Le but de ce rapport est de présenter une méthode globale de développement à partir de spécifications informelles, depuis la modélisation graphique des exigences temporelles d'un système ferroviaire critique jusqu'à une implantation systématique au moyen de méthodes formelles. Nous proposons d'utiliser ici les réseaux de Petri temporels pour décrire le comportement attendu du logiciel de contrôle-commande à construire.Tout d'abord nous construisons un modèle des exigences p-temporel prenant en compte toutes les contraintes que doit vérifier le système. Nous proposons des outils et des méthodes capables de valider et de vérifier ce modèle. Ensuite, il s'agit de construire un modèle de processus solution en réseau de Petri t-temporel. Ce modèle illustre des exigences techniques relatives à un choix technologique ou architectural. L'objectif est double : tout d'abord il est nécessaire de vérifier la traçabilité des exigences ; ensuite, il faut vérifier que l'ensemble des exigences sources sont bien implémentées dans la solution préconisée et dans sa mise en oeuvre. Enfin, nous proposons une approche visant à transformer de façon systématique le modèle de processus en machine abstraite $B$ afin de poursuivre une procédure formelle $B$ classique. Finalement, le cas d'étude du passage à niveau, composant critique dans le domaine de la sécurité ferroviaire est décrit

La mécatronique est définie par l'utilisation simultanée et en étroite symbiose de la mécanique, de l'électronique, de l'informatique,... pour concevoir et produire de produits toujours plus innovants. Cette approche doit s'accompagner aujourd'hui de la garantie de sûreté de fonctionnement (SdF) des systèmes conçus. Or, la fiabilité, élément déterminant de la SdF, est relativement peu maîtrisée dans le développement des systèmes mécatroniques. Nous avons développé une méthodologie globale permettant de modéliser et d'évaluer la fiabilité prévisionnelle, expérimentale et opérationnelle des systèmes mécatroniques. C'est un outil d'aide à la décision dans les différentes phases des cycles de développement et de vie du système mécatronique, en valorisant l'évaluation quantitative de la fiabilité. La fiabilité prévisionnelle est calculée à partir du modèle Réseaux de Petri Stochastiques Déterministes (RdPSD) du système mécatronique, qui prend en considération la modélisation fonctionnelle, la modélisation dysfonctionnelle (à l'aide d'une analyse AMDE, AD,...) et les recueils des données pour chaque composant. Les fiabilités expérimentale et opérationnelle sont déterminées à l'aide de la méthode d'estimation bayésienne BRM qui tient compte des données obtenues lors des essais et issues du REX. Un exemple d'application sur l'antiblocage des roues (ABS) illustre cette méthodologie globale d'estimation de la fiabilité.

Les réseaux techniques sont des infrastructures critiques qui peuvent être vulnérables aux inondations. Leur bon fonctionnement représente donc un enjeu majeur pour la gestion des risques et des territoires. Cette recherche postule que l'analyse de la résilience des réseaux techniques constitue un préalable nécessaire, mais non suffisant, à la mise en place de politiques d'amélioration de la résilience urbaine face aux inondations. Une méthodologie d'analyse de la résilience des réseaux techniques est proposée. Elle requiert l'analyse des capacités de résistance, d'absorption et de récupération de ces réseaux. Dans ce cadre, des développements ont été réalisés afin d'analyser les propriétés structurelles des réseaux techniques, les interdépendances entre les réseaux techniques et la remise en service de ces réseaux. Ces développements reposent principalement sur la théorie des graphes, les méthodes issues de la Sûreté de Fonctionnement, l'optimisation linéaire et l'analyse spatiale. Enfin, un prototype web-SIG a été développé puis appliqué à la ville de Dublin.

