International Telemetering Conference Proceedings / October 20-23, 2003 / Riviera Hotel and Convention Center, Las Vegas, Nevada / This paper overviews the Research Environment for Vehicle-Embedded Analysis on Linux (REVEAL), which is an open standards framework for the creation and deployment of realtime embedded and network distributed data systems. REVEAL is an ongoing project at NASA Dryden to evaluate the feasibility and benefits of using Linux in a modern generic web-enabled data system for measurement and telemetry network research, by actually building such a system. Novel features are described, such as XML based self-configuring, self-verifying and self-documenting software, and automatic XML metadata generation. The REVEAL architecture is described, including the core server and scheduler, and the management of system and user job processing. Performance, timing, determinism, and security issues are discussed, as well as the advantages and limitations of Linux.

Les calculateurs embarqués dans les automobiles, ou ECU (Electronic Control Unit) sont responsables d’un nombre croissant de fonctionnalités au sein du véhicule. Pour pouvoir coordonner leurs actions, ces calculateurs s’échangent des données via des bus de communication et forment ainsi un véritable réseau embarqué. Si historiquement ce réseau pouvait être considéré comme un système fermé, l’apparition de nombreux moyens de communication dans les automobiles a ouvert ce réseau au monde extérieur et fait émerger de nombreuses problématiques de sécurité dans ce domaine.Nos travaux s’inscrivent dans une démarche de mise en place de moyens de sécurité-immunité dans les réseaux automobiles. La thématique de la sécurité-immunité dans l’automobile étant un sujet relativement récent, un effort particulier a été apporté à la définition du contexte. Ainsi, dans ce manuscrit, nous décrivons les menaces qui peuvent cibler ces systèmes embarqués, proposons une classification des scénarios d’attaques puis présentons les différents mécanismes de sécurité pouvant être appliqués aux systèmes embarqués d’une automobile.Ensuite, afin de compléter les mesures de sécurité préventives mises en place pour empêcher un attaquant de pénétrer au coeur du réseau embarqué, nous proposons dans cette thèse un système de détection d’intrusion pour les réseaux automobiles embarqués. Celui-ci, conçu à partir des spécifications du ou des systèmes à surveiller, intègre notamment des mécanismes permettant d’effectuer une corrélation des messages observés sur le réseau afin d’identifier des séquences de messages suspectes. Après avoir décrit formellement le fonctionnement de notre système de détection, nous présentons de premières expérimentations visant à valider notre méthode et à évaluer ses performances. / In today’s automobiles, embedded computers, or ECUs (Electronic Control Units) are responsible for an increasing number of features in a vehicle. In order to coordinate their actions, these computers are able to exchange data over communication buses, effectively constituting an embedded network. While this network could previously be considered a closed system, the addition of means of communication in automobiles has opened this network to the outside world, thus raising many security issues.Our research work focuses on these issues and aims at proposing efficient architectural security mechanisms for protecting embedded automotive networks. The security of embedded automotive systems being a relatively recent topic, we first put a strong focus on defining the context. For that purpose, we describe the threats that can target a car’s embedded systems, provide a classification of the possible attack scenarios and present a survey of protection mechanisms in embedded automotive networks.Then, in order to complement the preventive security means that aim at stopping an attacker from entering the embedded network, we introduce an Intrusion Detection System (IDS) fit for vehicular networks. Leveraging the high predictability of embedded automotive systems, we use language theory to elaborate a set of attack signatures derived from behavioral models of the automotive calculators in order to detect a malicious sequence of messages transiting through the internal network. After a formal description of our IDS, we present a first batch of experiments aimed at validating our approach and assessing its performances.

Dependable and Fault-tolerant computing is actively being pursued as a research area since the 1980s in various fields involving development of safety-critical applications. The ability of the system to provide reliable functional service as per its design is a key paradigm in dependable computing. For providing reliable service in fault-tolerant systems, dynamic reconfiguration has to be supported to enable recovery from errors (induced by faults) or graceful degradation in case of service failures. Reconfigurable Distributed applications provided a platform to develop fault-tolerant systems and these reconfigurable architectures requires an embedded network that is inherently fault-tolerant and capable of handling movement of tasks between nodes/processors within the system during dynamic reconfiguration. The embedded network should provide mechanisms for deterministic message transfer under faulty environments and support fault detection/isolation mechanisms within the network framework. This thesis describes the design, implementation and validation of an embedded networking layer using Controller Area Network (CAN) to support reconfigurable embedded systems.

