Cette thèse s'intéresse à la sécurité des programmes embarqués face aux attaques par injection de fautes. La prolifération des composants embarqués et la simplicité de mise en œuvre des attaques rendent impérieuse l'élaboration de contre-mesures.Un modèle de fautes par l'expérimentation basé sur des attaques par impulsion électromagnétique a été élaboré. Les résultats expérimentaux ont montré que les fautes réalisées étaient dues à la corruption des transferts sur les bus entre la mémoire Flash et le pipeline du processeur. Ces fautes permettent de réaliser des remplacements ou des saut d'instructions ainsi que des modifications de données chargées depuis la mémoire Flash. Le remplacement d'une instruction par une autre bien spécifique est très difficile à contrôler ; par contre, le saut d'une instruction ciblée a été observé fréquemment, est plus facilement réalisable, et permet de nombreuses attaques simples. Une contre-mesure empêchant ces attaques par saut d'instruction, en remplaçant chaque instruction par une séquence d'instructions, a été construite et vérifiée formellement à l'aide d'outils de model-checking. Cette contre-mesure ne protège cependant pas les chargements de données depuis la mémoire Flash. Elle peut néanmoins être combinée avec une autre contre-mesure au niveau assembleur qui réalise une détection de fautes. Plusieurs expérimentations de ces contre-mesures ont été réalisées, sur des instructions isolées et sur des codes complexes issus d'une implémentation de FreeRTOS. La contre-mesure proposée se révèle être un très bon complément pour cette contre-mesure de détection et permet d'en corriger certains défauts. / This thesis focuses on the security of embedded programs against fault injection attacks. Due to the spreadings of embedded systems in our common life, development of countermeasures is important.First, a fault model based on practical experiments with a pulsed electromagnetic fault injection technique has been built. The experimental results show that the injected faults were due to the corruption of the bus transfers between the Flash memory and the processor’s pipeline. Such faults enable to perform instruction replacements, instruction skips or to corrupt some data transfers from the Flash memory.Although replacing an instruction with another very specific one is very difficult to control, skipping an instruction seems much easier to perform in practice and has been observed very frequently. Furthermore many simple attacks can carried out with an instruction skip. A countermeasure that prevents such instruction skip attacks has been designed and formally verified with model-checking tool. The countermeasure replaces each instruction by a sequence of instructions. However, this countermeasure does not protect the data loads from the Flash memory. To do this, it can be combined with another assembly-level countermeasure that performs a fault detection. A first experimental test of these two countermeasures has been achieved, both on isolated instructions and complex codes from a FreeRTOS implementation. The proposed countermeasure appears to be a good complement for this detection countermeasure and allows to correct some of its flaws.

Cette thèse est consacrée à l'étude de la robustesse/sensibilité d'un algorithme auto-convergeant face aux SEU's. Ces phénomènes appelés aussi bit-flips qui se traduit par le basculement intempestif du contenu d'un élément mémoire comme conséquence de l'ionisation produite par le passage d'une particule chargée avec le matériel. Cette étude pourra avoir un impact important vu la conjoncture de miniaturisation qui permettra bientôt de disposer de circuits avec des centaines à des milliers de cœurs de traitement sur une seule puce, pour cela il faudra faire les cœurs communiquer de manière efficace et robustes. Dans ce contexte les algorithme dits auto-convergeants peuvent être utilis afin que la communication entre les cœurs soit fiable et sans intervention extérieure. Une étude par injection de fautes de la robustesse de l'algorithme étudié a été effectuée, cet algorithme a été initialement exécuté par un processeur LEON3 implémenté dans un FPGA embarqué dans une plateforme de test spécifique. Les campagnes préliminaires d'injection de fautes issus d'une méthode de l'état de l'art appelée CEU (Code Emulated Upset) ont mis en évidence une certaine sensibilité aux SEUs de l'algorithme. Pour y faire face des modifications du logiciel ont été effectuées et des techniques de tolérance aux fautes ont été implémentés au niveau logiciel dans le programme implémentant l'algorithme. Des expériences d'injection de fautes ont été effectués pour mettre en évidence la robustesse face aux SEUs et ses potentiels « Tallons d'Achille » de l'algorithme modifié. L'impact des SEUs a été aussi exploré sur l'algorithme auto-convergeant implémenté dans une version hardware dans un FPGA. L'évaluation de cette méthodologie a été effectuée par des expériences d'injection de fautes au niveau RTL du circuit. Ces résultats obtenus avec cette méthode ont montré une amélioration significative de la robustesse de l'algorithme en comparaison avec sa version logicielle. / This thesis is devoted to the study of the robustness/sensitivity of a self-converging algorithm with respect to SEU's. These phenomenon also called bit-flips which may modify the content of memory elements as the result of the silicon ionization resulting from the impact of a charged particles. This study may have a significant impact given the conditions of miniaturization that will soon have circuits with hundreds to thousands of processing cores on a single chip, this will require make the cores communicate effectively and robust manner. In this context the so-called self-converging algorithm can be used to ensure that communication between cores is reliable and without external intervention. A fault injection study of the robustness of the algorithm was performed, this algorithm was initially executed by a processor LEON3 implemented in the FPGA embedded in a specific platform test. Preliminary fault injection from a method the state of the art called CEU showed some sensitivity to SEUs of algorithm. To cope with the software changes were made and techniques for fault tolerance have been implemented in software in the program implementing the self-converging algorithm. The fault injection experiments were made to demonstrate the robustness to SEU's and potential problems of the modified algorithm. The impact of SEUs was explored on a hardware-implemented self-converging algorithm in a FPGA. The evaluation of this method was performed by fault injection at RTL level circuit. These results obtained with this method have shown a significant improvement of the robustness of the algorithm in comparison with its software version.

