Au vu de l'utilisation croissante des technologies de l'information et de la communication dans les réseaux électriques, il est indispensable d'étudier l'étroite liaison entre ces infrastructures et d'avoir une vision intégrée du système couplé. Cette thèse porte ainsi sur la modélisation des systèmes multi-infrastructures. Cela inclut les interdépendances et les trajectoires de défaillances de type modes communs, aggravations et cascades. Il est en effet nécessaire d'identifier les points de faiblesse qui peuvent déclencher une ou de multiples défaillance(s), se succéder en cascade au travers de ces infrastructures liées et ainsi entrainer des défaillances inattendues et de plus en plus graves dans des autres infrastructures. Dans cette optique, différents modèles basés sur la théorie des Réseaux Complexes sont développés afin d'identifier les composants les plus importantes, et pourtant critiques, dans le système interconnecté. Un des principaux verrous scientifiques levé dans cette thèse est relatif au dé-veloppement d'un modèle mathématique " unifié " afin de représenter les comportements des multiples infrastructures non-homogènes qui ont des interdépendances asymétriques.

Au vu de l’utilisation croissante des technologies de l’information et de la communication dans les réseaux électriques, il est indispensable d’étudier l’étroite liaison entre ces infrastructures et d’avoir une vision intégrée du système couplé. Cette thèse porte ainsi sur la modélisation des systèmes multi-infrastructures. Cela inclut les interdépendances et les trajectoires de défaillances de type modes communs, aggravations et cascades. Il est en effet nécessaire d’identifier les points de faiblesse qui peuvent déclencher une ou de multiples défaillance(s), se succéder en cascade au travers de ces infrastructures liées et ainsi entrainer des défaillances inattendues et de plus en plus graves dans des autres infrastructures. Dans cette optique, différents modèles basés sur la théorie des Réseaux Complexes sont développés afin d’identifier les composants les plus importantes, et pourtant critiques, dans le système interconnecté. Un des principaux verrous scientifiques levé dans cette thèse est relatif au développement d'un modèle mathématique « unifié » afin de représenter les comportements des multiples infrastructures non-homogènes qui ont des interdépendances asymétriques. / In view of the increasing use of Information and Communication Technol-ogies in power systems, it is essential to study the interdependencies between these coupled heterogeneous systems. This thesis focuses on the modeling of multi- infrastructure systems. This includes interdependencies and the three major failures families: common mode, escalat-ing and cascading. It is indeed necessary to identify the weaknesses that can trigger one or multiple failure(s) and cascade through these interdependent infrastructures, causing unex-pected and increasingly more serious failures to other infrastructures. In this context, different approaches, based on the theory of Complex Networks, are developed to identify the most critical components in the coupled heterogeneous system. One of the major scientific barriers addressed in this thesis is the development of a unified mathematical model to represent the behavior.

Les infrastructures critiques (CIs) sont essentielles au fonctionnement de la société moderne. Leur sécurité et leur fiabilité sont les principales préoccupations. La complexité des CIs exige des approches d'analyse de système capables de voir le problème de plusieurs points de vue. La présente thèse porte sur l'intégration de la perspective de contrôle dans l'analyse de sécurité et de fiabilité des éléments de configuration. L'intégration est d'abord abordée par examiner les propriétés de contrôle d'un microgrid d'alimentation électrique. Un schéma basé sur la simulation est développé pour l'analyse sous différentes perspectives : le service d'approvisionnement, la contrôlabilité et la topologie. Un cadre basé sur la commande prédictive (MPC) est proposé pour analyser le microrgrid dans divers scenarios de défaillance. Ensuite, un cadre multi-perspectif est développé pour analyser les CIs considérant le service d'approvisionnement, la contrôlabilité et la topologie. Ce cadre permet d'identifier le rôle des éléments de CIs et de quantifier les conséquences de scénarios de défaillances, par rapport aux différents perspectives considérées. Afin de présenter le cadre d'analyse, un réseau de transport de gaz réel à travers plusieurs pays de l'Union européenne est considéré comme une étude de cas. En fin, un cadre d'optimisation