Les conditionneurs alternatifs – continu à absorption sinusoïdale (PFC) pour les applications critiques se distinguent par un haut niveau de performances tel que les THD réduits, un haut rendement et une bonne fiabilité. Leur importance est d’autant plus nécessaire qu’une continuité de service des alimentations est requise même en présence d’une défaillance interne de composant. Deux types de structures associées à leur commande sont réalisés à cet effet, les structures à redondance parallèle et les structure à redondance en série. Elles consistent respectivement en l’ajout d’un bras d’interrupteur dans le cas de la redondance parallèle, qui est une option plus compliquée et en une suppression d’une cellule de commutation dans le deuxième cas. L’étude présentée ici, consiste en premier lieu en une exploration et une évaluation de nouvelles familles de topologies multi-niveaux, caractérisée par un partitionnement cellulaire en série. Ces nouvelles topologies, ainsi que leurs variantes, comportent au moins une redondance structurelle avec des cellules mono-transistor à défaut de commande non critique et symétriques à point-milieu. Elles sont donc génériques pour la mise en parallèle et l’extension en triphasé. Cependant, elles sont pour la plupart peu compétitives à cause des composants qui sont souvent surdimensionnés et donc plus onéreuses, en comparaison avec la structure PFC Double-Boost 5 Niveaux à composants standards 600 V (brevetée par l’INPT – LAPLACE –CNRS en 2008) que nous étudions. Cette dernière constitue le meilleur compromis entre un bon rendement et une maîtrise des contraintes en mode dégradé. Sur le plan théorique nous montrons que le seul calcul de fiabilité basé uniquement sur un critère de premier défaut est inadapté pour décrire ce type de topologie. La prise en compte de la tolérance de panne est nécessaire et permet d'évaluer la fiabilité globale sur une panne effective (i.e. au second défaut). L'adaptation de modèles théoriques de fiabilité à taux de défaillance constant mais prenant en compte, au niveau de leurs paramètres, le report de contrainte en tension et l'augmentation de température qui résulte d'un premier défaut, permet de chiffrer en valeur relative, le gain obtenu sur un temps court. Ce résultat est compatible avec les systèmes embarqués et la maintenance conditionnelle. Un prototype monophasé de PFC double-boost 5 niveaux à commande entièrement numérique et à MLI optimisée reconfigurable en temps réelle a été réalisé afin de valider l’étude. Il permet une adaptation automatique de la topologie de 5 à 4 puis 3 niveaux par exemple. Ce prototype a également servi de test d'endurance aux transistors CoolMos et diodes SiC volontairement détruits dans des conditions d'énergie maîtrisée et reproductibles. D’autres campagnes d'endurance en modes dégradés ont été réalisées en laboratoire sur plusieurs centaines d’heures en utilisant ce même prototype. Nous nous sommes axés sur la détection de défauts internes et le diagnostic (localisation) rapide, d'une part par la surveillance directe et le seuillage des tensions internes (tensions flottantes) et d'autre part, par la détection d’harmoniques (amplitude et phase) en temps réel. Ces deux techniques ont été intégrées numériquement et évaluées sur le prototype, en particulier la seconde qui ne requiert qu'un seul capteur. Enfin, nous proposons une nouvelle variante PFC expérimentée en fin de mémoire, utilisant deux fois moins de transistors et de drivers pour les mêmes performances fréquentielles au prix d'un rendement et d'une répartition des pertes légèrement moins favorable que la structure brevetée. / This work is an exploration and an evaluation of new variants of multi-level AC/DC topologies (PFC) considering their global reliability and availability: electrical safety with an internal failure and post-failure operation. They are based on a non-differential AC and centre tap connection that led to symmetrical arrangement cells in series. These topologies permit an intrinsic active redundancy between cells in a same group and a segregation capability between the two symmetrical groups of cells. More again, they are modular and they can be paralleled and derived to any number of levels. Only single low-voltage (600V) transistor pear cell is used avoiding the short-circuit risk due to an unwanted control signal. Comparisons, taking into account losses, distribution losses, rating and stresses (overvoltage