Les véhicules de transport tendent à utiliser de plus en plus des énergies dites propres. De ce fait, les structures des réseaux électriques embarqués se complexifient que ce soit en termes d'architecture, de nombre de convertisseurs d'électronique de puissance connectés ou bien des technologies utilisées dans ces derniers. En complément de l'approche normative, où le convertisseur est étudié seul dans un environnement normalisé, cette thèse de modélisation CEM de convertisseurs statiques se place dans le cadre particulier des réseaux pour lesquels : • la connaissance de la structure interne du convertisseur étudiée n'est pas nécessaire à la réalisation de son modèle. La méthode développée se base uniquement sur des mesures extra-convertisseurs. Cette approche possède l'avantage de garantir aux fabricants une certaine confidentialité sur l'architecture interne des convertisseurs tout en permettant à l'équipementier d'étudier les effets de ces derniers sur son réseau de bord ; • le réseau sur lequel les convertisseurs sont modélisés peut posséder une architecture complexe par rapport à l'approche « convertisseur seul sur RSIL ». Pour plus de réalisme, le fonctionnement normal d'un convertisseur peut être soumis au fonctionnement d'autres convertisseurs du réseau. Ainsi, les impédances qui seront mises face au convertisseur étudié devront représenter la réalité de ce réseau qui ne sera alors pas nécessairement bien connu. Même si ce n'est pas ce qui a été réalisé au cours de cette thèse, ce point est important puisqu'il remet en question l'utilisation systématique des RSIL puisqu'ils faussent le comportement réel sur réseau ; • la montée en fréquence des technologies utilisées dans les convertisseurs conduit à la nécessité d'un modèle sur une plage de fréquences allant au-delà des 30MHz conventionnels imposés par les normes. Pour ce travail, une plage allant de la fréquence de découpage jusqu'à 100MHz était visée. En définitive, l'objectif principal de cette thèse a été de réaliser un protocole d'identification clairement défini dans le but de renseigner un modèle de type « boîte noire » compatible avec les convertisseurs statiques. Ce modèle a été choisi pour : • son faible nombre d'éléments, le rendant compatible avec l'analyse d'un réseau où de nombreux convertisseurs seront présents ; • sa généricité qui permet d'établir une méthode d'analyse systématique. • sa compatibilité avec l'étude classique en mode commun – mode différentiel qui, dans le cadre de la séparation de modes, le rend même plus simple à utiliser. L'envie de donner du sens physique aux éléments de ce modèle a été une clé dans son identification. De ce fait, les nombreux modèles CEM de convertisseurs statiques qui existent et qui possèdent une utilité (par exemple, dans le cadre du dimensionnement des filtres CEM d'entrée) n'ont pas été laissés de côté. Il a donc été choisi de réaliser dès que possible un lien formel entre les différents modèles. / Energy saving in stationary or embedded systems is a general trend in the modern society. Therefore, the “More Electrical” concept is widely developed, using the Power by Wire idea. The need of increased efficiency and the various ways the electricity is produced, used or stored has led to the generalization of power electronics use. If this solution is effective regarding weight and losses, the high switching frequencies and sharp commutations (several mega-volts or mega-amps per microseconds) generate Electromagnetic Interferences (EMI) which have to be managed. This phenomenon is especially dramatic with the new wide band gap devices, with always increasing commutation speed. Electromagnetic models (EMC) of power electronics converters are thus needed to manage EMC aspects of More Electrical Systems. Depending on the needs, many solutions have been proposed in the literature, to account for the high frequency behavior of power electronics converters (from the switching frequency to several tens of Megahertz). In addition to the classical normative approach, the “EMC system model for power electronics converter” presented here aims to be suitable for embedded networks. In opposition to EMC filter design method, no inner knowledge (as an accurate description of each element and propagation path) from the studied converter is needed. Only external measurements are needed to get the model. Thus, non-disclosure agreement is guaranteed and the embedded network can be studied. Regarding the network structure, the “LISN + Converter” approach can be far away from its complexity. A more global approach might be achievable with “black-box” approach. For the normative approach, only EMI under 30MHz are considered. By increasing the switching frequency, the “EMC system model” has to be valid up to 100MHz. The aim of the Ph.D. is to achieve an entire identification protocol of a “Black-box” model. This modification has been chosen for: • Its tiny number of elements. This means that it can be use in network analysis with multiple converters. • Its generalist form lead to a systematic method of analysis. • Its links with the classical common mode and differential mode approach which give some interesting connection with classical converters modelization. Those links lead to a physical consideration about the meaning of this non-comprehensive model.