a trois objectifs est proposé pour la conception de CI : la topologie du réseau et l'allocation des capacités de liaison sont optimisées minimisant la demande non fournie et la complexité structurelle du système, et en même temps maximisant la contrôlabilité du système. Une investigation approfondie sur les multiples objectifs considérés est effectuée pour tirer des informations utiles pour la conception du système. Les résultats de cette thèse démontrent l'importance de développer du cadre d'analyse des CIs considérant de plusieurs perspectives pertinentes pour la conception, l'opération et la protection des CIs. / Critical infrastructures (CIs) provide essential goods and service for modern society. Their safety and reliability are primary concerns. The complexity of CIs calls for approaches of system analysis capable of viewing the problem from multiple perspectives. The focus of the present thesis is on the integration of the control perspective into the safety and reliability analysis of CIs. The integration is first approached by investigating the control properties of a small network system, i.e., an electric power microgrid. A simulation-based scheme is developed for the analysis from different perspectives: supply service, controllability and topology. An optimization-based model predictive control framework is proposed to analyze the microgrid under various failure scenarios. Then, a multi-perspective framework is developed to analyze CIs with respect to supply service, controllability and topology. This framework enables identifying the role of the CI elements and quantifying the consequences of scenarios of multiple failures, with respect to the different perspectives considered. To demonstrate the analysis framework, a benchmark network representative of a real gas transmission network across several countries of the European Union (EU) is considered as case study. At last, a multi-objective optimization framework is proposed for complex CIs design: design of network topology and allocation of link capacities are performed in an optimal way to minimize the non-supplied demand and the structural complexity of the system, while at the same time to maximize the system controllability. Investigation on the multiple objectives considered is performed to retrieve useful insights for system design. The findings of this thesis demonstrate the importance of developing frameworks of analysis of CIs that allow considering different perspectives relevant for CIs design, operation and protection.

Je possède un Doctorat en Sciences de l'Information Géographique. J'ai utilisé ces sciences dans le domaine du génie civil durant ma thèse, en particulier pour l'amélioration du dispositif de gestion des digues de protection contre les inondations. En effet, la particularité de ces ouvrages est leur grande longueur qui complique leur gestion. C'est pourquoi nous avons fait le choix de privilégier une recherche dans le domaine des Systèmes d'Information Géographique (SIG). En parallèle, l'analyse systémique, la Sûreté de Fonctionnement et les méthodes d'aide à la décision multicritères ont été employées pour modéliser les mécanismes de rupture des digues et pour évaluer l'état et la performance des digues. Enfin, ces méthodes ont été couplées à un SIG pour obtenir un système d'aide à la décision à référence spatiale permettant aux gestionnaires de digues de prioriser les opérations de maintenance grâce à la visualisation du niveau de performance de leur parc de digues. Aujourd'hui, mes recherches ont pour finalité la formalisation des connaissances utiles pour l'aide à la décision et pour l'aide à la conception de villes résilientes aux inondations. En particulier et en préliminaire, l'évaluation de la résilience urbaine vis-à-vis du risque inondation constitue l'apport principal de mes recherches pour permettre de s'appuyer sur un socle scientifique solide en vue de la fabrication de la ville résiliente, à moyen terme. Les méthodes employées et les outils développés, ou en cours de développement, ont pour objectifs d'une part d'informer sur le niveau de résilience de la ville par rapport à des scénarios d'inondation, d'autre part d'aider sur les décisions à prendre pour augmenter le niveau de résilience des territoires urbains. Cette recherche est donc transdisciplinaire et au service de la ville. La discipline scientifique principale utilisée dans le cadre de nos recherches est le Génie Urbain, discipline par essence transversale faisant appel à d'autres disciplines, parmi lesquelles la systémique, la Sûreté de Fonctionnement, la théorie des graphes, la recherche opérationnelle, la géographie urbaine et la géographie des risques, l'aide à la décision et les Sciences de l'Information Géographique. Cette recherche s'appuie essentiellement sur trois concepts :  le concept de gestion patrimoniale des ouvrages de génie civil appliqué aux digues de protection contre les inondations. Notre apport scientifique consiste en la production d'un modèle fonctionnel déterministe de l'évaluation de la performance des digues vis-à-vis de leurs mécanismes de rupture. Les méthodes employées proviennent de la Sûreté de Fonctionnement et de l'aide à la décision multicritère.  