"Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de LL.M. en droit option droit des technologies de l'information" / La question posée est: le vote par internet à distance est-il conforme aux exigences du droit électoral québécois et canadien? Ce mémoire procède en trois étapes. Premièrement, nous déterminons quels sont les principes directeurs qui assurent à une élection sa légitimité. Deuxièmement, nous raffinons notre recherche en ne conservant que les principes qui demeurent pertinents dans un contexte électronique. Le vote doit répondre aux principes suivants: suffrage universel, périodicité, égalité, secret, liberté, sécurité et transparence du processus. Troisièmement, nous transposons les étapes du cycle électoral sur internet. Les problématiques identifiées relèvent davantage de facteurs politiques que techniques ou juridiques. Ainsi la cryptographie et l'introduction du vote individuel multiple, qui n'enregistre que le dernier vote effectué, serviraient la confidentialité du vote. La sécurité du processus pourrait être atteinte notamment par des mesures de protection physique des serveurs, une chaîne de contrôles continue et la diffusion du code source du logiciel du vote. L'accès à la technologie serait accru par la mise en place d'un réseau gratuit de points d'accès publics à internet et des activités de formation. Quant à l'accès aux handicapés, la conformité du logiciel de vote à des principes reconnus d'accessibilité y contribuerait. Pour l'identification, la stratégie des secrets partagés, entre électeurs et autorité électorale, permettrait de dématérialiser cette étape. En conclusion, les lois électorales ne s'opposent pas, dans leur esprit, au vote par internet à distance. Il suffirait de les actualiser dans leur forme. / To come to an answer, this thesis employed a three step approach; firstly, we determined the guiding principles which ensure an election's legitimacy. Secondly, we refined our research by retaining only the principles relevant in an electronic context. The vote must abide by the following principles: Vote for all, periodicity, equality, secrecy, freedom, safety and transparency of the process. Thirdly, we transposed the stages of the electoral cycle on the Internet. The identified problems are more political than they are legal or technical. For instance, the confidentiality of the vote can be helped with the use of cryptography, and the introduction of the multiple individual vote, which would make it possible to record only the last vote cast. The safety of the process can be reached by measures of physical protection of the servers, a continuous control mechanism and an access to the source code of the voting software. Accessibility to the technology could be increased with a network of public access points to the Internet, and with education clinics. With respect to the handicapped voters, the voting software should comply with recognised principles of accessibility. To identify the voters, shared secrecies between the voter and the electoral authorities could allow a dematerialisation of this procedure. In conclusion, the spirit of our electoral laws would allow for the introduction of an Internet voting process.

La question posée est: le vote par internet à distance est-il conforme aux exigences du droit électoral québécois et canadien? Ce mémoire procède en trois étapes. Premièrement, nous déterminons quels sont les principes directeurs qui assurent à une élection sa légitimité. Deuxièmement, nous raffinons notre recherche en ne conservant que les principes qui demeurent pertinents dans un contexte électronique. Le vote doit répondre aux principes suivants: suffrage universel, périodicité, égalité, secret, liberté, sécurité et transparence du processus. Troisièmement, nous transposons les étapes du cycle électoral sur internet. Les problématiques identifiées relèvent davantage de facteurs politiques que techniques ou juridiques. Ainsi la cryptographie et l'introduction du vote individuel multiple, qui n'enregistre que le dernier vote effectué, serviraient la confidentialité du vote. La sécurité du processus pourrait être atteinte notamment par des mesures de protection physique des serveurs, une chaîne de contrôles continue et la diffusion du code source du logiciel du vote. L'accès à la technologie serait accru par la mise en place d'un réseau gratuit de points d'accès publics à internet et des activités de formation. Quant à l'accès aux handicapés, la conformité du logiciel de vote à des principes reconnus d'accessibilité y contribuerait. Pour l'identification, la stratégie des secrets partagés, entre électeurs et autorité électorale, permettrait de dématérialiser cette étape. En conclusion, les lois électorales ne s'opposent pas, dans leur esprit, au vote par internet à distance. Il suffirait de les actualiser dans leur forme. / To come to an answer, this thesis employed a three step approach; firstly, we determined the guiding principles which ensure an election's legitimacy. Secondly, we refined our research by retaining only the principles relevant in an electronic context. The vote must abide by the following principles: Vote for all, periodicity, equality, secrecy, freedom, safety and transparency of the process. Thirdly, we