Depuis quelques années, les réseaux de communication déployés au sein d’aéronefs sont toujours plus vastes et plus complexes. Ces bus numériques multiplexent différents flux de données afin de limiter les câbles, mais cela induit des retards sur les transmissions. Les travaux présentés ici portent sur une approche statistique de l’évaluation des performances du pire temps de traversée d’un réseau embarqué de type AFDX. Il s’agit de définir une nouvelle approche visant à associer à un calcul pire cas, une distribution des temps de transmission des messages, en vue notamment de permettre d’apprécier le pessimisme du calcul pire cas. Les méthodes décrites sont applicables dans le cadre plus général d’un ensemble de tâches. Nous proposons trois contributions dans ces travaux. Tout d’abord, une méthode originaled’évaluation de la distribution de la durée de traversée d’un commutateur AFDX qui s’appuie sur une énumération symbolique des scénarios d’ordonnancement dans la file d’attente. Puis, un algorithme efficace de calcul des délais subis par des messages/tâches périodiques lorsque les déphasages initiaux sont connus. Les délais calculés sont exacts ainsi que la distribution de probabilité. Enfin, le calcul de la distribution des délais subis par des messages/tâches dans un cadregénéral, à l’aide d’une méthode statistique de type Monte Carlo. Des décalages initiaux sont tirés aléatoirement et permettent de nourrir l’algorithme précédent. / Since a few years, communication networks deployed in aircrafts are ever larger and ever more complex. These digital buses multiplex different data streams in order to save cabling, but this causes delays on transmissions.The work presented here is based on a statistical evaluation of the worst case transit time of an embedded network of the AFDX type. It consists in associating a worst case computation with a complete distribution of the transit times in order, among other things, to appreciatethe pessimism of worst case approaches. The methods are also applicable to a set of realtime tasks. This work contributes three major results. First, an original method to evaluate the distribution of the transit time through an AFDX switch, based on the symbolic enumeration of the scheduling scenarios in the waiting queues of the switch. Second, an effective algorithm to compute the delays encountered by periodic messages/ tasks when initial offsets are known. Delays thus computed are exact and so is the delays distribution. Third, the computation of the delays distribution encountered by messages/tasks in a general case using a Monte Carlo based statistical method. Initial offsets are randomised and feed the preceding algorithm.

