Dans cette thèse, nous proposons une nouvelle approche pour la conception d'un processeur tolérant aux fautes. Celle-ci répond à plusieurs objectifs dont celui d'obtenir un niveau de protection élevé contre les erreurs transitoires et un compromis raisonnable entre performances temporelles et coût en surface. Le processeur résultant sera utilisé ultérieurement comme élément constitutif d'un système multiprocesseur sur puce (MPSoC) tolérant aux fautes. Les concepts mis en œuvre pour la tolérance aux fautes reposent sur l'emploi de techniques de détection concurrente d'erreurs et de recouvrement par réexécution. Les éléments centraux de la nouvelle architecture sont, un cœur de processeur à pile de données de type MISC (Minimal Instruction Set Computer) capable d'auto-détection d'erreurs, et un mécanisme matériel de journalisation chargé d'empêcher la propagation d'erreurs vers la mémoire centrale (supposée sûre) et de limiter l'impact du mécanisme de recouvrement sur les performances temporelles. L'approche méthodologique mise en œuvre repose sur la modélisation et la simulation selon différents modes et niveaux d'abstraction, le développement d'outils logiciels dédiées, et le prototypage sur des technologies FPGA. Les résultats, obtenus sans recherche d'optimisation poussée, montrent clairement la pertinence de l'approche proposée, en offrant un bon compromis entre protection et performances. En effet, comme le montrent les multiples campagnes d'injection d'erreurs, le niveau de tolérance au fautes est élevé avec 100% des erreurs simples détectées et recouvrées et environ 60% et 78% des erreurs doubles et triples. Le taux recouvrement reste raisonnable pour des erreurs à multiplicité plus élevée, étant encore de 36% pour des erreurs de multiplicité 8 / In this thesis, we propose a new approach to designing a fault tolerant processor. The methodology is addressing several goals including high level of protection against transient faults along with reasonable performance and area overhead trade-offs. The resulting fault-tolerant processor will be used as a building block in a fault tolerant MPSoC (Multi-Processor System-on-Chip) architecture. The concepts being used to achieve fault tolerance are based on concurrent detection and rollback error recovery techniques. The core elements in this architecture are a stack processor core from the MISC (Minimal Instruction Set Computer) class and a hardware journal in charge of preventing error propagation to the main memory (supposedly dependable) and limiting the impact of the rollback mechanism on time performance. The design methodology relies on modeling at different abstraction levels and simulating modes, developing dedicated software tools, and prototyping on FPGA technology. The results, obtained without seeking a thorough optimization, show clearly the relevance of the proposed approach, offering a good compromise in terms of protection and performance. Indeed, fault tolerance, as revealed by several error injection campaigns, prove to be high with 100% of errors being detected and recovered for single bit error patterns, and about 60% and 78% for double and triple bit error patterns, respectively. Furthermore, recovery rate is still acceptable for larger error patterns, with yet a recovery rate of 36%on 8 bit error patterns

La miniaturisation et l'intégration de plus en plus accrue des composants électroniques dans les puces ont pour conséquence la chute de la fiabilité, tant au niveau de la production que pendant le fonctionnement normal du système. Les mémoires qui occupent jusqu'à 80% de la surface totale d'un System on Chip (SoC), vont ainsi concentrer la plus grande partie des défaillances. Dans ces conditions, les parties fonctionnelles ainsi que les parties redondantes (ou parties de rechange) de la mémoire contiendront des défauts. Dans cette thèse des techniques d'auto réparation innovantes, pour les mémoires RAM, ont été élaborées. Afin d'évaluer l'efficacité de ces techniques de réparation, un outil d'injection de fautes basé sur de nouvelles approches, statistiques et/ou analytiques, a été développé. Pour mimer des distributions de fautes réalistes dans les mémoires, le modèle du Clustering (amas de fautes) a été adopté et intégré dans l'outil d'injection de fautes.