transposed the stages of the electoral cycle on the Internet. The identified problems are more political than they are legal or technical. For instance, the confidentiality of the vote can be helped with the use of cryptography, and the introduction of the multiple individual vote, which would make it possible to record only the last vote cast. The safety of the process can be reached by measures of physical protection of the servers, a continuous control mechanism and an access to the source code of the voting software. Accessibility to the technology could be increased with a network of public access points to the Internet, and with education clinics. With respect to the handicapped voters, the voting software should comply with recognised principles of accessibility. To identify the voters, shared secrecies between the voter and the electoral authorities could allow a dematerialisation of this procedure. In conclusion, the spirit of our electoral laws would allow for the introduction of an Internet voting process. / "Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de LL.M. en droit option droit des technologies de l'information"

Le présent travail de recherche a pour objet de concevoir, de développer et d'expérimenter un outil de mesure de la performance des systèmes de management environnemental (SME) des entreprises. S'il existe déjà différents outils de mesure de cette dernière, ceux-ci différent selon les contingences des entreprises (l'environnement de ces dernières étant par nature différent), sont difficilement (voire pas du tout) transposables d'une entreprise à l'autre et interdisent toute comparaison interentreprises (voire inter-sites au sein d'une même entreprise) des SME mis en oeuvre. L'apport de la démarche de modélisation et d'ingénierie proposée réside ainsi dans la formalisation d'une méthode de mesure de la performance des SME reposant sur l'amélioration de la mesure dela conformité règlementaire des entreprises. De la méthode découle un outil opérationnel ayant vocation à être utilisé par l'ensemble des entreprises, ce, quelle que soit leur forme (centralisée ou décentralisée sur de nombreux sites), leur branche d'activité, le nombre de salariés, etc. Cet outil propose de mesurer la performance du SME au travers de ses principales dimensions, notamment, la maîtrise de la conformité règlementaire, normative et interne, l'analyse environnementale et enfin l'élaboration d'un plan d'actions correctives et proactives ainsi que le suivi de sa mise en oeuvre, ce dans une perspective d'amélioration continue. L'originalité de cette démarche réside dans la prise en compte des interrelations existant entre ces différentes dimensions en vue d'enrichir les systèmes classiques de mesure de la performance.

Si le droit de la vente apparait comme un droit riche, il est également devenu un droit complexe, voire confus. La question des actions que les victimes– acquéreurs ou tiers – peuvent mettre en œuvre, en cas de violation des attentes légitimes relatives à l’état du bien, se trouve au cœur de cette complexité. La diversité des actions offertes aux victimes semble a priori être un facteur de protection de leurs intérêts et gage d’une réparation efficace. Elle se révèle pourtant très vite source d’insécurité juridique. Soumis à des notions imprécises et a des règles de concours d’actions incertaines, le choix de l’action s’avère délicat. Une réforme s’impose afin de déterminer avec clarté et cohérence l’action à exercer pour obtenir réparation. La transposition de la directive n° 1999/44/ce du 25 mai 1999 était sans doute l’occasion d’une telle réforme. L’opportunité n’a malheureusement pas été saisie. Une nouvelle action en garantie de conformité dont seuls les consommateurs sont bénéficiaires a été consacrée, créant ainsi de nouveaux concours d’actions. Une réorganisation profonde des actions, fondée sur le critère de la nature des dommages, s’avère souhaitable. Pour les dommages subis par la chose, une action en garantie de conformité, sans distinction quant a la cause des désordres ou la qualité de consommateur, est préconisée. Quant aux dommages causés par la chose, la responsabilité du fait des produits défectueux, régime impératif en cas d’atteintes à la sécurité, et la responsabilité du fait personnel devront se coordonner / Sales law appears as a rich law. However, it is also a complex law, verily a confused law. The question of the lawsuits that victims (purchasers or third parties) can file, in case of a breach of the legitimate expectations relating to the state of a good they purchased, is the main issue. The fact that the victims can file many different lawsuits could be interpreted as a good way to protect their interests as well as to obtain an effective compensation for the damage suffered by them. Nevertheless, this diversity leads mostly to legal uncertainty. Indeed, the choice of the right lawsuit appears tricky because it depends on some unspecified notions and confused rules relating to the multiplicity of lawsuits. A reform is also required to define with clarity and coherence which lawsuit has to be filed in order to obtain compensation for damage. The transposition of the directive n° 1999/44/ce of 25 may 1999 was without any doubt the occasion to implement such a reform. Unfortunately, the opportunity was not grabbed. A new lawsuit regarding conformity of goods, which can only be filed by consumers, has been established increasing the risk of multiplicity of lawsuits. It is advisable to carry out a deep reorganisation of the lawsuits based on the criteria of the nature of the damage. Regarding damage to the goods, a lawsuit based on the conformity guarantee, without any distinction linked to the cause of the damage or the status of the consumer, is recommended. Regarding damage due to the goods, the liability for defective products, which is a mandatory liability in case of a breach to the safety, should coordinate with the personal liability

