L ’intégration de systèmes mécaniques complexes soumis à des environnements vibratoirescontraignants nécessite de tenir compte, dès la conception, des sollicitations réelles d’usage.La thèse montre que l’environnement vibratoire ainsi que la durée d’exposition dépendent del’utilisation qui sera faite d’un système tout au long de son cycle de vie. L’ évaluation de sonl’utilisation repose sur l’ évolution conjointe du comportement des utilisateurs et du développementde la technologie du système.L’analyse de la sûreté de fonctionnement d’un système mécanique complexe a permis de considérerle système dans son ensemble et d’investiguer ainsi de fac¸on approfondie le comportementdynamique de composants critiques. La modélisation simple de systèmes mécaniques précisequalitativement et quantitativement les comportements dynamiques principaux et simule lessollicitations vibratoires auxquelles un composant critique identifié est soumis. Sur cette base, lamodélisation du comportement d’un composant mécanique permet d’ évaluer le dommage par fatiguequ’il subira. Cet indicateur apporte au concepteur une aide aux choix de la géométrie du composant.Enfin, l’environnement climatique ainsi que des impacts li ´es au fonctionnement interne du système,ont ´ et ´e pris en compte par la réalisation d’essais vibro-climatiques en fonctionnement. Ces étudesont été menées sur un système à pile à combustible intégré à un véhicule électrique à hydrogène.Elles ont permis de mettre au point un cheminement comme appui `a la conception des systèmesmécaniques complexes.Le cheminement pluridisciplinaire propos´e dans cette thèse repose donc sur l’interaction de travauxde recherche issus principalement des domaines de la sociologie, de la sûreté de fonctionnement etde la mécanique. / The integration of complex mechanical systems subject to stringent vibration environments requiresconsideration of the real conditions of use from the beginning of the design phase.The thesis shows that the vibration environment and the duration of exposure to this environmentdepend on the use of the system throughout its life cycle. The evaluation of its use is based on thejoint evolution of both the user behavior and the system technology development.The dependability analysis of a complex mechanical system leads to consider the system as a wholeand thus to investigate in depth the dynamic behavior of critical components. A basic modeling ofthe mechanical system allows to qualitatively and quantitatively identify key dynamic behaviors anddetermines the vibration loads to which selected critical components are subjected. On this basis,modeling the behavior of a mechanical component leads to assess its fatigue damage. This indicatorhelps the designer in his choice of component geometry.Finally, the climatic environment as well as effects related to the internal functioning of the system,have been taken into account by performing vibro-climatic tests of on an operating systems, i.e. a fuelcell system integrated into a hydrogen electric vehicle. This helped to develop a procedure to supportthe design of complex mechanical systems.

Cette thèse étudie les principes de mise en oeuvre pour l'exécution sur un même ordinateur, de tâches de niveaux de criticité différents, et dont certaines peuvent avoir des contraintes temps réel dur. Les difficultés pour réaliser ces objectifs forment trois catégories. Il faut d'abord prouver que les tâches disposeront d'assez de ressources pour s'exécuter; il doit être ainsi possible d'avoir des politiques d'allocations et d'ordonnancement sûres, prévisibles et simples. Il faut également apporter des garanties de sécurité pour s'assurer que les tâches critiques s'exécuteront correctement en présence de défaillances ou malveillances. Enfin, le système doit pouvoir être réutilisé dans une variété de situations. Cette thèse propose de s'attaquer au problème par la conception d'un système hautement sécurisé, extensible, et qui soit indépendant des politiques d'allocation de ressources. Cela est notamment accompli par le prêt de ressource, qui permet de décompter les ressources indépendamment des domaines de protection. Cette approche évite d'avoir à partitionner les ressources, ce qui simplifie le problème global de l'allocation et permet de ne pas gâcher de ressources. Les problèmes de type inversion de priorité, famine ou dénis de service sont supprimés à la racine. Nous démontrons la faisabilité de cette approche è l'aide d'un prototype, Anaxagoros. La démarche que nous proposons simplifie drastiquement l'allocation des ressources mais implique des contraintes dans l'écriture de services partagés (comme les pilotes de périphériques). Les principales difficultés consistent en des contraintes de synchronisation supplémentaires. Nous proposons des mécanismes originaux et efficaces pour résoudre les problèmes de concurrence et synchronisation, et une méthodologie générale pour faciliter l'écriture sécurisée de ces services partagés.

