Le but de ce rapport est de présenter une méthode globale de développement à partir de spécifications informelles, depuis la modélisation graphique des exigences temporelles d'un système ferroviaire critique jusqu'à une implantation systématique au moyen de méthodes formelles. Nous proposons d'utiliser ici les réseaux de Petri temporels pour décrire le comportement attendu du logiciel de contrôle-commande à construire.Tout d'abord nous construisons un modèle des exigences p-temporel prenant en compte toutes les contraintes que doit vérifier le système. Nous proposons des outils et des méthodes capables de valider et de vérifier ce modèle. Ensuite, il s'agit de construire un modèle de processus solution en réseau de Petri t-temporel. Ce modèle illustre des exigences techniques relatives à un choix technologique ou architectural. L'objectif est double : tout d'abord il est nécessaire de vérifier la traçabilité des exigences ; ensuite, il faut vérifier que l'ensemble des exigences sources sont bien implémentées dans la solution préconisée et dans sa mise en oeuvre. Enfin, nous proposons une approche visant à transformer de façon systématique le modèle de processus en machine abstraite $B$ afin de poursuivre une procédure formelle $B$ classique. Finalement, le cas d'étude du passage à niveau, composant critique dans le domaine de la sécurité ferroviaire est décrit

L'objet de cette thèse est de définir des méthodes d'analyse hiérarchique des réseaux de Petri (un formalisme de modélisation du contrôle des systèmes distribués). Premièrement, nous étudions la transformation de réseaux par remplacement de sous-réseaux ouverts: une notion d'équivalence est définie telle que si on remplace un sous-réseau ouvert par un réseau équivalent on obtient un réseau équivalent au réseau d'origine; puis nous définissons la classe des réseaux réentrants, pour laquelle la vérification de l'équivalence, complexe en général, devient simple. Deuxièmement, l'examen de la composition de réseaux par fusion de places conduit à deux résultats: la conservation d'espace d'accueil dans certaines conditions d'indépendance par rapport aux places partagées, et celle de l'absence d'interblocage lors de la composition des réseaux à ressources ordonnées (dans un sens différent de la solution classique). Enfin, un nouveau concept de norme pour la preuve de la propriété d'espace d'accueil est défini, muni d'opérations de composition permettant une vérification modulaire de cette propriété.

