Yes / Fault Tree Analysis (FTA) is a well-established and well-understood technique, widely used for dependability evaluation of a wide range of systems. Although many extensions of fault trees have been proposed, they suffer from a variety of shortcomings. In particular, even where software tool support exists, these analyses require a lot of manual effort. Over the past two decades, research has focused on simplifying dependability analysis by looking at how we can synthesise dependability information from system models automatically. This has led to the field of model-based dependability analysis (MBDA). Different tools and techniques have been developed as part of MBDA to automate the generation of dependability analysis artefacts such as fault trees. Firstly, this paper reviews the standard fault tree with its limitations. Secondly, different extensions of standard fault trees are reviewed. Thirdly, this paper reviews a number of prominent MBDA techniques where fault trees are used as a means for system dependability analysis and provides an insight into their working mechanism, applicability, strengths and challenges. Finally, the future outlook for MBDA is outlined, which includes the prospect of developing expert and intelligent systems for dependability analysis of complex open systems under the conditions of uncertainty.

<p>Teza se bavi povećanjem ukupne oslonljivosti modularnog mikrokernel<br />operativnog sistem MINIX 3 kroz povećanje pouzdanosti njegovog<br />mrežnog podsistema. To je postignuto tako što je ovom operativnom<br />sistemu dodata agregacija mrežnih veza, čime je podražana<br />tolerancija na poremećaj komunikacionih linija. Na kraju je data<br />analiza kako dodati deo utiče na ukupne mrežne performanse.</p> / <p>The thesis deals with the way to increase the dependability of the modular<br />microkernel operating system MINIX 3 through the increase of the reliability<br />of its network subsystem. This is achieved by adding link aggregation to this<br />operating system, which added fault tolerance for the communication lines. At<br />the end, the analysis is given of how new module affects the overall network<br />performance.</p>

La recherche de la sûreté de fonctionnement des systèmes complexes impose une démarche de conception rigoureuse. Les travaux de cette thèse s’inscrivent dans le cadre la modélisation formelle des systèmes de contrôle autonomes tolérants aux fautes. Le premier objectif a été de proposer une formalisation d’une architecture générique en couches fonctionnelles qui couvre toutes les activités essentielles du système de contrôle et qui intègre des mécanismes de sécurité. Le second objectif a été de fournir une méthode et des outils pour évaluer qualitativement les exigences de sécurité. Le cadre formel de modélisation et d’évaluation repose sur le formalisme Event-B. La modélisation Event-B proposée tire son originalité d’une prise en compte par raffinements successifs des échanges et des relations entre les couches de l’architecture étudiée. Par ailleurs, les exigences de sécurité sont spécifiées à l’aide d’invariants et de théorèmes. Le respect de ces exigences dépend de propriétés intrinsèques au système décrites sous forme d’axiomes. Les preuves que le principe d’architecture proposé satisfait bien les exigences de sécurité attendue ont été réalisées avec les outils de preuve de la plateforme Rodin. L’ensemble des propriétés fonctionnelles et des propriétés relatives aux mécanismes de tolérance aux fautes, ainsi modélisées en Event-B, renforce la pertinence de la modélisation adoptée pour une analyse de sécurité. Cette approche est par la suite mise en œuvre sur un cas d’étude d’un drone ONERA. / The study of complex system safety requires a rigorous design process. The context of this work is the formal modeling of fault tolerant autonomous control systems. The first objective has been to provide a formal specification of a generic layered architecture that covers all the main activities of control system and implement safety mechanisms. The second objective has been to provide tools and a method to qualitatively assess safety requirements. The formal framework of modeling and assessment relies on Event-B formalism. The proposed Event-B modeling is original because it takes into account exchanges and relations betweenarchitecture layers by means of refinement. Safety requirements are first specified with invariants and theorems. The meeting of these requirements depends on intrinsic properties described with axioms. The proofs that the concept of the proposed architecture meets the specified safety requirements were discharged with the proof tools of the Rodin platform. All the functional properties and the properties relating to fault tolerant mechanisms improve the relevance of the adopted Event-B modeling for safety analysis. Then, this approach isimplemented on a study case of ONERA UAV.

