Je présente dans ce document mes résultats de recherche sur la conception sûre de systèmes embarqués sûrs. La première partie concerne la répartition automatique de programmes synchrones. Le caractère automatique de la répartition apporte un réel degré de sûreté dans la conception de systèmes répartis car c'est la partie la plus délicate de la spécification qui est automatisée. Grâce à cela, l'absence d'inter-blocage et l'équivalence fonctionnelle entre le programme source centralisé et le programme final réparti peuvent être formellement démontrées. La deuxième partie traite le sujet de l'ordonnancement et de la répartition de graphes de tâches flots-de-données sur des architectures à mémoire répartie, avec contraintes de tolérance aux fautes et de fiabilité. Je présente principalement des heuristiques d'ordonnancement statique multiprocesseur avec pour but la tolérance aux fautes et la fiabilité des systèmes, mais également l'utilisation de méthodes formelles telles que la synthèse de contrôleurs discrets ou les transformations automatiques de programmes. Enfin, la troisième partie concerne les autoroutes automatisées, avec deux volets : la commande longitudinale de véhicules autonomes et les stratégies d'insertion dans les autoroutes automatisées.

La th\'matique dans laquelle<br />ce travail s'inscrit est l'estimation des syst\`mes non lin\'{e}aires, le<br />processus d'estimation (ou d'observation) concernant aussi bien les<br />variables d'\'tat que les param\`tres. En g\'{e}n\'ral, le probl\`me<br />d'observation non lin\'{e}aire oblige---faute d'une solution<br />syst\'matique---\`{a} une transformation du syst\`{e}me \`{a} observer sous une<br />forme pour laquelle la synth\`{e}se d'un observateur soit possible. Nos<br />contributions concernent principalement les transformations par<br />immersion, qui g\'{e}n\'{e}ralisent les transformations par diff\'{e}omorphisme<br />au sens o\`{u} la dimension de l'espace d'\'{e}tat n'est pas forcement<br />pr\'{e}serv\'{e}e\nobreakdash---elle peut augmenter. Dans une premi\`{e}re<br />partie on en appelle \`{a} l'injection de sortie dans le but d'\'{e}largir<br />la classe des syst\`{e}mes qui peuvent s'immerger dans une forme affine<br />en l'\'{e}tat et on propose des façons heuristiques de construire<br />l'immersion. Puis, dans une deuxi\`{e}me partie on montre qu'une<br />possibilit\'{e} d'obtenir une caract\'{e}risation pr\'{e}cise des conditions<br />d'immersion, m\^{e}me en pr\'{e}sence de l'injection de sortie, est de<br />tol\'{e}rer d'une certaine façon les non lin\'{e}arit\'{e}s. La proc\'{e}dure<br />d'immersion qui s'obtient est syst\'{e}matique si l'on n'utilise pas<br />l'injection de sortie. Pour justifier l'int\'{e}r\^{e}t vis-\`{a}-vis de la<br />forme qui en r\'{e}sulte on pr\'{e}sente un observateur \`{a} grand gain dont la<br />synth\`{e}se ne s'appuie pas sur l'hypoth\`{e}se d'observabilit\'{e} uniforme.<br />L'applicabilit\'{e} des r\'{e}sultats est v\'{e}rifi\'{e}e sur des exemples dans le<br />domaine des syst\`{e}mes \'{e}lectriques de puissance, dont le plus<br />important concerne l'estimation simultan\'{e}e d'\'{e}tat et de param\`{e}tres<br />dans les moteurs asynchrones.

Ce travail s'est intéressé à l'étude des machines synchrones à aimants permanents pour l'entramement d'une interface haptique. Le système entier est d'abord modélisé et le cahier des charges défini. L'identification des paramètres électriques et mécaniques du système est ensuite réalisée à partir de deux méthodes : moindres carrés et modèle inverse, méthode du modèle et algorithme de Marquardt. La commande de l'interface est basée sur deux boucles imbriquées de courant et de vitesse, auxquelles s'ajoute une boucle `haptique' de type ressort rigide virtuel. Une simulation fine du système se basant sur un modèle dynamique hybride valide la commande proposée. Une commande passive basée sur les variables d'ondes est ensuite développée. Finalement, une méthode de calcul de vitesse discrète est proposée permettant d'améliorer les performances des lois de commande dans le cas de codeurs à faible résolution. Des résultats expérimentaux sont présentés et valident les méthodes proposées.