and over-temperature) during the post-operation are presented. Results highlight the proposed 5-level Double-Boost Flying Capacitor topology. This one was patented at the beginning of thesis, as a solution with the best compromise. On the theoretical side, we show that the reliability calculation based only on a "first fault occurrence" criterion is inadequate to really describe this type of topology. The inclusion of fault tolerance capability is needed to evaluate the overall reliability law (i.e. including a second failure). The adaptation of theoretical models with constant failure rate including overvoltage and over-temperature dependencies exhibit an increasing of the reliability over a short time. This property is an advantage for embedded systems with monitoring condition. Local detection and rapid diagnosis of an internal failure were also examined in this work. Two methods are proposed firstly, by a direct flying caps monitoring and secondly, by a realtime and digital synchronous demodulation of the input sampled voltage at the switching frequency (magnitude and phase). Both techniques have been integrated on FPGA and DSP frame and evaluated on a AC230V-7kW DC800V – 31kHz lab. set-up. We put forward the interest of the second method which only uses one input voltage sensor. Finally, we propose in this dissertation a new generic X-level PFC Vienna using, in 5-level version, half transistors and drivers for identical input frequency and levels. At the cost of a slight increase of losses and density losses, this topology appears very attractive for the future. A preliminary lab. set-up and test were also realized and presented at the end of the thesis.

L'analyse prévisionnelle des risques d'un système complexe repose aujourd'hui sur une modélisation de la dynamique du système vis-à-vis des défaillances et réparations de ses composants. L'analyse qualitative d'un tel système consiste à rechercher et à analyser les scénarios conduisant à la panne. En raison de leur nombre, il est courant de ne s'intéresser qu'aux scénarios les plus caractéristiques, les Séquences de Coupe Minimales (SCM). L'absence de formalisation de ces SCM a généré soit des définitions spécifiques à certains outils de modélisation soit des définitions informelles. Les travaux présentés dans cette thèse proposent: i) un cadre et une définition formelle des séquences de coupe minimales, tout deux indépendants de l'outil de modélisation de fiabilité utilisé, ii) une méthode permettant leur calcul, méthode basée sur des propriétés déduites de leur définition, iii) l'extension des premières définitions aux composants multimodes. Ce cadre permet le calcul des SCM pour des installations décrites avec les Boolean logic Driven Markov Processes (BDMP). Sous l'hypothèse que l'ensemble des scénarios représentés implicitement via le modèle de sûreté établi peut être modélisé à l'aide d'un automate fini, ces travaux définissent la notion de cohérence des systèmes dynamiques et réparables, et le moyen d'obtenir une représentation minimale de l'ensemble des scénarios menant à la défaillance du système. / Preventive risk assessment of a complex system rely on a dynamic models which describe the link between the system failure and the scenarios of failure and repair events from its components. The qualitative analyses of a binary dynamic and repairable system is aiming at computing and analyse the scenarios that lead to the system failure. Since such systems describe a large set of those, only the most representative ones, called Minimal Cut Sequences (MCS), are of interest for the safety engineer. The lack of a formal definition for the MCS has generated multiple definitions either specific to a given model (and thus not generic) or informal. This work proposes i) a formal framework and definition for the MCS while staying independent of the reliability model used, ii) the methodology to compute them using property extracted from their formal definition, iii) an extension of the formal framework for multi-states components in order to perform the qualitative analyses of Boolean logic Driven Markov Processes (BDMP) models. Under the hypothesis that the scenarios implicitly described by any reliability model can always be represented by a finite automaton, this work is defining the coherency for dynamic and repairable systems as the way to give a minimal representation of all scenarios that are leading to the system failure.