De par l’augmentation de leur utilisation, la sécurisation du vol des drones devient de plus en plus importante. La commande tolérante aux fautes peut alors contribuer à l’obtention d’un niveau de sécurité acceptable. Le but de cette thèse est de développer une méthode de commande tolérante aux fautes basée sur deux types d’approches : l’approche Automatique qui utilise une représentation de systèmes à l’aide de modèles décrivant des évolutions continues et l’approche Intelligence Artificielle qui se base sur la représentation de systèmes à l’aide de modèles discrets ou logiques. Ainsi la première contribution de cette recherche est le développement d'une méthode générique de commande tolérante aux fautes utilisant les cadres de modélisation discret et continu. L’idée consiste à combiner une modélisation continue permettant d’estimer l’état et les paramètres de fautes et une modélisation discrète permettant de prendre une décision en ligne quant au contrôleur à utiliser. L’estimation continue permet d’avoir plus d’informations sur la faute qu’avec une modélisation discrète, alors que celle-ci prend en compte des probabilités de panne et des techniques d’optimisation qui sont plus adaptées à la tâche de décision. La seconde contribution concerne le développement et la validation d’une méthode permettant de détecter et de diagnostiquer la faute. Pour ses avantages, l’idée a été de développer un filtre de Kalman sensibles aux sauts de panne pour l’estimation de l’état et des paramètres de fautes. Pour la détection et le diagnostic de la panne, l’idée a été d’utiliser les données de l’estimation de façon probabiliste. Une fois la faute détectée et identifiée, le système de commande doit réagir pour pouvoir compenser cette faute. La troisième contribution porte donc sur l’amélioration du suivi de la trajectoire par reconfiguration du système de commande. L’objectif est de combiner les méthodes de commutation et d’adaptation, afin de limiter le nombre de contrôleurs en utilisant des contrôleurs adaptatifs pour les modes dégradés, tout en ayant des contrôleurs faciles à concevoir. Des techniques d’optimisation sont alors utilisées de façon à prendre une décision en ligne quant au choix du contrôleur. Finalement, la méthode développée doit être vérifiée avant de pouvoir être implémentée sur un drone. La dernière contribution est l’évaluation de la capacité de la méthode à suivre une trajectoire d’atterrissage en cas de pannes capteurs ou actionneurs grâce à un modèle de drone. / Major security risks appear with the increase of the number of UAV in the air space. Thus, UAV security is more and more important and Fault Tolerant Control (FTC) methods could support the achievement of acceptable security level. The aims of this research is to develop a FTC method which combines two approaches : Automatic Control approach which is based on model which have a continuous representation of the system and Artificial Intelligence approach which is based on discrete or logical model to represent the system. Thus, the first contribution of this thesis is the development of a generic fault tolerant control method which uses discrete and continuous frameworks. The idea was to combine a continuous framework to estimate the state and fault parameters and a discrete framework to take on line a decision about the controller. The continuous estimation provides more knowledge on the fault whereas a discrete model allows the use of different optimization tools which are more adapted to decision task. The second contribution is the development and the validation of a method for fault detection and diagnosis. For its potential, a Kalman filter is adapted in order to be sensitive to abrupt faults and used for state and fault parameters estimation. These estimates are then used in a probabilistic way to detect and identify the fault. Once the fault is detected, the control system should react to compensate the fault. Thus, the third contribution of this thesis is the improvement of the trajectory tracking by reconfiguration of the control system. The aim is to combine switching and adaptive methods in order to limit the number of controllers by using adaptive controllers for degraded modes while having convenient controllers. Optimization tools are then used to take the decision on the controller to use. Finally, the method has to be validated before being implemented on line. The last contribution is the evaluation of the ability of the method to follow its trajectory despite the apparition of actuator or sensor faults during a landing approach.

