Lors de la conception des avions, il est courant que les constructeurs évaluent la sûreté de fonctionnement en utilisant des modèles stochastiques, mais l'évaluation de la fiabilité opérationnelle à l'aide de modèles en ligne, pendant la réalisation des missions, reste rarement effectuée. Souvent, l'évaluation stochastique concerne la sécurité des avions. Cette thèse porte sur la modélisation de la fiabilité opérationnelle des avions, pour aider à la planification des activités de maintenance et des missions, ainsi qu'à la bonne réalisation de ces dernières. Nous avons développé une approche de modélisation, basée sur un méta-modèle qui sert de base i) de structuration des informations nécessaires à l'évaluation de la fiabilité opérationnelle d'un avion et ii) pour la construction de modèles stochastiques pouvant être mis à jour dynamiquement. La mise à jour concerne l'état courant des systèmes avion, un profil de mission et les moyens de maintenance disponibles dans les diverses escales incluses dans le profil de la mission. L'objectif est de permettre l'évaluation de la fiabilité opérationnelle en ligne. Deux cas d'études, basés sur des sous-systèmes avion, sont considérés à titre d'illustration. Nous présentons des exemples de résultats qui montrent le rôle important de l'évaluation de la fiabilité opérationnelle pendant une mission d'avion.

L'évolution actuelle des systèmes embarqués à bord des systèmes complexes (avions, satellites, navires, automobiles, etc.) les rend de plus en plus vulnérables à des attaques, en raison de : (1) la complexité croissante des applications ; (2) l'ouverture des systèmes vers des réseaux et systèmes qui ne sont pas totalement contrôlés ; (3) l'utilisation de composants sur étagère qui ne sont pas développés selon les méthodes exigées pour les systèmes embarqués critiques ; (4) le partage de ressources informatiques entre applica- tions, qui va de pair avec l'accroissement de puissance des processeurs. Pour faire face aux risques de malveillances ciblant les systèmes embarqués, il est nécessaire d'appli- quer ou d'adapter les méthodes et techniques de sécurité qui ont fait leurs preuves dans d'autres contextes : Méthodes formelles de spécification, développement et vérification ; Mécanismes et outils de sécurité (pare-feux, VPNs, etc.) ; Analyse de vulnérabilités et contre-mesures. C'est sur ce dernier point que portent nos travaux de thèse. En effet, cet aspect de la sécurité a peu fait l'objet de recherche, contrairement aux méthodes formelles. Cependant, il n'existe pas actuellement de modèle formel capable de couvrir à la fois des niveaux d'abstraction suffisamment élevés pour permettre d'exprimer les propriétés de sécurité désirées, et les détails d'implémentation où se situent la plupart des vulnérabilités susceptibles d'être exploitées par des attaquants : fonctions des noyaux d'OS dédiées à la protection des espaces d'adressage, à la gestion des interruptions et au changement de contextes, etc. ; implémentation matérielle des mécanismes de protection et d'autres fonctions ancillaires. C'est sur ces vulnérabilités de bas niveau que se focalise notre étude. Nos contributions sont résumées par la suite. Nous avons proposé une classification des attaques possibles sur un système temps-réel. En nous basant sur cette classification, nous avons effectué une analyse de vulnérabilité sur un système réaliste : une plateforme avionique expérimentale fournie par Airbus. Il s'agit d'un noyau temps-réel critique or- donnancé avec plusieurs autres applications, le tout exécuté sur une plateforme Freescale QorIQ P4080. C'est à travers une application dite " malveillante ", présente parmi l'en- semble des applications, que nous essayons de modifier le comportement des autres appli- cations ou du système global pour détecter des vulnérabilités. Cette méthode d'analyse de vulnérabilités a permis de détecter plusieurs problèmes concernant les accès mémoire, la communication entre applications, la gestion du temps et la gestion des erreurs qui pouvaient conduire à la défaillance du système global. Enfin, nous avons proposé des contre-mesures spécifiques à certaines attaques et des contre-mesures génériques pour le noyau temps-réel qui permet d'empêcher une application d'obtenir des accès privilégiés ou encore de perturber le comportement du système.