Les systèmes logiciels complexes sont omniprésents dans notre vie quotidienne. De ce fait, un dysfonctionnement peut occasionner aussi bien une simple gêne qu'un danger mettant en péril des vies humaines. Le test est l'une des techniques les plus répandues (en particulier dans l'industrie) pour détecter les erreurs d'un système. Lorsque le cahier des charges d'un système est décrit par une spécification formelle, le test de conformité est utilisé pour garantir un certain niveau de confiance dans la correction d'une implémentation de ce système - dans ce cadre, la relation de conformité formalise la notion de correction. Cette thèse se focalise sur le test de conformité pour les systèmes concurrents. Le test de conformité pour les systèmes concurrents utilise principalement des modèles qui interprètent la concurrence par des entrelacements. Néanmoins, cette approche souffre du problème de l'explosion de l'espace d'états et elle n'offre pas la possibilité de tester certaines propriétés de la spécification telle que l'indépendance entre actions. Pour ces raisons, nous utilisons une sémantique d'ordres partiels pour la concurrence. De plus, nous proposons une nouvelle sémantique qui permet à certaines actions concurrentes d'être entrelacées et en force d'autres à être implémentées indépendamment. Nous proposons une généralisation de la relation de conformité ioco où les spécifications sont des réseaux de Petri et leur sémantique d'ordres partiels est donnée par leur dépliage. Cette relation de conformité permet de préserver l'indépendance, dans l'implémentation, des actions spécifiées comme concurrentes. Nous présentons un cadre de test complet pour cette relation. Nous définissons la notion de cas de test globaux gérant la concurrence, réduisant ainsi non seulement la taille des cas de test mais aussi celle de la suite de tests. Nous montrons comment les cas de test globaux peuvent être construits à partir du dépliage de la spécification en s'appuyant sur une traduction SAT, et nous réduisons le problème de la sélection de tests à la sélection d'un préfixe fini de ce dépliage : nous définissons différents critères de sélection à partir de la notion d'événement limite (cut-off event). Enfin, en supposant que chaque processus d'un système distribué possède une horloge locale, nous montrons que la conformité globale peut être testée dans une architecture de test distribuée en utilisant seulement des testeurs locaux ne communiquant pas entre eux. / Complex systems are everywhere and are part of our daily life. As a consequence, their failures can range from being inconvenient to being life-threatening. Testing is one of the most widely accepted techniques (especially in industry) to detect errors in a system. When the requirements of the system are described by a formal specification, conformance testing is used to guarantee a certain degree of confidence in the correctness of an implementation- in this setting a conformance relation formalizes the notion of correctness. This thesis focuses on conformance testing for concurrent systems. Conformance testing for concurrent system has mainly focused on models that interpret concurrency by interleavings. This approach does not only suf- fer from the state space explosion problem, but also lacks the ability to test properties of the specification such as independence between actions. For such reasons, we focus not only on partial order semantics for concurrency, but also propose a new semantics that allows to interleave some actions while forcing others to be implemented as independent. We propose a generalization of the ioco conformance relation, based on Petri nets specifications and their partial order semantics given by their unfoldings, preserving thus independence of actions from the specification. A complete testing framework for this conformance relation is presented. We introduce the notion of global test cases which handle concurrency, reducing not only the size of the test case, but also the number of tests in the test suite. We show how global test cases can be constructed from the unfolding of the specification based on a SAT encoding and we reduce the test selection problem to select a finite prefix of such unfolding: different testing criteria are defined based on the notion of cut-off events. Finally, we show that assuming each process of a distributed system has a local clock, global conformance can be tested in a distributed testing architecture using only local testers without any communication.