L'augmentation du nombre de systèmes interconnectés et l’expansion des données échangées dans les réseaux avioniques ont contribué à la complexification des architectures de communication. Pour gérer cette évolution, une nouvelle solution basée sur un réseau cœur haut débit, e.g., l'AFDX (Avionics Full DupleX), a été implémentée sur l'A380. Cependant, il reste des réseaux bas débit, e.g, CAN ou A429, utilisés pour certaines fonctions spécifiques. Cette architecture réduit le délai de développement, mais en contrepartie, elle conduit à de l’hétérogénéité et à de nouveaux challenges pour garantir les contraintes temps-réel. Pour résoudre ces challenges, une architecture homogène basé sur l'AFDX pourrait apporter de grands avantages, tels que une facilité de l'installation et maintenance, et une réduction de poids et coûts. Cette architecture homogène doit supporter des applications de criticités mixtes, où coexistent les trafics critiques (SCT), Best-effort (BE) et le trafic AFDX actuel (RC). Pour atteindre ce but, nous commençons par évaluer les avantages et les inconvénients des solutions existantes par rapport aux contraintes avioniques. Cela nous conduit à sélectionner le Burst Limiting Shaper (BLS) (proposé par le groupe IEEE Time Sensitive Networking (TSN)) allié à un ordonnanceur Static Priority non-preemptif. Ainsi, nous identifions quatre contributions principales dans cette thèse. Tout d'abord, nous spécifions un AFDX étendu avec le TSN/BLS. Une analyse préliminaire basée sur de la simulation a donné des résultats encourageants pour poursuivre sur cette voie. En second, nous détaillons une analyse temporelle de l'AFDX étendu, grâce au Network Calculus, pour calculer des bornes maximales des délais pire cas des différents types de trafic, pour prouver le déterminisme du réseau et le respect des contraintes temporelles. Une analyse de performance préliminaire montre l'efficacité de la solution à améliorer les délais de RC, tout en garantissant les contraintes. Cependant, cette analyse a aussi montré certaines limitations du modèle en termes de pessimisme. Notre troisième contribution est par conséquent la réduction de ce pessimisme, grâce à une seconde modélisation de l'AFDX étendu, et à une méthode de paramétrage des variables système. Cette méthode permet d'améliorer les performances de RC tout en garantissant les contraintes temporelles du SCT et RC. Finalement, nous validons notre proposition à travers des études de cas avioniques réalistes pour vérifier son efficacité. Les résultats montrent une forte amélioration des délais de RC ainsi que de l'ordonnançabilité de SCT et RC, en comparaison à l'AFDX actuel et au Deficit Round Robin. / The growing number of interconnected end-systems and the expansion of exchanged data in avionics have led to an increase in complexity of the communication architecture. To cope with this trend, a first communication solution based on a high rate backbone network, i.e., the AFDX (Avionics Full Duplex Switched Ethernet), has been implemented by Airbus in the A380. Moreover, some low rate data buses, e.g., CAN or ARINC 429, are still used to handle some specific avionics domains. Although this architecture reduces the time to market, it conjointly leads to inherent heterogeneity and new challenges to guarantee the real-time requirements. To handle these emerging issues, a homogeneous avionic communication architecture based the AFDX technology to interconnect different avionics domains may bring significant advantages, such as easier installation and maintenance and reduced weight and costs. Furthermore, this homogeneous communication architecture needs to support mixed-criticality applications, where safety-critical traffic (SCT), current rate constraint AFDX traffic (RC) and best effort traffic (BE) co-exist. To achieve this aim, first, we assess the pros and cons of most relevant existing solutions vs the main avionics requirements, to support mixed-criticality applications on the AFDX network. Afterwards, the Burst Limiting Shaper (BLS) (proposed by IEEE Time Sensitive Networking (TSN) Task group) on top of a Non-Preemptive Static Priority (NP-SP) scheduler has been selected as the most promising solution. Hence, our main contributions in this thesis are fourfold. First, we specify the extended AFDX incorporating the TSN/BLS on top of NP-SP. A preliminary performance analysis based on simulations has been conducted. These first results were encouraging to pursue this proposal. Second, we conduct a timing analysis of the extended AFDX using Network Calculus to compute the delay upper bounds of the different traffic classes and prove the determinism of such a solution. The preliminary performance evaluation has shown the efficiency of the extended AFDX to enhance the RC delay bounds while guaranteeing the constraints. However, they have also highlighted some limitations of the proposed model in terms of pessimism. Third, we introduce a second model of the extended AFDX to enhance the delay bounds tightness. Moreover, we propose a tuning method of TSN/BLS parameters to enhance as much as possible the RC timing performance, while guaranteeing the constraints. Finally, we validate our proposal through representative case studies to assess its efficiency. The results show the enhancements of the RC delay bounds as well as the schedulability level of both SCT and RC traffic, in comparison to the current AFDX and Deficit Round Robin (DRR).