Le succès des intergiciels dans le cadre du développement de systèmes d'information ``généralistes'' comme les applications Web, encourage leur utilisation pour le développement d'autres applications plus spécifiques et plus exigentes en qualité de service , comme les applications temps réel ou même certaines applications critiques. Nous partons d'une architecture intergicielle dite schizophrène ayant des propriétés de généricité et de configuration. Cette architecture est renforcée pour supporter deux catégories de services pour la tolérance aux fautes et le consensus. La conservation des propriétés de l'architecture de base ainsi que le respect des contraintes posées par les applications critiques et sûres de fonctionnement sont les principaux objectifs de nos propositions. Les principes et les propriétés de l'architecture schizophrène sont détaillés. Ensuite, nous menons des études approfondies de la théorie de la tolérance aux fautes et du consensus ainsi que de la norme FT CORBA. Ces études nous permettent de généraliser les différents concepts et d'isoler les différentes abstractions utiles afin de proposer deux architectures pour un service de tolérance aux fautes compatible avec la norme FT CORBA et pour un service générique de consensus. Nous montrons que la conception de ces services maximise leur configurabilité. Après les propositions d'architectures, nous décrivons la réalisation effective de ces deux services. Nous nous basons sur PolyORB, un integriciel développé à l'ENST. Des scénarios de test et des mesures de performances complètent notre étude et valident nos propositions.

La tesis aborda el análisis transitorio de modelos Markovianos de sistemas tolerantes a fallos con reparación diferida. Se consideran dos medidas definidas sobre cadenas de Markov a tiempo continuo con tasas de recompensa asociadas a los estados: la tasa de recompensa esperada en el instante t y la tasa media de recompensa esperada en el intervalo de tiempo [0, t]. Casos particulares importantes de esas dos medidas son la no-fiabilidad, la disponibilidad en el instante t y la disponibilidad de intervalo esperada. La tesis desarrolla un método numérico para el cálculo de ambas medidas con error arbitrariamente pequeño, denominado aleatorización regenerativa partida. Una ventaja importante del método es su estabilidad numérica. También se desarrolla un método numéricamente estable, la aleatorización regenerativa partida acotante, para el cálculo de cotas para un caso particular de la la tasa de recompensa esperada en el instante t que incluye la no-fiabilidad y cotas para ella. El coste computacional de los métodos es comparado con el de otros métodos basados en la aleatorización. La aleatorización regenerativa partida puede ser mucho menos costosa que los demás métodos para t grande y, cuando la relación entre la máxima y la mínima tasa de salida desde los estados con reparación no es muy elevada, permite el análisis en tiempos de CPU razonables de cadenas de Markov con muchos estados. La aleatorización regenerativa partida acotante tiene un coste computacional relativo muy bajo y proporciona cotas ajustadas, permitiendo el análisis en tiempos de CPU razonables de cadenas de Markov con muchísimos estados. En combinación con técnicas de acotación, los métodos desarrollados permiten el análisis numérico en tiempos de CPU razonables de modelos Markovianos de sistemas tolerantes a fallos con reparación diferida con un número muy elevado de componentes.

Thèse de doctorat : Informatique : Paris 12 : 2007. / Titre provenant de l'écran-titre. Pagination : XIV-129 p. Bibliogr. p. 119-127.

Reproduction de : Thèse doct. : Informatique : Reims : 2006. / Titre provenant de l'écran titre. Bibliogr. f. 121-128.

Habilitation à diriger des recherches : Informatique : Rennes 1 : 1998. / Bibliogr. p.75-83.