Un système de description des calculateurs à haute sûreté de fonctionnement est proposé et appliqué à des calculateurs existants. Cette description nous conduit à proposer une démarche de conception devant faciliter la validation. Une methode d'évaluation de la sûreté de fonctionnement, destinée à fournir des évaluations pour la certification, est ensuite étudiée. Elle s'appuie sur une démarche non optimiste et permet de prendre en compte certains paramètres difficilement quantifiables (latence d'erreur par exemple). Les deux aspects de cette étude, conception et évaluation, sont appliqués à un calculateur tolérant les pannes développées dans le cadre de ce travail. (CARLl)

Les technologies pour l'adaptation dynamique (composants, aspects, ...)<br />arrivent à maturité et permettent de modifier les applications durant leur<br />exécution. Si l'on considère que la sûreté de fonctionnement d'une<br />application est la propriété permettant aux utilisateurs d'un système de<br />placer une confiance justifiée dans le service qu'il leur délivre alors il<br />faut garantir lors d'une adaptation dynamique que cette propriété est<br />préservée. Autrement dit, une adaptation n'est pas "sûre" à partir du moment<br />où le service que fournit l'application après adaptation diverge du service<br />attendu par l'utilisateur.<br /><br />Actuellement, il n'existe pas de solution appropriée au problème de la<br />sûreté des adaptations dynamiques. En effet, un certain nombre de techniques<br />(typage, model-checking, ...) destinées à concevoir et implémenter les<br />systèmes informatiques de façon sûre peuvent être utilisées dans le cadre<br />des adaptations statiques mais pas directement pour valider des adaptations<br />dynamiques. De plus, la prise en charge de ces dernières doit tenir compte<br />du risque qu'une adaptation se produise à un moment inadéquat dans<br />l'exécution de l'application et implique de traiter les problèmes de sûreté<br />parallèlement à l'exécution de l'application sans perturbation. Bien que les<br />plates-formes permettant les adaptations dynamiques proposent des solutions,<br />il n'existe pas de consensus autour des vérifications à effectuer dans un<br />contexte dynamique. D'autre part, la mise en oeuvre de ces vérifications<br />reste souvent informelle ou à la charge du développeur d'applications.<br /><br />Nous proposons d'identifier la sûreté d'une adaptation indépendamment des<br />plates-formes, et de déterminer le moment où les modifications liées à une<br />adaptation peuvent être prises en compte de façon sûre dans l'exécution de<br />l'application. Cette approche est basée sur un modèle nommé Satin sur lequel<br />des propriétés de sûreté sont exprimées et validées. Le modèle Satin est mis<br />en oeuvre sous la forme d'un service de sûreté que les plates-formes peuvent<br />interroger pour déterminer si une adaptation donnée risque de briser la<br />sûreté de fonctionnement de l'application.

Les systèmes de la robotique de service, tels que les robots médicaux, permettent<br />de réaliser des tâches complexes en milieu humain, et s'intègrent à ce titre dans les systèmes à<br />sécurité critique. Lors de la conception de ces nouvelles applications, la sécurité est souvent<br />traitée grâce à des techniques de sûreté de fonctionnement. Nous proposons cependant une<br />nouvelle approche plus globale, basée sur la notion de risque. L'objectif de cette thèse est<br />de proposer une démarche aux concepteurs pour appréhender la sécurité de tels systèmes, en<br />intégrant le concept de risque et en se plaçant à un niveau système. La maîtrise de la sécurité<br />dépend alors de l'activité de gestion du risque dont le coeur est l'analyse du risque. Cette<br />activité centrale se décompose en trois étapes : la description du système et de son utilisation,<br />l'identification des dangers, et l'estimation des risques de dommages induits par l'utilisation<br />du système. Nous proposons d'utiliser la notation UML (Unified Modeling Language) pour la<br />description du système. Les modèles UML sont alors couplés avec des activités du domaine<br />des facteurs humains, incluses dans l'analyse du risque proposée. Puis, pour les deux étapes<br />suivantes, les interactions entre cette notation et des techniques d'analyse du risque comme<br />l'AMDEC (Analyse des Modes de Défaillance, et de leurs Effets Critiques) et les arbres de<br />fautes sont étudiées. Cette démarche est ensuite appliquée sur le cas concret du développement<br />d'un robot télé-échographe actionné par des muscles artificiels de McKibben.