Les conditionneurs alternatifs – continu à absorption sinusoïdale (PFC) pour les applications critiques se distinguent par un haut niveau de performances tel que les THD réduits, un haut rendement et une bonne fiabilité. Leur importance est d’autant plus nécessaire qu’une continuité de service des alimentations est requise même en présence d’une défaillance interne de composant. Deux types de structures associées à leur commande sont réalisés à cet effet, les structures à redondance parallèle et les structure à redondance en série. Elles consistent respectivement en l’ajout d’un bras d’interrupteur dans le cas de la redondance parallèle, qui est une option plus compliquée et en une suppression d’une cellule de commutation dans le deuxième cas. L’étude présentée ici, consiste en premier lieu en une exploration et une évaluation de nouvelles familles de topologies multi-niveaux, caractérisée par un partitionnement cellulaire en série. Ces nouvelles topologies, ainsi que leurs variantes, comportent au moins une redondance structurelle avec des cellules mono-transistor à défaut de commande non critique et symétriques à point-milieu. Elles sont donc génériques pour la mise en parallèle et l’extension en triphasé. Cependant, elles sont pour la plupart peu compétitives à cause des composants qui sont souvent surdimensionnés et donc plus onéreuses, en comparaison avec la structure PFC Double-Boost 5 Niveaux à composants standards 600 V (brevetée par l’INPT – LAPLACE –CNRS en 2008) que nous étudions. Cette dernière constitue le meilleur compromis entre un bon rendement et une maîtrise des contraintes en mode dégradé. Sur le plan théorique nous montrons que le seul calcul de fiabilité basé uniquement sur un critère de premier défaut est inadapté pour décrire ce type de topologie. La prise en compte de la tolérance de panne est nécessaire et permet d'évaluer la fiabilité globale sur une panne effective (i.e. au second défaut). L'adaptation de modèles théoriques de fiabilité à taux de défaillance constant mais prenant en compte, au niveau de leurs paramètres, le report de contrainte en tension et l'augmentation de température qui résulte d'un premier défaut, permet de chiffrer en valeur relative, le gain obtenu sur un temps court. Ce résultat est compatible avec les systèmes embarqués et la maintenance conditionnelle. Un prototype monophasé de PFC double-boost 5 niveaux à commande entièrement numérique et à MLI optimisée reconfigurable en temps réelle a été réalisé afin de valider l’étude. Il permet une adaptation automatique de la topologie de 5 à 4 puis 3 niveaux par exemple. Ce prototype a également servi de test d'endurance aux transistors CoolMos et diodes SiC volontairement détruits dans des conditions d'énergie maîtrisée et reproductibles. D’autres campagnes d'endurance en modes dégradés ont été réalisées en laboratoire sur plusieurs centaines d’heures en utilisant ce même prototype. Nous nous sommes axés sur la détection de défauts internes et le diagnostic (localisation) rapide, d'une part par la surveillance directe et le seuillage des tensions internes (tensions flottantes) et d'autre part, par la détection d’harmoniques (amplitude et phase) en temps réel. Ces deux techniques ont été intégrées numériquement et évaluées sur le prototype, en particulier la seconde qui ne requiert qu'un seul capteur. Enfin, nous proposons une nouvelle variante PFC expérimentée en fin de mémoire, utilisant deux fois moins de transistors et de drivers pour les mêmes performances fréquentielles au prix d'un rendement et d'une répartition des pertes légèrement moins favorable que la structure brevetée. / This work is an exploration and an evaluation of new variants of multi-level AC/DC topologies (PFC) considering their global reliability and availability: electrical safety with an internal failure and post-failure operation. They are based on a non-differential AC and centre tap connection that led to symmetrical arrangement cells in series. These topologies permit an intrinsic active redundancy between cells in a same group and a segregation capability between the two symmetrical groups of cells. More again, they are modular and they can be paralleled and derived to any number of levels. Only single low-voltage (600V) transistor pear cell is used avoiding the short-circuit risk due to an unwanted control signal. Comparisons, taking into account losses, distribution losses, rating and stresses (overvoltage and over-temperature) during the post-operation are presented. Results highlight the proposed 5-level Double-Boost Flying Capacitor topology. This one was patented at the beginning of thesis, as a solution with the best compromise. On the theoretical side, we show that the reliability calculation based only on a "first fault occurrence" criterion is inadequate to really describe this type of topology. The inclusion of fault tolerance capability is needed to evaluate the overall reliability law (i.e. including a second failure). The adaptation of theoretical models with constant failure rate including overvoltage and over-temperature dependencies exhibit an increasing of the reliability over a short time. This property is an advantage for embedded systems with monitoring condition. Local detection and rapid diagnosis of an internal failure were also examined in this work. Two methods are proposed firstly, by a direct flying caps monitoring and secondly, by a realtime and digital synchronous demodulation of the input sampled voltage at the switching frequency (magnitude and phase). Both techniques have been integrated on FPGA and DSP frame and evaluated on a AC230V-7kW DC800V – 31kHz lab. set-up. We put forward the interest of the second method which only uses one input voltage sensor. Finally, we propose in this dissertation a new generic X-level PFC Vienna using, in 5-level version, half transistors and drivers for identical input frequency and levels. At the cost of a slight increase of losses and density losses, this topology appears very attractive for the future. A preliminary lab. set-up and test were also realized and presented at the end of the thesis.