Les études de sûreté de fonctionnement (SdF) sont en général basées sur l’hypothèse d’indépendance des événements de défaillance et de réparation ainsi que sur l’analyse des coupes qui décrivent les sous-ensembles de composants entraînant la défaillance du système. Dans le cas des systèmes dynamiques pour lesquels l’ordre d’occurrence des événements a une incidence directe sur le comportement dysfonctionnel du système, il est important de privilégier l’utilisation de séquences d’événements permettant une évaluation des indicateurs de SdF plus précise que les coupes. Ainsi, nous avons proposé, dans une première partie de nos travaux, un cadre formel permettant la détermination des séquences d’événements qui décrivent l’évolution du système ainsi que leur évaluation quantitative, en recourant à la théorie de langages probabilistes et à la théorie des processus markoviens/semi-markoviens. L'évaluation quantitative des séquences intègrent le calcul de leur probabilité d'occurrence ainsi que leur criticité (coût et longueur des séquences). Pour l’évaluation des séquences décrivant l’évolution des systèmes complexes présentant plusieurs modes de fonctionnement ou de défaillance, une approche modulaire basée sur les opérateurs de composition (choix et concaténation) a été proposée. Celle-ci consiste à calculer la probabilité d'une séquence d'événements globale à partir d'évaluations réalisées localement, mode par mode. Les différentes contributions sont appliquées sur deux cas d'étude de taille et complexité croissante. / Dependability studies are often based on the assumption of events (failures and repairs) independence but also on the analyse of cut-set which describes the subsets of components causing a system failure. In the case of dynamic systems where the events occurrence order has a direct impact on the dysfunctional behaviour, it is important to promote using event sequences instead of cut-sets for dependability assessment. In the first part, a formal framework is proposed. It helps in determining sequences of events that describe the evolution of the system and their assessment, using the theory of probabilistic languages and the theory of Markov/semi-Markov processes. The assessment integrates the calculation of the probability occurrence of the event sequences and their criticality (cost and length). For the assessment of complex systems with multiple operating/failure modes, a modular approach based on composition operators (choice and concatenation) is proposed. Evaluation of the probability of a global sequence of events is performed from local Markov/semi-Markov models for each mode of the system. The different contributions are applied on two case studies with a growing complexity.

L'évolution des architectures de systèmes d'information n'a de cesse depuis l'avènement des télécommunications. Pour s'adapter aux nouvelles dimensions en nombre d'utilisateurs et taille des données, les systèmes d'information modernes sont répartis et hétérogènes. Ce constat ouvre de nouveaux enjeux de sûreté de fonctionnement pour les systèmes d'information, il s'agit de garantir disponibilité, fiabilité, innocuité, confidentialité, intégrité et maintenabilité tout au long du cycle de vie du système. C'est dans ce contexte que cette thèse a été conduite, les fruits des travaux de recherche gravitent autour de plusieurs notions de la sûreté de fonctionnement : – La confidentialité et l'intégrité avec le design, l'implémentation et l'étude de robustesse des chiffres symétriques par bloc. Les chiffres DES, AES et CS-Cipher ont été étudiés dans un spectre large rassemblant les implémentations logicielles et matérielles et leurs performances, la maléabilité des structures de diffusion, la cryptographie conventionnelle et les attaques par canaux auxiliaires. – La fiabilité avec le développement d'algorithmes auto-tolérants aux fautes et la certification de résultats. Cette étude est dédiée aux systèmes distribués de calcul tels que les clusters, les grilles ou encore les réseaux pair-à-pairs utilisés pour des calculs d'algèbre linéaires.

