Cette thèse contribue à l'amélioration de la fiabilité des réponses fournies par les systèmes pair-à-pair sémantiques de plusieurs façons. La première partie de la thèse a pour but de garantir de ne produire que des réponses bien-fondées quand le réseau global d'un tel système est inconsistant. Deux algorithmes ont été proposés. Le premier détecte des causes d'inconsistances. Il termine, est décentralisé, complet, correct. Le deuxième profite des résultats du premier pour garantir de ne raisonner que de manière bien-fondée. Il termine, est décentralisé, correct. Des résultats prometteurs ont été obtenus à partir des expérimentations. La seconde partie de la thèse considère le problème de modéliser la confiance des pairs en des réponses obtenues. Basé sur un modèle probabiliste, le modèle de confiance proposé a une sémantique claire et permet aux pairs d'estimer la confiance en des réponses obtenues avec une bonne précision même avec peu observations.

La nécessité de prendre en considération les aspects sûreté de fonctionnement des systèmes automatisés, dès la phase de conception, pour tendre vers le concept de « systèmes automatisés sûrs de fonctionnement » représente aujourd'hui un enjeu majeur. <br />Nous présentons dans cette Habilitation à Diriger les Recherches le concept de systèmes automatisés sûrs de fonctionnement et procédons à une analyse de la problématique globale de la conception de tels systèmes. Nous identifions clairement les frontières des différents systèmes constituant les systèmes automatisés sûrs de fonctionnement : processus physique, systèmes d'automatisation, systèmes de sécurité, systèmes de contrôlabilité du risque (barrières). Pour ce faire, nous nous appuyons sur la notion de service rendu. <br />Nous introduisons ensuite les différents concepts de sûreté de fonctionnement des systèmes en dégageant deux grands niveaux : la sûreté de fonctionnement prédictive et la gestion de la sûreté de fonctionnement avec prise en compte des risques pour l'Homme et l'environnement. Cette étude aborde les aspects normatifs incontournables pour les systèmes industriels et décline notre point de vue sur la notion de complexité. L'identification de ces grands axes de recherche en conception des systèmes automatisés sûrs de fonctionnement nous permet de situer dans la communauté scientifique nos activités de recherche, dont les contributions et résultats sont présentés dans le mémoire selon deux axes :<br />• L'axe I porte sur la sûreté de fonctionnement de processus physiques avec une application à l'évaluation des paramètres FMD (Fiabilité-Maintenabilité-Disponibilité) des lignes de production dans le but d'en améliorer la performance,<br />• L'axe II porte sur la sûreté de fonctionnement des systèmes d'automatisation à intelligence distribuée avec la proposition d'une démarche de conception de tels systèmes et d'un formalisme pour la spécification des besoins et contraintes d'architecture, l'originalité de cette méthode repose sur la volonté d'obtenir une architecture validée par des paramètres de sûreté quantifiés. <br />De ces travaux découlent nos activités de recherche actuelles et futures relatives à l'analyse systémique de la sûreté de fonctionnement des systèmes complexes et à l'exploration de voies de recherche pour la proposition d'une méthodologie générique, indépendante du domaine d'application, pour la conception de systèmes complexes sûrs de fonctionnement.

Les travaux que nous présentons sont relatifs à la problématique de la recherche d'information dans des systèmes dont les traits caractéristiques sont la distribution à très large échelle, l'ouverture, et l'autonomie des participants. Nous nous sommes plus particulièrement intéressé à des solutions facilitant l'intégration des participants et s'adaptant dynamiquement à leurs attentes. Nos travaux s'articulent au tour de trois axes : la définition d'une architecture distribuée, l'allocation de requêtes, et le traitement de l'hétérogénéité sémantique. Nous avons d'abord proposé une architecture totalement distribuée organisée en communautés thématiques. Cette vision sémantique de l'organisation, combinée à une politique qui consiste à s'appuyer non seulement sur les ressource des participants, mais aussi sur leurs compétences, permet de router les requêtes et les réponses dans le système en évitant de maintenir d'un index général tel que pratiqué par les moteurs de recherche. Un système ainsi distribué pose rapidement le problème de l'allocation des requêtes. En effet, tous les fournisseurs d'information ne disposent pas de ressources leur permettant de traiter le très grand nombre de requêtes émises. Laisser les participants choisir les requêtes qu'ils traitent répond aux attentes des fournisseurs. Cependant, cela entraine que certaines requêtes ne sont pas traitées pour des raisons individuelles, ce qui ne correspond pas au comportement qu'attendent les utilisateurs. Nous avons donc exploré la piste consistant à tenir compte des intentions des participants tout en allouant autoritairement les requêtes si nécessaire. Nous avons d'abord proposé une médiation flexible utilisant des aspects monétaires. Puis, nous avons mené une étude concernant la satisfaction des participants où nous avons dégagé un certain nombre de notions : satisfaction, satisfaction par rapport au système d'allocation, adéquation d'un participant par rapport au système, adéquation du système par rapport à un participant, etc. Nous avons alors proposé une deuxième technique d'allocation, SbQA, directement basée sur la notion de satisfaction. Enfin, de par leur nature, les systèmes distribués ouverts intègrent des participants provenant d'horizons différents ce qui est propice à l'hétérogénéité sémantique. Dans le cadre de la recherche d'information et des vecteurs sémantiques, nous avons proposé une méthode qui utilise non seulement les alignements entre ontologies mais aussi un mécanisme «d'explication» et «d'interprétation» pour améliorer l'interopérabilité sémantique.

