Lorsqu’un conducteur prend en main un nouveau véhicule, celui-ci risque de présenter un comportement routier différent. Pour autant cela ne nécessite pas d’apprentissage particulier de la part du conducteur et il sera très rapidement capable de maîtriser ce véhicule. Cet acte anodin révèle une capacité propre aux systèmes biologiques qui s’étend pour l’être humain, bien au-delà du champ spécifique de la conduite automobile. En effet, nous sommes dans nos gestes quotidiens confrontés continuellement à un environnement changeant. Nos capacités d’apprendre confèrent à nos connaissances sur le monde et sur notre interaction avec celui-ci une plasticité qui se révèle essentielle. Mais ces capacités ne sont pas infinies et la détermination de leurs limites présente un réel défi pour les constructeurs automobiles qui proposent de plus en plus fréquemment des systèmes embarqués pouvant modifier le comportement dynamique du véhicule. Par ailleurs, l’étude de l’adaptation d’un conducteur à un comportement imprévisible du véhicule ou d’un de ses systèmes d’aide à la conduite peut se révéler complexe à mettre en place, coûteuse en instrumentation voire dangereuse. L’avènement des outils de simulation et de réalité virtuelle permet aujourd’hui de contourner certaines de ces limitations. Toutefois, la conduite d’expérimentations exhaustives quant aux types d’évènements possibles avec un nombre de sujets suffisamment important pour être pertinent en regard de la diversité des profils de conducteurs est impossible. L’utilisation de modèles, de comportement du conducteur est donc nécessaire. Cependant de tels modèles dotés de capacités adaptatives sont encore trop peu nombreux. De ce constat nous nous proposons dans cette étude d’établir un modèle de conducteur ayant la propriété de pouvoir intégrer des modifications de l’environnement. Plusieurs hypothèses existent sur la manière dont le système nerveux central peut réagir à de tels évènements. Nous identifions en particulier la stratégie de mise à jour de modèle interne et celle de modulation de l’impédance des membres. Nous intégrons au sein de notre modèle ces deux stratégies afin de lui conférer une certaine cohérence physiologique mais aussi pour en étudier les performances propres. Nous proposons alors une méthodologie pour l’étude de l’adaptation sensorimotrice des conducteurs que nous appliquons au cas de la conduite en virage. Nous établissons ainsi un nouveau modèle adaptatif de la tâche de conduite pour le contrôle latéral. Nous proposons également une calibration des différents paramètres de ce modèle. Nous réalisons alors deux expérimentations mettant en lumière les capacités d’adaptation des conducteurs. Puis, nous montrons de quelle manière notre modèle permet d’apporter des éléments de réponse sur les mécanismes responsables de cette adaptation. Enfin nous suggérons une application de aux études de sûreté de fonctionnement. / Whenever a driver takes over a new vehicle, he is likely to experience a different road behavior of the car. However, this does not require any special training for the driver as he will be very prompt in controlling his vehicle. This usual action is evidencing a genuine capability which is specific to biological systems and, for any human being, expanding far beyond the particular application of automobile drive. As a matter of fact, we are constantly facing a changing environment in our daily motions. Our learning capabilities generate a unique adaptability which is key to our understanding of the world as well as our interaction with it. However, these capabilities are not infinite and their limit fixing constitutes a true challenge for car manufacturers who are more and more often offering embedded systems capable of modifying the dynamic behavior of the vehicle. Moreover, the survey on driver’s adaptability to an unpredictable behavior of either the vehicle or its drive aided systems may turn out to be complex to implement, cost prohibitive in instrumentation or even hazardous. Today, the introduction of simulation and virtual reality tools allows to get rid of some of these limitations. However, the conduct of exhaustive experiments proves to be impossible considering the nature of possible events involving a large number of drivers to be meaningful and their inherent profile diversity. Utilization of driver behavior models becomes therefore an absolute necessary. It is worth notice that such models featured with adaptive capabilities are still far too few. Consequently, we are proposing in this survey to set up a driver model with the capability of integrating environmental changes. There are several hypotheses to explore as to the way the central nervous system is responding to such events. More specifically, we are analyzing the updating strategy of internal models and impedance modulation. Both strategies are being integrated into our model so as to make it more coherent physiologically and permit further evaluation of its inherent performances. Moreover, we are formulating a methodology for the study of sensorimotor driver’s adaptability which we are using for turn driving application. In this way, we are setting up a new adaptive driving task model for lateral side application. We are also proposing this model with a calibration of its various parameters. Then, we are achieving two experiments evidencing adaptive driver’s capabilities. Next, we are demonstrating how our model helps understanding this adaptation. Finally, we are developing a possible application to the in-operation safety surveys.