Ziel der vorliegenden Arbeit ist die retrospektive Beurteilung der Sicherheit und Effektivität der Leberteilresektion bei der Behandlung von Lebermetastasen des kolorektalen Karzinoms sowie der Re-Resektion bei Patienten mit Rezidivlebermetastasen. Weiterhin soll das operative Vorgehen bei synchronen Lebermetastasen hinsichtlich simultaner Resektionsverfahren und zweizeitigen Vorgehens untersucht werden. Insgesamt wurden die Ergebnisse von 660 Patienten ausgewertet, die zwischen 1988 und 2004 mit 685 Leberteilresektionen behandelt wurden. Unter diesen waren 75 Patienten, die eine Re-Resektion erhielten sowie 202 Patienten, bei denen die Lebermetastasen synchron auftraten. Neben der Analyse der postoperativen Letalität und postoperativen Komplikationen sollen prognostische Faktoren für das Langzeitüberleben und das Auftreten von Tumorrezidiven nach Leberteilresektion identifiziert werden. Da sich die Studienpopulation aus einem Zeitraum von über 15 Jahren rekrutiert, sollen außerdem verschiedene Zeitabschnitte vergleichend analysiert werden. Die Leberteilresektion ist derzeit die einzige potentiell kurative Therapie bei kolorektalen Lebermetastasen. Als prognostisch günstige Parameter in der multivariaten Analyse zeigten sich die Radikalität des Eingriffes, die Anzahl der Metastasen, vorhandene ligamentäre Lymph-knotenmetastasen sowie das Jahr der Resektion. Auch bei Rezidiven kolorektaler Lebermetastasen ist das chirurgische Vorgehen derzeit die einzige kurative Intervention. Re-Resektionen weisen ein vergleichbares operatives Risiko und vergleichbare Langzeitüberlebensraten auf wie Erstresektionen. Als einziger prognostischer Parameter für das Langzeitüberleben erwies sich in der multivariaten Analyse die Radikalität des Eingriffes. Bei synchronen Lebermetastasen sind die wichtigsten Kriterien, um eine simultane Resektion durchzuführen, die Berücksichtigung des Alters sowie des Resektionsausmaßes. Simultane Resektionen sind bei synchronen kolorektalen Lebermetastasen dann so sicher und effizient durchführbar wie Resektionen im zweizeitigen Vorgehen.

La quasi-totalité des études de machines synchrones à aimants permanents (MSAP) pour les applications aux véhicules hybrides concernent les performances uniquement sur quelques points particuliers d'un cycle de fonctionnement du véhicule (le point de base, le point à grande vitesse ou le point le plus sollicité). Cependant, ces machines électriques fonctionnent souvent à différents couples et à différentes vitesses. Cette thèse s'intéresse donc à l'étude des performances de MSAP sur l'ensemble d'un cycle de fonctionnement en vue de les optimiser sur cycle. Durant cette thèse, l'auteur a contribué à développer les modèles de couple, de défluxage, de pertes cuivre et de pertes magnétiques et les méthodes de calcul de ces pertes à vide et en charge pour les quatre MSAP dont trois machines à concentration de flux et une machine à aimants en surface du rotor et pour trois cycles de fonctionnement : NEDC, Artemis-Urbain et Artemis-Routier. Une validation expérimentale de ces modèles a été effectuée sur un banc d'essai moteur avec deux prototypes de MSAP. Ensuite, les MSAP ont été dimensionnées en vue d'une minimisation des pertes sur cycle et du courant efficace du point de base. Cette combinaison a pour but d'augmenter le rendement de la machine électrique et de minimiser la dimension de l'onduleur de tension associée. Ce problème d'optimisation multi-objectif a été réalisé en utilisant l'algorithme génétique, Non-Dominated Sorting Genetic Algorithm (NSGA-II). Ainsi, un Front de Pareto des solutions optimales peut être déduit. Les impacts des modèles de pertes (à vide et en charge) sur l'optimisation sur cycle des machines sont étudiés et l'intérêt de chaque modèle est présenté. Les modèles et méthodes de calcul proposés peuvent être appliqués à tous les cycles de fonctionnement, à différentes MSAP et à différentes applications.