A discrete event system is a system whose state space is given by a discrete set and whose state transition mechanism is event-driven i.e., its state evolution depends only on the occurrence of discrete events over the time. These systems are used in many fields of application (telecommunication networks, aeronautics, aerospace,...). The validity of these systems is then an important issue and to ensure it we can use supervisory control methods. These methods consist in imposing a given specification on a system by means of a controller which runs in parallel with the original system and which restricts its behavior. In this thesis, we develop supervisory control methods where the system can have an infinite state space and the controller has a partial observation of the system (this implies that the controller must define its control policy from an imperfect knowledge of the system). Unfortunately, this problem is generally undecidable. To overcome this negative result, we use abstract interpretation techniques which ensure the termination of our algorithms by overapproximating, however, some computations. The aim of this thesis is to provide the most complete contribution it is possible to bring to this topic. Hence, we consider more and more realistic problems. More precisely, we start our work by considering a centralized framework (i.e., the system is controlled by a single controller) and by synthesizing memoryless controllers (i.e., controllers that define their control policy from the current observation received from the system). Next, to obtain better solutions, we consider the synthesis of controllers that record a part or the whole of the execution of the system and use this information to define the control policy. Unfortunately, these methods cannot be used to control an interesting class of systems: the distributed systems. We have then defined methods that allow to control distributed systems with synchronous communications (decentralized and modular methods) and with asynchronous communications (distributed method). Moreover, we have implemented some of our algorithms to experimentally evaluate the quality of the synthesized controllers. / Un système à événements discrets est un système dont l'espace d'états est un ensemble discret et dont l'évolution de l'état courant dépend de l'occurrence d'événements discrets à travers le temps. Ces systèmes sont présents dans de nombreux domaines critiques tels les réseaux de communications, l'aéronautique, l'aérospatiale... La validité de ces systèmes est dès lors une question importante et une manière de l'assurer est d'utiliser des méthodes de contrôle supervisé. Ces méthodes associent au système un dispositif, appelé contrôleur, qui s'exécute en parrallèle et qui restreint le comportement du système de manière à empêcher qu'un comportement erroné ne se produise. Dans cette thèse, on s'intéresse au développement de méthodes de contrôle supervisé où le système peut avoir un espace d'états infini et où les contrôleurs ne sont pas toujours capables d'observer parfaitement le système; ce qui implique qu'ils doivent définir leur politique de contrôle à partir d'une connaissance imparfaite du système. Malheureusement, ce problème est généralement indécidable. Pour surmonter cette difficulté, nous utilisons alors des techniques d'interprétation abstraite qui assurent la terminaison de nos algorithmes au prix de certaines sur-approximations dans les calculs. Le but de notre thèse est de fournir la contribution la plus complète possible dans ce domaine et nous considèrons pour cela des problèmes de plus en plus réalistes. Plus précisement, nous avons commencé notre travail en définissant une méthode centralisée où le système est contrôlé par un seul contrôleur qui définit sa politique de contrôle à partir de la dernière information reçue du système. Ensuite, pour obtenir de meilleures solutions, nous avons défini des contrôleurs qui retiennent une partie ou la totalité de l'exécution du système et qui définissent leur politique de contrôle à partir de cette information. Malheureusement, ces méthodes ne peuvent pas être utilisées pour contrôler une classe intéressante de systèmes: les sytèmes distribués. Nous avons alors défini des méthodes permettant de contrôler des systèmes distribués dont les communications sont synchrones (méthodes décentralisées et modulaires) et asynchrones (méthodes distribuées). De plus, nous avons implémenté certains de nos algorithmes pour évaluer expérimentalement la qualité des contrôleurs qu'ils synthétisent.