Le développement des Piles à Combustible (PàC) est en plein essor dans le contexte de transition énergétique mondial. La production d'énergie électrique par les PàCs possède l'atout majeur de ne rejeter que de l'eau et de la chaleur, sans émission de gaz à effet de serre. Pour un développement et une commercialisation plus large des PàCs comme générateurs d'énergie, leur fiabilité et leur durée de vie. Cette thèse est dédiée au Contrôle Tolérant aux Fautes appliquée à la gestion de l'eau dans les Piles à Combustibles de type PEM. Une gestion appropriée de l'état d'hydratation de la PEMFC contribue à éviter les dégradations irréversibles de ses composants et ses performances, et par conséquent à un allongement de sa durée de vie et une augmentation de sa fiabilité. La stratégie de Contrôle Tolérant aux Fautes Actif proposée est constituée d'une méthode de diagnostic basée modèle pour la détection et l'isolation des fautes et d'un contrôleur PID auto-adaptatif régulant la surstoechiométrie en oxygène. Il est à noter que cette stratégie a été validée en ligne sur un système PàC réel. / Fuel Cell (FC) development is expending due to global energy transition. Power generation using FC results in water and heat as by-products, without emission of greenhouse gases. To continue developing and expanding its use as power generators, FC lifetime and reliability have to be enhanced. This thesis work is dedicated to Fault Tolerant Control System (FTCS) applied to water management in PEM Fuel Cells. An appropriate water management of FC allow to avoid irreversible degradations of FC components and performance that lead to an improvement of FC reliability and lifetime.The proposed FTCS is composed of a model-based diagnosis method applied to fault detection and isolation, and a self-tuning PID strategy for oxygen excess ratio control. This strategy is tested and validated on-line on a real FC system.

Après une introduction à l'analyse et au contrôle des systèmes singuliers linéaires, on étudie le placement optimal de capteurs et d'actionneurs, le diagnostic robuste et le contrôle de systèmes singuliers. Le placement optimal de capteurs et d'actionneurs pour les systèmes singuliers s'appuie sur une approche énergétique. Les capteurs et/ou actionneurs sont sélectionnés pour obtenir les plus grands transferts d'énergie entre le système et son environnement. Pour cela on cherche à maximiser les grammiens généralisés. Différentes méthodes de diagnostic robuste sont proposées. Une première approche dédiée aux systèmes maillés autorise une génération de résidus décentralisée afin de détecter et de localiser les défauts de mesures. Une deuxième méthode consiste à étendre le filtrage Hinfini à l'estimation des défaillances. Troisièmement, la génération de résidus fondée sur la factorisation copremière -dont l'intérêt majeur est de pouvoir synthétiser des générateurs de résidus au moyen de filtres propres- est généralisée aux systèmes singuliers. Enfin, la synthèse, et l'utilisation pour le diagnostic robuste, des observateurs de type proportionnel-intégral sont étudiées. Deux stratégies de contrôle de systèmes singuliers sont proposées. Le contrôle multicritère permet de déterminer des correcteurs statiques ou dynamiques assurant le placement de pôles, ainsi que des contraintes de normes H2 et Hinfini sur le système en boucle fermée. Le contrôle tolérant aux fautes intègre un module de diagnostic dans le correcteur afin de localiser les fautes, et de modifier la loi de commande pour minimiser la déviation des sorties dues aux fautes et aux perturbations. Les correcteurs sont des systèmes propres, déterminés par optimisation convexe sous contraintes LMI.