La robustesse est un attribut spécifique de la fiabilité qui caractérise la réaction d’un système aux fautes externes. Par conséquent, le test de robustesse consiste à tester un système en présence de fautes ou dans des conditions environnementales stressantes afin d’étudier son comportement lorsqu’il évolue dans un environnement hostile. Le test de robustesse peut être soit empirique ou formel. Les méthodes d’injection de fautes sont très communément utilisées pour évaluer le degré de robustesse d’un système. Cependant, elles ne se basent sur aucun oracle de test pour valider leurs résultats. D’autre part, les méthodes formelles de test de robustesse formalisent et la génération de fautes et le processus d’analyse. Elles présentent cependant quelques limitations par rapport aux types de fautes considérées qui dépendent fortement du modèle fonctionnel du système testé. Le travail que nous présentons dans cette thèse, consiste en un ensemble de propositions qui ont pour objectif de répondre aux défis auxquels font face les approches de test de robustesse existantes. D’abord, nous proposons une approche formelle pour la spécification et la vérification du processus d’injection de fautes. Cette approche consiste à formaliser les fautes injectées par un ensemble de triplet de Hoare et ensuite d’utiliser cette spécification pour vérifier la bonne exécution des campagnes d’injections. Notre seconde contribution concerne la spécification et la vérification des propriétés de robustesse. Nous proposons de formaliser les propriétés de robustesse en utilisant une extension de la logique temporelle linéaire qui permet la spécification de contraintes temps réel (XCTL) et nous proposons un algorithme de test passif qui permet de tester la satisfiabilité de ce type de contraintes sur des traces d’exécution finies. Nous contribuons aussi par une nouvelle approche de test de robustesse. Nous proposons une approche hybride basée sur l’injection de fautes et le test passif. L’injection de fautes est utilisée pour créer des conditions environnementales stressantes, et le test passif permet de vérifier la satisfiabilité des propriétés de robustesse sur les traces d’exécution collectées. Les fautes injectées ainsi que les propriétés de robustesse sont formellement spécifiées. Nous utilisons la logique de Hoare pour la spécification des fautes et la logique XCTL pour la formalisation des propriétés de robustesse. Ce qui nous permet de vérifier à la fois le processus d’injection et les exigences de robustesse en appliquant les approches de test passives proposées dans nos contributions précédentes. Finalement, nous proposons une plateforme de modélisation et de vérification de la robustesse des services Web. Cette plateforme est en réalité une instanciation de notre approche de test de robustesse, adaptée aux services Web. Le choix des services Web est motivé par l’émergence de cette technologie qui tend progressivement à s’imposer comme un standard du paradigme de communication programme-à-programme. Ils fournissent aussi un excellent exemple de systèmes hétérogènes fortement distribués. / Robustness is a specialized dependability attribute, characterizing a system reaction with respect to external faults. Accordingly, robustness testing involves testing a system in the presence of faults or stressful environmental conditions to study its behavior when facing abnormal conditions. Testing system robustness can be done either empirically or formally. Fault injection techniques are very suitable for assessing the robustness degree of the tested system. They do not rely however, on formal test oracles for validating their test. On the other hand, existing formal approaches for robustness testing formalize both the fault generation and the result analysis process. They have however some limitations regarding the type of the handled faults as well as the kind of systems on which they can be applied. The work presented in this thesis manuscript aims at addressing some of the issues of the existing robustness testing methods. First, we propose a formal approach for the specification and the verification of the fault injection process. This approach consists in formalizing the injected faults as a set of Hoare triples and then, verifying the good execution of the injection campaigns, based on a passive testing algorithm that checks the fault specification against a collected injection trace. Our second contribution focuses on providing a test oracle for verifying real time constraints. We propose a passive testing algorithm to check real time requirements, specified as a set of XCTL (eXplicit Clock Temporal Logic) formulas, on collected execution traces. Then, we propose a new robustness testing approach. It is a complementary approach that combines fault injection and passive testing for testing system robustness. The injected faults are specified as a set of Hoare triples and verified against the injection trace to validate the injection process. The robustness requirements are formalized as a set of XCTL formulas and are verified on collected execution traces. This approach allows one to inject a wide range of faults and can be used to test both simple and distributed systems. Finally, we propose an instantiation of our robustness testing approach for Web services. We chose Web services technology because it supports widely distributed and heterogeneous systems. It is therefore, a very good application example to show the efficiency of our approach.