Les systèmes de contrôle-commande importants pour la sûreté de fonctionnement doivent répondre à un certain nombre d’exigences, au premier rang desquelles se trouvent les exigences réglementaires, édictées par les autorités nationales et complétées par un ensemble de recommandations pratiques et de textes normatifs. Les exigences de ce domaine sont peu formalisées, les relations de traçabilité, et par conséquent l'organisation des exigences de ce vaste domaine est souvent implicite. Enfin, les passerelles entre contextes nationaux différents sont très peu développées. Les travaux de cette thèse se situent dans ce contexte industriel en partenariat avec EDF R&D et au sein du projet CONNEXION regroupant les acteurs majeurs du contrôle-commande nucléaire français. Les contributions de la thèse s'articulent autour de l'approche INCREMENT (Intrumentation aNd Control regulatory REquirement Modeling Environment) qui adresse les deux premiers challenges présentés, et en particulier : (1) la formalisation du domaine où nous proposons à la fois une description du domaine et un métamodèle permettant une capitalisation et une vue globale d'un référentiel d'exigences, (2) une base outillée pour l'acquisition automatique de documents, un environnement graphique pour la manipulation de modèles et l'apport de techniques de recherche d'information pour la traçabilité des exigences, (3) une approche originale avec une hybridation entre modélisation et recherche d'information pour une amélioration de la traçabilité des exigences. Le métamodèle proposé et ses outils sont utilisés dans l'industrie dans le projet CONNEXION. Notre approche hybride a permis dans nos expérimentations de réduire, en moyenne, la taille de ces espaces de 65% comparé aux approches standard de recherche d'information, sans en dégrader le contenu. / Instrumentation and Control (I&C) Systems important to safety must conform to their requirements, where regulatory requirements are first class entities, written by national safety authorities and completed using a set of national recommendation guides or standards. The global domain knowledge is scattered, not formalized and traceability links and the organization within the domain are implicit. Bridges between different national practices are not developed, whereas the understanding of requirements and practices variability concerns becomes a significant industrial issue. The thesis sets up in an industrial context with EDF R&D and the CONNEXION project that gathered the French nuclear I&C industry. Its contributions are defined around the INCREMENT approach (Instrumentation aNd Control Regulatory Requirement Modeling Environment) that addresses the two first challenges previously introduced. In particular, they consist in: (1) the domain formalization itself by the proposal of a metamodel that allows a high level capitalization of a requirements corpus as well as its organization, (2) a tool-support basis to gather partial knowledge from the textual documents, manipulate such models that conform to the proposed metamodel, and Information retrieval techniques to support better requirements traceability, (3) the proposal of an original hybrid approach, mixing both metamodeling and information retrieval, and combine them in a mutual beneficial joint use. The metamodel and its tool support are used in the industrial context of the CONNEXION project. Where information retrieval techniques for requirements traceability suffer from large sets of false positives limitations, our hybrid approach allowed us to reduce this noise and the size of the candidate links research space by a mean of 65% without decreasing their global quality.