L'avancée technologique que les systèmes embarqués ont connue lors de ces dernières années les rend de plus en plus complexes. Ils sont non seulement responsables de la commande des différents composants mais aussi de leur surveillance. A l'occurrence d'événement pouvant mettre en danger la vie des utilisateurs, une certaine configuration du système est exécutée afin de maintenir le système dans un état dégradé mais sûr. Il est possible que la configuration échoue conduisant le système dans un état appelé " état redouté " avec des conséquences dramatiques pour le système et l'utilisateur. La description des scénarios qui mènent le système vers l'état redouté à partir d'un état de fonctionnement 'normal' permet de comprendre les raisons de la dérive afin de prévoir les configurations nécessaires qui permettent de les éviter Dans notre approche d'analyse de sûreté de fonctionnement des systèmes dynamiques, les scénarios sont générés à partir d'un modèle réseau de Petri. En s'appuyant sur la logique linéaire comme nouvelle représentation (basée sur les causalités) du modèle réseau de Petri, une analyse qualitative permet de déterminer un ordre partiel de franchissement des transitions et ainsi extraire les scénarios redoutés. La démarche est focalisée sur les parties du modèle intéressantes pour l'analyse de fiabilité évitant ainsi l'exploration de toutes les parties du système et le problème de l'explosion combinatoire. L'objectif final consiste en la détermination de scénarios minimaux. En effet, un scénario peut bien mener vers l'état redouté sans qu'il soit minimal. Il contient des événements qui ne sont pas strictement nécessaires à l'obtention finale de l'état critique redouté. De même que la notion de coupe minimale a été définie dans le cadre des arbres de défaillance, nous proposons une définition de ce qu'est un scénario minimal dans le cas des réseaux de Petri. Pour prendre en compte La nature hybride des systèmes, nous avons développé un simulateur hybride basé sur le couplage de l'algorithme de génération de scénarios redoutés avec un solveur d'équations différentielles. L'algorithme se charge de la partie discrète modélisée par le réseau de Petri et le solveur d'équations de la partie continue modélisée par un ensemble d'équations différentielles. Afin d'avoir une approche système pour l'analyse de la sûreté de fonctionnement, nous proposons une approche qui permet de prendre en compte les exigences de sûreté dans le processus d'ingénierie des exigences qui permet d'établir un modèle de traçabilité afin de s'assurer de la prise en compte de ces exigences tout au long du cycle de vie du système. L'approche est basée sur une norme de l'ingénierie système, en l'occurrence l'EIA-632.

La révolution technologique que connaît le secteur automobile avec la multiplication des<br />systèmes électroniques et informatiques embarqués n'est pas près de s'essouffler. Il est<br />manifeste que la complexité croissante et la spécificité des systèmes embarqués justifieront de<br />plus en plus le besoin de structurer l'ensemble des activités de développement. Vérification,<br />validation, conception et bien entendu sûreté de fonctionnement font partie intégrante d'un<br />même processus. Nous cherchons tout d'abord à définir un formalisme de modélisation<br />fonctionnelle et comportementale, support de la méthodologie, et en cohérence avec les<br />spécificités des systèmes mécatroniques. En particulier, les aspects hybrides et temps réel<br />doivent pouvoir être représentés. Ensuite, sur le plan de la vérification et de la validation,<br />nous proposons d'exploiter les méthodes formelles, telles que le model-checking, en<br />complément des tests et des simulations habituellement utilisées dans l'industrie. Enfin nous<br />attachons une importance centrale à la sûreté de fonctionnement. Afin de pallier aux<br />insuffisances et aux limites des méthodes habituellement utilisées, nous proposons une<br />approche basée sur la construction d'un graphe de Markov agrégé. L'originalité tient dans sa<br />capacité de répondre à un problème de représentation et d'évaluation de la fiabilité des<br />systèmes dynamiques hybrides. Les principales étapes consistent à découpler la dynamique du<br />système et la dynamique du processus de défaillance grâce à la théorie des perturbations<br />singulières, puis d'identifier et estimer les grandeurs du système influençant la dynamique des<br />défaillances. Ces grandeurs sont évaluées par de simples simulations dans le but de pouvoir<br />traiter des systèmes complexes. Ceux-ci sont alors intégrés dans le graphe agrégé.

Cette thèse propose un cadre afin de modéliser, vérifier et générer des allocations de fonctions d'un système embarqué sur des ressources avioniques. Ce cadre est fondé sur l'utilisation du langage Altarica pour décrire formellement la propagation des défaillances au sein d'un système embarqué, sur l'utilisation de techniques de vérification tel que le "model-checking" et la génération d'arbre de défaillances et sur les techniques de résolution de contraintes. Les travaux sont illustrés par deux études de cas: l'allocation de ressources de calcul et de communication à une fonction de "suivi de terrain" d'un avion de chasse, le placement des équipements d'un système hydraulique au sein d'un avion en tenant compte de risques tels que l'éclatement d'un pneu ou d'un réacteur.