Thèse en cotutelle Université Laval, Québec, Canada, Philosophiæ doctor (Ph. D.) et Ghent University, Gent, Belgique / Comment les fonctionnaires publics conçoivent-ils les mécanismes de mise en œuvre applicables aux accords multilatéraux sur l'environnement (AME) ? Depuis les années 1990, ces mécanismes sont progressivement devenus essentiels au fonctionnement d'un nombre important d'AME, servant d'alternative coopérative au règlement juridique des différends pour répondre à des cas potentiels de non-conformité avec les accords. La littérature dominante sur la conception des traités (treaty design) suggère que les États identifient rationnellement leurs préférences et négocient les dispositions des accords afin de maximiser leur utilité. Pourtant, la forme que revêtent les mécanismes de mise en œuvre dans les AME ne cadre pas avec cette proposition. Alors qu'une lecture rationnelle de leur conception voudrait que des circonstances de négociations similaires conduisent systématiquement à un mécanisme similaire, la conception des mécanismes de conformité dans les AME a plutôt convergé au fil du temps. Ma thèse vise à éclairer cette divergence entre les prédictions théoriques dominantes et la réalité empirique, en étudiant le processus par lequel les fonctionnaires conçoivent les mécanismes de mise en œuvre des AME. Je soutiens que les explications rationnelles de la conception des traités ont trois limites inhérentes : elles se focalisent sur les États en tant qu'acteurs principaux, elles étudient les résultats plutôt que les processus de conception, et elles sont limitées par leur postulat initial de rationalité. En réponse, je propose un nouveau cadre théorique qui articule comment les liens interpersonnels entre les fonctionnaires gouvernementaux influencent les résultats des négociations. Je suggère qu'au travers d'interactions répétées lors de réunions internationales, les fonctionnaires publics viennent à former une communauté transnationale de politiques qui s'articule autour de leur identité professionnelle partagée. Les membres de cette communauté partagent des normes, des récits, une connaissance mutuelle les uns des autres, et une certaine confiance. Je construis un mécanisme causal mixte qui conceptualise la conception des AME comme un processus partiellement rationnel, mais qui est également influencé par l'appartenance des fonctionnaires publics à une communauté. Je teste cette proposition grâce à une stratégie empirique en trois volets. Tout d'abord, je caractérise les résultats potentiels du mécanisme causal en explorant les formes que prennent les mécanismes de mise en œuvre dans un ensemble d'AME déjà en vigueur. Ensuite, grâce à un sondage auprès de 307 fonctionnaires, je vérifie que la condition initiale selon laquelle une communauté de fonctionnaires existe dans le domaine des AME est remplie. Finalement, je réalise une étude de cas de la Convention de Minamata sur le mercure. Grâce à des entretiens semi-structurés et à l'analyse de documents officiels de négociation, je retrace le processus par lequel les fonctionnaires publics ont sélectionné le mécanisme de mise en œuvre de la Convention. Cette thèse contribue à la littérature en élargissant le pouvoir explicatif des théories de conception rationnelle des traités. Elle propose d'ouvrir la « boîte noire » de l'État en tenant compte des liens interpersonnels entre les individus comme facteur influençant les décisions étatiques. Elle approfondit la compréhension du choix de dispositions des traités internationaux en construisant un mécanisme causal qui éclaire leur processus de négociation. Enfin, elle va au-delà de la rationalité en théorisant l'impact qu'ont les structures sociales sur la conception des traités. Dans l'ensemble, elle offre une analyse plus complète des processus de conception, qui explique ainsi une gamme étendue de résultats. En étudiant le processus par lequel les acteurs conçoivent les mécanismes de mise en œuvre des AME, j'entends offrir une nouvelle perspective sur la conception des traités au sens large, qui peut éventuellement être étendue à des cas similaires non seulement dans la sphère environnementale, mais aussi dans d'autres domaines. / How do public officials design compliance mechanisms in multilateral environmental agreements (MEAs)? Since the 1990s, such mechanisms have progressively become a staple in a large number of MEAs. They serve as a cooperative alternative to adversarial dispute settlement procedures, with the same overarching purpose of responding to suspected instances of non-compliance. Much of the literature on treaty design starts from the assumption that states rationally identify and bargain for the set of provisions that best serves their interests. Yet, the form that compliance mechanisms take in MEAs does not fit with this proposition: where the rational design literature would expect similar circumstances to lead to a similar, utility-maximizing design every time, the design of compliance mechanisms in MEAs has instead converged over time. My thesis aims to shed light on this divergence from theoretical expectations by studying the process through which public officials design compliance mechanisms. I argue that rational explanations of treaty design face three inherent limits: their focus on states as main actors, their focus