L’évolution actuelle des systèmes embarqués à bord des systèmes complexes (avions,satellites, navires, automobiles, etc.) les rend de plus en plus vulnérables à des attaques,en raison de : (1) la complexité croissante des applications ; (2) l’ouverture des systèmes vers des réseaux et systèmes qui ne sont pas totalement contrôlés ; (3) l’utilisation de composants sur étagère qui ne sont pas développés selon les méthodes exigées pour les systèmes embarqués critiques ; (4) le partage de ressources informatiques entre applications, qui va de pair avec l’accroissement de puissance des processeurs. Pour faire face aux risques de malveillances ciblant les systèmes embarqués, il est nécessaire d’appliquer ou d’adapter les méthodes et techniques de sécurité qui ont fait leurs preuves dans d’autres contextes : Méthodes formelles de spécification, développement et vérification ;Mécanismes et outils de sécurité (pare-feux, VPNs, etc.) ; Analyse de vulnérabilités et contre-mesures. C’est sur ce dernier point que portent nos travaux de thèse.En effet, cet aspect de la sécurité a peu fait l’objet de recherche, contrairement aux méthodes formelles. Cependant, il n’existe pas actuellement de modèle formel capable de couvrir à la fois des niveaux d’abstraction suffisamment élevés pour permettre d’exprimer les propriétés de sécurité désirées, et les détails d’implémentation où se situent la plupart des vulnérabilités susceptibles d’être exploitées par des attaquants : fonctions des noyaux d’OS dédiées à la protection des espaces d’adressage, à la gestion des interruptions et au changement de contextes, etc. ; implémentation matérielle des mécanismes de protection et d’autres fonctions ancillaires. C’est sur ces vulnérabilités de bas niveau que se focalise notre étude.Nos contributions sont résumées par la suite. Nous avons proposé une classification des attaques possibles sur un système temps-réel. En nous basant sur cette classification,nous avons effectué une analyse de vulnérabilité sur un système réaliste : une plateforme avionique expérimentale fournie par Airbus. Il s’agit d’un noyau temps-réel critique ordonnancé avec plusieurs autres applications, le tout exécuté sur une plateforme Freescale QorIQ P4080. C’est à travers une application dite « malveillante », présente parmi l’en-semble des applications, que nous essayons de modifier le comportement des autres applications ou du système global pour détecter des vulnérabilités. Cette méthode d’analyse de vulnérabilités a permis de détecter plusieurs problèmes concernant les accès mémoire,la communication entre applications, la gestion du temps et la gestion des erreurs qui pouvaient conduire à la défaillance du système global. Enfin, nous avons proposé des contre-mesures spécifiques à certaines attaques et des contre-mesures génériques pour le noyau temps-réel qui permet d’empêcher une application d’obtenir des accès privilégiés ou encore de perturber le comportement du système. / Security is becoming a major concern for embedded computing systems in variouscritical industrial sectors (aerospace, satellites, automotive, etc.). Indeed, recent trendsin the development and operation of such systems, have made them more and morevulnerable to potential attacks, for the following reasons : 1) increasing complexity of theapplications ; 2) openness to applications and networks that are note completely undercontrol ; 3) Use Commercial-Off-The-Shelf (COTS) hardware and software components ;4) Resource sharing among different applications, driven by the increase of processorscapabilities.To improve the security of such systems, it is necessary to apply or adapt methodsand techniques that have proven their efficiency in other contexts : Formal methods forspecification, development and verification ; Security mechanisms and tools (firewalls,VPNs, etc.) ; Vulnerability assessment and countermeasure provision.The research carried out in this thesis adresses the latter technique. This aspect ofsecurity analysis cannot be easily covered by current formal methods, since no exist-ing model is able to cover both high-level abstractions, where security properties canbe defined, and low-level implementation details, where most vulnerabilities that couldbe exploited by attackers lie : OS kernel implementation of address space protection,interrupt management, context switching, etc. ; hardware implementation of protectionmechanisms and other ancillary functions. Very few research projects are addressing thisaspect of security, which is the main objective of this thesis. In particular, our researchfocuses on low-level vulnerabilities, but contrarily with common practice, we aim todiscover and analyze them during the development process.Our contributions are summarized as follows. We elaborated a classification of