Ce travail s’inscrit dans le cadre d’étude de la sûreté de fonctionnement. La sûreté de fonctionnement est progressivement devenue partie intégrante de l’évaluation des performances des systèmes industriels. En effet, les pannes d’équipements, les pertes de production consécutives, et la maintenance des installations ont un impact économique majeur dans les entreprises. Il est donc essentiel pour un manager de pouvoir estimer de manière cohérente et réaliste les coûts de fonctionnement de l’entreprise, en tenant notamment compte des caractéristiques fiabilistes des équipements utilisés, ainsi que des coûts induits entre autres par le non-fonctionnement du système et la restauration des performances de ses composants après défaillance. Le travail que nous avons réalisé dans le cadre de ce doctorat se concentre sur un aspect particulier de la sûreté de fonctionnement, à savoir les politiques de remplacement d’équipements basées sur la fiabilité des systèmes qu’ils constituent. La recherche menée part de l’observation suivante : si la littérature consacrée aux politiques de remplacement est abondante, elle repose généralement sur l’hypothèse implicite que les nouveaux équipements envisagés présentent les mêmes caractéristiques et performances que celles que possédaient initialement les composants objets du remplacement. La réalité technologique est souvent bien différente de cette approche, quelle que soit la discipline industrielle envisagée. En effet, de nouveaux équipements sont régulièrement disponibles sur le marché ; ils assurent les mêmes fonctions que des composants plus anciens utilisés par une entreprise, mais présentent de meilleures performances, par exemple en termes de taux de défaillance, consommation d’énergie, " intelligence " (aptitude à transmettre des informations sur leur état de détérioration)... De plus, il peut devenir de plus en plus difficile de se procurer des composants de l’ancienne génération pour remplacer ceux qui ont été déclassés. Cette situation est généralement appelée obsolescence technologique. Le but de ce travail est de prolonger et d’approfondir, dans le cadre de la sûreté de fonctionnement, les réflexions engagées par les différents articles présentés dans la section état de l’art afin de définir et de modéliser des stratégies de remplacements d’équipements soumis à obsolescence technologique. Il s’agira de proposer un modèle, faisant le lien entre les approches plus économiques et celles plus fiabilistes, permettant de définir et d’évaluer l’efficacité, au sens large, des différentes stratégies de remplacement des unités obsolètes. L’efficacité d’une stratégie peut se mesurer par rapport à plusieurs critères parfois contradictoires. Parmi ceux-ci citons, évidemment, le coût total moyen engendré par la stratégie de remplacement, seul critère considéré dans les articles cités au chapitre 2, mais aussi la façon dont ces coûts sont répartis au cours du temps tout au long de la stratégie, la variabilité de ces coûts autour de leur moyenne, le fait de remplir certaines conditions comme par exemple d’avoir remplacé toutes les unités d’une génération par des unités d’une autre génération avant une date donnée ou de respecter certaines contraintes sur les temps de remplacement. Pour arriver à évaluer les différentes stratégies, la première étape sera de définir un modèle réaliste des performances des unités considérées, et en particulier de leur loi de probabilité de défaillance. Etant donné le lien direct entre la probabilité de défaillance d’un équipement et la politique de maintenance qui lui est appliquée, notamment la fréquence des maintenances préventives, leur effet, l’effet des réparations après défaillance ou les critères de remplacement de l’équipement, un modèle complet devra considérer la description mathématique des effets des interventions effectuées sur les équipements. On verra que la volonté de décrire correctement les effets des interventions nous a amené à proposer une extension des modèles d’âge effectif habituellement utilisés dans la littérature. Une fois le modèle interne des unités défini, nous développerons le modèle de remplacement des équipements obsolètes proprement dit. Nous appuyant sur la notion de stratégie K proposée dans de précédents travaux, nous verrons comment adapter cette stratégie K à un modèle pour lequel les temps d’intervention ne sont pas négligeables et le nombre d’équipes limité. Nous verrons aussi comment tenir compte dans le cadre de cette stratégie K d’une part des contraintes de gestion d’un budget demandant en général de répartir les coûts au cours du temps et d’autre part de la volonté de passer d’une génération d’unités à l’autre en un temps limité, ces deux conditions pouvant être contradictoires. Un autre problème auquel on est confronté quand on parle de l’obsolescence technologique est le modèle d’obsolescence à adopter. La manière dont on va gérer le risque d’obsolescence dépendra fortement de la manière dont on pense que les technologies vont évoluer et en particulier du rythme de cette évolution. Selon que l’on considère que le temps probable d’apparition d’une nouvelle génération est inférieur au temps de vie des composants ou supérieur à son temps de vie les solutions envisagées vont être différentes. Lors de deux applications numériques spécifiques. Nous verrons au chapitre 12 comment envisager le problème lorsque l’intervalle de temps entre les différentes générations successives est largement inférieur à la durée de vie des équipements et au chapitre 13 comment traiter le problème lorsque le délai entre deux générations est de l’ordre de grandeur de la durée de vie des équipements considérés. Le texte est structuré de la manière suivante : Après une première partie permettant de situer le contexte dans lequel s’inscrit ce travail, la deuxième partie décrit le modèle interne des unités tel que nous l’avons utilisé dans les différentes applications. La troisième partie reprend la description des stratégies de remplacement et des différentes applications traitées. La dernière partie permet de conclure par quelques commentaires sur les résultats obtenus et de discuter des perspectives de recherche dans le domaine.