on outcomes as opposed to processes, and their very assumption of rationality. In response, I introduce a theoretical framework that highlights how interpersonal ties between public officials influence negotiation outcomes. I suggest that, through repeated interactions at international meetings, public officials can come to form a transnational policy community centered around their shared professional identity. I expect members of this community to share norms, policy narratives, knowledge of one another, and trust. I build a mixed causal mechanism that conceptualizes treaty design as a process that is partially rational, but is also influenced by public officials' membership in a community. I test this proposition through a three-pronged empirical strategy. I first characterize the causal mechanism's potential outcomes, by exploring the forms that compliance mechanisms take in a set of existing MEAs. Through a survey of 307 public officials, I then verify that the initial condition that a community of public officials exists in the MEA sphere is met. Finally, I conduct a case study of the design of the Minamata Convention on Mercury. Based on semi-structured interviews and official negotiation documents, I trace the process through which public officials selected its compliance mechanism. This thesis contributes to the literature by extending rational design's explanatory power. It opens up the “black box” of the state by considering interpersonal ties between individuals. It deepens our understanding of design outcomes by building a causal mechanism that provides a plausible account of negotiation processes. Finally, it looks beyond rationality by theorizing the impact that social structures have on treaty design. All in all, this provides a fuller account of design processes that explains an extended array of outcomes. By studying the process through which actors design these mechanisms, I set out to gain new insights into treaty design more broadly, that can eventually be extended to similar cases both within and outside of the MEA sphere.

Dans des chaînes logistiques décentralisées, chaque entité prend ses décisions sur la base de ses seuls intérêts. Les conflits d’intérêt entre entités conduisent dès lors à des décisions sous-optimales et à une performance dégradée de la chaîne logistique considérée dans sa globalité. Ceci nuit également gravement à la crédibilité des échanges d'informations entre entités. Ce mémoire traite de l’étude de la coordination des décisions dans des chaînes logistiques dans un contexte de problème de capacité d'approvisionnement (Capacity Procurement problem), dans différentes situations et en s’appuyant sur 3 modèles. Le premier modèle considère une chaîne logistique dyadique confrontée à une demande stochastique et étudie l’impact des prix sur la performance. Des contrats PARD (PARtially Deductible, reservation contract) et RCRS (Revenue Sharing Reservation contract with Penalty) sont conçus et proposés pour une coordination des décisions dans un contexte d’information partielle ou totale. Il est mathématiquement démontré que la coordination est réalisée par la mise en œuvre de ces contrats dans ces deux situations. Dans le second modèle, l’hypothèse de prix endogène est posée. La demande est alors modélisée comme la somme d’une fonction linéaire décroissante du prix et d’un paramètre stochastique. Le modèle s’intéresse en premier lieu à une structure dyadique, et un contrat RSRP (Revenue Sharing Reservation contract with Penalty) est proposé pour une coordination par les prix, délais et taux de production. Il est démontré que la coordination est assurée par un contrat RSRP dans une structure dyadique. L’application d’un contrat RSRP est ensuite étendue pour application dans une chaîne logistique divergente avec de multiples détaillants. Il est démontré que la performance de la chaîne logistique est considérablement améliorée au regard de la performance résultant de la mise en place d’un seul contrat de vente. Dans le troisième modèle, une chaîne logistique divergente comprenant un fournisseur et de multiples détaillants est étudiée lorsque ces derniers font face à une demande stochastique et dépendante des prix. Un des facteurs non financiers cause de déviations dans les décisions humaines est la Confiance. Dans ce modèle, les détaillants ont des prévisions plus fiables de la demande en raison de leur proximité au marché. Afin de sécuriser la disponibilité des produits lors des périodes de vente, les détaillants sont incités à transmettre des prévisions de vente majorées. Un mécanisme de coordination de la chaîne logistique est proposé, reposant sur un modèle d’optimisation, un système de notation et un système de récompense-punition. S’appuyant sur une approche de simulation, la performance de ce mécanisme est alors comparée à deux autres mécanismes, un mécanisme sans confiance et un mécanisme asymétrique. / In decentralized Supply Chains, each member decides based on his own interests. Conflict of interests results in suboptimal decisions and poor performance for entire supply chains, as well seriously harms credibly information sharing across them. In this thesis, coordination of decisions in supply chains in the context of Capacity Procurement problem are studied in different situations in form of three