Un système réparti est un système constitué d'un ensemble d'unités de calcul autonomes dotées de capacités de communication afin de résoudre une tâche globale. Ce modèle est suffisament général pour décrire tout type de réseau physique (réseau local, réseau de capteurs, ...). Lorsque la taille d'un système réparti devient importante ou lorsque ce système est déployé dans un environnement non contrôlé, la probabilité que certains éléments du système subissent des fautes (panne, corruption de mémoire, piratage, ...) devient non négligeable. Ces fautes peuvent être classifiées en fonction de leur durée, de leur étendue et de leur nature. Dans cette thèse, nous nous intéressons aux systèmes répartis capables de tolérer simultanément plusieurs types de fautes à travers l'étude de trois problèmes fondamentaux. Nous présentons ainsi un protocole réparti simulant un registre atomique mono-écrivan multi-lecteurs en présence de fautes transitoires et de fautes permanentes de type crash. Ce protocole repose sur deux outils ré-utilisables : un protocole de communication et un système d'estampillage borné. Ensuite, nous proposons une étude de la synchronisation faible d'horloges logiques en présence de fautes transitoires et de fautes intermittentes Byzantines. Nous prouvons de nombreux résultats d'impossibilité et nous fournissons un protocole optimal dans les cas non couverts par ces résultats. Finalement, nous définissons trois nouveaux concepts de tolérance pour les systèmes répartis sujets à des fautes transitoires et des fautes intermittentes Byzantines. Nous donnons un protocole de construction d'une vaste classe d'arbres couvrants optimal selon ces trois concepts.

Les circuits cryptographiques peuvent etre victimes d'attaques en fautes visant leur implementation materielle. elles consistent a creer des fautes intentionnelles lors des calculs cryptographiques afin d'en deduire des informations confidentielles. dans le contexte de la caracterisation securitaire des circuits, nous avons ete amenes a nous interroger sur la faisabilite experimentale de certains modeles theoriques d'attaques. nous avons utilise un banc laser comme moyen d'injection de fautes.dans un premier temps, nous avons effectue des attaques en fautes dfa par laser sur un microcontroleur implementant un algorithme de cryptographie aes. nous avons reussi a exclure l'effet logique des fautes ne correspondants pas aux modeles d'attaque par un jeu precis sur l'instant et le lieu d'injection. en outre, nous avons identifie de nouvelles attaques dfa plus elargies.ensuite, nous avons etendu nos recherches a la decouverte et la mise en place de nouveaux modeles d'attaques en fautes. grace a la precision obtenue lors de nos premiers travaux, nous avons developpe ces nouvelles attaques de modification de rondes.en conclusion, les travaux precedents constituent un avertissement sur la faisabilite averee des attaques par laser decrites dans la litterature scientifique. nos essais ont temoigne de la faisabilite toujours actuelle de la mise en place des attaques mono-octets ou mono-bits avec un faisceau de laser qui rencontre plusieurs octets ; et egalement reveler de nouvelles possibilites d'attaque. cela nous a amenes a etudier des contre-mesures adaptees.

Dans cette thèse nous proposons une nouvelle méthode d'isolation et d'identification de défaut singulier pour les systèmes dynamiques non linéaires. Cette méthode est basée sur la caractéristique de monotonicité de l'erreur de prédiction de l'observateur en fonction de la différence des paramètres. L'ensemble des valeurs admissibles de chaque paramètre est subdivisé en un certain nombre d'intervalles. On construit un observateur d'isolation pour chaque intervalle, cet observateur est initialisé dans l'intervalle considéré. Après l'occurrence du défaut, la valeur du paramètre défectueux doit être dans un des intervalles du paramètre. L'amplitude du résidu calculé par l'observateur d'isolation correspondant à cet intervalle (celui qui contient la valeur du paramètre défectueux) sera dans le domaine limité par deux seuils dynamiques à tout instant. Par contre, les résidus correspondant aux autres intervalles auront de grandes amplitudes et leurs évolutions ne sont pas limitées par les deux seuils dynamiques correspondants. Par conséquent l'intervalle contenant la valeur du paramètre défectueux peut être déterminé et le défaut est donc isolé et identifié. Différentes versions de cette méthode ont été développées : une première avec des seuils fixes, une seconde avec des seuils adaptatifs et une dernière sans seuils. On peut montrer que cette méthode a des points communs avec celle basée sur les observateurs adaptatifs. Cependant, cette dernière a un inconvénient majeur qui est la lenteur de sa vitesse d'isolation. La méthode que nous proposons dans ce travail nous permet de pallier ce problème de la lenteur de vitesse d'isolation.

Les systèmes autonomes suscitent aujourd'hui un intérêt croissant, que ce soit dans le domaine des robots d'exploration spatiale ou dans des domaines plus proches de l'homme, tels que les robots de service. Mais se pose le problème de leur sûreté de fonctionnement : peut-on avoir une confiance justifiée dans le comportement de systèmes conçus pour prendre des décisions sans intervention humaine ? L'objectif de cette thèse est de proposer des concepts architecturaux capables d'améliorer la sûreté de fonctionnement des systèmes autonomes, en particulier par la conception et le développement de mécanismes de tolérance aux fautes adaptés à la fonction de planification, centrale à l'autonomie des systèmes complexes. Une évaluation des performances et de l'efficacité des mécanismes proposés est réalisée en utilisant la technique d'injection de fautes par mutation.