La Sûreté de Fonctionnement (SdF) est un domaine étudié de façon de plus en plus rigoureuse par les concepteurs. Si la SdF relative aux organes bénéficie de retours d'expériences sur lesquels le développement de solutions physiques peut s'appuyer, tel n'est pas le cas lorsqu'il s'agit de concevoir les architectures fonctionnelles d'un produit. L'architecte Système conceptualise et conçoit un système qui doit fournir un service selon certaines performances ; son cadre de référence, à savoir l'Ingénierie Système étant lacunaire en matière de SdF. De la sorte, l’ingénieur expert en SdF intervient après l'architecte, réalise ses propres analyses fonctionnelles, perturbant le travail réalisé et obligeant à des boucles qui pourraient être évitées. Il convient de ce fait, pour les industriels, de s'intéresser de près à l'alignement entre la SdF et l'IS. Nous avons obtenu quatre résultats. Le premier est un modèle conceptuel de l’Ingénierie de Systèmes Sûrs de Fonctionnement. Ce modèle conceptuel permet de définir les concepts et les liens entre le domaine de l'IS et celui de la SdF. Le macroprocessus présenté permet de définir l’architecture d’un système sûr. Plusieurs activités spécifiques sont présentes dans le macroprocessus. Ainsi, nous avons développé une méthode qui concerne l’analyse des risques en vue externe. Nous avons proposé une nouvelle méthode qui permet de définir les Safety Goals associé pour les scénarios critiques et une autre permettant l’analyse des architectures fonctionnelles d’un point de vue dysfonctionnel pour définir les Functional Safety Requirements. Cette méthode repose sur des mécanismes de propagation de défaillance / Safety is an area which is increasingly stringent by designers. If Safety on components benefits from experience feedback on which the development of physical solutions can support, this is not the case when it comes to designing functional architecture of a product. The System Architect conceptualizes and designs a system that must provide service according to a defined level of performance; its framework, namely the System Engineering is incomplete for safety. In this way, the safety expert comes after architects, performs his/her own functional analyzes, disrupting the work and forcing loops that could be avoided. It should therefore, for industry to pay close attention to the alignment between the SE and safety. We got four results. The first one is a conceptual model of the Safe Systems Engineering. This conceptual model, divided into three views defines the concepts and relationships between the field of SE and that of safety. The assembly has a strong semantic consistency. The proposed macroprocess permits to define the architecture of a safe system. For this, we have divided into three design phases and four views. Thus, we developed a methodology on risk analysis in external view. Given the limitations of methods like Preliminary Hazard Analysis regarding the deliverables required by the ISO 26262:2011 (Hazard Analysis and Risk Assessment), we proposed a new method for defining the Safety Goals associated for critical scenarios and another method for analyzing the functional architecture with a dysfunctional point of view to define the Functional Safety Requirements

Les architectures des systèmes embarqués des nouvelles générations d'avions civils et militaires tendent à s'organiser autour d'une plateforme avionique constituée de calculateurs interconnectés par un réseau central. Ce type d'architecture a fait apparaitre le besoin de développer de nouvelles méthodes de conception afin d'assister le dialogue entre les concepteurs des fonctions à embarquer (commandes de vol, gestion de l'énergie, ...) et les architectes de la plateforme avionique. Il est, en particulier, primordial de s'assurer que l'allocation des ressources de la plateforme aux fonctions embarquées respecte les exigences de sûreté de fonctionnement propres aux systèmes avioniques. Dans un premier temps, un cadre général a été proposé pour modéliser et vérifier l'effet de l'allocation des ressources d'une plateforme avionique du point de la sûreté de fonctionnement. Ce cadre est fondé sur l'utilisation du langage AltaRica pour décrire formellement la propagation des défaillances au sein de systèmes embarqués et des outils associés à ce langage (model-checking, génération de séquences et d'arbres de défaillances) pour vérifier la tenue des exigences de sûreté de fonctionnement. Ce cadre a été utilisé pour étudier, d'une part, l'allocation d'équipements informatiques aux fonctions de systèmes embarqués, et d'autre part, les placements des équipements au sein de l'avion en tenant compte de risques tels que l'éclatement d'un pneu ou l'explosion d'un moteur. Dans un second temps, la génération d'allocations respectant les exigences de sûreté de fonctionnement a été étudiée. L'approche retenue est fondée sur l'expression de contraintes d'allocation sous forme d'inégalités linéaires entières et sur l'utilisation de techniques de résolution de ces contraintes. Plusieurs types de contraintes (ségrégation, co-location, exclusion, ...) sont pris en compte. De plus, des critères d'optimisation permettent de guider la résolution des contraintes de façon à proposer des allocations les plus pertinentes du point de vue des besoins des systèmes aéronautiques. Finalement, une approche intégrant les techniques de vérification et de génération a été proposée. La première étape consiste à vérifier un modèle des fonctions embarquées qui est indépendant de la plateforme avionique. Il est possible d'extraire automatiquement des contraintes d'allocation à partir des résultats de cette vérification. L'étape de résolution de contraintes génère alors une allocation sûre. Les travaux sont illustrés par deux études de cas industrielles : une fonction de suivi de terrain d'un avion de chasse et un système de génération et de distribution hydraulique d'un avion de type A320. / Abstract