Les travaux présentés dans ce mémoire ont pour cadre la recherche de nouveaux services et protocoles de Transport, aptes à supporter le transfert de données multimédia en tenant compte des exigences applicatives en termes de hauts débits et de synchronisation. L'approche proposée repose sur la définition et le développement d'un nouveau concept: la connexion d'ordre partiel (POC - Partial Order Connection), établissant un lien conceptuel entre les modes de service/protocole orientés-connexion tels que TCP, et sans connexion tels que UDP. Une POC est une connexion de bout en bout permettant de définir et de mettre en œuvre tous les services et protocoles d'ordre partiel entre deux entités communicantes ; dans une POC, la délivrance des données à l'utilisateur récepteur peut être effectuée dans un ordre différent de l'ordre de soumission de ces données par l'utilisateur émetteur: la différence (acceptable) entre ces deux ordres résulte de la définition, par l'utilisateur, d'un ordre partiel de délivrance lors de l'ouverture de la connexion. Une formalisation des mécanismes correspondants est proposée au moyen de la technique de description formelle Estelle. Les caractéristiques intrinsèques des différents média d'un flux multimédia ont conduit ces dernières années au développement d'architectures de communication intégrant la prise en compte des contraintes applicatives à différents niveaux conceptuels, et notamment au niveau Transport du modèle OSI ; à partir d'une modélisation de ces contraintes utilisant le formalisme des réseaux de Petri (le modèle TSPN), l'auteur propose d'intégrer le concept de POC dans une architecture de Transport multimédia autorisant une prise en compte globale des contraintes d'ordre et de fiabilité d'un flux multimédia. Les mécanismes de gestion de l'ordre et de la fiabilité qui sont proposés permettent de définir un service de Transport multimédia offrant une hypothèse nouvelle aux utilisateurs vis à vis de la problématique de la synchronisation. Une étude de la faisabilité d'un protocole multimédia d'ordre partiel à l'aide des procédures XTP est finalement présentée: elle conclut en la possibilité d'une telle réalisation

L’augmentation du nombre d’usagers de l’Internet a entraîné une croissance exponentielle dans les tables de routage. Cette taille prévoit l’atteinte d’un million de préfixes dans les prochaines années. De même, les routeurs au cœur de l’Internet peuvent facilement atteindre plusieurs centaines de connexions BGP simultanées avec des routeurs voisins. Dans une architecture classique des routeurs, le protocole BGP s’exécute comme une entité unique au sein du routeur. Cette architecture comporte deux inconvénients majeurs : l’extensibilité (scalabilité) et la fiabilité. D’un côté, la scalabilité de BGP est mesurable en termes de nombre de connexions et aussi par la taille maximale de la table de routage que l’interface de contrôle puisse supporter. De l’autre côté, la fiabilité est un sujet critique dans les routeurs au cœur de l’Internet. Si l’instance BGP s’arrête, toutes les connexions seront perdues et le nouvel état de la table de routage sera propagé tout au long de l’Internet dans un délai de convergence non trivial. Malgré la haute fiabilité des routeurs au cœur de l’Internet, leur résilience aux pannes est augmentée considérablement et celle-ci est implantée dans la majorité des cas via une redondance passive qui peut limiter la scalabilité du routeur. Dans cette thèse, on traite les deux inconvénients en proposant une nouvelle approche distribuée de BGP pour augmenter sa scalabilité ainsi que sa fiabilité sans changer la sémantique du protocole. L’architecture distribuée de BGP proposée dans la première contribution est faite pour satisfaire les deux contraintes : scalabilité et fiabilité. Ceci est accompli en exploitant adéquatement le parallélisme et la distribution des modules de BGP sur plusieurs cartes de contrôle. Dans cette contribution, les fonctionnalités de BGP sont divisées selon le paradigme « maître-esclave » et le RIB (Routing Information Base) est dupliqué sur plusieurs cartes de contrôle. Dans la deuxième contribution, on traite la tolérance aux pannes dans l’architecture élaborée dans la première contribution en proposant un mécanisme qui augmente la fiabilité. De plus, nous prouvons analytiquement dans cette contribution qu’en adoptant une telle architecture distribuée, la disponibilité de BGP sera augmentée considérablement versus une architecture monolithique. Dans la troisième contribution, on propose une méthode de partitionnement de la table de routage que nous avons appelé DRTP pour diviser la table de BGP sur plusieurs cartes de contrôle. Cette contribution vise à augmenter la scalabilité de la table de routage et la parallélisation de l’algorithme de recherche (Best Match Prefix) en partitionnant la table de routage sur plusieurs nœuds physiquement distribués. / The increasing number of end users has led to an exponential growth in the Internet routing table. The routing table is expected to reach a size of one million prefixes within the coming few years. Besides, current core routers may easily attain hundreds of connected BGP peers simultaneously. In classical monolithic architecture, the BGP protocol runs as a single entity inside the router. This architecture suffers from two drawbacks: scalability and reliability. BGP scalability can be measured in terms of the number of connected peers that can be handled and the size of the routing table. On the other hand, the reliability is a critical issue in core routers. If the BGP instance inside the router fails, all peers’ connections will shutdown and the new reachability state will be propagated across the Internet in a non trivial convergence delay. Although, in current core routers, the resiliency is increased considerably, it’s mainly implemented via a primary-backup redundancy scheme which limits the BGP scalability. In this thesis we address the two mentioned BGP drawbacks by proposing a novel distributed approach to increase both scalability and reliability of BGP without changing the semantic of the protocol. The BGP distributed architecture in the first paper is built to satisfy both requirements: scalability and reliability by adequately exploiting parallelism and module separation. In our model, BGP functionalities are split in a master-slave manner and the RIB (Routing Information Base) is replicated to multiple controller cards, to form a cluster of parallel computing entities. In the second paper, we address the fault tolerance of BGP within the distributed architecture presented in the first paper. We prove analytically that, by adopting the distributed architecture of BGP the availability of BGP will be increased considerably versus a monolithic architecture. In the third paper we propose a distributed parallel scheme called DRTP to partition the BGP routing table on multiple controller cards. DRTP aims at increasing the BGP scalability and the parallelization of the Best Match Prefix algorithm.