SpaceWire est un standard de réseau embarqué promu par l'Agence Spatiale Européenne qui envisage de l'utiliser comme réseau bord unique dans ses futures satellites. SpaceWire utilise un mécanisme de routage Wormhole pour réduire la consommation mémoire des routeurs et les coûts associés. Cependant,le routage Wormhole peut engendrer des blocages en cascade dans les routeurs et, par conséquent,d'importantes variations des délais de livraison des paquets.Comme le réseau doit être partagé par des flux critiques et non-critiques, les concepteurs réseau ont besoin d'un outil leur permettant de vérifier le respect des contraintes temporelles des messages critiques. Pour réaliser cet outil, nous avons choisi comme métrique une borne supérieure sur le délai pire-cas de bout en bout d'un paquet traversant un réseau SpaceWire. Au cours de la thèse, nous avons proposé trois méthodes permettant de calculer cette borne. Les trois méthodes utilisent des hypothèses différentes et ont chacune des avantages et des inconvénients. D'une part, les deux premières méthodes sont très générales et ne nécessitent pas d'hypothèses restrictives sur le trafic en entrée du réseau. D'autre part, la troisième méthode nécessite des hypothèses plus précises sur le trafic en entrée. Elle est donc moins générale mais donne la plupart du temps des bornes plus serrées que les deux autres méthodes. Dans cette thèse, nous avons appliqué ces différentes méthodes à une architecture de référence fournie par Thales Alenia Space afin d'en comparer les résultats. Nous avons également appliqué ces méthodes à des exemples plus simples afin de déterminer l'influence de différents paramètres sur les bornes fournies par nos méthodes. / The SpaceWire network standard is promoted by the ESA and is scheduled to be used as the sole onboard network for future satellites. SpaceWire uses a wormhole routing mechanism to reduce memoryconsumption and the associated costs. However, wormhole routing can lead to packet blocking in routerswhich creates large variations in end-to-end delays. As the network will be shared by real-time and nonreal-time traffic, network designers require a tool to check that temporal constraints are verified for allthe critical messages. The metric we chose for this tool is an upper-bound on the worst-case end-to-enddelay of a packet traversing a SpaceWire network. This metric is simpler to compute than the exact delayof each packet and provide enough guarantee to the network designers. During the thesis, we designed three methods to compute this upper-bound. The three methods use different assumptions and have different advantages and drawbacks. On the one hand, the first two methods are very general and do not require strong assumptions on the input traffic. On the other hand, the third method requires more specific assumptions on the input traffic. Thus, it is less general but usually gives tighter bounds than the two other methods. In the thesis, we apply those methods to a case study provided by Thales Alenia Space and compare the results. We also compare the three methods on several smaller networks to study the impact of various parameters on their results.

Avec l’apparition des nouvelles technologies de communication, le nombre des systèmes embarqués avionique et automobile est en constante augmentation. La gestion des communications entre ces systèmes devient alors de plus en plus complexe à mettre en oeuvre dans un contexte où les contraintes temporelles et environnementales sont très fortes et où le taux d’échanges de messages en augmentation continuelle. L’utilisation optimale des réseaux pour acheminer les données tout en respectant les contraintes temporelles imposées est essentielle du point de vue de la sûreté de fonctionnement. Historiquement, pour répondre aux problématiques d’efficacité et de sûreté, les industriels ont développé une palette de réseaux embarqués dédiés à leurs applications cibles (CAN, LIN, . . . ). Ces réseaux présentaient des débits relativement faibles à un moment où un besoin croissant en bande passante se faisait ressentir. le choix d’utiliser le concept de composants dit ‘sur étagères’ (off the shelf COTS) permettait alors de pallier à ce nouveau besoin. Dans un souci de conservation des capacités des réseaux à garantir les contraintes temporelles imposées par les systèmes embarqués temps réel, les industriels ont dû adapter ce concept de composants sur étagères aux systèmes embarqués. L’intérêt de l’utilisation de ces composants est un gain non négligeable en bande passante et en poids pour des coûts de développements relativement faibles. L’introduction de ces composants nouveaux s’est faite de telle sorte que leur impact sur les standards préexistants et les systèmes connectés soit minimal. C’est ainsi que les réseaux dit ‘hétérogènes’ ont vu leur apparition. Ces réseaux constituent une hybridation entre les technologies embarquées historiques et les composants sur étagère. Ils consistent en des réseaux d’extrémité utilisant des technologies éprouvées (telles que le CAN) interconnectés via des passerelles à un réseau fédérateur (backbone) utilisant des composants sur étagères. Dès lors, le défi majeur à relever lors de l’utilisation d’un réseau fédérateur est de respecter les contraintes