Internet est un réseau de réseaux permettant la mise en œuvre de divers services consommés par les utilisateurs. Malheureusement, chacun des éléments présents dans le réseau ou impliqués dans ces services peut potentiellement exhiber des défaillances. Une défaillance peut être perçue par un nombre variable d'utilisateurs suivant la localisation dans le système de la source de celle-Ci. Cette thèse propose un ensemble de contributions visant à déterminer du point de vue d'un utilisateur percevant une défaillance, si celle-Ci est perçue par un faible nombre d'utilisateurs (défaillance isolée) ou à l'inverse par un très grand nombre d'utilisateurs (défaillance massive). Nous formalisons dans un premier temps les défaillances par leur impact sur la perception des services consommés par les utilisateurs. Nous montrons ainsi qu'il est impossible, du point de vue d'un utilisateur, de déterminer de manière certaine si une défaillance perçue est isolée ou massive. Cependant, il possible de déterminer de manière certaine pour chaque utilisateur, s'il a perçu une défaillance isolée, massive, ou s'il est impossible de le déterminer. Cette caractérisation est optimale et totalement parallélisable. Dans un second temps, nous proposons une architecture pour la caractérisation de fautes. Les entités du système s'organisent au sein d'une structure à deux niveaux permettant de regrouper ensemble les entités ayant des perceptions similaires et ainsi mener à bien l'approche proposée. Enfin, une analyse probabiliste de la résistance au dynamisme et aux comportements malveillants du second niveau de cette architecture complète ce document. / The Internet is a global system of interconnected computer networks that carries lots of services consumed by users. Unfortunately, each element this system may exhibit failures. A failure can be perceived by a variable range of users, according to the location of the failure source. This thesis proposes a set of contributions that aims at determining from a user perception if a failure is perceived by a few number of users (isolated failure) or in contrast by lots of them (massive failure). We formalize failures with respect to their impact on the services that are consumed by users. We show that it is impossible to determine with certainty if a user perceives a local or a massive failure, from the user point of view. Nevertheless, it is possible to determine for each user whether it perceives a local failure, a massive one or whether it is impossible to determine. This characterization is optimal and can be run in parallel. Then, we propose a self-Organizing architecture for fault characterization. Entities of the system organize themselves in a two-Layered overlay that allows to gather together entities with similar perception. This gathering allows us to successfully apply our characterization. Finally, a probabilistic evaluation of the resilience to dynamism and malicious behaviors of this architecture is performed.

Lorsqu'un conducteur prend en main un nouveau véhicule, celui-ci risque de présenter un comportement routier différent. Pour autant cela ne nécessite pas d'apprentissage particulier de la part du conducteur et il sera très rapidement capable de maîtriser ce véhicule. Cet acte anodin révèle une capacité propre aux systèmes biologiques qui s'étend pour l'être humain, bien au-delà du champ spécifique de la conduite automobile. En effet, nous sommes dans nos gestes quotidiens confrontés continuellement à un environnement changeant. Nos capacités d'apprendre confèrent à nos connaissances sur le monde et sur notre interaction avec celui-ci une plasticité qui se révèle essentielle. Mais ces capacités ne sont pas infinies et la détermination de leurs limites présente un réel défi pour les constructeurs automobiles qui proposent de plus en plus fréquemment des systèmes embarqués pouvant modifier le comportement dynamique du véhicule. Par ailleurs, l'étude de l'adaptation d'un conducteur à un comportement imprévisible du véhicule ou d'un de ses systèmes d'aide à la conduite peut se révéler complexe à mettre en place, coûteuse en instrumentation voire dangereuse. L'avènement des outils de simulation et de réalité virtuelle permet aujourd'hui de contourner certaines de ces limitations. Toutefois, la conduite d'expérimentations exhaustives quant aux types d'évènements possibles avec un nombre de sujets suffisamment important pour être pertinent en regard de la diversité des profils de conducteurs est impossible. L'utilisation de modèles, de comportement du conducteur est donc nécessaire. Cependant de tels modèles dotés de capacités adaptatives sont encore trop peu nombreux. De ce constat nous nous proposons dans cette étude d'établir un modèle de conducteur ayant la propriété de pouvoir intégrer des modifications de l'environnement. Plusieurs hypothèses existent sur la manière dont le système nerveux central peut réagir à de tels évènements. Nous identifions en particulier la stratégie de mise à jour de modèle interne et celle de modulation de l'impédance des membres. Nous intégrons au sein de notre modèle ces deux stratégies afin de lui conférer une certaine cohérence physiologique mais aussi pour en étudier les performances propres. Nous proposons alors une méthodologie pour l'étude de l'adaptation sensorimotrice des conducteurs que nous appliquons au cas de la conduite en virage. Nous établissons ainsi un nouveau modèle adaptatif de la tâche de conduite pour le contrôle latéral. Nous proposons également une calibration des différents paramètres de ce modèle. Nous réalisons alors deux expérimentations mettant en lumière les capacités d'adaptation des conducteurs. Puis, nous montrons de quelle manière notre modèle permet d'apporter des éléments de réponse sur les mécanismes responsables de cette adaptation. Enfin nous suggérons une application de aux études de sûreté de fonctionnement.