L'introduction des systèmes embarqués dans l'automobile à commandes électriques (X-by-Wire) pose des problèmes nouveaux et spécifiques pour la tenue des exigences de sûreté de fonctionnement. En effet, ils sont dépourvus de la redondance mécanique (barre de direction, circuit hydraulique...) capable d'offrir un service minimum en cas de dysfonctionnement important de l'électronique. Ces systèmes largement distribués sont particulièrement sensibles aux perturbations d'ordre électromagnétique, et chaque faute transitoire peut éventuellement être la cause d'une défaillance catastrophique.<br />Dans ce contexte, le travail présenté ici est d'ordre méthodologique. En particulier, nous proposons une méthode de vérification des contraintes temps réel en mode nominal (mode non perturbé), et une méthode de prévision quantitative de fautes (mode perturbé) dont l'objectif est de mesurer l'influence des fautes transitoires liées à l'environnement et des performances temps réel du système sur la sûreté (probabilité d'occurrences de défaillances catastrophiques par zone perturbée) de ce même système. Nos travaux ont été appliqués sur les systèmes de direction Steer-by-Wire, mais les méthodes d'évaluation proposées sont génériques. Pour l'instant, seule des préconisations internes aux entreprises sont ciblées. Ainsi, une exigence dont la garantie devrait être prouvée est, par exemple : la probabilité de défaillance catastrophique doit être inférieure à 1.10-9 par heure de fonctionnement. Grâce à la méthode que nous avons développée, cette garantie sera alors complétée par l'évaluation de la fiabilité comportementale du système. Fournissant des résultats quantitatifs, cette technique permet de réaliser plusieurs études de sensitivité, comme, par exemple, l'influence de la durée du cycle de communication sur un protocole de communication de type TDMA (Time Division Multiple Access), l'influence de la diversification dans la redondance des sous-systèmes, ou encore l'influence d'un mécanisme de tolérance aux fautes proposé par TTP/C et FlexRay.

Le nombre croissant des systèmes électroniques embarqués dans le secteur automobile a considérablement amélioré et diversifié les services rendus par le véhicule. Ces systèmes sont appelés systèmes mécatroniques. Ils intègrent une partie énergétique (mécanique, hydraulique ou électrique) commandée et contrôlée par un calculateur. Leur principal atout est la flexibilité logicielle dont dispose le concepteur pour implémenter de nouvelles fonctions. Toutefois, ceci a contribué à accroître leur complexité et à en diminuer la maîtrise, d'où la nécessité d'effectuer des études de Sûreté de Fonctionnement afin de garantir un bon niveau de sécurité. Par ailleurs, mener de telles études dès la phase de conception permet de diminuer les délais et les coûts de conception en détectant et en corrigeant au plus tôt les erreurs de conception. Actuellement, les études de sécurité prévisionnelle des systèmes automobiles sont réalisées par la méthode des Arbres de Défaillance. Or cette méthode est statique et ne permet pas de prendre en compte les phénomènes temporels liés à leur dynamique de fonctionnement et à leur aspect hybride. C'est dans ce contexte que des recherches sont menées en collaboration entre le groupe PSA Peugeot Citroën et le LAAS visant à développer une méthodologie d'aide à la conception de systèmes mécatroniques sûrs de fonctionnement. Mon projet de thèse se focalise sur l'analyse qualitative de la sécurité des systèmes mécatroniques en vue de l'obtention des scénarios redoutés. La connaissance de ces scénarios permet d'évaluer leurs probabilités d'occurrence et de valider les lois de reconfiguration pour orienter le choix des concepteurs quant aux différents types d'architectures possibles proposés pour le système. Nous avons développé une méthode de recherche des scénarios redoutés basée sur la modélisation préalable d'un système mécatronique sous la forme d'un Réseau de Petri et d'un ensemble d'équations différentielles. Cette modélisation hybride présente l'avantage de séparer clairement les aspects discrets et continus. Ceci nous permet une analyse logique (fondée sur la logique Linéaire) des causalités résultant des changements d'états. Grâce à cette analyse, il est possible à partir d'un état redouté de remonter les chaînes de causalité et de mettre ainsi en évidence tous les scénarios possibles conduisant à une situation critique. Chaque scénario est donné sous la forme d'un ordre partiel entre les événements nécessaires à l'apparition de l'état redouté. L'originalité de notre approche est qu'elle n'implique pas une énumération brutale et globale de tous les états accessibles du système. Au contraire elle permet de se focaliser sur le voisinage de l'état redouté en faisant une énumération locale d'états partiels. Autrement dit, nous ne considérons que les états des composants directement impliqués dans l'apparition de l'état redouté. Nous avons enfin élaboré un algorithme automatisant la recherche des scénarios redoutés et nous l'avons appliqué sur deux exemples simples de systèmes mécatroniques.

Ces travaux portent sur les probabilités et la statistique appliquées à la sûreté de fonctionnement. Plus précisément, il s'agit d'une part de construire des modèles stochastiques du processus des défaillances et réparations de systèmes divers, et d'autre part de mettre en oeuvre des méthodes statistiques pour exploiter les données de défaillance dans le but d'évaluer et de prévoir la fiabilité de ces systèmes. Les résultats présentés concernent : la modélisation et l'évaluation de la fiabilité des logiciels, les tests d'adéquation aux modèles de croissance de fiabilité des systèmes réparables, la modélisation de l'influence d'un environnement aléatoire stressant sur la durée de vie des composants et systèmes, l'étude du vieillissement en temps discret, et l'évaluation de l'efficacité de la maintenance.