Les performances temporelles d'une architecture de contrôle-commande conditionnent fortement celles du système automatisé de production commandé. Pour maîtriser ces performances temporelles, l'architecte automaticien doit pouvoir les évaluer à chaque phase du cycle de développement : de l'étude d'avant-projet à la conception détaillée ainsi que lors de la mise au point. Il n'a cependant pas les mêmes attentes concernant les performances estimées. Des résultats approximatifs, obtenus rapidement à partir de données encore imprécises, lui suffisent en début de cycle de développement, alors que des prévisions fiables, même si elles sont plus difficiles à obtenir, lui sont nécessaires en conception détaillée. L'approche que nous présentons prend en compte ces différents besoins et contraintes. Elle consiste en une méthode d'évaluation des performances temporelles d'architectures de commande complexes distribuées en réseaux, destinée à accompagner l'architecte tout au long du cycle de développement. Cette méthode est basée sur une modélisation modulaire du comportement temporel de la commande par réseaux de Petri Colorés Temporisés. Pour ce faire, trois temps sont nécessaires dans la modélisation. La modélisation de l'architecture fonctionnelle consiste à représenter les fonctions de commande, et leurs interactions. La modélisation de l'architecture matérielle permet de traduire la topologie et les connexions entre équipements de commandes (automates programmables, réseaux de communication, ...). L'affectation des fonctions de commande aux équipements ainsi que la prise en compte des communications entre ces fonctions via des réseaux de communication constitue le modèle de l'architecture opérationnelle. Une fois le modèle de comportement de l'ensemble de l'architecture opérationnelle constitué, l'évaluation des performances temporelles est réalisée par simulation du réseau de Petri obtenu. Pour valider notre approche, nous traitons un exemple significatif à l'aide de la plate forme logicielle Design CPN. Cette étude de cas nous permet de présenter une série d'études portant sur la convergence de nos modèles, sur la sensibilité des résultats de simulation aux erreurs de paramétrages et sur la précision des performances obtenues par simulation en les confrontant à celles mesurées sur le système réel.

Nous proposons dans notre thèse une nouvelle méthodologie pour le développement des protocoles de communication et des applications réparties en explorant une approche de synthèse automatisée. Après avoir effectué un état de l'art sur les techniques de synthèse de protocoles, nous présentons, dans la première partie de la thèse, une nouvelle méthode de synthèse automatique de spécifications de protocoles à partir de spécifications de services dans un modèle de réseaux de Petri interprétés. Notre approche de synthèse est basée sur un nouveau concept de raffinement de réseaux de Petri qui assure la correction des protocoles construits de façon incrémentale. L'intérêt principal de cette méthode par rapport aux techniques classiques basées sur l'analyse est qu'elle évite la phase supplémentaire de validation du protocole qui passe souvent par une analyse exhaustive dont le problème fondamental est l'explosion combinatoire. De plus, le coût de construction des protocoles est considérablement diminué. Partant d'une description de service, notre technique de synthèse permet de dériver automatiquement au niveau protocole l'ensemble des fonctionnalités suivantes: (1) traitements répartis, (2) flot de contrôle, (3) flot de données, (4) contrôle de la cohérence des données, (5) et choix distribué. Elle constitue, de ce fait, un "bon" compromis entre le pouvoir de synthèse et le pouvoir d'expression des services relativement aux techniques existantes. Dans la deuxième partie de la thèse nous présentons une application réelle de notre méthode de synthèse à la conception du protocole de transport ISO de base (ISO 8073), le point de départ de la conception étant la spécification du service de transport ISO 8072. Dans la troisième partie de la thèse, nous présentons un ensemble d'outils logiciels pour la synthèse automatique de protocoles que nous appelons STEPS (Software Toolset for automatEd Protocol Synthesis). Nous avons développé cet ensemble d'outils afin de démontrer l'utilité et la faisabilité de l'approche de synthèse que nous proposons. La sémantique de notre modèle de spécification étant assez proche de celle du langage Estelle, nous proposons une extension de notre démarche pour la synthèse de spécifications de protocoles dans le langage Estelle. L'intérêt est que ces spécifications peuvent être directement exploitées par des outils existants afin de générer automatiquement du code exécutable ou d'effectuer des simulations et des évaluations de performances.

Cette thèse s'inscrit dans le cadre de la vérification automatique de programmes concurrents basée sur un modèle formel intermédiaire: les réseaux de Petri colorés de haut-niveau. Nous nous attachons à combattre le phénomène d'explosion combinatoire lié à l'exploration explicite de l'ensemble des entrelacements possibles du système. Pour cela, nous nous proposons de tirer profit de la quantité de mémoire et de la puissance de calcul offerte par un réseau local de machines travaillant de manière coopérative. Par le biais d'une analyse structurelle, nous cherchons à répartir efficacement le graphe d'accessibilité du système. Nous nous attachons ensuite à conserver l'efficacité des techniques visant à limiter l'explosion combinatoire dans cet environnement réparti en relâchant notamment les contraintes de cohérence sur l'exploration du graphe. Nous avons alors validé ces approches à l'aide d'un vérifieur réparti et multithreadé dans lequel nous avons implémenté nos algorithmes.