temporelles des applications sollicitant les différents réseaux. L’objectif est mis à mal sur les points d’interconnexion des réseaux hétérogènes (Passerelles). Ainsi l’approche principale utilisée pour le passage d’un réseau à un autre est l’encapsulation de trames. Pour atteindre l’optimalité de performance de cette technique plusieurs paramètres sont à prendre en compte tels que le nombre de trames à encapsuler, les ordonnancements utilisés, le coût en bande passante ainsi que l’impact sur les distributions de délais (gigue). Dans l’optique de préservation des performances des réseaux, l’objet de nos travaux porte sur l’étude, la comparaison et la proposition de techniques permettant l’interconnexion de réseaux hétérogènes temps réels à la fois pour des applications à faibles et à fortes contraintes temporelles. Après un état de l’art sur les réseaux temps réel, nous spécifions différentes techniques d’interconnexion de réseaux hétérogènes, puis, nous présentons une étude de cas basée sur une architecture réseau interconnectant différents bus CAN via un réseau fédérateur sans fil Wi-Fi. L’étude que nous avons menée montre, par le biais de différentes simulations, que cette architecture réseau est une bonne candidate pour la transmission de flux à contraintes temporelles faibles. Une architecture réseau interconnectant différents bus CAN via un réseau fédérateur Ethernet commuté est ensuite considérée dans une seconde étude de cas ciblant les applications à fortes contraintes temporelles. Dans un premier temps, nous prenons en compte le cas d’un réseau fédérateur Ethernet-PQSE et, dans un second temps, le cas d’Ethernet-AVB. Cette étude nous permet de montrer l’impact des différentes techniques d’interconnexion sur les délais des flux du réseau. / With the emergence of new communication technologies, the number of avionics and automotive embedded systems is constantly increasing. The management of communications between these systems becomes increasingly complex to implement in a context where temporal and environmental constraints are very strong and where messages exchange rate is continuously increasing. The optimal use of networks to transmit data while fulfilling the imposed temporal constraints is essential from a safety point of view. Historically, in order to address safety and efficiency issues, manufacturers have developed a range of embedded networks dedicated to their target applications (CAN, LIN, . . . ). These networks have relatively low bit rates at a point of time where a growing need for bandwidth was felt. To overcome this new need, the choice of using the concept of so-called ’off-theshelf’ components (COTS) has been made. In order to preserve the networks abilities to guarantee the temporal constraints imposed by the real time embedded systems, manufacturers had to adapt the concept of off-the-shelf components to embedded systems. The benefits of using these components is a non-negligible gain in bandwidth and weight for relatively low development costs. The introduction of these new components has been made in such a way that their impact on pre-existing standards and connected systems is minimal. thereby, so-called ’heterogeneous’ networks have emerged. These networks are a hybridization of historical embedded technologies and off-the-shelf components. They consist of stub networks using proven technologies (such as CAN) interconnected via gateways to a backbone network using off-the-shelf components. Thus, the major challenge while using a heterogeneous network is to respect the temporal constraints of the applications requesting the different parts of the networks. This objective can be damaged at the interconnection points of the heterogeneous networks (Gateways). The main used approach to pass frames from one network to another is the encapsulation. To achieve the optimum performances of this technique, several parameters have to be considered such as the number of frames encapsulated, the used scheduling policy, the bandwidth cost as well as the impact on delay distributions (jitter). In order to preserve networks performances, the aim of our work is to study, compare and propose techniques ennabling the interconnection of real-time heterogeneous networks for application with both soft and hard temporal constraints. After a state of the art on real-time networks, we have specified different techniques for the interconnection of heterogeneous networks, then we have presented a case study based on a network architecture interconnecting different CAN buses via a wireless backbone network (Wi-Fi ). The study we conducted shows, through various simulations, that this network architecture is a good contender for the transmission of flows with soft temporal constraints. A network architecture interconnecting different CAN busses via a switched Ethernet backbone is considered in a second case study targeting applications with hard temporal constraints. Two different Ethernet backbone networks are taken into account. We studied first, the case of a switched Ethernet-PQSE backbone network. Then the case of a switched Ethernet-AVB backbone is considered. This study enabled us to highlight the impact of the different used interconnection techniques on network flows delays.