, comme un immense vaisseau spatial ou un aéroport très fréquenté, finit parfois par s'écraser. Pendant longtemps, les experts en sécurité ont considéré ces machines comme une rangée de dominos. Ils pensaient : « Si un domino tombe (une erreur se produit), il pourrait renverser le suivant, et finalement, toute la ligne tombe. » C'est ce qu'on appelle une vision « additive » : on additionne simplement toutes les petites erreurs pour trouver le danger total. Mais dans le monde réel, les choses sont plus désordonnées. Parfois, deux petites erreurs ne font pas que s'additionner ; elles se multiplient. C'est comme mélanger du bicarbonate de soude et du vinaigre : séparément, ils sont inoffensifs, mais ensemble, ils créent une énorme explosion de mousse. C'est ce qu'on appelle un risque « non additif » ou « résonant ».

Le document que nous examinons provient du domaine de l'Ingénierie de la Résilience, qui étudie la manière dont les systèmes complexes (comme l'aviation) gèrent les imprévus. Il utilise un outil appelé FRAM (Functional Resonance Analysis Method), qui cartographie tous les différents travaux qu'un système doit accomplir et la façon dont ils communiquent entre eux. Le gros problème de FRAM a toujours été qu'il est excellent pour dessiner des images de ce qui pourrait mal se passer, mais incapable de donner un chiffre sur l'ampleur de combien cela serait grave. C'est comme avoir une carte d'une tempête, mais sans moyen de mesurer la vitesse du vent. Ce document tente de corriger cela en introduisant des mathématiques sophistiquées appelées intégrale de Choquet et mesures de Sugeno. Considérez cela comme une calculatrice super intelligente qui ne se contente pas d'additionner des nombres, mais qui comprend que certaines erreurs rendent d'autres erreurs bien pires, tandis que d'autres peuvent au contraire s'annuler. Les auteurs veulent savoir : pouvons-nous enfin donner un chiffre précis à ce mélange d'erreurs « explosif » pour aider à maintenir la sécurité des avions ?

La grande idée du document : Le calculateur d'« explosion »

Les auteurs, João Guilherme Fowler et Moacyr Machado Cardoso Júnior, ont construit un nouveau cadre qui mélange la carte FRAM avec ces mathématiques spéciales. Ils appellent cela le cadre Choquet–Sugeno. Au lieu de simplement dire : « Erreur A plus Erreur B égale une mauvaise journée », leur nouvelle méthode demande : « À quel point l'Erreur A et l'Erreur B s'amplifient-elles mutuellement ? »

Pour tester cela, ils ont construit un modèle numérique d'un travail aéroportuaire très spécifique et à enjeux élevés : libérer une piste pour qu'un véhicule la traverse pendant qu'un avion atterrit ou décolle. C'est une danse dangereuse où un véhicule au sol et une machine volante ne doivent pas se rencontrer. Ils ont utilisé leurs nouvelles mathématiques pour analyser trois catastrophes aériennes réelles survenues sur 40 ans :

Vol Aeroflot 3352 (1984) : Un avion s'est écrasé sur des véhicules de maintenance sur la piste en Russie.
Vol LATAM Airlines Pérou 2213 (2022) : Un avion a percuté un camion de pompiers lors du décollage à Lima.
Vol Jazz Aviation 646 (2026) : Un avion est entré en collision avec un camion de pompiers lors de l'atterrissage à New York (LaGuardia).

Ce qu'ils ont trouvé : Le danger caché du « travail d'équipe »

La chose la plus excitante que ce document a révélée est que les mathématiques traditionnelles manquent une énorme partie du danger.

Lorsque les auteurs ont calculé le risque en utilisant les mathématiques « additives » classiques (en additionnant simplement les erreurs), ils ont obtenu un certain chiffre. Mais lorsqu'ils ont utilisé leurs mathématiques Choquet–Sugeno, le score de risque a bondi de manière significative. Ils ont découvert que le « travail d'équipe » entre les erreurs — où deux fonctions échouent en même temps et s'aggravent mutuellement — représente entre 10,9 % et 16,5 % du risque total.

