Fiabilité : RBD & fail-safe / fail-dangerous

λ et μ partagent la même unité de temps que l'horizon ci-dessous (ex. pannes/heure et réparations/heure si l'horizon est en heures). Laisser le taux de réparation vide pour un composant non réparable. Décocher « bloquante » signifie que la panne est tirée, réparée et comptée, mais ne fait pas basculer le système à l'état bas (fonction non critique ou déjà redondante).

series(a, b, …) : en marche seulement si tous les enfants le sont. parallel(a, b, …) : en marche si au moins un enfant l'est (redondance). koutofn(k, a, b, …) : en marche si au moins k enfants le sont. Imbrication libre, ex. series(parallel(a, b), c).

Chaque composant a un ou plusieurs modes de panne nommés, chacun avec son propre taux λ, son propre taux de réparation μ (laisser vide pour rester dans ce mode jusqu'à la fin de l'horizon) et son caractère dangereux (fail-dangerous, caché) ou non (fail-safe). Les modes d'un composant sont en course (le premier déclenché l'emporte) ; son taux de panne total est la somme des taux de ses modes.

Tous les taux et durées partagent la même unité de temps (ex. heures). Δt doit rester petit devant 1/ν et le taux du mode le plus rapide (quelques %) pour que la simulation soit fidèle. L'essai périodique et le taux de sollicitation s'appliquent à l'ensemble du système, et ne lèvent que les modes marqués dangereux.

Évaluées une fois par pas de temps, dans l'ordre, avant la logique de sécurité : dès qu'une condition est vraie, son composant cible est forcé dans le mode choisi ce pas-ci (ou réparé, avec « — réparé — ») — mêmes variables que la logique de sécurité (F_id, FS_id, C_id, M_id_mode), mais jamais O : une panne de cause commune est un fait physique, pas une conséquence d'une sollicitation. Un composant forcé reste dans ce mode comme une panne ordinaire (levée par son propre taux de réparation, un essai périodique ou une sollicitation) — il n'est pas libéré simplement parce que la condition redevient fausse ensuite.

Un évènement dangereux est O et non S (sollicitation, mais système non arrêté). Référencer chaque composant par son identifiant, ex. avec deux capteurs redondants s1 et s2 : O && (C_s1 || C_s2). Utiliser M_id_mode quand plusieurs modes non dangereux (ou plusieurs dangereux) doivent être distingués. Opérateurs et fonctions : comme l'outil Monte Carlo (+ − * / ^ %, comparaisons, && || !, if(cond,a,b)).