Afin de définir une conception optimale d'un système électromécanique, celui-ci doit intégrer des contraintes toujours plus drastiques et de nombreux phénomènes physiques issus de : l'électromagnétique, l'aérothermique, l'électronique, la mécanique et l'acoustique. L'originalité de cette thèse est de proposer une modélisation multi-physique pour la conception reposant sur des modèles à constantes localisées : solution intermédiaire entre la modélisation analytique et numérique. Ces différents modèles permettront l'étude et la conception sous contraintes d'une machine synchrone à aimants permanents dédiée pour la traction ferroviaire. Les résultats de simulations seront comparés à des résultats éléments finis mais aussi à des essais expérimentaux. Ce modèle multi-physique est entièrement paramétré afin d'être associé à des outils d'optimisation. On utilisera ici une optimisation par essaim de particules pour chercher des compromis entre différents objectifs sous forme de Front de Pareto. Dans ce papier, nous ciblerons les objectifs suivants : le couple d'origine électromagnétique et le bruit d'origine électromagnétique. Finalement une étude de sensibilité valide la robustesse de la conception retenue quand celle-ci est soumise aux contraintes de fabrication. L'objectif étant de poser les bases d'un outil d'aide à la décision pour le choix d'une machine électrique

Ce travail concerne les machines synchrones à excitation (rotor bobiné). Leur modélisation est effectuée sous forme analytique; elle peut être employée lors des phases d'étude et de conception de ces machines (par exemple, pour la prédétermination des formes d'ondes et des pertes fer). Le premier chapitre présente les véhicules électriques et les particularités de leur chaîne de traction. Nous en déduisons ensuite les contraintes qui influent sur les paramètres magnétiques de ces machines. La méthode de calcul utilisée est détaillée dans le deuxième chapitre. Celle-ci permet d'analyser les effets de la saillance des machines au cours de leur rotation. Cette méthode se base sur une étude de la perméance d'entrefer (unique point traité par résolution numérique) qui conduit à un modèle de cette zone soit ponctuel, soit harmonique. Nous présentons ensuite les éléments permettant d'adapter cette caractérisation au cas des machines synchrones à aimants permanents. Les chapitres suivants sont consacrés à l'exploitation et à la validation de ce modèle pour différents points de fonctionnement de la machine. Le calcul des inductances (directe et en quadrature) en régime permanent, ainsi que la détermination de la répartition instantanée des flux en rotation, y sont traités. Les résultats obtenus avec le modèle analytique sont comparés à ceux obtenus avec des résolutions intégralement numériques (éléments finis). Divers cas ont été testés, notamment le fonctionnement en survitesse avec une forte réaction d'induit et le fonctionnement à couple maximum. Le modèle a permis de reconstituer avec une bonne précision ces différents cas, même en présence de saturation. Ces résultats valident le concept développé ici.

Dans cette thèse, nous étudions les notions de déterminisme et de confluence dans des systèmes concurrents et synchrones. Ces derniers sont des variantes du pi-calcul qui ont été étendues avec une notion de temps. Le premier modèle étudié, le S-pi-calcul, est une extension du modèle SL où la réaction à l'absence d'un signal se fait à la fin de l'instant et où les signaux sont considérés comme des valeurs de première classe. Ce modèle utilise les signaux comme mécanisme de communication de base. Dans le cadre du S-pi-calcul, nous avons cherché à développer une théorie compositionnelle de l'équivalence des programmes basée sur la notion de bisimulation. Ensuite, nous avons conçu un système de types en se basant sur une notion d'usage affine pour les signaux que nous avons introduit. Dans ce système, nous avons montré que tout programme typable est déterministe. Le second modèle, TAPIS, est une autre variante du pi-calcul où les canaux sont utilisés pour la communication. Dans ce cadre, nous avons adapté la théorie des types précedemment introduite pour le S-pi-calcul au cas des canaux et montré que les programmes typables sont confluents. Le système développé dans ce contexte ainsi que la preuve du lemme de préservation du typage ont été formalisés dans Coq.