C'est un événement majeur. Cela signifie que si vous ne regardez que les erreurs individuelles, vous êtes aveugle à près d'un sixième du danger réel. Le document soutient que ce « risque invisible » est la raison pour laquelle certains accidents se produisent même lorsqu'aucune personne n'a commis d'erreur catastrophique. C'est la combinaison de petites erreurs qui crée le désastre.

La star du spectacle : Le cerveau du contrôleur

Dans leur modèle, ils ont identifié un travail spécifique comme étant le « hub » le plus important de l'ensemble du système : la conscience situationnelle de l'ATC (F1). Il s'agit essentiellement de la capacité du contrôleur de la circulation aérienne à savoir exactement où se trouvent chaque avion et chaque véhicule à tout moment.

En utilisant un outil mathématique appelé valeur de Shapley (qui mesure la contribution de chaque partie à l'ensemble), ils ont découvert que cette fonction est responsable de 36,7 % du risque total. C'est plus du double de la contribution de la tâche suivante la plus importante !

La leçon : Si le contrôleur perd sa « vision globale » (peut-être par fatigue, distraction ou à cause d'une mauvaise radio), l'ensemble du système devient incroyablement fragile. Le document suggère que réparer ce domaine précis — maintenir l'attention du contrôleur vive et ses informations claires — est le moyen le plus efficace pour prévenir ces crashs.

Les « barrières » qui n'ont pas fonctionné

Le modèle a également examiné les systèmes de sécurité, comme le RIMCAS (un système radar qui avertit les contrôleurs si un véhicule est sur la piste). Dans le crash de 1984, ce système n'existait pas. Dans les crashs de 2022 et 2026, il existait mais était « dégradé » (il ne fonctionnait pas parfaitement, peut-être parce que les véhicules n'avaient pas les bons transpondeurs).

Les mathématiques ont montré que lorsque la conscience du contrôleur (F1) et la traversée du véhicule (F5) échouaient tous deux, le système de sécurité (F8) était submergé. C'est comme avoir un seul extincteur dans une pièce où dix incendies se sont déclarés en même temps. Le document a constaté que les barrières de sécurité n'ont pu compenser qu'une infime fraction du risque car le « travail d'équipe » des défaillances était trop fort. Les auteurs suggèrent que la simple mise à niveau de la technologie (comme donner de meilleurs transpondeurs aux véhicules) est le meilleur moyen de résoudre le problème, mais seulement si la conscience du contrôleur est également protégée.

Le piège « en aval »

Une autre découverte surprenante concernait la Communication et la Redite (F7). Dans de nombreux modèles de sécurité, on pense que si un pilote ou un conducteur répète un message, cela agit comme un filet de sécurité pour rattraper les erreurs. Mais le modèle de ce document montre que dans ce système spécifique, la communication n'est qu'un messager, pas un garde.

Si le contrôleur (F4) commet une erreur et donne une autorisation erronée, la personne qui la répète (F7) ne fait que transmettre cette autorisation erronée. Elle ne peut pas corriger l'erreur car elle ne fait que répéter ce qu'on lui a dit. Le document soutient que nous ne devrions pas gaspiller d'argent à essayer de rendre le « messager » parfait si le « patron » (la décision d'autorisation) est défectueux.

Le verdict

Les auteurs sont très clairs : leur méthode est une simulation basée sur des opinions d'experts et des données historiques, et non une baguette magique qui résout tous les problèmes de sécurité. Cependant, ils sont convaincus que leurs mathématiques sont solides. Ils ont prouvé que les interactions non additives (le mélange explosif d'erreurs) sont réelles et mesurables.

En utilisant ce nouveau cadre, les gestionnaires de la sécurité peuvent cesser de deviner et commencer à voir exactement où se produit la « résonance ». Ils peuvent voir que le vol LATAM 2213 était le cas le plus dangereux (avec un score de risque de 0,710) car chaque partie du système présentait un problème en même temps, créant la plus grande explosion possible de risque. En revanche, le crash de 1984 était profond mais étroit ; seules quelques parties ont échoué, donc la « résonance » totale était plus faible.