Les systèmes de stockage de l'énergie électrique de forte capacité sont configurés en systèmes matriciels de cellules élémentaires. Les caractéristiques électriques de ces cellules n'évoluent pas toutes de manière identique, diminuant la disponibilité, à court terme par décharge rapide, à long terme en réduisant la durée de vie. Pour améliorer ces performances, des cellules redondantes et des circuits d'équilibrage sont insérés pour assurer une reconfiguration adéquate. Il devrait être possible d'accroître la disponibilité en reconfigurant les connexions internes. Nous comparons deux solutions classiques : série-parallèle (SP) et parallèle-série (PS) avec une nouvelle permettant de redistribuer le courant dans une batterie : le C-3C. Les performances sont évaluées en terme de fiabilité et de disponibilité. Nous proposons également un algorithme de pilotage adapté. La fiabilité est améliorable par redondance. Les cellules supplémentaires seront utilisées pour remplacer des cellules affaiblies. Le système peut également être conçu pour tolérer la défection d'une partie des cellules. Nous démontrons par des diagrammes de fiabilité et des chaînes de Markov que les architectures C-3C et PS présentent le même niveau de fiabilité, supérieur à celui d'une architecture SP. La durabilité des structures peut être améliorée en pilotant la mise en service des ressources disponibles selon différentes stratégies déclinées dans un algorithme de choix fondé sur les États de charge ou les États de Santé. Nous avons modélisé une cellule sous Matlab, en simulant les paramètres de vieillissement et leur évolution dynamique. Ainsi quelle que soit l'architecture, pour peu qu'elle comprenne une part minimale de redondance, une adéquate gestion différentiée des cellules permet une amélioration de la disponibilité de 40%. Par souci de reproductibilité, nous avons également modélisé ces structures par un réseau de Petri coloré, de manière à esquisser l'instrumentation et le dimensionnement de la commande. / High-capacity electrical energy storage system (EESS) are often matrix-organized system with a large number of elementary storage cells. Due to manufactoring tolerances and their individual use, the electrical characteristics of these cells do not evolve in the same way. These imbalances reduce operative dependability, in the short term by contributing to a decrease of the charge-discharge capacity, in the long-term by shortening lifetime. To improve storage performance, redundant cells can be added. It is also possible, in order to increase efficiency of stored energy restitution, to balance electrical characteristics by using energy exchange forced by an adequate configuration. It should therefore be possible to increase long-term operative dependability by reconfiguring internal connections in dynamic mode. Parallel-series (PS) architecture EESS consists of the series association of blocks, made up of several cells connected in parallel. Series-Parallel dual solution (SP) associates strings of cells in parallel. If other architectures are being studied, often requiring several switches per cell to reconfigure the matrix, we propose in this thesis a new architecture, called C3C, satisfying an acceptable level of reliability and distributing current flows. We then compare the classic solutions and the C3C in terms of reliability and the long-term operative dependability and propose a reflection on the possibilities to discrete control aspects to pilot architecture with a suitable control algorithm. The reliability of any structure can be improved by redundancy, with additional cells that will be used either to replace failing cells or temporarily supplemeting the weak ones. The system may also be designed to tolerate the defect of a portion of the cells. We demonstrate by modeling reliability diagrams and Markov chains that the C3C and PS architectures have a much eigher level of reliability than a SP architecture. The sustainability of these structures can also be improved by piloting activating and rest of the available resources according to different strategies in a choice algorithm based on SoC (State of Charge) or SoH (State of Health) of each cell. To do this, we model a cell on Matlab, precisely simulating the aging parameters and their dynamic evolution. It emerges that, whatever the architecture, if it includes a minimal share of redundant cells, an adequate differentiated management of the cells allows an improvement of the long-term operative dependability of nearly 40% on average. In order to study the reconfigurability control of architectures, we propose a model based on Discrete Event Systems through a colored Petri net. Simulation of this model has reinforced the behaviors already identified.