Comprendre la genèse d'une situation de conduite requiert d'analyser les choixfaits par le conducteur au volant de son véhicule pendant l'activité de conduite, dans sacomplexité naturelle et dans sa dynamique située. Le LESCOT a développé le modèleCOSMODRIVE, fournissant un cadre conceptuel pour la simulation cognitive de l'activitéde conduite automobile. Pour exploiter ce modèle en simulation, il est nécessairede produire les connaissances liées à la situation de conduite sous forme d'un automatepar exemple. La conception d'un tel automate nécessite d'une part de disposer de donnéesissues de la conduite réelle, enregistrées sur un véhicule instrumenté et d'autrepart d'une expertise humaine pour les interpréter.Pour accompagner ce processus d'ingénierie des connaissances issues de l'analysed'activité, ce travail de thèse propose une méthode de découverte interactive deconnaissances à partir de traces d'activité. Les données de conduite automobile sontconsidérées comme des M-Traces, associant une sémantique explicite aux données,exploitées en tant que connaissances dans un Système à Base de Traces (SBT). Le SBTpermet de filtrer, transformer, reformuler et abstraire les séquences qui serviront à alimenterla synthèse de modèles automates de l'activité de conduite. Nous reprenons destechniques de fouille de workflow permettant de construire des automates (réseaux dePetri) à partir de logs. Ces techniques nécessitent des données complètes ou statistiquementreprésentatives. Or les données collectées à bord d'un véhicule en situationde conduite sont par nature des cas uniques, puisqu'aucune situation ne sera jamaisreproductible à l'identique, certaines situations particulièrement intéressantes pouvanten outre être très rarement observées. La gageure est alors de procéder à une forme degénéralisation sous la forme de modèle, à partir d'un nombre de cas limités, mais jugéspertinents, représentatifs, ou particulièrement révélateurs par des experts du domaine.Pour compléter la modélisation de telles situations, nous proposons donc de rendreinteractifs les algorithmes de synthèse de réseau de Petri à partir de traces, afin depermettre à des experts-analystes de guider ces algorithmes et de favoriser ainsi la découvertede connaissances pertinentes pour leur domaine d'expertise. Nous montreronscomment rendre interactifs l'algorithme α et l'algorithme α+ et comment généralisercette approche à d'autres algorithmes.Nous montrons comment l'utilisation d'un SBT et de la découverte interactived'automates impacte le cycle général de découverte de connaissances. Une méthodologieest proposée pour construire des modèles automates de l'activité de conduiteautomobile.Une étude de cas illustre la méthodologie en partant de données réelles de conduiteet en allant jusqu'à la construction de modèles avec un prototype logiciel développédans le cadre de cette thèse

Les réseaux de communication offrent à ce jour un ensemble de services très<br />diversifié aussi bien pour les industriels, les banques, la recherche, pour des particuliers et récemment<br />dans la médecine et la commande à distance. A cette forte utilisation des réseaux<br />viennent s'ajouter des contraintes de performances, de sécurité et de qualité de service que les<br />fournisseurs de service se doivent de respecter. L'étude des performances des réseaux ainsi que<br />leur modélisation exacte est donc un pas important pour la connaissance des influences des<br />différents liens des lignes de transmission sur les données qui les traversent. Afin d'évaluer l'in-<br />fluence des réseaux de communication dans la transmission des données, nous proposons de<br />modéliser puis d'étudier une ligne de transmission TCP/IP soumise aux protocoles de contrôle<br />de congestion et plongée dans un environnement Internet. L'outil de modélisation utilisé est les<br />RdP hybrides. Un modèle a été établi à base duquel toutes les dynamiques peuvent être observées<br />à tous les niveaux d'une communication (charge des buffers, baisse des vitesses à l'entrée<br />des routeurs, séparation des flux par les routeurs, priorités, stockage des données, retards, pertes,<br />etc.). Ce modèle détaillé nous a aussi permis de visualiser directement l'effet des changements<br />de paramètres de la ligne et des protocoles sur l'évolution de la transmission sur la ligne : Un<br />large panel de simulations a donc été effectué afin de visualiser ces différentes performances.<br />Enfin, un travail d'amélioration du temps de détection des pertes sur une ligne a été effectué.