Cette thèse a pour objet l'étude de la modélisation du contrôle de la reconfiguration dans les systèmes dynamiques, plus particulièrement les systèmes sur puce dynamiquement et partiellement reconfigurables. Les travaux présentés dans ce manuscrit visent à réaliser une méthodologie de conception par contrainte du contrôle, applicable dans le cadre de la spécification de ces systèmes. Reposant sur le principe d'Ingénierie Dirigée par les Modèles, cette méthodologie - basée sur UML/MARTE - est dotée de transformations appropriées, lui permettant de cibler une représentation synchrone, en langage BZR, de la partie contrôle. Cette représentation est ensuite exploitable par une technique correcte par construction - la synthèse de contrôleur discret -, dans le but d'obtenir automatiquement et de manière sûre les lois de commande correspondant aux contraintes spécifiées en amont. La partie contrôle est plus particulièrement divisée en deux aspects : la sécurité, obtenue formellement par synthèse afin de produire des espaces de configurations accessibles, et l'optimisation, implémentable par le concepteur et produisant un ordre de reconfiguration à partir d'un espace accessible. L'intégration sécurité/optimisation proposée est assimilable à un système réactif avec boucle de rétroaction. Un exemple démontrant la méthodologie est réalisé, et fait apparaître ses avantages tant en terme de simplification de conception (spécification par contraintes, approche automatique) qu'en terme de sécurité (contrôle formel).

Cette thèse aborde le problème de génération d'horloge globale dans les SoCs complexes dans le contexte des technologies CMOS profondément submicroniques. Actuellement, afin de contourner les difficultés liées aux techniques classiques de distribution d'horloge (p.ex. arbre, grille) dans les systèmes synchrones, les concepteurs qui désirent de se rendre sur le paradigme Synchronisation Globale se tournent vers les techniques de synchronisation rompant avec les approches classiques (par exemple oscillateurs distribués, les ondes stationnaires , oscillateurs couplés, les retards programmables). Cette étude s'inscrit dans ce courant. Dans ce travail, nous avons étudié et mis au point un système de génération d'horloge sur puce destiné à un SoC synchrone de haute fiabilité. Cette architecture est basée sur un réseau d'oscillateurs couplés en phase et en fréquence à l'aide d'un réseaux de boucles à verrouillage de phase tout numériques (ADPLLs). Pendant cette recherche nous avons mis au point les spécifications et choisi une architecture de réseau. Un modèle théorique du système a été mis en place en collaboration avec CEA-LETI et Supélec dans le cadre du projet ANR HODISS. Nous avons analysé le comportement du système dans les simulations sur différents niveaux d'abstraction, en enquêtant des conditions de stabilité de son fonctionnement synchrone. L'ADPLL a été proposé comme un nœud élémentaire du réseau de synchronisation distribuée. L'utilisation d'ADPLL permet de contourner les difficultés d'implémentation, qui sont généralement associées à PLL analogique. Nous avons conçu les blocs principaux de l'ADPLL: un oscillateur à commande numérique (Digitally-Controlled Oscillator, DCO), un détecteur de phase/fréquence (PFD) et un bloc de traitement d'erreur. Une technique de conception basée sur les cellules a été adapté pour le développement d'oscillateur. Cette technique réduit considérablement la complexité de l'implémentation de l'oscillateur. Les autres blocs ont été conçus en utilisant un flot de conception numérique commun. Afin de réduire les risques associés à l'implémentation de silicium, le système a été validé dans une plate-forme de prototypage FPGA. Les résultats des mesures ont montré que la synchronisation de réseau se comporte comme prédit par la théorie et ainsi que les simulations. Deux circuits de prototypage ont été conçus, mis en œuvre et testés dans une technologie CMOS 65 nm de STMicroelectronics. La première puce est une preuve de concept d'un DCO conçu très linéaire et monotone. Les paramètres mesurés de l'oscillateur sont conformes aux spécifications. La performance mesurée a démontré une gigue de moins de 15 ps rms, en consommant 6.2 mW/GHz @ 1.1 V. La plage de réglage de l'oscillateur est 999-2480 MHz avec une résolution de 10 bits. La deuxième puce est un réseau d'horloge avec 4x4 nœuds qui se compose de 16 ADPLLs distribués. Chacun d'entre eux utilise les blocs conçu précédemment: DCO, PFD et bloc de traitement d'erreur. Les expérimentes ont montré que la technique proposée de génération d'horloge distribuée est réalisable sur une puce réelle CMOS. La performance mesurée démontre l'erreur de synchronisation entre les oscillateurs voisins moins de 60 ps, alors que la consommation d'énergie est 98.47 mW/GHz.