L'Ingénierie Système (IS) est une méthodologie pluridisciplinaire de conception et de mise en oeuvre des systèmes complexes. La maîtrise de la Sûreté de Fonctionnement est un processus essentiel de l'IS et, dans sa poursuite, le recours à des méthodes formelles telles que le model checking se heurte généralement à des diffcultés d'utilisation. Dans cette thèse Cifre, effectuée en collaboration avec l'IRCCyN et Sodius, nous avons cherché à concevoir un outil de vérification formelle d'architectures fonctionnelles qui soit immédiatement utilisable dans des démarches de conception d'IS. Dans ce but, nous transformons des modèles et des propriétés comportementales haut niveau vers des équivalents bas niveau sur lesquels sont effectuées les vérifications formelles, le résultat étant présenté en termes haut niveau. Plus particulièrement, nous avons choisi comme modèles d'entrée les diagrammes EFFBDs : ils constituent un outil de modélisation largement utilisé en IS et adapté aux contraintes du model checking. Nous en avons établi la syntaxe et la sémantique formelles ; nous avons alors pu décrire une transformation vers les réseaux de Petri temporels (TPNs) dont nous avons prouvé qu'elle préserve le comportement temporel des modèles. Parallèlement, nous avons décrit une logique temporelle quantitative adaptée aux EFFBDs et sa traduction vers une logique correspondante sur les TPNs; nous avons alors pu établir la complexité de son model checking. Ces différents résultats théoriques nous ont ensuite permis de réaliser un outil de simulation enfin de vérification d'architectures fonctionnelles et dysfonctionnelles (c.-à-d. modélisant des fonctions défaillantes), déployé et utilisé industriellement.

La recherche de solutions analytiques pour l'évaluation de la fiabilité en contexte dynamique n'est pas résolue dans le cas général. Un état de l'art présenté dans le chapitre 1 montre que des approches partielles relatives à des hypothèses particulières existent. La simulation de Monte Carlo serait le seul recours, mais il n'existait pas d'outils performants permettant la simulation simultanée de l'évolution discrète du système et de son évolution continue prenant en compte les aspects probabilistes. Dans ce contexte, dans le chapitre 2, nous introduisons le concept d'automate stochastique hybride capable de prendre en compte tous les problèmes posés par la fiabilité dynamique et d'accéder à l'évaluation des grandeurs de la sûreté de fonctionnement par une simulation de Monte Carlo implémentée dans l'environnement Scilab-Scicos. Dans le chapitre 3, nous montrons l'efficacité de notre approche de simulation pour l'évaluation de la sûreté de fonctionnement en contexte dynamique sur deux cas test dont un est un benchmark de la communauté de la Sûreté de Fonctionnement. Notre approche permet de répondre aux problèmes posés, notamment celui de la prise en compte de l'influence de l'état discret, de l'état continu et de leur interaction dans l'évaluation probabiliste des performances d'un système dans lequel en outre, les caractéristiques fiabilistes des composants dépendent eux-mêmes des états continu et discret. Dans le chapitre 4, nous donnons une idée de l'intérêt du contrôle par supervision comme moyen de la sûreté de fonctionnement. Les concepts d'automate observateur et de contrôleur ont été introduits et illustrés sur notre cas test afin de montrer leur potentialité.

En aéronautique civile, les systèmes électriques qui composent l'avion sont de plus en plus nombreux, de par l'accroissement des fonctionnalités, des besoins des usagers (confort), mais aussi par le besoin d'améliorer les performances des actionneurs électromécaniques et hydrauliques, voire de les remplacer par du tout électrique. Ainsi, les systèmes d'électroniques de puissance sont les premiers dispositifs électriques que voient les actionneurs. Ces dispositifs sont interfacés avec les interfaces de pilotage par des systèmes de contrôles-commandes.<br />Les normes aéronautiques imposent que tous les dispositifs utilisés dans un avion répondent à des contraintes sévères quant à leur fiabilité et leur sécurité de fonctionnement. Dans le cas précis des convertisseurs statiques qui pilotent les actionneurs, on est confronté aux normes de fonctionnement des réseaux électriques, aux normes C.E.M., aux normes environnementales (au sens du contexte du dispositif), et aux normes liés aux systèmes de contrôle.<br />Le marché de l'aéronautique, bien que très spécifique, est très concurrentiel au niveau mondial. Les multiples objectifs de matériels très performants, très fiables, très sûrs, mais les moins chers possibles sont donc de véritables problématiques.<br />Dans le cadre des convertisseurs statiques, un moyen pour réduire les coûts est l'utilisation de DSP (Digital Signal Processors) pour maximiser l'intégration de la commande et pour réduire les coûts, mais ce composant n'est pas conçu pour le milieu aéronautique.<br />L'ensemble de cette étude porte sur la conception d'un nouveau type de radar marqué par plusieurs ruptures technologiques. Le prototype réalisé comporte un convertisseur statique piloté par un DSP, mais ayant des fonctionnalités qui vont largement au-delà du convertisseur basique d'électronique de puissance. L'aspect « système » est largement pris en compte. Le convertisseur mis en oeuvre est un dispositif autonome de pilotage de moteurs.