Mémoire numérisé par la Direction des bibliothèques de l'Université de Montréal.

Cette étude de maîtrise (M$.$Sc.) examine la mise en œuvre pratique de stratégies de commande tolérantes aux fautes (FTC) pour optimiser la commande des stations de récupération des ressources de l'eau (StaRRE). Elle couvre les étapes clés de la chaine de traitement de données, notamment la collecte efficace des données, leur traitement et validation, ainsi que l'extraction des connaissances et la mise en œuvre d'actions de commande fiables. À mesure que les stations d'épuration des eaux usées sont transformées en StaRRE, le besoin de systèmes de commande fiables devient de plus en plus crucial. Cependant, atteindre une commande fiable est un défi en raison de la nature variable des eaux usées et des dysfonctionnements fréquents des capteurs dans les conditions de mesure difficiles des StaRRE. La stratégie FTC aborde ces problèmes en intégrant des méthodes de détection de fautes qui identifient les défaillances des capteurs et ajustent les actions de commande, garantissant que le système reste dans des niveaux de performance acceptables, même lorsque les données des capteurs sont compromises. L'étude adopte une approche systématique, en commençant par la collecte et la validation de données fiables grâce à l'utilisation de cartes de contrôle. Elle passe ensuite au prétraitement des données, en proposant un algorithme d'imputation basé sur des modèles de prévision de séries temporelles pour traiter les valeurs manquantes dans les données des capteurs. Les résultats ont montré que le modèle de prévision à lissage exponentiel de Holt-Winters a comblé efficacement les lacunes du jeu de données en capturant la saisonnalité des séries temporelles. Pour raffiner davantage les données, une méthode intégrée de détection des valeurs aberrantes, de lissage du bruit, et de détection univariée des fautes est employée. Ces techniques ont été développées jusqu'à leur application dans la mise en œuvre réussie d'actions de commande tolérantes aux fautes dans une station pilote de récupération des ressources en eau à l'échelle industrielle (pil*EAU*te) traitant deux types de fautes courantes, le biais et la dérive. De plus, l'étude souligne l'importance de stratégies de commande avancées, telles que la commande Ammonium *versus* NOx-N (AvN), pour atteindre une élimination efficace de l'azote par raccourci dans la gestion des eaux usées riches en nutriments. / This M$.$Sc. study investigates the practical implementation of Fault-Tolerant Control (FTC) strategies to optimize control of Water Resource Recovery Facilities (WRRFs). It covers key stages of the data pipeline, including effective data collection, treatment, and validation, as well as knowledge extraction and the implementation of reliable control actions. As wastewater treatment plants evolve into WRRFs, the need for dependable control systems becomes increasingly critical. However, achieving reliable control is challenging due to the variable nature of wastewater and the frequent malfunction of sensors in the harsh measurement conditions of WRRFs. The FTC strategy tackles these issues by integrating fault detection methods that identify sensor faults and adjust control actions, ensuring the system remains within acceptable performance levels, even when sensor data is compromised. The study adopts a systematic approach, beginning with the collection and validation of reliable data through the use of control charts. It then moves to data pre-processing, proposing a gap-filling algorithm based on time series forecasting models to address missing values in sensor data. Results showed that the Holt-Winters exponentially smoothing forecasting model filled the gaps in the dataset effectively by capturing the seasonality in the time series. To further refine the data, an integrated method for outlier detection, noise smoothing, and univariate fault detection is employed. These techniques were developed, building up to their application in successfully implementing fault-tolerant control actions in an industrial-scale water resource recovery pilot plant (pil*EAU*te) addressing two types of common faults, bias and drift. Additionally, the research emphasizes the importance of advanced control strategies, such as Ammonium versus NOx-N (AvN) control, in achieving efficient short-cut nitrogen removal for managing nutrient-rich wastewater.