Les pilotes de périphériques composent désormais une part essentielle des systèmes d'exploitation. Plusieurs études montrent qu'ils sont fréquemment à l'origine des dysfonctionnements des systèmes opératoires. Dans ce mémoire, nous présentons une méthode pour l'évaluation de la robustesse des noyaux face aux comportements anormaux des pilotes de périphériques. Pour cela, après avoir analysé et précisé les caractéristiques des échanges entre les pilotes et le noyau (DPI - Driver Programming Interface), nous proposons une technique originale d'injection de fautes basée sur la corruption des paramètres des fonctions manipulées au niveau de cette interface. Nous définissons différentes approches pour l'analyse et l'interprétation des résultats observés pour obtenir des mesures objectives de sûreté de fonctionnement. Ces mesures permettent la prise en compte de différents points de vue afin de répondre aux besoins réels de l'utilisateur. Enfin, nous illustrons et validons l'applicabilité de cette méthode par sa mise en Suvre dans le cadre d'un environnement expérimental sous Linux. La méthode proposée contribue à la caractérisation de la sûreté de fonctionnement des noyaux vis-à-vis des défaillances des pilotes du système. L'impact des résultats est double : a) permettre au développeur de tels logiciels d'identifier les faiblesses potentielles affectant la sûreté de fonctionnement du système, b) aider un intégrateur dans le choix du composant le mieux adapté à ses besoins.

Les circuits numériques utilisés dans des domaines aussi variés que le médical, spatial, automobile ou nucléaire ont besoin d'une très forte fiabilité. La réduction progressive de la tension d'alimentation et l'intégration croissante des produits électroniques affecte la sensibilité du système à l'apparition de fautes (permanentes ou transitoires). Les fautes transitoires ont été largement dominants dans le taux total de SER (Soft Error Rate) des mémoires et éléments de séquentiels. Ainsi, les techniques de correction et prévention pour ces éléments sont bien connues. Par contre, la contribution au SER due aux éléments de logique combinatoire est en croissance, et il est prévue qu'elle devient dominante avec la réduction progressive de la taille de la technologie CMOS. Ainsi, il y a un réel besoin de pallier le manque de modèles et méthodologies qui prennent en compte l'effet de la logique combinatoire dans la perte de fiabilité. Deux approches existe pour cette problématique : 1- Techniques d'injection de fautes 2 - Modèles analytiques Le travail présenté dans cette thèse pour sur l'approche analytique, ou approche probabiliste. D'abord, une analyse en profondeur de l'état de l'art est proposé, mettant en évidence les limitations principales de ce type d'approche. Deuxièmement, des nouvelles approches sont proposées, améliorant la performance des approches existants. Des nouvelles métriques concernant l'analyse FMDEA et durcissement séléctif sont aussi proposées. Finalement, les approches sont validées en comparant leur performance avec les principales techniques déjà existantes.

Conduire des analyses de sûreté de fonctionnement conjointement avec d'autres analyses au niveau architectural permet à la fois d'estimer les effets des décisions architecturales sur la sûreté de fonctionnement du système et de faire des compromis. Par conséquent, les industriels et les universitaires se concentrent sur la définition d'approches d'ingénierie guidées par des modèles (MDE) et sur l'intégration de diverses analyses dans le processus de développement. AADL (Architecture Analysis and Design Language) a prouvé son aptitude pour la modélisation d'architectures et ce langage est actuellement jugé efficace par les industriels dans de telles approches. Notre contribution est un cadre de modélisation permettant la génération de modèles analytiques de sûreté de fonctionnement à partir de modèles AADL dans lobjectif de faciliter l'obtention de mesures de sûreté de fonctionnement comme la fiabilité et la disponibilité. Nous proposons une approche itérative de modélisation. Dans ce contexte, nous fournissons un ensemble de sous-modèles génériques réutilisables pour des mécanismes de tolérance aux fautes. Le modèle AADL de sûreté de fonctionnement est transformé en un RdPSG (Réseau de Petri Stochastique Généralisé) en appliquant des règles de transformation de modèle. Nous avons mis en Suvre un outil de transformation automatique. Le RdPSG résultant peut être traité par des outils existants pour obtenir des mesures de sûreté defonctionnement. L'approche est illustrée sur un ensemble du SystèmeInformatique Français de Contrôle de Trafic Aérien.

Les dispositifs informatiques mobiles tels que les ordinateurs portables, assistants personnels et téléphones portables sont de plus en plus utilisés. Cependant, bien qu'ils soient utilisés dans des contextes où ils sont sujets à des endommagements, à la perte, voire au vol, peu de mécanismes permettent d'éviter la perte des données qui y sont stockées. Dans cette thèse, nous proposons un service de sauvegarde de données coopératif pour répondre à ce problème. Cette approche tire parti de communications spontanées entre de tels dispositifs, chaque dispositif stockant une partie des données des dispositifs rencontrés. Une étude analytique des gains de cette approche en termes de sûreté de fonctionnement est proposée. Nous étudions également des mécanismes de stockage réparti adaptés. Les problèmes de coopération entre individus mutuellement suspicieux sont également abordés. Enfin, nous décrivons notre mise en oeuvre du service de sauvegarde coopérative.