La mise en place d’une politique de maintenance prévisionnelle est un défi majeur dans l’industrie qui tente de réduire le plus possible les frais relatifs à la maintenance. En effet, les systèmes sont de plus en plus complexes et demandent un suivi de plus en plus poussé afin de rester opérationnels et sécurisés. Une maintenance prévisionnelle nécessite d’une part d’évaluer l’état de dégradation des composants du système, et d’autre part de pronostiquer l’apparition future d’une panne. Plus précisément, il s’agit d’estimer le temps restant avant l’arrivée d’une défaillance, aussi appelé Remaining Useful Life ou RUL en anglais. L’estimation d’une RUL constitue un réel enjeu car la pertinence et l’efficacité des actions de maintenance dépendent de la justesse et de la précision des résultats obtenus. Il existe de nombreuses méthodes permettant de réaliser un pronostic de durée de vie résiduelle, chacune avec ses spécificités, ses avantages et ses inconvénients. Les travaux présentés dans ce manuscrit s’intéressent à une méthodologie générale pour estimer la RUL d’un composant. L’objectif est de proposer une méthode applicable à un grand nombre de cas et de situations différentes sans nécessiter de modification majeure. De plus, nous cherchons aussi à traiter plusieurs types d’incertitudes afin d’améliorer la justesse des résultats de pronostic. Au final, la méthodologie développée constitue une aide à la décision pour la planification des opérations de maintenance. La RUL estimée permet de décider de l’instant optimal des interventions nécessaires, et le traitement des incertitudes apporte un niveau de confiance supplémentaire dans les valeurs obtenues. / Predictive maintenance strategies can help reduce the ever-growing maintenance costs, but their implementation represents a major challenge. Indeed, it requires to evaluate the health state of the component of the system and to prognosticate the occurrence of a future failure. This second step consists in estimating the remaining useful life (RUL) of the components, in Other words, the time they will continue functioning properly. This RUL estimation holds a high stake because the precision and accuracy of the results will influence the relevance and effectiveness of the maintenance operations. Many methods have been developed to prognosticate the remaining useful life of a component. Each one has its own particularities, advantages and drawbacks. The present work proposes a general methodology for component RUL estimation. The objective i to develop a method that can be applied to many different cases and situations and does not require big modifications. Moreover, several types of uncertainties are being dealt With in order to improve the accuracy of the prognostic. The proposed methodology can help in the maintenance decision making process. Indeed, it is possible to select the optimal moment for a required intervention thanks to the estimated RUL. Furthermore, dealing With the uncertainties provides additional confidence into the prognostic results.