Les véhicules dits intelligents actuellement développés par la plupart des constructeurs automobiles, ainsi que les véhicules autonomes nécessitent des informations sur le contexte dans lequel ils évoluent. Certaines de ces informations (par exemple la courbure de la route, la forme des intersections, les limitations de vitesses) sont fournies en temps réel par le système de navigation qui exploite les données de cartes routières numériques. Des défauts résultant de l’évolution du réseau routier ou d’imprécisions lors de la collecte de données peuvent être contenus dans ces cartes numériques et entraîner le dysfonctionnement des systèmes d’aide à la conduite. Les recherches menées dans cette thèse visent à rendre le véhicule capable d’évaluer, de manière autonome et en temps réel, l’intégrité des informations fournies par son système de navigation. Les véhicules de série sont désormais équipés d’un grand nombre de capteurs qui transmettent leurs mesures sur le réseau central interne du véhicule. Ces données sont donc facilement accessibles mais de faible précision. Le défi de cette thèse réside donc dans l’évaluation de l’intégrité des informations cartographiques malgré un faible degré de redondance et l’absence de données fiables. On s’adresse à deux types de défauts cartographiques : les défauts structurels et les défauts géométriques. Les défauts structurels concernent les connections entre les routes (intersections). Un cas particulier de défaut structurel est traité : la détection de ronds-points qui n’apparaissent pas dans la carte numérique. Ce défaut est essentiel car il est fréquent (surtout en Europe) et perturbe le fonctionnement des aides à la conduite. Les ronds-points sont détectés à partir de la forme typique de la trajectoire du véhicule lorsqu’il les traverse, puis sont mémorisés pour avertir les aides à la conduite aux prochains passages du véhicule sur la zone. Les imprécisions de représentation du tracé des routes dans la carte numérique sont quant à elles désignées comme défauts géométriques. Un formalisme mathématique est développé pour détecter ces défauts en comparant l’estimation de la position du véhicule d’après la carte à une autre estimation indépendante de la carte. Cette seconde estimation pouvant elle aussi être affectée par un défaut, les anciens trajetsdu véhicule sur la même zone sont utilisés. Un test statistique est finalement utilisé pour améliorer la méthode de détection de défauts géométriques dans des conditions de mesures bruitées. Toutes les méthodes développées dans le cadre de cette thèse sont évaluées à l’aide de données réelles. / Several Intelligent Vehicles capabilities from Advanced Driving Assistance Systems (ADAS) to Autonomous Driving functions depend on a priori information provided by navigation maps. Whilst these were intended for driver guidance as they store road network information, today they are even used in applications that control vehicle motion. In general, the vehicle position is projected onto the map to relate with links in the stored road network. However, maps might contain faults, leading to navigation and situation understanding errors. Therefore, the integrity of the map-matched estimates must be monitored to avoid failures that can lead to hazardous situations. The main focus of this research is the real-time autonomous evaluation of faults in navigation maps used in intelligent vehicles. Current passenger vehicles are equipped with proprioceptive sensors that allow estimating accurately the vehicle state over short periods of time rather than long trajectories. They include receiver for Global Navigation Satellite System (GNSS) and are also increasingly equipped with exteroceptive sensors like radar or smart camera systems. The challenge resides on evaluating the integrity of the navigation maps using vehicle on board sensors. Two types of map faults are considered: Structural Faults, addressing connectivity (e.g., intersections). Geometric Faults, addressing geographic location and road geometry (i.e. shape). Initially, a particular structural navigation map fault is addressed: the detection of roundabouts absent in the navigation map. This structural fault is problematic for ADAS and Autonomous Driving. The roundabouts are detected by classifying the shape of the vehicle trajectory. This is stored for use in ADAS and Autonomous Driving functions on future vehicle trips on the same area. Next, the geometry of the map is addressed. The main difficulties to do the autonomous integrity monitoring are the lack of reliable information and the low level of redundancy. This thesis introduces a mathematical framework based on the use of repeated vehicle trips to assess the integrity of map information. A sequential test is then developed to make it robust to noisy sensor data. The mathematical framework is demonstrated theoretically including the derivation of definitions and associated properties. Experiments using data acquired in real traffic conditions illustrate the performance of the proposed approaches.