low-level vulnerabilities for different implementations of real-time embedded systems. Basedon this classification, we carried out a vulnerability analysis study on a realistic system :An experimental avionic platform provided by Airbus. It consists of a critical real-timekernel scheduling the execution of different applications on a freescale QorIQ P4080platform. The identification and analysis of vulnerabilities is carried out based on a“malicious” application hosted on the platform that attempts to corrupt the behavior ofthe other applications or the global system considering different types of low level attacks.Such experiments allowed us to identify some problems related to the management ofmemory accesses, the communication between applications, time management and errorhandling that could lead to the global system failure.We have also proposed genericcounter measures to protect the real-time kernel against specific attacks, and to preventa given application from escalating its privileges or trying to compromise the systembehavior

Le développement de tests pour les systèmes avioniques met en jeu une multiplicité de langages de test propriétaires, sans aucun standard émergent. Les fournisseurs de solutions de test doivent tenir compte des habitudes des différents clients, tandis que les échanges de tests entre les avionneurs et leurs équipementiers / systémiers sont entravés. Nous proposons une approche dirigée par les modèles pour s'attaquer à ces problèmes : des modèles de test sont développés et maintenus à la place du code, avec des transformations modèle-vers-code vers des langages de test cibles. Cette thèse présente trois contributions dans ce sens. La première consiste en l'analyse de quatre langages de test propriétaires actuellement déployés. Elle nous a permis d'identifier les concepts spécifiques au domaine, les meilleures pratiques, ainsi que les pièges à éviter. La deuxième contribution est la définition d'un méta-modèle en EMF Ecore, qui intègre tous les concepts identifiés et leurs relations. Le méta-modèle est la base pour construire des éditeurs de modèles de test et des motifs de génération de code. Notre troisième contribution est un démonstrateur de la façon dont ces technologies sont utilisées pour l'élaboration des tests. Il comprend des éditeurs personnalisables graphiques et textuels pour les modèles de test, ainsi que des transformations basées-motifs vers un langage de test exécutable sur une plateforme de test réelle.

Les architectures de communication avionique actuelles impliquent un poids et des coûts d'intégration importants à cause de la quantité croissante du câblage et des connecteurs utilisés. Afin de répondre à ces besoins émergents, nous avons proposé dans cette thèse l'intégration des technologies sans fil dans le contexte avionique comme principale solution pour diminuer le poids et la complexité dus au câblage. Tout d’abord, nous avons conçu un réseau avionique de secours basé sur la technologie HRUWB, implémentant un protocole d'arbitrage TDMA et des divers mécanismes de fiabilité pour garantir les exigences de déterminisme et de sûreté. Par la suite, nous avons procédé à l'évaluation des performances de notre proposition en termes de délais en se basant sur des méthodes analytiques. Par ailleurs, nous avons étudié différentes solutions afin d’améliorer les marges d'évolutivité et de fiabilité du système. Enfin, nous avons validé notre réseau proposé à travers une étude de cas avionique réaliste; et les résultats obtenus ont mis en évidence la capacité de notre proposition à garantir les exigences du système en termes de déterminisme et de fiabilité. / The current avionics communication architecture inherits significant weight and integration costs due to the increasing quantity of wires and connectors. In addition, avionics interconnects are still subject to structural failure and fire hazard which decrease reliability and ramify the maintenance. To cope with these arising issues, integrating wireless technologies in avionics context is proposed in this thesis as a main solution to decrease the wiring-related weight and complexity.To achieve this aim, we design an alternative backup avionic network based on HR-UWB technology implementing a TDMA arbitration protocol and various reliability mechanisms to guarantee predictability and reliability requirements.Afterwards, we conduct analytical performance evaluation of our proposal in terms of delays. Moreover, we investigate different solutions to reach further enhancements on the system scalability and reliability.Finally, the validation of our proposal through a realistic avionics case study has been conduced, and the obtained results highlight its ability to guarantee the system requirements in terms of predictability and reliability.