La présente étude s'insère dans le domaine de la sûreté de fonctionnement et se veut être une aide à la conception d'un calculateur tolérant des pannes. Plus précisément nous nous intéresserons à la prise en compte de quatre paramètres : la sécurité, la fiabilité, la performance et le coût de ce calculateur

Dans de nombreux domaines tels que l’avionique, la médecine ou la domotique, les applications logicielles jouent un rôle de plus en plus important, allant jusqu’à être critique pour leur environnement. Afin de pouvoir faire confiance à ces applications, leur développement est contraint par des exigences de sûreté de fonctionnement. En effet il est nécessaire de démontrer que ces exigences de haut-niveau sont prises en compte tout au long du cycle de développement et que des solutions concrètessont mises en œuvre pour parvenir à les respecter. De telles contraintes rendent le développement d’applications sûres de fonctionnement particulièrement complexe et difficile. Faciliter ce processus appelle à la recherche de nouvelles approches dedéveloppement qui intègrent des concepts de sûreté de fonctionnement et guident les développeurs lors de chacune des étapesnécessaires à la production d’une nouvelle application digne de confiance.Cette thèse propose ainsi de s’appuyer sur une approche dirigée par la conception pour guider le développement des applications sûres de fonctionnement. Cette approche est concrétisée à travers une suite d’outils nommée DiaSuite et offre du support dédié à chaque étape du développement. En particulier, un langage de conception permet de décrire à la fois les aspects fonctionnels et non-fonctionnels des applications en se basant sur un paradigme dédié et en intégrant des concepts de sûreté de fonctionnement tels que le traitement des erreurs. A partir de la description d’une application, du support est généré pour guider les phases d’implémentation et de vérification. En effet, la génération d’un framework de programmation dédié permet de guider l’implémentation tandis que la génération d’un modèle formel permet de guider la vérification statique de l’application et qu’un support de simulation permet de faciliter les tests. Cette approche est évaluée grâce à des cas d’études réalisés dans les domaines de l’avionique et de l’informatique ubiquitaire. / In many domains such as avionics, medecine or home automation, software applications play an increasingly important rolethat can even be critical for their environment. In order to trust these applications, their development is contrained by dependability requirements. Indeed, it is necessary to demonstrate that these high-level requirements are taken into account throughout the development cycle and concrete solutions are implemented to achieve compliance. Such constraints make the development of dependable applications particularly complex and difficult. Easing this process calls for the research of new development approaches that integrate dependability concepts and guide the developers during each step of the development of trustworthy applications.This thesis proposes to leverage a design-driven approach to guide the development of dependable applications. This approachis materialized through a tool-suite called DiaSuite and offers dedicated support for each stage of the development. Inparticular, a design language is used to describe both functional and non-functional applications. This language is based on adedicated paradigm and integrates dependability concepts such as error handling. From the description of an application, development support is generated to guide the implementation and verification stages. Indeed, the generation of a dedicated programming framework allows to guide the implementation while the generation of a formal model allows to guide the static verification and simulation support eases the testing. This approach is evaluated through case studies conducted in the domains of avionics and pervasive computing.