le concept de résilience urbaine en réponse à une gestion des risques jusqu'alors centrée sur la gestion des aléas. Le développement d'une méthodologie d'évaluation de la résilience des réseaux techniques urbains est l'objectif. Pour cela, nous analysons la capacité de résistance des réseaux, leur capacité d'absorption et leur capacité de récupération. Nous nous appuyons sur le modèle fonctionnel développé pour les digues, ensuite nous proposons la conception d'un indicateur de redondance des réseaux sur la base de la théorie des graphes et de travaux de géographie des réseaux.  le concept de système d'information à référence spatiale d'aide à la décision à destination des gestionnaires d'ouvrages de génie civil, des gestionnaires des réseaux techniques urbains, des collectivités territoriales et des services de l'Etat. Nous utilisons les Sciences de l'Information Géographique pour enrichir les fonctionnalités classiques des systèmes d'information existant avec les connaissances produites en termes de performance et de résilience. Il s'agit d'améliorer les capacités d'analyse des systèmes d'information par l'incorporation de nos modèles, avec, in fine, un objectif d'aide à la décision pour la ville résiliente aux inondations. La recherche entreprise est partenariale et s'opère dans plusieurs projets de recherche comme FloodProBE, FloodResilienCity, Resilis et Paris Résiliente. Les partenaires liés à cette recherche collaborative et applicative sont nombreux, internationaux et de nature différente. Parmi les partenaires académiques, cette recherche est menée avec le Cemagref, le laboratoire PRODIG (co-directions de thèses), le LEESU (Département Génie Urbain), l'Université de Sheffield (UK), aussi, mais dans des objectifs plus opérationnels, avec Deltares (NL) et Sintef (N). Sur le plan industriel, les Groupe Egis et Sogreah sont impliqués côté français, tout comme HR Wallingford (UK) et Dura Vermeer (NL). Enfin, puisque notre recherche est appliquée, plusieurs collectivités territoriales participent à cette recherche et bénéficient des résultats : la Ville de Paris et les Grands Lacs de Seine en Ile de France, le Conseil Général du Loiret, l'AgglO et la Ville d'Orléans sur le Bassin de la Loire, et, à l'international, les Villes de Bradford (UK), Dublin (Irl), Mainz (D), Bruxelles et Leuven (B), Rotterdam et Dordrecht (NL), Trondheim (N), Prague (CZ), puis, La Nouvelle-Orléans (USA). La recherche que je mène depuis le début de ma thèse s'inscrit, du fait de mon parcours universitaire et professionnel, dans une démarche logiquement transdisciplinaire. Je m'appuie sur un corpus scientifique et disciplinaire qui me permet de répondre à l'objectif de rendre la ville plus résiliente face aux risques. Ainsi, je dispose de disciplines que je sélectionne et adapte pour répondre à ce besoin sociétal d'adapter les enjeux urbains aux aléas naturels et technologiques. Parmi ces disciplines, rassemblées sous le Génie Urbain, on retrouve l'urbanisme et l'aménagement de l'espace, le génie civil, les Sciences de l'Information Géographique, la géographie, l'analyse de risque,... Ces disciplines articulées entre elles représentent une contribution à l'amélioration des conditions de la résilience des villes. Les méthodes et outils développés sont d'abord génériques, puis ils sont testés et validés avec les gestionnaires des villes (Dublin, thèse de Serge Lhomme, Paris, thèse de Marie Toubin). La dimension spatiale de ma recherche en constitue aussi un fil conducteur : localiser, spatialiser, analyser les effets des risques et des mesures de résilience dans l'espace urbain font partie intégrante du processus de résilience urbaine et d'aide à la décision pour les acteurs concernés. Ces méthodes et outils développés puis testés, en co-construction avec les acteurs urbains, permettent une appréhension des politiques à mener à l'avenir à la fois en termes d'intégration du risque en ville, mais aussi pour la mise en place d'un urbanisme et d'un aménagement urbain plus résilients.

No description available.