Ce travail vise une exploration et une évaluation de nouvelles variantes de topologies multiniveaux AC/DC non réversibles (PFC) du point de vue de leur sûreté de fonctionnement : recherche d'une grande sécurité électrique sur destruction interne et maintien d'une continuité de fonctionnement. Elles sont caractérisées par une connexion AC non différentielle, un partitionnement cellulaire en série et symétrique autour d'un point milieu. Cette organisation permet d'exploiter la redondance active série entre les cellules d'un même groupe et l'effet de ségrégation topologique qui apparaît entre les deux groupes de cellules. Les structures étudiées sont modulaires et peuvent être parallélisées et étendues à un nombre quelconque de phases. Elles ne possèdent que des cellules mono-transistors basse-tension (Si et SiC 600V max) performantes et intrinsèquement tolérantes aux imperfections de la commande et aux parasites donc naturellement sécurisées. Les comparaisons prenant en compte les pertes, la répartition des pertes, le dimensionnement et le report de contraintes sur défaut interne mettent en avant la structure PFC Double- Boost Flying Cap. à 5 Niveaux, brevetée en début de thèse, comme une solution ayant le meilleur compromis. Sur le plan théorique nous montrons que le seul calcul de la fiabilité basé uniquement sur un critère d'occurrence au premier défaut est inadapté pour décrire ce type de topologie. La prise en compte de la tolérance de panne est nécessaire et permet d'évaluer la fiabilité globalement sur une panne effective (i.e. au second défaut). L'adaptation de modèles théoriques de fiabilité à taux de défaillance constant mais prenant en compte, au niveau de leurs paramètres, le report de contrainte en tension et l'augmentation de température qui résulte d'un premier défaut, permet de chiffrer par intégration et en valeur relative, le gain obtenu sur un temps court. Ce résultat est compatible avec les systèmes embarqués et la maintenance conditionnelle. Un prototype monophasé à 5 niveaux, à commande entièrement numérique et à MLI optimisée reconfigurable en temps réel a été réalisé afin de valider l'étude. Il permet une adaptation automatique de la topologie de 5 à 4 puis à 3 niveaux par exemple. Ce prototype a également servi de banc de test d'endurance du mode de défaillance sur claquage - avalanche de transistors CoolMos™ et diodes SiC, volontairement détruits individuellement dans des conditions d'énergie maîtrisée et reproductibles, afin de prouver expérimentalement le maintien du service sur plusieurs centaines d'heures au prix d'un derating de 30% maximum en puissance seulement. La détection et le diagnostic rapide de défauts internes ont également été traités dans ce travail. D'une part, par la surveillance directe et le seuillage des tensions internes (tensions flottantes) et d'autre part, par une détection harmonique de la fréquence de base (amplitude et phase) en temps réel. Ces deux techniques ont été intégrées numériquement et évaluées sur le prototype, en particulier la seconde qui ne requiert qu'un seul capteur. VI Enfin, nous proposons dans ce travail une nouvelle variante PFC Vienna multicellulaire expérimentée en fin de mémoire, utilisant deux fois moins de transistors et de drivers pour les mêmes performances fréquentielles au prix d'un rendement et d'une répartition des pertes légèrement moins favorables que la structure brevetée.

Les travaux développés dans ce mémoire de thèse portent sur la contribution à une méthodologie de synthèse de lois de commande tolérante aux fautes garantissant la fiabilité des systèmes. Cette nouvelle méthodologie nécessite l'adaptation des différents outils de caractérisation de la fiabilité avec la théorie de la commande. L'intégration explicite de l'aspect charge dans les lois modélisant la fiabilité en ligne est considérée. Une première partie des travaux est consacrée à la reconfigurabilité des systèmes tolérants aux fautes. Une analyse de reconfigurabilité en présence de défauts basée sur la consommation d'énergie ainsi que des objectifs liés à la fiabilité globale du système sont proposés. Un indice de reconfigurabilité est proposé définissant les limites fonctionnelles d'un système commandé en ligne en fonction de la sévérité des défauts et de la dégradation des actionneurs en terme de fiabilité. Dans la deuxième partie, le problème d'allocation et ré-allocation de la commande est considéré. Des solutions sont développées tenant compte de l'état de dégradation et du vieillissement des actionneurs. Les entrées de commande sont attribuées au système en tenant compte de la fiabilité des actionneurs ainsi que les éventuels défauts. Des indicateurs de fiabilité sont proposés et intégrés dans la solution du problème d'allocation et ré-allocation de la commande. La dernière partie est entièrement consacrée à la synthèse d'une loi de commande tolérante aux fautes garantissant la fiabilité globale du système. Une procédure d'analyse de fiabilité des systèmes commandés en ligne est proposée en se basant sur une étude de sensibilité et de criticité des actionneurs. Ainsi, une méthode de commande tolérante aux fautes en tenant compte de la criticité des actionneurs est synthétisée sous une formulation LMI.