Com o aumento do uso de sistemas elétricos, eletrônicos e programáveis em aplicações de diversos domínios, tais como entretenimento, realização de transações financeiras, distribuição de energia elétrica, controle de processos industriais e sinalização e controle em transporte de passageiros e carga, é essencial que as políticas de manutenção utilizadas sejam capazes de minimizar os custos associados a eventuais falhas que afetem negativamente os serviços providos. Ao longo das últimas décadas, foi sedimentada a tendência de que a adoção de técnicas de manutenção preditiva representa uma das abordagens mais viáveis e promissoras para que falhas de sistemas utilizados em diversas aplicações possam ser detectadas antes de elas efetivamente ocorrerem. Considerando-se que uma parcela significativa dos estudos recentes na área de manutenção preditiva de sistemas apresenta como limitação o custo elevado para se instalar uma infraestrutura específica para realizar a coleta de dados que serão usados para dar suporte à predição das falhas futuras de um sistema, o modelo proposto no presente estudo visa permitir que os índices de dependabilidade e as falhas futuras de sistemas elétricos, eletrônicos e programáveis sejam estimados utilizando-se dados já disponíveis de falhas e manutenções passadas. Para tanto, foram empregadas técnicas como processos estocásticos, filtragem Kalman e modelos de incorporação de dados de histórico preconizados no padrão internacional RIAC-HDBK-217Plus. Como principal conclusão do presente trabalho, é possível ressaltar que foi possível atingir, com o modelo proposto, o objetivo de suporte à manutenção preditiva de sistemas elétricos, eletrônicos e programáveis a partir do uso de dados preexistentes de histórico operacional; no entanto, foram constatadas limitações no grau de utilização prática do modelo em situações nas quais a quantidade dos dados de histórico disponíveis para consulta é pequena. / With the increased use of electrical, electronic and programmable systems in various application fields such as entertainment, financial transactions, power distribution, industrial process control and signaling and control of transportation modes, it is essential for the maintenance policies used in those systems to be able to minimize the costs of any faults that may adversely affect the services provided. Over the past decades, the use of predictive maintenance techniques has shown to be a viable and promising approach to detect faults before they actually occur in systems used in different application fields. Considering that a significant part of the recent scientific research in the area of predictive maintenance usually demands high-cost infrastructure to be installed to support the acquisition of all the data that will be used to calculate the prediction of future faults of a system, the model proposed within this study was designed to allow both dependability levels and future faults of electrical, electronic and programmable systems to be estimated using past faults and maintenance data that may already be available. For this purpose, techniques such as stochastic processes, Kalman filtering and models prescribed within the international standard RIAC-HDBK-217Plus to incorporate history data to dependability calculation were used. As the main conclusion of this study, it is possible to highlight that the main objective of the model proposed, related to its ability to support predictive maintenance of electrical, electronic and programmable systems through the use of pre-existing operating history data, has been reached; nevertheless, limitation of practical use of the model was verified in situations in which not enough operating data is available.

Les études de sûreté de fonctionnement (SdF) sont en général basées sur l’hypothèse d’indépendance des événements de défaillance et de réparation ainsi que sur l’analyse des coupes qui décrivent les sous-ensembles de composants entraînant la défaillance du système. Dans le cas des systèmes dynamiques pour lesquels l’ordre d’occurrence des événements a une incidence directe sur le comportement dysfonctionnel du système, il est important de privilégier l’utilisation de séquences d’événements permettant une évaluation des indicateurs de SdF plus précise que les coupes. Ainsi, nous avons proposé, dans une première partie de nos travaux, un cadre formel permettant la détermination des séquences d’événements qui décrivent l’évolution du système ainsi que leur évaluation quantitative, en recourant à la théorie de langages probabilistes et à la théorie des processus markoviens/semi-markoviens. L'évaluation quantitative des séquences intègrent le calcul de leur probabilité d'occurrence ainsi que leur criticité (coût et longueur des séquences). Pour l’évaluation des séquences décrivant l’évolution des systèmes complexes présentant plusieurs modes de fonctionnement ou de défaillance, une approche modulaire basée sur les opérateurs de composition (choix et concaténation) a été proposée. Celle-ci consiste à calculer la probabilité d'une séquence d'événements globale à partir d'évaluations réalisées localement, mode par mode. Les différentes contributions sont appliquées sur deux cas d'étude de taille et complexité croissante. / Dependability studies are often based on the assumption of events (failures and repairs) independence but also on the analyse of cut-set which describes the subsets of components causing a system failure. In the case of dynamic systems where the events occurrence order has a direct impact on the dysfunctional behaviour, it is important to promote using event sequences instead of cut-sets for dependability assessment. In the first part, a formal framework is proposed. It helps in determining sequences of events that describe the evolution of the system and their assessment, using the theory of probabilistic languages and the theory of Markov/semi-Markov processes. The assessment integrates the calculation of the probability occurrence of the event sequences and their criticality (cost and length). For the assessment of complex systems with multiple operating/failure modes, a modular approach based on composition operators (choice and concatenation) is proposed. Evaluation of the probability of a global sequence of events is performed from local Markov/semi-Markov models for each mode of the system. The different contributions are applied on two case studies with a growing complexity.