Lors de la conception des avions, il est courant que les constructeurs évaluent la sûreté de fonctionnement en utilisant des modèles stochastiques, mais l'évaluation de la fiabilité opérationnelle à l’aide de modèles en ligne, pendant la réalisation des missions, reste rarement effectuée. Souvent, l'évaluation stochastique concerne la sécurité des avions. Cette thèse porte sur la modélisation de la fiabilité opérationnelle des avions, pour aider à la planification des activités de maintenance et des missions, ainsi qu’à la bonne réalisation de ces dernières. Nous avons développé une approche de modélisation, basée sur un méta-modèle qui sert de base i) de structuration des informations nécessaires à l’évaluation de la fiabilité opérationnelle d’un avion et ii) pour la construction de modèles stochastiques pouvant être mis à jour dynamiquement. La mise à jour concerne l'état courant des systèmes avion, un profil de mission et les moyens de maintenance disponibles dans les diverses escales incluses dans le profil de la mission. L'objectif est de permettre l'évaluation de la fiabilité opérationnelle en ligne. Deux cas d’études, basés sur des sous-systèmes avion, sont considérés à titre d'illustration. Nous présentons des exemples de résultats qui montrent le rôle important de l’évaluation de la fiabilité opérationnelle pendant une mission d’avion / Dependability assessment, by system manufacturer, during aircraft design, based on stochastic modeling, is of common practice, but model based operational dependability assessment online, during missions' achievement, is seldom done. Usually, the stochastic assessment addresses aircraft safety.This thesis addresses aircraft operational dependability modeling to support mission and maintenance planning, as well as the achievement of the missions. We develop a modeling approach, based on a meta-model that is used as a basis i) to structure the information needed to assess aircraft operational reliability and ii) to build a stochastic model that can be updated dynamically. The update concerns the current state of the aircraft system, a mission profile and the maintenance facilities available at the flight stop locations involved in the mission. The aim is to enable operational reliability assessment online. Two case studies, based on aircraft subsystems, are considered for illustration. We present examples of evaluation results that show the valuable role of operational dependability assessment during aircraft mission

Le développement de tests pour les systèmes d’avioniques met en jeu une multiplicité de langages de test propriétaires, sans aucun standard émergent.Les fournisseurs de solutions de test doivent tenir compte des habitudes des différents clients, tandis que les échanges de tests entre les avionneurs et leurs équipementiers / systémiers sont entravés. Nous proposons une approche dirigée par les modèles pour s’attaquer à ces problèmes: des modèles de test sont développés et maintenus à la place du code, avec des transformations modèle-vers-code vers des langages de test cibles. Cette thèse présente trois contributions dans ce sens. La première consiste en l’analyse de quatre langages de test propriétaires actuellement déployés. Elle nous a permis d’identifier les concepts spécifiques au domaine, les meilleures pratiques,ainsi que les pièges à éviter. La deuxième contribution est la définition d’un méta-modèle en EMF Ecore, qui intègre tous les concepts identifiés et leurs relations. Le méta-modèle est la base pour construire des éditeurs de modèles de test et des motifs de génération de code. Notre troisième contribution est un d´démonstrateur de la façon dont ces technologies sont utilisées pour l’élaboration des tests. Il comprend des éditeurs personnalisables graphiques et textuels pour des modèles de test, ainsi que des transformations basées-motifs vers un langage du test exécutable sur une plateforme de test réelle. / The development of tests for avionics systems involves a multiplicity of in-house test languages, with no standard emerging. Test solution providers have to accommodate the habits of different clients, while the exchange of tests between aircraft manufacturers and their equipment/system providers is hindered. We propose a model-driven approach to tackle these problems: test models would be developed and maintained in place of code, with model-to-code transformations towards target test languages. This thesis presents three contributions in this direction. The first one consists in the analysis of four proprietary test languages currently deployed. It allowed us to identify the domain-specific concepts, best practices, as well as pitfalls to avoid. The second contribution is the definition of a meta-model in EMF Ecore that integrates all identified concepts and their relations. The meta-model is the basis for building test model editors and code generation templates. Our third contribution is a demonstrator of how these technologies are used for test development. It includes customizable graphical and textual editors for test models, together with template-based transformations towards a test language executable on top of a real test platform.