La stabilité et le développement des nations dépendent grandement de leurs Infrastructures Critiques (IC). Vu leur importance, de nombreuses menaces guettent leurs systèmes d’information - aussi appelés Infrastructures d’Information Critiques (IIC) -, parmi elles: les atteintes à l’intégrité de leurs données et processus informatisés ainsi que les abus pouvant survenir au cours des collaborations avec d’autres parties. L’intégrité d’une information, qui est sa propriété de ne pas être altérée, est primordiale pour les IIC puisqu’elles manipulent et génèrent des informations devant nécessairement être correctes et fiables. Dans un contexte de mondialisation et d’ouverture, les IC ne peuvent évoluer sans collaborer avec leur environnement. Toutefois, cela n’est pas sans risques puisque les ressources qu’elles engagent peuvent faire l’objet de corruptions et de sabotages. Tentant de réduire les risques de corruptions pouvant émaner de l’intérieur comme de l’extérieur, nous avons œuvré à l’amélioration du mécanisme de contrôle d’accès. Incontournable, il vise à limiter les actions auxquelles peuvent prétendre les utilisateurs légitimes du système, conformément à la politique de sécurité de l’organisation. La pertinence et la finesse de cette dernière impacte grandement l’efficacité du mécanisme. Ainsi, les modèles de contrôle d’accès sont utilisés pour faciliter l’expression et l’administration desdites politiques. OrBAC est un modèle riche et dynamique, satisfaisant plusieurs besoins des IIC, en revanche il reste limité quant à la prise en charge de l’intégrité, aussi bien en contexte localisé que distribué. Ainsi, nous avons proposé une extension d’OrBAC pour les environnements localisés, Integrity-OrBAC (I-OrBAC), qui tient compte de contraintes réelles liées à l’intégrité pour statuer sur les requêtes d’accès. I-OrBAC intègre des paramètres issus de l’application de méthodes d’analyse de risques pour refléter les besoins des ressources passives et apprécier, à leur juste valeur, les habilitations des sujets. Cela nous a orientés vers une modélisation en multi-niveaux d’intégrité qui favorisera la priorisation des biens sensibles, comme la stipule les programmes de protection des IC. Dans I-OrBAC, les niveaux d’intégrité servent aussi bien à contraindre l’attribution des privilèges qu’à la rendre plus flexible : ces niveaux restreignent les accès pour garantir que seuls les utilisateurs chevronnés accèdent aux ressources sensibles, mais permettent aussi aux sujets de différents rôles de réaliser une même tâche, étant bien sûr assujettis à des niveaux seuils différents. Pour rendre I-OrBAC proactif - non limité à statuer uniquement sur les requêtes d’accès - nous avons proposé un algorithme qui vise à déterminer le sujet le plus adéquat, parmi les rôles prioritaires, pour la réalisation d’une tâche sans attendre que les sujets n’en fassent la requête. L’algorithme est décrit par un système d’inférence pour faciliter sa compréhension tout en favorisant la conduite de raisonnements logiques et la dérivation de conclusions. Nous avons proposé une implémentation de notre modèle dans le cadre d’une étude de cas tirée du projet européen FP7 CRUTIAL relatif aux réseaux de transport et de distribution d’électricité. Finalement, pour pallier les problèmes issus des collaborations, nous avons fait appel aux contrats électroniques pour étendre I-OrBAC aux environnements distribués - l’extension Distributed IOrBAC (DI-OrBAC). Ces pactes servent non seulement à définir le contexte, les clauses ainsi que les activités à réaliser mais aussi à prévenir l’occurrence de litiges et à les résoudre. Toutefois, nous avons dû concevoir des mécanismes adaptés à notre modèle I-OrBAC pour leur négociation et leur application. / Nations stability and development depend deeply on their Critical Infrastructures (CI). Given their importance, many threats target their information systems - also called Critical Information Infrastructures (CII) -, among them: the attacks against integrity of their data and computerized processes and the abuses that may occur during the collaborations with other parties. Information integrity, that is its property of not being corrupted, is paramount to the CII as they manipulate and generate information that must necessarily be correct and reliable. In the context of globalization and openness, CI cannot evolve without collaborating with their environment. However, this is not without risks, since their resources can be targets of corruptions and sabotages. Trying to reduce corruption risks that may occur both from inside and outside, we focused on improving the access control mechanism. Being necessary, it aims to limit the actions of the system legitimate users in accordance with the organization security policy. The relevance and the fine-grained property of the policy impact the effectiveness of the mechanism. Therefore, access control models are used to facilitate the expression and the administration of such policies. OrBAC is a rich and dynamic model, satisfying several CII needs; however it remains limited as to the support of integrity, both in local and distributed environments. Thus, we proposed an OrBAC extension for local