Bien qu'actuellement considérés comme non sécuritaires (les fonctions de sécurité étant assurées par d'autres sous-systèmes) les systèmes de supervision du trafic ferroviaire peuvent contribuer à la sécurité dans certains scénarios de crise où une décision adaptée d'un opérateur de supervision pourrait réduire notablement la gravité des scénarios d'accident. Il est donc de toute première importance d'identifier ce type de scénarios afin d'envisager les systèmes de supervision du futur dans la perspective d'améliorer encore la sécurité des circulations dans un contexte d'augmentation du trafic ferroviaire prévisible et souhaitable dans les années à venir. La supervision impliquant des décisions prises par l'homme, la prise en compte du facteur humain est indispensable, et ce dès la conception des futurs systèmes.<br /><br />L'étude se focalise sur l'évaluation de l'interaction opérateurs humains -- machines et son impact sur la sécurité. Cette démarche nécessite la coopération de spécialistes de l'ingénierie ferroviaire (composante technique), des sciences humaines et sociales (composante humaine et organisationnelle) et de la sûreté de fonctionnement pour la synthèse et l'évaluation de la sécurité. Ces disciplines ont des approches différentes et quelquefois opposées, la thèse vise à établir un pont entre ces différentes disciplines dans un objectif commun de l'évaluation de la sécurité.<br /><br />Des études spécifiques du facteur humain ont été réalisées sur une plateforme de supervision de trafic ferroviaire. Installée dans les locaux de l'\textsc{utc}, cette plateforme comprend un système de supervision couplé à un simulateur de trafic permettant de recréer en laboratoire les conditions de travail d'un opérateur de supervision de trafic ferroviaire. L'objectif des expérimentations est d'obtenir des informations sur les processus cognitifs généraux impliqués dans la gestion d'un environnement dynamique de circulation de mobiles et de contribuer ainsi à l'évaluation du système de supervision en situation d'utilisation par des opérateurs confrontés à la gestion d'une situation nominale, normale et dégradée.

aLes techniques utilisées pour la réalisation de systèmes électroniques destines au contrôle/commande d'applications critiques sont généralement basées sur le concept de la logique fail-safe conventionnelle. Bien qu'elles aient été largement éprouvées, ces techniques s'avèrent maintenant de plus en plus mal adaptées à la conception de systèmes de plus en plus complexes puisqu'elles font appel à des composants discrets spécifiques. C'est dans ce contexte que cette étude essaie d'évaluer la contribution des circuits intégrés autotestables, et plus spécialement les circuit self-checking (capables de détecter instantanément leurs propres erreurs), à la réalisation de systèmes intégrés à haute sureté de fonctionnement. Les travaux présentés dans cette thèse se proposent d'élargir la théorie des systèmes fail-safe aux circuits intégrés combinatoires. Comme application, nous étudions la faisabilité d'une interface autotestable hors-ligne capable de transformer les données des circuits autotestables en-ligne (self-checking) en signaux surs adaptes au pilotage d'éléments électrons mécaniques. Cette interface autorise la réalisation de circuits Vlsi strongly fail-safe qui sont susceptibles, dans les années à venir, de tenir une place de premier ordre dans le domaine des automatismes intégrés de sécurité. Toutes les considérations pratiques pour la conception de ces circuits sont basées sur des hypothèses de pannes analytiques liées à la technologie utilisée, ici le CMOS