Le diagnostic est aujourd'hui plus que jamais un thème de recherche pertinent. La sécurité est en effet au cSur des préoccupations de la société d'aujourd'hui. Les enjeux tant économiques, sociétaux qu'environnementaux en font un des axes majeurs d'innovation pour l'industrie actuelle. Aujourd'hui la conception et l'exploitation des systèmes doivent être abordées en intégrant une dimension sécurité dont le diagnostic fait partie intégrante. C'est dans cette problématique du diagnostic (incluant la détection et le pronostic) que s'inscrivent nos travaux. Deux thèmes de recherches sont explorés : - les modèles et les sources de connaissances pour le diagnostic. Ce thème de recherche couvre les aspects multi-modèles (modèle du procédé, modèle de surveillance, modèle de stratégie &) pour la surveillance, et met en avant la pertinence d'utiliser des sources d'informations variées (ordonnancement, AMDE, historiques &) pour mettre en place une fonction diagnostic. La génération d'un modèle de comportement à partir de données classifiées est également abordée dans ce thème. Une approche de surveillance reposant sur l'observation de la trajectoire d'un système dynamique au travers d'une séquence d'assignations de l'état courant à des classes est développée. - le diagnostic distribué. Les approches proposées ici se focalisent sur la distribution des fonctions et des modèles. Une approche de détection distribuée basée sur un modèle temporel (contraintes) du comportement est développée. Une extension vers le diagnostic embarqué dans le domaine automobile s'appuyant sur un modèle du comportement issu des données de conception est également présentée. Sur la base de ces travaux notre projet de recherche concerne d'une part l'utilisation des approches basées données pour structurer les connaissances et générer automatiquement des modèles exploitables par des méthodes de diagnostic basées modèles, d'autre part la problématique du diagnostic pour l'aide à la décision, notamme nt dans les systèmes où la dimension humaine doit être considérée

Le standard 3GPP LTE (Long Term Evolution) est un nouveau standard de télécommunication terrestre dont la couche physique des stations de base, appelées eNodeB, est particulièrement coûteuse. Les processeurs de traitement du signal (DSP) sont largement employés dans les stations de base pour calculer les algorithmes de la couche physique. Les DSPs de dernière génération sont des systèmes complexes et hétérogènes. Il n'existe pas actuellement de solution idéale pour distribuer les parties d'une application comme le LTE sur les différents cœurs contenus dans un eNodeB. Dans cette thèse, nous présentons une méthode de travail pour le prototypage rapide et la génération de code automatique. Certains algorithmes de la couche physique du LTE étant trop variables pour une distribution hors-ligne, nous présentons un distributeur adaptatif capable de faire des choix en temps réel sur la base de temps d'exécution prédits.