En résumé, ce document nous offre un nouveau prisme pour regarder la sécurité. Il nous dit que dans les systèmes complexes, 1 + 1 n'est pas égal à 2 ; parfois, cela égale 10. Et si nous voulons garder les cieux sûrs, nous devons cesser de compter les dominos et commencer à mesurer les explosions.

Résumé Technique : Un cadre Choquet–Sugeno pour la quantification de la variabilité non additive dans la méthode FRAM

Énoncé du Problème
La méthode FRAM (Functional Resonance Analysis Method) est un cadre qualitatif largement adopté pour modéliser l'émergence des risques dans les systèmes sociotechniques complexes, postulant que les accidents résultent de la « résonance fonctionnelle » non linéaire des variabilités à travers les fonctions couplées d'un système. Cependant, la nature principalement qualitative de cette méthode limite son utilité dans des contextes exigeant des indices de risque quantitatifs pour la conformité réglementaire et l'aide à la décision. Les extensions quantitatives existantes de FRAM (par exemple, les simulations de Monte Carlo, les réseaux bayésiens ou les représentations probabilistes formelles) souffrent d'une limitation structurelle critique : elles présupposent que les contributions issues des aspects au sein d'une fonction, ou des fonctions elles-mêmes, s'agrègent de manière indépendante ou additive. Cette hypothation contredit le principe fondamental de FRAM, qui repose sur des interactions non linéaires et synergiques où le tout dépasse la somme de ses parties. Par conséquent, les méthodes actuelles ne parviennent pas à capturer formellement le « gain de résonance » produit par des dégradations simultanées et non additives, rendant une partie significative du risque systémique invisible pour les modèles linéaires.

Méthodologie
Cet article propose une intégration formelle de l'intégrale de Choquet par rapport à une mesure de Sugeno au sein du cadre FRAM afin de combler l'écart de non-additivité. La méthodologie opère via un processus en six étapes :

Construction du modèle FRAM : Le système est défini par un ensemble de fonctions possédant six aspects (Entrée, Sortie, Préconditions, Ressources, Contrôles, Temps). Des coefficients de couplage dirigés entre les fonctions sont assignés pour représenter la proportion de variabilité transmise.
Élicitation des densités d'aspects par les experts : Un protocole structuré en cinq phases, implémenté via un agent IA personnalisé, est utilisé pour éliciter les densités de Sugeno ( $g_i$ ). Ce processus utilise le processus de hiérarchie analytique (AHP) sur une échelle de Saaty de 1 à 9 pour déterminer les poids relatifs, impose un ratio de cohérence en temps réel (CR < 0,10) et détermine le régime d'interaction (superadditif, additif ou subadditif) pour calculer le paramètre de Sugeno $\lambda$ .
Accumulation de la variabilité intra-fonctionnelle : Pour chaque fonction, un indice d'accumulation de la variabilité (VAI - Variability Accumulation Index) est calculé à l'aide de l'intégrale de Choquet discrète. Cela agrège les variabilités des aspects tout en tenant compte de leurs interactions synergiques ou redondantes définies par la capacité $\mu$ .
Propagation inter-fonctionnelle : Les VAI au niveau des fonctions sont propagés à travers le réseau en utilisant un opérateur OR probabiliste, modélisant la manière dont la variabilité circule des fonctions amont vers les fonctions aval.
Agrégation au niveau du système : Une seconde intégrale de Choquet agrège les VAI propagés au niveau du système. Cette étape utilise les densités et les coefficients d'interaction au niveau du système pour capturer la résonance non additive entre les fonctions.
Interprétation et Intervention : Le cadre utilise les valeurs de Shapley pour décomposer le risque systémique total, identifiant les fonctions dominantes et quantifiant le « gain de résonance » — le risque supplémentaire attribuable uniquement aux interactions non additives.