models. In first model, a dyadic supply chain with stochastic demand and exogenous price is investigated by taking various costs into account. PARD and RCRS contracts are designed and proposed in order for coordination of decisions respectively in full and partial information updating situations. It is mathematically shown that coordination is achieved by using each contract in its corresponding situation. In second model, endogenous price is assumed. That is, demand is modeled as sum of a decreasing linear function of price and a stochastic parameter. The model is first examined in a dyadic structure, and RSRP contract is proposed for coordinating of price, production time and production rate decisions. It is proved that coordination is achieved by RSRP contract in the dyadic structure. The application of RSRP contract is then extended to be employed in a divergent supply chain with multiple retailers, and shown that the supply chain performs considerably better than the same supply chain with a wholesale contract. In third model, a divergent supply chain comprising a supplier and multiple retailers is studied where retailers face stochastic and price-dependent demand. Since main decision makers in supply chain interactions are human, paying attention to human decision making process and their biases from theoretical predictions are important in designing coordination mechanisms. One of the non-pecuniary factors which cause deviations in human-decisions is Trust. In this model, the retailers have more accurate demand forecast information due to their proximity to market. In order to secure availability of products during the selling season, the retailers have incentives to inflate their private forecast information. A coordination mechanism is proposed, which consists of an optimization model, a scoring system and a rewarding-punishing system, in order to coordinate the supply chain. Using simulation approach, performance of the mechanism is then compared to those of two other mechanisms, namely Without Trust an Asymmetric mechanism. According to the results, employing the mechanism in situations with any demand variability is advised. More accurately, in situations with high demand variability, the mechanism achieves a proper profit improvement and moderate capability for identifying deceptive agents, while in situations with low demand variability, the mechanism shows insignificant profit improvement and considerable ability in identifying deceptive agents.

Mémoire numérisé par la Direction des bibliothèques de l'Université de Montréal.

Les quatre chapitres de cette thèse s’attachent à répondre à deux questions de recherche.Dans un premier temps, je développe des outils théoriques et statistiques visant à mesurer la sûreté nucléaire malgré la rareté des accidents nucléaires majeurs. En particulier, j’applique des résultats de théorie de la décision afin de déterminer le coût social espéré d’un accident nucléaire majeur, en prenant en compte les attitudes individuelles envers les incertitudes qui le caractérisent. Ensuite, j’utilise des données récentes concernant des incidents de sûreté déclarés dans les réacteurs Français afin de mener une analyse statistique de l’évolution de la sûreté nucléaire au cours des 20 dernières années.Dans la seconde partie de cette thèse, j’aborde la question de l’implémentation de réglementations de la sûreté nucléaire et des politiques post-accidentelles face à des risques rares et catastrophiques. En particulier, j’évalue empiriquement l’effet d’une politique publique française encadrant la surveillance des opérateurs nucléaires par des commissions locales sur le comportement déclaratif des opérateurs et sur leur conformité avec les réglementations existantes. Je propose ensuite une analyse par la théorie des jeux des problèmes de coordination qui existent entre les stratégies de communications de crises et les politiques publiques de prévention et de compensation post-accidentelles. / The four chapters of this Ph.D. thesis follow two research axes.First, I develop theoretical and statistical tools for the measurement of nuclear safety, when rare occurrences of accidents preclude the measurement of objective probabilities of incurring harm. In particular, using recent results from decision theory, I develop a framework for the assessment of the expected social cost of major nuclear accidents that accounts for the attitude of individuals towards the uncertainties that characterize their likelihood of occurrence. Next, I provide an empirical analysis of the French nuclear safety based on a novel dataset containing all the significant safety events reported in the currently-operated French reactors. Despite their minor consequences, I show how valuable information regarding safety can be drawn from this data.In the second part of the thesis, I tackle the question of the implementation of safety regulations and disaster management strategies when risks are rare and catastrophic. I first focus on identifying the causal impact of an information-based incentive mechanism implemented in France on the levels of safety care and compliance exerted by nuclear plant managers. I then develop a cheap-talk model to analyse the coordination of disaster communication strategies with several preparedness and disaster response policies.