La sûreté de fonctionnement occupe une place prépondérante dans la conception de systèmes critiques, puisqu'un dysfonctionnement peut être dangereux pour les utilisateurs ou l'environnement. Les concepteurs doivent également démontrer aux autorités de certification que les risques encourus sont acceptables. Pour cela, le concepteurs définissent une architecture contenant un ensemble de mécanismes de sûreté permettant de mitiger ou tout du moins limiter la probabilité d’occurrence des risques identifiés. L'objectif de ce travail est de développer une méthode automatique et générique de synthèse d’architecture assurant formellement le respect d’exigences de sûreté. Cette activité de synthèse est formalisée comme un problème d'exploration de l'espace des architectures c'est-à-dire trouver un candidat appartenant à un espace de recherche fini, respectant les exigences de sûreté. Ainsi nous proposons un processus de résolution complet et correct des problèmes d'exploration basé sur l'utilisation des solveurs SMT. Les contributions principales sont:1- La formalisation de la synthèse comme un problème de Satisfiabilité Modulo Théorie (SMT) afin d’utiliser les solveurs existants pour générer automatiquement une solution assurant formellement le respect des exigences;2- Le développement de méthodes d’analyse spécialement conçues pour évaluer efficacement la conformité d’une architecture vis-à-vis d’un ensemble d’exigences;3- La définition d'un langage KCR permettant de formuler les problèmes d'exploration et l'implantation des méthodes de résolution au sein de l'outil KCR Analyser. / Safety is a major issue in the design of critical systems since any failure can be hazardous to the users or the environment of such systems. In some areas, such as aeronautics, designers must also demonstrate to the certification authorities that the risks are acceptable. To do so, the designers define an architecture containing a set of security mechanisms to mitigate or at least limit the probability of occurrence of the identified risks. The objective of this work is to develop an automatic and generic method of architectural synthesis which formally ensures compliance with the safety requirements. This synthesis activity is then formalized as a design space exploration problem, i.e. find a candidate belonging to a finite set of architectures, fulfilling the safety requirements. Thus, we propose in this document a complete and correct resolution process of the design space exploration problem based on the use of SMT solvers. The main contributions are:1- the formalization of the synthesis as a problem of Satisfiability Modulo Theory (SMT) in order to use existing solvers to automatically generate a solution formally ensuring safety requirements;2- the development of analytic methods specially designed to efficiently assess the conformity of an architecture with respect to a set of safety requirements;3- the definition of a language named, KCR, allowing to formulate the design space exploration problem and the implementation of the methods of resolution presented in this work within the tool KCR Analyser.

Dans la robotique mobile, le réseau de communication est un composant important du système global pour que le système accomplisse sa mission. Dans un tel type de système, appelé un système commandé en réseau sans fil (SCR sans fil ou WNCS), l’intégration du réseau sans fil dans la boucle de commande introduit des problèmes qui ont un impact sur la performance et la stabilité i.e, sur la qualité de commande (QoC). Cette QoC dépend alors de la qualité de service (QoS) et la performance du système va donc dépendre des paramètres de la QoS. C’est ainsi que l’étude de l’influence des défauts du réseau sans fil sur la QoC est cruciale. Le WNCS est un système temps réel qui a besoin d’un certain niveau de QoS pour une bonne performance. Cependant, la nature probabiliste du protocole de communication CSMA/CA utilisé dans la plupart des technologies sans fil ne garantit pas les contraintes temps réel. Il faut alors une méthode probabiliste pour analyser et définir les exigences de l’application en termes de QoS, c’est-à-dire en termes de délai, de gigue, de débit, et de perte de paquets. Une première contribution de cette thèse consiste à étudier les performances et la fiabilité d’un réseau sans fil IEEE 802.11 pour des WNCSs qui partagent le même réseau et le même serveur de commandes en développant un modèle stochastique. Ce modèle est une chaîne de Markov qui modélise la méthode d’accès au canal de communication. Ce modèle a servi pour définir les paramètres de la QoS qui peuvent garantir une bonne QoC. Nous appliquons notre approche à un robot mobile commandé par une station distante. Le robot mobile a pour mission d’atteindre une cible en évitant les obstacles. Pour garantir l’accomplissement de cette mission, une méthode de diagnostic probabiliste est primordiale puisque le comportement du système n’est pas déterministe. La deuxième contribution a été d’établir la méthode probabiliste qui sert à surveiller le bon déroulement de la mission et l’état du robot. C’est un réseau bayésien (RB) modulaire qui modélise les relations de dépendance cause-à-effet entre les défaillances qui ont un impact sur la QoC du système. La dégradation de la QoC peut être due soit à un problème lié à l’état interne du robot, soit