environments, Integrity-OrBAC (IOrBAC), which takes into account real integrity constraints to rule on access requests. I-OrBAC includes some parameters extracted from the application of risk analysis methods to reflect passive resources needs and appreciate pertinently subjects’ clearances. This led us to a multi integrity levels modeling, that promotes the prioritization of sensitive resources just like the CI protection programs do. In I-OrBAC the integrity levels are used both to constraint the assignment of privileges and to make it more flexible: these levels restrict access to ensure that only experienced users access sensitive resources but also allow subjects of different roles to perform the same task, of course being subject to different threshold levels. To make IOrBAC proactive - not only being limited to ruling on access requests - we proposed an algorithm that aims to determine the most appropriate subject, among the priority roles, for achieving a task without waiting for subjects to request it. The algorithm is described by an inference system to ease its understanding while promoting the conduct of logical reasoning and deriving conclusions. We proposed an implementation of our model through a case study drawn from the FP7 European project (CRUTIAL) on electrical energy transmission and distribution. Finally, to address problems that arise from collaborations, we used electronic contracts to enrich and extend IOrBAC to serve in distributed environments - the extension is called Distributed I-OrBAC (DI-OrBAC). These agreements aim, on the one hand, to define the context, terms and activities to be achieved and serve, on the other hand, to prevent and resolve the disputes. However, we had to design appropriate mechanisms for our I-OrBAC model in order to lead correct negotiations and rigorous enforcement of these contracts.

Nous abordons des problèmes de sécurité dans des systèmes cyber-physiques industriels. Les attaques contre ces systèmes doivent être traitées à la fois en matière de sûreté et de sécurité. Les technologies de contrôles imposés par les normes industrielles, couvrent déjà la sûreté. Cependant, du point de vue de la sécurité, la littérature a prouvé que l’utilisation de techniques cyber pour traiter la sécurité de ces systèmes n’est pas suffisante, car les actions physiques malveillantes seront ignorées. Pour cette raison, on a besoin de mécanismes pour protéger les deux couches à la fois. Certains auteurs ont traité des attaques de rejeu et d’intégrité en utilisant une attestation physique, p. ex., le tatouage des paramètres physiques du système. Néanmoins, ces détecteurs fonctionnent correctement uniquement si les adversaires n’ont pas assez de connaissances pour tromper les deux couches. Cette thèse porte sur les limites mentionnées ci-dessus. Nous commençons en testant l’efficacité d’un détecteur qui utilise une signature stationnaire afin de détecter des actions malveillantes. Nous montrons que ce détecteur est incapable d’identifier les adversaires cyber-physiques qui tentent de connaître la dynamique du système. Nous analysons son ratio de détection sous la présence de nouveaux adversaires capables de déduire la dynamique du système. Nous revisitons le design original, en utilisant une signature non stationnaire, afin de gérer les adversaires visant à échapper à la détection. Nous proposons également une nouvelle approche qui combine des stratégies de contrôle et de communication. Toutes les solutions son validées à l’aide de simulations et maquettes d’entraînement / We address security issues in cyber-physical industrial systems. Attacks against these systems shall be handled both in terms of safety and security. Control technologies imposed by industrial standards already cover the safety dimension. From a security standpoint, the literature has shown that using only cyber information to handle the security of cyber-physical systems is not enough, since physical malicious actions are ignored. For this reason, cyber-physical systems have to be protected from threats to their cyber and physical layers. Some authors handle the attacks by using physical attestations of the underlying processes, f.i., physical watermarking to ensure the truthfulness of the process. However, these detectors work properly only if the adversaries do not have enough knowledge to mislead crosslayer data. This thesis focuses on the aforementioned limitations. It starts by testing the effectiveness of a stationary watermark-based fault detector, to detect, as well, malicious actions produced by adversaries. We show that the stationary watermark-based detector is unable to identify cyber-physical adversaries. We show that the approach only detects adversaries that do not attempt to get any knowledge about the system dynamics. We analyze the detection performance of the original design under the presence of adversaries that infer the system dynamics to evade detection. We revisit the original design, using a non-stationary watermark-based design, to handle those adversaries. We also propose a novel approach that combines control and communication strategies. We validate our solutions using numeric simulations and training cyber-physical testbeds