In recent years, many distributed systems have evolved to cope with the convergence of their domain and computer networks. As an example, Internet telephony has drastically change the face of the telecommuni- cations domain in the last decade by introducing many new services based on Web services and databases. Distributed systems that provide advanced services must be efficient to be able to treat a large number of users and must be robust to face various attacks targeting the service itself or the underlying platform. However, building efficient and robust distributed systems requires an intimate knowledge of the relevant protocols and a substantial understanding of low-level system and network programming, which can be a challenge for many programmers. Nevertheless, the development process of distributed systems still remains rudimentary and requires a high level of low-level expertise. In this thesis, we show that domain-specific languages (DSLs) can successfully reduce the level of ex- pertise required to build efficient and robust distributed systems, making service programming in the reach of average developers. We present three contributions in this area. Our first contribution targets the creation of telephony services based on the SIP protocol. We have defined a domain-specific virtual machine for SIP and a DSL named SPL, providing the programmer with high-level notations and abstractions dedi- cated to telephony service development. The robustness of SPL has been a key factor in expediting service deployment. A variety of services have been written in SPL, demonstrating the usability and ease of pro- gramming of the language. Our second contribution is Zebu, a DSL-based approach for the development of network application protocol-handling layers. We have demonstrated, through various experiments, that this approach is a reliable alternative to manual development in the context of protocol-handling layers. Zebu generated code has good performance and has a significantly lower memory footprint than compa- rable existing manually encoded solutions, while guaranteeing the robustness and performance properties. The third contribution of this thesis is z2z, a generative approach to gateway construction that enables com- munication between devices that use incompatible protocols. Z2z includes a compiler that checks essential correctness properties, and a runtime system that hides low-level details from the gateway programmer. We have used z2z to automatically generate gateways between various incompatible protocols. The generated gateways run with a low runtime memory footprint, with essentially no runtime overhead.

Les nouveaux systèmes ont souvent recours à une implémentation distribuée du logiciel, pour des raisons d'efficacité et à cause de l'emplacement physique de certains capteurs et actuateurs. S'assurer de la correction d'un logiciel distribué est difficile car cela impose de considérer tous les enchevêtrements possibles des actions exécutées par des processus distincts. Cette thèse propose une méthode pour générer, à partir d'un modèle d'application haut niveau, une implémentation distribuée correcte et efficace. Le modèle de l'application comporte des composants communiquant au moyen d'interactions multiparties avec priorités. L'exécution d'une interaction multipartie, qui correspond à un pas de la sémantique, change de façon atomique l'état de tous les composants participant à l'interaction. On définit une implantation distribuée comme un ensemble de processus communiquant par envoi de message asynchrone. La principale difficulté est de produire une implémentation correcte et efficace des interactions multiparties avec priorités, en utilisant uniquement l'envoi de message comme primitive. La méthode se fonde sur un flot de conception rigoureux qui raffine progressivement le modèle haut niveau en un modèle bas niveau, à partir duquel le code pour une plateforme particulière est généré. Tous les modèles intermédiaires apparaissant dans le flot sont exprimés avec la même sémantique que le modèle original. À chaque étape du flot, les interactions complexes sont remplacés par des constructions utilisant des interactions plus simples. En particulier, le dernier modèle obtenu avant la génération du code ne contient que des interactions modélisant l'envoi de message. La correction de l'implémentation est obtenue par construction. L'utilisation des interactions multiparties comme primitives dans le modèle de l'application permet de réduire très significativement l'ensemble des états atteignables, par rapport à un modèle équivalent mais utilisant des primitives de communication plus simples. Les propriétés essentielles du système sont vérifiées à ce niveau d'abstraction. Chaque transformation constituante du flot de conception est suffisamment simple pour être complètement formalisée et prouvée, en termes d'équivalence observationelle ou d'équivalence de trace entre le modèles avant et après transformation. L'implémentation ainsi obtenue est correcte par rapport au modèle original, ce qui évite une coûteuse vérification a posteriori. Concernant l'efficacité, la performance de l'implémentation peut être optimisée en choisissant les paramètres adéquats pour les transformations, ou en augmentant la connaissance des composants. Cette dernière solution requiert une analyse du modèle de départ afin de calculer la connaissance qui est réutilisée pour les étapes ultérieures du flot de conception. Les différentes transformations et optimisations constituant le flot de conception ont été implémentées dans le cadre de BIP. Cette implémentation a permis d'évaluer les différentes possibilités ainsi que l'influence des différents paramètres, sur la performance de l'implémentation obtenue avec plusieurs exemples. Le code généré utilise les primitives fournies par les sockets POSIX, MPI ou les pthreads pour envoyer des messages entre les processus.