à un problème lié à la QoS, soit à un problème lié au contrôleur lui-même. Les résultats du modèle markovien sont utilisés dans le RB modulaire pour définir l'espace d'état de ses variables (étude qualitative) et pour définir les probabilités conditionnelles de l'état de la QoS (étude quantitative). Le RB permet d’éviter la dégradation de la QoC en prenant la bonne décision qui assure la continuité de la mission. En effet, dans une approche de co-design, quand le RB détecte une dégradation de la QoC due à une mauvaise QoS, la station envoie un ordre au robot pour qu'il change son mode de fonctionnement ou qu'il commute sur un autre contrôleur débarqué. Notre hypothèse est que l’architecture de diagnostic est différente en fonction des modes de fonctionnement : nous optons pour un RB plus global et partagé lorsque le robot est connecté à la station et pour RB interne au robot lorsqu’il est autonome. La commutation d’un mode de fonctionnement débarqué à un mode embarqué implique la mise à jour du RB. Un autre apport de cette thèse est la définition d’une stratégie de commutation entre les modes de diagnostic : commutation d’un RB distribué à un RB monolithique embarqué quand le réseau de communication ne fait plus partie de l'architecture du système et vice-versa. Les résultats d’inférence et de scénario de diagnostic ont montré la pertinence de l’utilisation des RBs distribués modulaires. Ils ont aussi montré la capacité du RB développé à détecter la dégradation de la QoC et de la QoS et à superviser l’état du robot. L’aspect modulaire du RB a permis de faciliter la reconfiguration de l’outil de diagnostic selon l’architecture de commande ou de communication adaptée (RB distribué ou RB monolithique embarqué). / In mobile robotics systems, the communication network is an important component of the overall system, it enables the system to accomplish its mission. Such a system is called Wireless Networked Control System WNCS where the integration of the wireless network into the control loop introduces problems that impact its performance and stability i.e, its quality of control (QoC). This QoC depends on the quality of service (QoS) therefore, the performance of the system depends on the parameters of the QoS. The study of the influence of wireless network defects on the QoC is crucial. WNCS is considered as a real-time system that requires a certain level of QoS for good performance. However, the probabilistic behavior of the CSMA / CA communication protocol used in most wireless technologies does not guarantee real-time constraints. A probabilistic method is then needed to analyze and define the application requirements in terms of QoS: delay, jitter, rate, packet loss. A first contribution of this thesis is to study the performance and reliability of an IEEE 802.11 wireless network for WNCSs that share the same network and the same control server by developing a stochastic model. This model is a Markov chain that models the access procedure to the communication channel. This model is used to define the QoS parameters that can guarantee the good QoC. In this thesis, we apply our approach to a mobile robot controlled by a remote station. The mobile robot aims to reach a target by avoiding obstacles, a classic example of mobile robotics applications. To ensure that its mission is accomplished, a probabilistic diagnostic method is essential because the system behavior is not deterministic. The second contribution of this thesis is to establish the probabilistic method used to monitor the robot mission and state. It is a modular Bayesian network BN that models cause-and-effect dependency relationships between failures that have an impact on the system QoC. The QoC degradation may be due either to a problem related to the internal state of the robot, a QoS problem or a controller problem. The results of the Markov model analysis are used in the modular BN to define its variables states (qualitative study) and to define the conditional probabilities of the QoS (quantitative study). It is an approach that permits to avoid the QoC degradation by making the right decision that ensures the continuity of the mission. In a co-design approach, when the BN detects a degradation of the QoC due to a bad QoS, the station sends an order to the robot to change its operation mode or to switch to another distant controller. Our hypothesis is that the diagnostic architecture depends on the operation mode. A distributed BN is used when the robot is connected to the station and a monolithic embedded BN when it is autonomous. Switching from a distributed controller to an on-board one involves updating the developed BN. Another contribution of this thesis consists in defining a switching strategy between the diagnostic modes: switching from a distributed BN to an on-board monolithic BN when the communication network takes no longer part of the system architecture and vice versa -versa. The inference and diagnostic scenarii results show the relevance of using distributed modular BNs. They also prove the ability of the developed BN to detect the degradation of QoC and QoS and to supervise the state of the robot. The modular structure of the BN facilitates the reconfiguration of the diagnostic policy according to the adapted control and communication architecture (distributed BN or on-board monolithic RB).