A utilização da Internet como um meio de automação de serviços de e-business tem sido adotada como estratégia por empresas em vários ramos da economia, diminuindo custos e propiciando uma melhoria no relacionamento com o cliente. Um requisito não-funcional importante a ser considerado no desenvolvimento de sistemas de software que possibilita esta automação é a disponibilidade. O nível de disponibilidade de um sistema pode ser influenciado pela arquitetura do sistema, e, em particular, pela arquitetura de software, pois as decisões arquitetônicas devem considerar aspectos relacionados à disponibilidade. No método de avaliação de arquitetura ATAM (Architecture Tradeoff Analysis Method Método de Análise de Compromissos de Arquitetura), esse requisito é analisado através da utilização de cenários de disponibilidade. Como a avaliação da disponibilidade é normalmente uma tarefa complexa, requerendo dos analistas a identificação de numerosos itens interdependentes, a geração e, conseqüentemente, a análise de cenários de disponibilidade na maioria das vezes não é uma tarefa trivial. O presente trabalho tem como objetivo elaborar uma técnica de análise de disponibilidade em sistemas de software para a Web, que auxilie a geração sistemática de cenários de disponibilidade requeridos no método ATAM. Para a elaboração da proposta, o trabalho aborda métodos para a elicitação, representação e análise de requisitos não-funcionais em uma determinada arquitetura de software, bem como conceitos e taxonomias relacionadas à dependabilidade. Ao final, a técnica é exercitada em um exemplo simplificado de sistema de software bancário na Web. / The use of Internet for e-business service automation has been adopted as a strategy by organizations in several sectors of the economy, reducing costs and providing a better relationship with the customer. Availability is an important nonfunctional requirement to be considered in the development of software systems offering this type of automation. The level of system availability may be affected by the system architecture, and, especially, by the software architecture, as architectural decisions must take availability-related aspects into account. In the ATAM (Architecture Tradeoff Analysis Method) architecture evaluation method, this requirement is analyzed by means of availability scenarios. As availability evaluation is normally a complex task, requiring analysts to identify several interdependent items, the generation and, consequently, the analysis of availability scenarios is often not a trivial task. This work aims to elaborate an availability technique analysis for web-based software systems, to aid in the systematic generation of availability scenarios required in the ATAM method. To elaborate the proposal, the work covers methods for elicitation, representation and analysis of non-functional requirements in a specific software architecture, as well as concepts and taxonomies related to dependability. In the end, the technique is applied on a simplified example of web banking software system.

Les véhicules automobiles autonomes sont des systèmes critiques. En effet, suite à leurs défaillances, ils peuvent provoquer des dégâts catastrophiques sur l'humain et sur l'environnement dans lequel ils opèrent. Le contrôle des véhicules autonomes robotisés est une fonction complexe, qui comporte de très nombreux modes de défaillances potentiels. Dans le cas de plateformes expérimentales qui n'ont suivi ni les méthodes de développement ni le cycle de certification requis pour les systèmes industriels, les probabilités de défaillances sont beaucoup plus importantes. En effet, ces véhicules expérimentaux se heurtent à deux problèmes qui entravent leur sûreté de fonctionnement, c'est-à-dire la confiance justifiée que l'on peut avoir dans leur comportement correct. Tout d'abord, ils sont utilisés dans des environnements ouverts, au contexte d'exécution très large. Ceci rend leur validation très complexe, puisque de nombreuses heures de test seraient nécessaires, sans garantie que toutes les fautes du système soient détectées puis corrigées. De plus, leur comportement est souvent très difficile à prédire ou à modéliser. Cela peut être dû à l'utilisation des logiciels d'intelligence artificielle pour résoudre des problèmes complexes comme la navigation ou la perception, mais aussi à la multiplicité de systèmes ou composants interagissant et compliquant le comportement du système final, par exemple en générant des comportements émergents. Une technique permettant d'augmenter la sécurité-innocuité (safety) de ces systèmes autonomes est la mise en place d'un composant indépendant de sécurité, appelé « Safety-Bag ». Ce système est intégré entre l'application de contrôle-commande et les actionneurs du véhicule, ce qui lui permet de vérifier en ligne un ensemble de nécessités de sécurité, qui sont des propriétés nécessaires pour assurer la sécurité-innocuité du système. Chaque nécessité de sécurité est composée