Contributions Clés

Première intégration formelle : Ce travail présente la première intégration de l'intégrale de Choquet au sein des aspects de fonction de FRAM, fournissant un mécanisme mathématiquement rigoureux pour quantifier les interactions non additives.
Protocole d'élicitation structuré : Le développement d'un protocole basé sur l'AHP en cinq phases, exécuté par un agent IA, permet l'élicitation cohérente et en temps réel des capacités de Sugeno, garantissant la cohérence mathématique et la validation par les experts.
Quantification du risque invisible : Le cadre quantifie explicitement la composante de risque qui est « structurellement invisible » pour les modèles additifs, distinguant la profondeur des défaillances individuelles de l'étendue de la résonance systémique.
Analyse topologique : L'application des valeurs de Shapley et des indices d'interaction de Murofushi–Soneda dans le contexte de FRAM permet d'identifier les hubs topologiques et de réévaluer le rôle des fonctions (par exemple, distinguer les barrières des nœuds de transmission).

Résultats : Étude de cas sur le dégagement de zone de franchissement des véhicules de piste
Le cadre a été validé à l'aide d'un modèle FRAM de neuf fonctions concernant le processus de dégagement de zone de franchissement des véhicules de piste, analysé par rapport à trois incidents aériens historiques : Aerofot Flight 3352 (1984), LATAM Airlines Peru Flight 2213 (2022) et Jazz Aviation Flight 646 (2026).

Facteur de risque dominant : L'analyse de Shapley a identifié la « Conscience situationnelle ATC » (F1) comme le hub topologique et le principal moteur de risque ( $\phi_1 = 0,367$ ), avec un degré de couplage de 11. La dégradation de cette fonction a été le principal catalyseur des défaillances en aval dans les trois incidents.
Quantification du risque non additif : Les interactions non additives entre des paires de fonctions dégradées simultanément ont représenté 10,9 % à 16,5 % de l'indice de risque de Choquet total pour chaque incident. Ce « gain de résonance » est totalement absent des modèles additifs.
Classement des incidents : Le cadre a classé le vol LATAM 2213 comme l'incident présentant le risque le plus élevé ( $C_\mu = 0,710$ ), piloté par la variabilité non nulle simultanée sur les neuf fonctions, créant la plus large résonance systémique. L'incident Aerofot 3352 ( $C_\mu = 0,644$ ) a démontré qu'une défaillance individuelle profonde sans large couplage systémique résulte en un risque de résonance agrégé inférieur à celui de LATAM.
Aperçus structurels : Le modèle a révélé que la « Communication et lecture de commande » (F7) agit comme un nœud de transmission en aval plutôt que comme une barrière de vérification en amont, car elle reçoit l'autorisation de la fonction de dégagement (F4) comme son entrée principale. De plus, la capacité de protection du système RIMCAS (F8) s'est avérée insuffisante pour compenser l'amplification synergique de dix couplages actifs lorsque le F8 lui-même était dégradé.

Signification et Revendications
L'article affirme que ce cadre répond à une lacune méthodologique critique dans la littérature quantitative de FRAM en fournissant un outil de quantification de la résilience traitable et théoriquement fondé, qui préserve la logique de résonance non linéaire de la méthode originale. Les auteurs soutiennent que l'intégrale de Choquet, élicitée via leur protocole structuré, permet la dérivation d'un indice de résilience systémique quantitatif que les modèles additifs ne peuvent récupérer.

La portée de ce travail réside dans sa capacité à :

Formaliser la résonance : Passer des descriptions qualitatives à la modélisation mathématique de l'amplification des variabilités.
Prioriser les interventions : Utiliser la décomposition de Shapley pour fournir une base quantitative classée pour les interventions de sécurité, reflétant la structure synergique du risque, plutôt que de traiter les fonctions comme des contributeurs indépendants.
Réconcilier théorie et pratique : Offrir un cadre implémentable en code open-source (langage R de base) capable de passer à l'échelle sur des modèles complexes (jusqu'à 12 fonctions) en une seule journée de travail d'élicitation structurée, rendant l'analyse du risque non additif accessible aux praticiens.

Les auteurs concluent que l'intégration de l'intégrale de Choquet à FRAM n'est pas simplement un raffinement théorique, mais une évolution nécessaire pour les systèmes critiques où l'interaction des variabilités, plutôt que leur somme, détermine la sécurité du système.