Le test de conformité est le processus permettant de contrôler qu'un système possède un ensemble de propriétés souhaitées et se comporte conformément à certaines exigences prédéfinies. Dans ce contexte, les techniques de test passif sont utilisées lorsque le système sous test ne peut être interrompu ou l'accès aux interfaces du système est indisponible. Le test passif s'appuie sur l'observation de l'application pendant l'exécution, et la comparaison de l'observation avec le comportement attendu, défini à travers des propriétés de conformité. L'objectif de cette thèse est la définition d'une méthodologie de validation des protocoles communicants par test passif. Les approches existantes sont issues de travaux basés sur des spécifications à états finis ou de transitions étiquetées et comme tels, ils présument l'existence d'une relation de causalité entre les évènements observés dans la trace du système. Pour le traitement des protocoles basés sur des messages, comme le protocole SIP (fondamental pour les services IMS), telle causalité n’existe pas nécessairement et en outre, elle ne peut être déterminée que par la partie données du protocole. Étant donné que les techniques existantes sont optimisées pour traiter les parties de contrôle, ils présentent des limites pour les tests basés sur des parties de données: expressibilité réduite de propriétés de conformité, entre autres. Dans ce travail nous présentons une approche sur la base des messages et données pour traiter ces problèmes. Les observations dans une trace sont sous la forme de messages. Le comportement attendu est défini de manière ascendante, à partir des critères basés sur les relations entre les champs des données des messages. Des relations temporelles sont définies entre ces critères, par exemple, une propriété peut exiger que certains critères “doit être reconnu pour tous les messages dans la trace”. Notre approche permet d’exprimer des formules sur l’avenir et le passé de la trace, permettant de définir des critères plus généraux que ceux qui utilisent uniquement des parties de contrôle. Des problèmes liés à la satisfaction des propriétés et la déclaration des verdicts de conformité sont également discutés. Bien que l'observation d'un comportement défini comme une propriété est un indice de conformité, l'absence d'observation n'est pas nécessairement indicative d'une faute. Plusieurs solutions à ce problème ont été proposées et mises en œuvre dans ce travail. Enfin, notre travail présente des perspectives intéressantes en termes d'extensibilité pour la détection en ligne ou une expressivité améliorée, mais aussi car une approche basée sur des messages fournit une vision alternative aux techniques de test traditionnelles / Conformance testing is the process of checking that a system possesses a set of desired properties and behaves in accordance with some predefined requirements. In this context, passive testing techniques are used when the system under test cannot be interrupted or access to the system's interfaces is unavailable. Passive testing relies on the observation of the implementation during runtime, and the comparison of the observation with the expected behavior, defined through conformance properties. The objective of this thesis is to define a novel methodology to validate communicating protocols by passive testing. Existing approaches are derived from works with finite-state and labelled transition specifications and as such, they presume there exists a causality relation between the events observed in the implementation (the trace). When dealing with message-based protocols, such as the Session Initiation Protocol (fundamental for IMS services), such causality does not necessarily exist and furthermore, it may only be determined through data parts. Since existing techniques are optimized for dealing with control parts, they present limitations for testing based on data parts: reduced expressibility and succinctness of conformance properties, as well as problems to deal with satisfaction of properties including future conditions. In this work we present a message-based/data-centric approach for dealing with these issues. Observations in a trace are in the form of messages. Expected behavior is defined in a bottom-up fashion, starting from expected criteria that must be fulfilled by one or more messages, defined as constraints between the message data fields. Temporal relations by quantification over the criteria, e.g. a property may require that certain criteria "must be held for all messages in the trace". Our approach allows to express formulas about the future and past of the trace, allowing to define more general criteria than through control parts alone. Issues related to satisfaction of properties and declaration of conformance verdicts are also discussed here. Although observation of a behavior defined as a property is indication of conformance, lack of observation is not necessarily indicative of a fault. Several solutions to this issue have been proposed and implemented in this work. Finally, our work presents interesting perspectives, in terms of extensibility for online detection or improved expressiveness, but also since a message-based approach provides an alternative view to traditional testing techniques