d'une condition de déclenchement et d'une intervention de sécurité appliquée quand la condition de déclenchement est violée. Cette intervention consiste soit en une inhibition de sécurité qui empêche le système d'évoluer vers un état à risques, soit en une action de sécurité afin de remettre le véhicule autonome dans un état sûr. La définition des nécessités de sécurité doit suivre une méthode rigoureuse pour être systématique. Pour ce faire, nous avons réalisé dans nos travaux une étude de sûreté de fonctionnement basée sur deux méthodes de prévision des fautes : AMDEC (Analyse des Modes de Défaillances, leurs Effets et leur Criticité) et HazOp-UML (Etude de dangers et d'opérabilité) qui mettent l'accent respectivement sur les composants internes matériels et logiciels du système et sur l'environnement routier et le processus de conduite. Le résultat de ces analyses de risques est un ensemble d'exigences de sécurité. Une partie de ces exigences de sécurité peut être traduite en nécessités de sécurité implémentables et vérifiables par le Safety-Bag. D'autres ne le peuvent pas pour que le système Safety-Bag reste un composant relativement simple et validable. Ensuite, nous avons effectué des expérimentations basées sur l'injection de fautes afin de valider certaines nécessités de sécurité et évaluer le comportement de notre Safety-Bag. Ces expériences ont été faites sur notre véhicule robotisé de type Fluence dans notre laboratoire dans deux cadres différents, sur la piste réelle SEVILLE dans un premier temps et ensuite sur la piste virtuelle simulée par le logiciel Scanner Studio sur le banc VILAD. Le Safety-Bag reste une solution prometteuse mais partielle pour des véhicules autonomes industriels. Par contre, il répond à l'essentiel des besoins pour assurer la sécurité-innocuité des véhicules autonomes expérimentaux. / Autonomous automotive vehicles are critical systems. Indeed, following their failures, they can cause catastrophic damage to the human and the environment in which they operate. The control of autonomous vehicles is a complex function, with many potential failure modes. In the case of experimental platforms that have not followed either the development methods or the certification cycle required for industrial systems, the probabilities of failure are much greater. Indeed, these experimental vehicles face two problems that impede their dependability, which is the justified confidence that can be had in their correct behavior. First, they are used in open environment, with a very wide execution context. This makes their validation very complex, since many hours of testing would be necessary, with no guarantee that all faults in the system are detected and corrected. In addition, their behavior is often very difficult to predict or model. This may be due to the use of artificial intelligence software to solve complex problems such as navigation or perception, but also to the multiplicity of systems or components interacting and complicating the behavior of the final system, for example by generating behaviors emerging. A technique to increase the safety of these autonomous systems is the establishment of an Independent Safety Component, called "Safety-Bag". This system is integrated between the control application and the actuators of the vehicle, which allows it to check online a set of safety necessities, which are necessary properties to ensure the safety of the system. Each safety necessity is composed of a safety trigger condition and a safety intervention applied when the safety trigger condition is violated. This intervention consists of either a safety inhibition that prevents the system from moving to a risk state, or a safety action to return the autonomous vehicle to a safe state. The definition of safety necessities must follow a rigorous method to be systematic. To do this, we carried out in our work a study of dependability based on two fault prevention methods: FMEA and HazOp-UML, that respectively focus on the internal hardware and software components of the system and on the road environment and driving process. The result of these risk analyzes is a set of safety requirements. Some of these safety requirements can be translated into safety necessities, implementable and verifiable by the Safety-Bag. Others cannot be implemented in the Safety-Bag. The latter must remain simple so that it is easy to be validated. Then, we carried out experiments based on the faults injection in order to validate some safety necessities and to evaluate the Safety-Bag's behavior. These experiments were done on our robotic vehicle type Fluence in our laboratory in two different settings, on the actual track SEVILLE at first and then on the virtual track simulated by the Scanner Studio software on the VILAD testbed. The Safety-Bag remains a promising but partial solution for autonomous industrial vehicles. On the other hand, it meets the essential needs for the safety of experimental autonomous vehicles.