L'avancée technologique que les systèmes embarqués ont connue lors de ces dernières années les rend de plus en plus complexes. Ils sont non seulement responsables de la commande des différents composants mais aussi de leur surveillance. A l'occurrence d'événement pouvant mettre en danger la vie des utilisateurs, une certaine configuration du système est exécutée afin de maintenir le système dans un état dégradé mais sûr. Il est possible que la configuration échoue conduisant le système dans un état appelé " état redouté " avec des conséquences dramatiques pour le système et l'utilisateur. La description des scénarios qui mènent le système vers l'état redouté à partir d'un état de fonctionnement 'normal' permet de comprendre les raisons de la dérive afin de prévoir les configurations nécessaires qui permettent de les éviter Dans notre approche d'analyse de sûreté de fonctionnement des systèmes dynamiques, les scénarios sont générés à partir d'un modèle réseau de Petri. En s'appuyant sur la logique linéaire comme nouvelle représentation (basée sur les causalités) du modèle réseau de Petri, une analyse qualitative permet de déterminer un ordre partiel de franchissement des transitions et ainsi extraire les scénarios redoutés. La démarche est focalisée sur les parties du modèle intéressantes pour l'analyse de fiabilité évitant ainsi l'exploration de toutes les parties du système et le problème de l'explosion combinatoire. L'objectif final consiste en la détermination de scénarios minimaux. En effet, un scénario peut bien mener vers l'état redouté sans qu'il soit minimal. Il contient des événements qui ne sont pas strictement nécessaires à l'obtention finale de l'état critique redouté. De même que la notion de coupe minimale a été définie dans le cadre des arbres de défaillance, nous proposons une définition de ce qu'est un scénario minimal dans le cas des réseaux de Petri. Pour prendre en compte La nature hybride des systèmes, nous avons développé un simulateur hybride basé sur le couplage de l'algorithme de génération de scénarios redoutés avec un solveur d'équations différentielles. L'algorithme se charge de la partie discrète modélisée par le réseau de Petri et le solveur d'équations de la partie continue modélisée par un ensemble d'équations différentielles. Afin d'avoir une approche système pour l'analyse de la sûreté de fonctionnement, nous proposons une approche qui permet de prendre en compte les exigences de sûreté dans le processus d'ingénierie des exigences qui permet d'établir un modèle de traçabilité afin de s'assurer de la prise en compte de ces exigences tout au long du cycle de vie du système. L'approche est basée sur une norme de l'ingénierie système, en l'occurrence l'EIA-632.

Les travaux exposés dans ce mémoire portent sur la conception de l'architecture de conduite des systèmes automatisés de production. Ils ont été développés au sein du Laboratoire Universitaire de Recherche en Production Automatisée (LURPA - EA 1385). Il s'agit de travaux prospectifs dont l'objectif est de construire un cadre méthodologique formel de conception et d'évaluation d'architectures.<br /><br />La première partie est consacrée à l'exposé du cadre méthodologique retenu et comporte quatre chapitres dans lesquels sont successivement abordés :<br /><br /> * la problématique générale de la conception d'architectures de conduite, ainsi qu'une revue des \travaux scientifiques dans le domaine,<br /> * la présentation générale de la méthode proposée avec le point de vue des activités de conception, d'évaluation et de choix d'architecture,<br /> * la présentation détaillée de la construction d'architecture avec cette fois le point de vue des différents modèles produits,<br /> * la présentation détaillée d'évaluation et de choix de l'architecture retenue avec encore une fois le point de vue des modèles d'évaluation. <br /><br />La seconde partie du mémoire est destinée à préciser et à valider par l'exemple la méthode proposée. Pour ce faire, nous l'avons appliquée à la conception de l'architecture de conduite d'un poste de lance ment d'un transfert libre. Le plan de cette étude suit de manière ordonnée la démarche que nous avons présenté dans la première partie.