Lintégration progressive de lélectronique dans les secteurs automobile et avionique a amélioré le confort et les services rendus. Toutefois, cela a complexifié la conception des systèmes pilotés par calculateurs (systèmes mécatroniques, calculateurs de vol, etc.), ce qui rend difficile la maîtrise de leur fiabilité. Par ailleurs, la phase de conception doit être rapide et peu coûteuse (le moins de prototypes possible, le plus tard possible) avec un niveau de sécurité garantie. De plus, les ressources en moyens matériels étant limitées, pour des raisons de coûts et de mise en Suvre, les concepteurs évitent au maximum les redondances matérielles. Des études de Sûreté de Fonctionnement réalisées dès la phase de conception permettent une meilleure maîtrise des risques et de la fiabilité des systèmes conçus. En effet, les points faibles qui sont mis en évidence lors de lévaluation du niveau de sûreté des systèmes conçus permettent aux concepteurs de spécifier des stratégies de pilotage et des modes de reconfiguration avant les premiers essais sur un prototype réel. Les systèmes pilotés par calculateurs combinant des technologies mécaniques, hydrauliques, électroniques et informatiques sont hybrides: la dynamique continue est associée à la partie énergétique et la dynamique discrète est liée à la commande numérique et à lexistence dévénements discrets (défaillances, dépassements de seuils). Létude de la sûreté de fonctionnement de tels systèmes doit nécessairement tenir compte des interactions existantes entre leurs paramètres physiques (température, pression, vitesse&) et le dysfonctionnement de leurs composants. Les méthodes classiques de la sûreté de fonctionnement, comme les arbres de défaillances sont insuffisantes pour de tels systèmes complexes et hybrides car ils sont dynamiques. La sûreté de ces systèmes doit tenir compte du temps et de lordre dapparition des événements. La rareté de ces scénarios expose les méthodes basées seulement sur la simulation. au problème dexplosion combinatoire. Il existe en effet des techniques daccélération de la simulation, largement utilisées avec succès, dans lingénierie nucléaire notamment. Mes travaux de thèse sont placés dans le cadre de la fiabilité dynamique. Lobjectif est de réaliser une analyse qualitative de la sûreté de fonctionnement des systèmes pilotés par calculateurs pour extraire des scénarios menant à des états redoutés. Il sagit de caractériser ces scénarios au plus tôt dans la phase de conception, ce qui permet dévaluer leurs probabilités doccurrence pour valider larchitecture du système. Nous proposons une approche basée sur la logique linéaire et les Réseaux de Petri Prédicats Transitions Différentiels Stochastiques (RdP PTDS) qui garantissent le respect de la nature hybride de ces systèmes. Cette approche tient partiellement compte de laspect continu du système et plus particulièrement des seuils associés à certaines transitions dans le modèle RdP. Cela permet de déterminer plus précisément les conditions exactes de loccurrence de lévénement redouté : ce qui pousse le système à quitter son fonctionnement normal et à évoluer vers létat redouté. Loriginalité de notre approche est que lordre doccurrence des événements est pris en compte et les scénarios incohérents vis-à-vis de la dynamique continue du système sont éliminés. Notre approche est également orientée vers la vérification de certaines propriétés des systèmes pilotés par calculateur. Ces propriétés peuvent êtres de type temporel (la durée maximale dun scénario ou la durée entre deux commandes) ou de type accessibilité entre deux états. Lautomatisation de toutes les étapes de notre approche nous a paru indispensable dans le cas des systèmes complexes où le risque derreur humaine est très important. C'est pourquoi, j développé un outil ESA_PetriNet (Extraction & Scenarios Analyser by PetriNet model) qui permet dextraire les scénarios critiques qui mènent vers létat redouté à partir du n modèle Réseau de Petri temporel et de vérifier certaines propriétés des systèmes pilotés par calculateurs. null